Telegram ломают не через код, а через 2FA и чужие сессии

Разберем векторы социальной инженерии в этом кейсе. У Telegram обычно не «взламывают пароль» в классическом смысле: сначала выманивают код входа, потом закрепляются в сессии и добирают аккаунт через слабую 2FA.

Что должно быть настроено:
— отдельный пароль 2FA, не совпадающий с почтой и другими сервисами;
— почта для восстановления с жесткой защитой, иначе это просто запасной вход;
— проверка активных устройств с удалением всего лишнего;
— запрет на хранение кода в заметках, чатах и пересылках. Это типовая ошибка.

Делегирование сессии — не передача «доступа к аккаунту», а выдача ограниченной рабочей среды. Если человек видит вашу переписку, он видит и точки атаки: друзей, чаты, привязанные сервисы, шаблоны поведения. Технический след злоумышленника неизбежен, но только если вы не оставили ему удобную поверхность.

Перед передачей устройства или рабочего профиля: выход из личных сессий, проверка привязанных номеров, очистка устройств, отдельный профиль под задачи. Иначе делегирование превращается в внутренний инцидент.

2FA защищает не от доверия, а от ошибок. Сессии нужно считать временным ресурсом, а не собственностью.