Безопасность в Telegram и Максе: защита аккаунта, канала и рабочих доступов

Аккаунты редко уводят хитрым техническим взломом. Обычно человек всё делает сам: пересылает код из SMS «сотруднику службы безопасности площадки», открывает архив с «фотографиями», логинится на похожем сайте, выдаёт сервисному боту права администратора в канале и забывает про них на год. Ещё одна частая история — почта, на которую завязано восстановление: её угоняют и через неё меняют пароль от аккаунта.

Совсем убрать риски не получится. Зато можно понять, от чего именно вы защищаетесь, и закрыть те дыры, которые легко закрываются, — а закрывается почти всё, что перечислено выше.

В статье — порядок и наш опыт, по которому мы в «Спирали» проверяем доступы у себя и у клиентов для защиты рабочих и личных аккаунтов и каналов, начиная от самых простых и очевидных способов и продолжая неочевидными вариантами.

Пароль, приватность и шифрование защищают от разного

Защита доступа — кто может войти в аккаунт и кто может открыть приложение на вашем телефоне. За это отвечают код из SMS, облачный пароль (его ещё называют паролем двухфакторной аутентификации, 2FA), код-пароль на самом приложении и список устройств, с которых выполнен вход.

Приватность — кто вас видит: номер, фотографию, время последнего захода; кто может найти вас по номеру, позвонить или добавить в группу. К защите входа это отношения не имеет: тот, кто уже вошёл в ваш аккаунт с чужого телефона, прочитает переписку независимо от того, скрыт ваш номер или нет.

Шифрование — где лежат сообщения и кто, кроме вас и собеседника, может их прочитать. Сквозного шифрования в Максе нет: платформа нигде его не заявляет. В Telegram оно есть, но только в секретных чатах, которыми почти никто не пользуется. Обычные переписки в Telegram облачные: сообщения, медиа и файлы лежат на серверах, чтобы история открывалась на всех ваших устройствах.

Поэтому документы и пароли в мессенджере лучше не хранить вообще — ни в личном чате, ни в «Избранном». Для паролей есть менеджеры паролей, для файлов — хранилища, где можно раздавать и отзывать доступ.

Базовая защита личного аккаунта

Разберём, как защитить личные аккаунты, свои и родственников, ведь даже такие «ненужные» аккаунты могут представлять ценность для мошенников.

Убедитесь, что контролируете привязанный номер

Аккаунт когда-то завели на какой-то номер, номер потом потеряли или забыли оплатить — и номер ушёл другому владельцу, который пытается получить доступ к вашему аккаунту (или получает его), а вы не можете доказать, что этот аккаунт ваш.

Пароль тут не поможет: и вход, и восстановление всё равно идут через номер и SMS.

Проверьте:

на кого оформлен номер и сможете ли вы сами перевыпустить симку у оператора, если доступ потерян;
работает ли симка и не отключил ли оператор номер за неиспользование или неуплату;
не остался ли в аккаунте старый номер, которым вы давно не пользуетесь;
у кого физически лежит рабочая симка или eSIM и кто может её перевыпустить.

Отдельный номер для работы и отдельный для личного — это нормально: вы разделите личное и рабочее по двум разным аккаунтам. Только рабочий номер тоже нужно кому-то вести: следить за оплатой, за сроком обслуживания и за тем, на кого оформлен договор.

Как сделать второй аккаунт в Максе? К сожалению, пока что функционала переключения между аккаунтами в Максе нет, но вы можете сделать это через «Клонирование приложений» на Android (создав новое приложение Макса) или через браузер на ПК/ноутбуке или iPhone.

Включите облачный пароль и настройте восстановление

В Telegram путь такой: Настройки ➜ Конфиденциальность и безопасность ➜ Облачный пароль. После включения при входе с нового устройства спросят не только код из SMS, но и этот пароль. Там же указывается резервная почта — через неё сбрасывают облачный пароль, если вы его забыли. Почту закройте таким же длинным паролем и двухфакторной аутентификацией: если к почте есть доступ у постороннего, облачный пароль его не остановит.

В Максе то же самое называется «Пароль для входа»: Настройки ➜ Безопасность ➜ Пароль для входа. Вход подтверждается кодом и этим паролем, поставить его можно только в мобильном приложении. На этом же шаге укажите и подтвердите почту.

Если пароль забыт, а возможности вернуть доступ через почту нет, аккаунт придётся удалять — вместе со всеми чатами, каналами и перепиской. Данные исчезнут через семь дней. Поэтому к паролю для входа надо подойти со всей серьёзностью и сразу подтвердить почту.

Пароли для разных аккаунтов должны быть разными и длинными. Хранить их удобнее в менеджере паролей: подойдёт Bitwarden или встроенные менеджеры Google, Яндекса и Apple — главное, чтобы пароли лежали там, а не в «Избранном» и не в заметках телефона.

Менять пароль по расписанию, просто чтобы поменять, можно, но не критично. Менять надо, когда он мог куда-то утечь: его писали в общий документ, отправляли в чат, вводили на чужом компьютере или его знал уволившийся сотрудник. В остальное время важнее другое — длина, уникальность, хранение в специальном месте и живая резервная почта, на которую вы реально можете зайти.

Облачный пароль и код в приложении

Облачный пароль просят при входе в аккаунт с нового устройства — он защищает сам аккаунт.

Код-пароль на приложении работает иначе. Кто-то взял ваш разблокированный телефон или сел за ваш компьютер — и не смог открыть Telegram или Макс, потому что у приложения свой пин-код для входа.

Биометрия — тот же код-пароль, только вместо цифр отпечаток или лицо.

Локальный код на вашем телефоне не выкинет того, кто уже вошёл в аккаунт с другого устройства. Чтобы его «выкинуть», надо открыть список устройств и завершить чужой вход.

Отдельно — ключи доступа, они же passkey: вход по PIN-коду или биометрии устройства вместо кода из SMS. Включаются они в разделе Настройки ➜ Конфиденциальность и безопасность ➜ Ключи доступа. Это вариант для тех, кто уже настроил всё остальное: вход по SMS никуда не девается, так что номер всё равно надо держать под контролем. Большинству хватит облачного пароля — с него и начните.

Проверьте активные устройства

В настройках есть список устройств, на которых есть входы в ваш аккаунт (их называют сессиями). Смотрите не только на модель телефона, но и на дату последней активности, приложение и город.

Город определяется по IP и часто показывает не тот, где вы находитесь, поэтому один незнакомый город сам по себе ни о чём не говорит. А вот незнакомое устройство, не ваш вход, активность ночью или приложение, которым вы не пользуетесь, — повод завершить сеанс и сменить облачный пароль.

В Telegram это Настройки ➜ Устройства или Конфиденциальность и безопасность ➜ Активные сессии.

В Максе — Настройки ➜ Устройства.

Когда стоит проверять список активных сессий?

вход на чужом или общем компьютере;
ремонт, продажа или потеря телефона;
код, который вы не запрашивали;
уход сотрудника или подрядчика;
странное сообщение, отправленное от вашего имени;
просто случайная проверка, если появилась минутка или вы делали что-то новое, например, логинились и входили на новом сайте.

Защитите само устройство

Обновляйте систему и приложение, ставьте блокировку экрана, не оставляйте открытый вход на общем компьютере и не ставьте приложения мессенджеров из случайных источников — что внутри такой сборки, вы не знаете.

Если телефон или компьютер заражён либо к нему есть доступ у постороннего, менять пароль на нём бессмысленно: файлы сессии уйдут в руки мошеннику точно так же. Возьмите другое устройство, завершите оттуда лишние сессии и только потом разбирайтесь с заражённым.

Приватность: что закрывать в личном аккаунте, а что оставить открытым в рабочем

Личный аккаунт можно закрывать целиком: если вы общаетесь только со знакомыми, поиск по номеру, звонки от посторонних и приглашения в группы вам не нужны.

Однако, если в Telegram мы можем найти друг друга по имени пользователя (юзернейму, @), в Максе такой возможности нет, а поиск по номеру по умолчанию открыт для всех — закрывают его вручную, переключив «Найти меня по номеру» на «Контакты», или сразу Безопасным режимом.

С рабочим аккаунтом так точно не получится: если через аккаунт приходят заявки, закрытый поиск означает, что клиент вас просто не найдёт.

Для личного аккаунта

Проверьте, кто может:

видеть номер и фотографию профиля;
находить вас по номеру;
звонить вам;
добавлять в каналы, группы и чаты;
видеть время последней активности;
открывать ссылку на профиль из пересланного сообщения.

В Telegram видимость номера настраивается в разделе Конфиденциальность и безопасность ➜ Номер телефона. Если человек уже сохранил ваш номер в телефонной книге, настройка его не скроет — она закрывает номер только от посторонних.

В Максе обе настройки лежат в разделе Настройки ➜ Безопасность: «Видеть мой номер» отвечает за то, кому виден номер, а «Найти меня по номеру» — за то, кто может вас по нему найти.

Для личного профиля в Максе есть Безопасный режим — переключатель там же, в разделе Безопасность. Он убирает профиль из поиска, ограничивает звонки и приглашения и фильтрует чувствительный контент. Его обязательно нужно поставить родственникам, которые могут случайно «не туда нажать».

Если потом менять отдельные параметры приватности вручную, режим выключится — после правок вернитесь и проверьте переключатель.

Проверьте у себя: для личного профиля его обычно есть смысл оставить, а для рабочего — снять те ограничения, из-за которых клиент не сможет вас найти и написать первым.

Для рабочего аккаунта

Вести продажи с личного аккаунта владельца — плохая идея: там же семья и личные переписки. Разделите аккаунты:

личный — для семьи, друзей и личных переписок;
рабочий публичный — для клиентов и партнёров;
аккаунт-владелец важных каналов и чатов — технический, с него не переписываются вообще.

У публичного рабочего аккаунта оставьте нужный способ связи, но уберите из профиля лишнее о себе и закройте приглашения в группы. У технического владельца — наоборот: минимум публичности, номер под контролем компании, защищённая почта, вход — только когда надо что-то поменять в канале.

Если вы ещё выбираете площадку и сценарий работы, сначала проверьте, подходят ли Telegram или Макс вашему бизнесу.

Коды, ссылки, файлы и вход через мессенджер

Пришёл код, которого вы не запрашивали

Код приходит и когда кто-то ошибся номером, и когда в ваш аккаунт пытаются войти. По самому сообщению одно от другого не отличить, поэтому считайте, что вход пытались сделать намеренно.

Код нельзя пересылать никому: ни «поддержке», ни «сотруднику платформы», ни рекламодателю, ни коллеге. Он нужен ровно для одного — войти в ваш аккаунт.

Что делать дальше:

Не отвечайте отправителю и не открывайте ссылки из следующих сообщений.
Откройте приложение сами, а не по присланной ссылке.
Проверьте список устройств и облачный пароль.
Если одновременно пропала связь на симке, сразу свяжитесь с оператором.

Отдельная ситуация — когда код, деньги или срочное действие просит знакомый аккаунт. Аккаунт коллеги могли увести час назад, и переписка при этом выглядит совершенно обычно. Если человек внезапно просит прислать код, сделать перевод или срочно добавить нового администратора в канал — позвоните ему или напишите в другом мессенджере и спросите, он ли это, или хотя бы обменяйтесь какой-то фразой, которую знаете только вы.

Нужно подтверждение на звонке

Ещё один древний способ угнать аккаунт — позвать человека на звонок для подтверждения. Всё выглядит нормально, и даже ссылка на звонок настоящая (хотя в последнее время стали подделывать и её — поддельный сайт Zoom, Яндекс Телемоста и прочих приложений, который сразу просит войти под вашим аккаунтом, тоже должен вызывать подозрение).

Вы заходите, и вас начинают забалтывать, а после просят включить демонстрацию экрана с мессенджером и хоть на секунду показать номер телефона.

После этого будет совершена попытка входа в аккаунт, а код придёт прямо в мессенджер, и мошенник зайдёт и получит доступ к аккаунту.

Так что не показывайте никому номер телефона и экран с мессенджером.

Вход через Telegram на сайте: когда это нормально

У Telegram есть штатная авторизация для сайтов и мини-приложений — сервисов, которые открываются прямо в окне мессенджера. Сама по себе кнопка «Войти через Telegram» ничего не крадёт.

Сейчас авторизация через Telegram пропала на многих сайтах, однако она всё ещё есть, так что имеет смысл затронуть и такой формат взаимодействия.

Смотреть надо на сценарий:

вы сами открыли сайт, а не перешли из неожиданного сообщения;
домен тот же, что у сервиса, которым вы собирались пользоваться;
видно, какие данные будут переданы;
после авторизации не начинает скачиваться приложение или архив.

Официальная авторизация не требует диктовать код в чат. Если «менеджер» просит прислать код, чтобы «завершить регистрацию», — это попытка войти в ваш аккаунт.

Файлы: что открывать, а что нет

Правило одно: файл от нового или незнакомого отправителя — договор, медиакит, «фотографии с вечеринки» — не открывают, пока по другому каналу связи не подтвердят, что прислал его тот, кто должен был.

Неожиданные архивы и исполняемые файлы (.exe, .bat и подобные) не открывайте вообще.
Включите на компьютере показ полных расширений файлов: иначе «фото.jpg.exe» в списке выглядит как обычное фото.
Не отключайте защиту системы ради того, чтобы открылся «особый просмотрщик». Просьба это сделать и есть атака.
Если непонятный файл всё-таки надо посмотреть, откройте его на устройстве, где не залогинены ваши рабочие аккаунты. А если в компании есть системный администратор, отдайте файл сначала ему или проверьте файл через @DrWebBot.

Если файл уже открыт и после этого в списке устройств появились чужие входы, не разбирайтесь на этом же компьютере: возьмите другое устройство и оттуда завершайте сессии и меняйте пароль. Однако это возможно, только если сессия на другом вашем устройстве уже давно активна — войти ещё раз с нового устройства в таком случае не получится.

Ботов делают посторонние люди

Большинство ботов делают сторонние разработчики. Бот видит открытые данные вашего профиля и всё, что вы ему отправили; в группе то, что он видит, зависит от выданных ему прав. Относитесь к нему как к незнакомому человеку: коды, пароли, данные карты и сканы документов ему не отправляют. Даже если бот говорит, что ничего не сохраняет, вы не можете это гарантировать.

В любом случае не выдавайте полные права всем ботам подряд. У каждого бота для канала или группы/чата есть список минимально необходимых прав — выдавайте только их. Если бот просит какие-то дополнительные, надо понять, для чего это сделано.

К сожалению, даже крупные разработчики и сервисы не защищены от взломов, поэтому, добавляя любого бота в свой канал или чат, вы соглашаетесь с риском, что с ним может случиться что угодно и от этого не застрахован никто.

Так, в конце мая 2026 года в Макс-каналах, подключённых к стороннему боту «Отложка», появились чужие публикации, что и является тем самым риском сторонних сервисов.

Отдельно собрали изменения каналов и бизнес-инструментов Макса летом 2026 года, чтобы было проще оценить, какие аккаунты, боты и права понадобятся в работе.

Рабочие доступы: владелец, администраторы, боты и увольнение

Каналом управляют сотрудники и подрядчики, посты публикуют боты, номер оплачивает бухгалтерия, а резервная почта может быть заведена на человека, который уволился два года назад. Если в компании никто не может быстро ответить, кто прямо сейчас может удалить канал или передать его другому человеку, это уже проблема, даже если никого не взломали.

Как решать? Или назначить ответственного за работу с безопасностью, или чётко разделить доступы — с ограничениями, инструкциями и регламентами.

То же самое относится и к личным аккаунтам: вы должны знать, на каком аккаунте у вас какие настройки, какой номер и где лежит SIM-карта.

Запишите, кому принадлежит каждый канал и бот

Хватит одной таблицы:

Актив	Владелец	Контролируемый номер и почта	Администраторы	Боты/интеграции	Дата проверки
Telegram-канал	рабочий аккаунт компании	да/нет	роли	список	дата
Макс-канал	рабочий аккаунт компании	да/нет	роли	список	дата
Бот	ответственный сотрудник	резервная почта и токен (ключ доступа к боту) учтены	разработчики	сервер	дата

Сами пароли и токены в такой таблице не хранят. Но так у вас хотя бы будет понимание, что происходит с безопасностью ваших рабочих и личных аккаунтов, и вы сможете провести такой же аудит для родственников.

Общий логин на несколько человек — отдельная проблема: в журнале действий все правки выглядят одинаково, и непонятно, кто именно что сделал, а уход одного сотрудника означает смену доступа сразу для всех. Где платформа позволяет, заводите администраторов с минимальными правами под конкретную задачу. Передавать владение и менять критичные настройки должен только владелец.

Считайте токен бота полноценным ключом

Токен — это набор символов, который заменяет боту логин и пароль: у кого он есть, тот управляет ботом. Поэтому его не публикуют в документации, не пересылают в общий чат, не оставляют на скриншоте и не хранят в файле рядом с кодом.

По каждой интеграции должны быть понятны четыре вещи:

Кто её подключил и зачем.
Какие права она получила.
Где и у кого лежит токен.
Как быстро отозвать доступ или заменить токен.

Готовьте увольнение заранее

Список того, что закрывается при уходе сотрудника, пишут заранее. В день окончания доступа надо:

закрыть его рабочий аккаунт или отозвать корпоративный вход;
убрать человека из администраторов каналов, чатов и ботов;
завершить рабочие сессии на его устройствах;
сменить пароли, которые могли быть общими;
отозвать или заменить токены, к которым у него был доступ;
проверить резервные почты и телефоны;
посмотреть, какие критичные права остались у других сотрудников и сервисов;
отметить в таблице, что доступы закрыты.

Продажа, покупка и передача канала

Канал не обязательно взламывать — его отдают сами, внутри сделки, которая до последнего шага выглядела нормальной.

Сделка выглядит просто: договорились о цене, покупатель перевёл деньги, продавец передал права владельца. Сложность в том, что обе стороны видят друг друга только как аккаунт в мессенджере.

Дальше в сделке появляется гарант — третье лицо, которому обе стороны на время передают деньги и/или канал и которое получает за это свой процент. И вот тут гаранта подменяют.

Из чата сделки «пропадает» один аккаунт, а на его место заходит другой, с почти таким же юзернеймом: например, буква i заменена на l, и на глаз это не видно. Бывает проще: мошенник ставит настоящий юзернейм гаранта в описание своего профиля, вы копируете юзернейм оттуда, и он совпадает с настоящим — а пишет вам аккаунт с другим. Поэтому юзернейм сверяют посимвольно, а гаранта выбирают среди доверенных людей с репутацией, уточняя это в админских чатах.

Передача владения — последний шаг. Ни деньги, ни права не отдают второй стороне авансом — на то в сделке и нужен гарант, который держит их у себя. При смене владельца проверьте профиль получателя через другой канал связи, убедитесь, что выбрали именно того человека, и заранее сохраните список текущих прав.

Для более безопасной сделки нужно делать всё пошагово и слушать указания гаранта.

Не передавайте владение сразу, сначала назначьте аккаунт гаранта админом и уточните, тому ли вы передали права и в чате, и в личных сообщениях
Напишите в личные сообщения гаранту до сделки, во время и перед каждым шагом — лучше уточнить несколько раз, чем один раз всё потерять
Ведите запись и делайте скриншоты всего происходящего — в крайнем случае это будет доказательством для поддержки
Обязательно ПРОВЕРЯЙТЕ всё на каждом шаге сделки

Зачем просят назначить админом до сделки?

Например, вы нашли покупателя для канала, и он просит добавить его в админку с минимальными правами, «посмотреть на канал». Делается это для подмены аватарки и имени на профиль гаранта, чтобы человек не заметил при передаче канала, кому конкретно и что он передал.

«Да это точно доверенный гарант!»

Ещё одна частая ситуация — вопрос в админских чатах, доверенный ли это гарант. И чаще всего — нет. Гарантом стать очень легко, но есть те, кто работает годами, а есть те, кто при первой же крупной сделке попробует всех обмануть.

Или же создаётся изначально ненастоящий гарант, который получает «грамоты и сертификаты», накручивает активность на канал биржи и так далее. Как решается? Настаиваете на сделке только через 1–2 доверенных гарантов, которых рекомендуют на рынке и у которых есть история и репутация.

Если покупатель начинает настаивать на «нужном и доверенном» гаранте и пытается слиться, вероятно, это изначально подставной покупатель.

Покупка и продажа рекламы

При покупке рекламы работает то же правило: сначала проверьте, с тем ли человеком вы говорите. Сверьте аккаунт администратора, с которым вы общаетесь, — наличие его в описании канала, наличие общих чатов, даты изменения аватарки и имени. По этой же причине в рабочих чатах переписки не удаляются, а сохраняются.

Первый вопрос — кто кому написал. Если вам сами написали с «горящим слотом» и скидкой до конца дня, остановитесь и проверьте, кто пишет: аккаунт с именем и фотографией настоящего менеджера/админа/владельца канала делается за пять минут, и с чужим именем успевают продать несколько размещений подряд.

Контакт берут из описания канала, а не из сообщения, — и дальше та же посимвольная сверка. Если вам пишет «тот самый» менеджер, с которым вы уже работали, Telegram в новом диалоге показывает карточку: когда аккаунт зарегистрирован, когда последний раз менял имя и фотографию. Аккаунт «менеджера крупного канала», заведённый неделю назад, — это уже вопрос.

У продавца рекламы всё то же самое, только с другой стороны. Скриншот перевода, чек из банка, платёжное поручение — подделать несложно, поэтому пост выходит после того, как деньги видны в приложении банка, — даже если это давний рекламодатель, который мог просто забыть оплатить. А «рекламодатель», который просит вас куда-то войти, продиктовать код или срочно открыть его файл с макетом, — не рекламодатель.

Не торопитесь

Давление временем — главный инструмент мошенника. «Решаем сейчас, иначе слот уйдёт», «деньги отправил, выход через десять минут, сколько можно тянуть» — фразы разные, задача одна: чтобы вы не успели проверить. Не торопитесь и всё проверяйте, лучше быть немного параноиком и чуть подождать, чем потерять деньги, нервы, время, аккаунт и канал.

Что делать, если аккаунт взломали (или вам так кажется)

Всё зависит от одного: остался ли вход хотя бы на одном вашем устройстве.

Если доступ ещё есть

Возьмите устройство, которому доверяете. Если подозрение связано с компьютером, на нём ничего не меняйте.
Откройте список устройств и завершите чужие сеансы. Сначала незнакомые; если от вашего имени уже ушла рассылка — все, кроме текущего.
Включите или смените облачный пароль. Проверьте резервную почту и то, как защищена она сама.
Верните контроль над номером.
Предупредите контакты. Хватит одной строки: меня взломали, на просьбы о деньгах и кодах от моего имени не отвечайте.
Если это рабочий аккаунт, уберите незнакомые аккаунты и ботов из администраторов, замените токены, проверьте журнал действий и то, что публиковалось.
Запишите, что видели: время уведомлений, названия незнакомых устройств, отправленные не вами сообщения. Скриншоты с кодами, номерами и адресами никуда не выкладывайте.

Если доступа к Telegram нет

Telegram остался открыт на другом устройстве — включите облачный пароль, завершите сеанс потерянного телефона и заблокируйте старую симку у оператора.

Ни одного своего устройства не осталось — порядок обратный: сначала перевыпустите симку с тем же номером у оператора, потом войдите по коду и завершите чужой сеанс.

Если нет и номера, сделать почти нечего — скорее всего, аккаунт потерян. Это ровно та ситуация, в которой появляются люди с предложением «вернуть аккаунт через знакомого в Telegram» за предоплату или за удалённый доступ к компьютеру. Ни денег, ни доступа им давать нельзя: аккаунт они не вернут.

Если доступа к Максу нет

Восстановление в Максе требует смартфона с той самой симкой, мобильного интернета вместо Wi-Fi. Если стоял пароль для входа, нужна ещё заранее подтверждённая почта: без неё вернуть пароль нечем, и остаётся только удаление профиля вместе с чатами и каналами.

Не удаляйте профиль в первые же минуты. Сначала вспомните, какие каналы и боты висели на этом аккаунте: удаление уносит данные и чаты, а разбираться с рабочими каналами всё равно придётся. Если самостоятельные шаги не помогли — пишите в @support.

Если это рабочий аккаунт или владелец канала

Взломали рабочий аккаунт или канал — и дальше все кидаются спасать положение одновременно, мешая друг другу. Назначьте одного главного — он руководит восстановлением, остальные делают только то, что он говорит. Он:

останавливает запланированные публикации и рекламные размещения;
предупреждает команду и клиентов через резервный канал связи;
проверяет каналы на обеих платформах, а не только тот аккаунт, где заметили проблему;
отзывает интеграции и токены, к которым имел доступ скомпрометированный сотрудник;
сохраняет доказательства до того, как подозрительные сообщения удалят;
ведёт список уже сделанного.

Без этого выходит так: один меняет пароль, второй возвращает того же бота обратно, а третий удаляет переписку, которая нужна как доказательство.

Официальная поддержка и блокировки

Куда писать, зависит от того, остался ли у вас доступ к аккаунту и чей это аккаунт — личный или компании.

Ситуация	Официальный маршрут	Что подготовить
Telegram открыт, общий вопрос	Настройки ➜ Задать вопрос	номер в международном формате, время события, версия приложения, краткое описание
Не получается войти в Telegram	telegram.org/support	почта или номер, к которым есть доступ, номер аккаунта, точное сообщение об ошибке
Telegram ограничил отправку сообщений как спам	@SpamBot	следовать диалогу бота, не обращаться к посредникам
Telegram-аккаунт заморожен	апелляция внутри приложения	факты и контекст, без эмоций и догадок
Проблема с Максом	@support	номер, время, признаки, коды, которые вы не запрашивали, уже выполненные действия
Канал, бот или мини-приложение Макса для бизнеса	бот «Поддержка MAX для бизнеса» или partner_support@max.ru	ID или ссылка на канал либо бота, название организации, описание и воспроизводимый симптом без секретов

Официальные контакты Telegram

Адреса из популярных подборок — статей вида «все контакты поддержки Telegram» из поисковой выдачи — мы сверили с официальными страницами Telegram: часть этих адресов там не значится, часть означает совсем не то, что о них пишут. Действующие:

@SpamBot — проверить, есть ли на аккаунте спам-ограничение, и оспорить его; здесь же кнопка апелляции при заморозке.
@NoToScam — если кто-то выдаёт себя за вас или вашу компанию.
@smstelegram — не приходит SMS с кодом входа.
@BotSupport — вопросы разработчиков ботов.
telegram.org/support — веб-форма, когда войти в аккаунт не получается совсем; туда же пишут, если апелляция через бота не помогла.
telegram.org/deactivate — удаление аккаунта.
abuse@telegram.org — жалобы на противоправный контент; сюда же Telegram предлагает писать, если ваш канал, бот или стикерпак заблокировали без видимой причины.
dmca@telegram.org — нарушение авторских прав.
security@telegram.org — сообщения об уязвимостях.
stopCA@telegram.org — материалы с сексуальным насилием над детьми.

Куда писать в Максе

Маршруты почти все внутри приложения:

@support — единственный общий канал поддержки; открывается в приложении или по ссылке max.ru/support.
Кнопка «Пожаловаться» на сообщении и на канале — жалоба уходит модерации с категорией: мошенничество, спам, оскорбления и другие.
Бот «Поддержка MAX для бизнеса» или partner_support@max.ru — для каналов, ботов и мини-приложений организаций; платформа обещает ответ в течение рабочего дня.
copyright@max.ru — только жалобы на нарушение интеллектуальных прав; адрес закреплён в пользовательском соглашении.

За что блокируют и как снять блокировку

Telegram ограничивает аккаунты в основном за спам: сообщения незнакомым людям с рекламой, ссылками и приглашениями. Первое нарушение обычно стоит нескольких дней ограничений, системное — ограничений навсегда. Проверить статус и оспорить решение можно через @SpamBot. С весны 2025 года появилась ещё заморозка по жалобам пользователей: читать чаты можно, писать нельзя, апелляция подаётся прямо из приложения.

В Максе правила жёстче: соглашение разрешает ограничить доступ уже при подозрении на нарушение, а расторгнуть договор — в любой момент, без предупреждения и объяснения причин. И блокирует платформа активно: по данным VK, за 2025 год — больше 700 тысяч подозрительных аккаунтов при среднем времени разбора жалобы около пяти минут.

Блокировка бывает временной — она снимается автоматически — или полной. Полную снимают тем же восстановлением, что и потерянный доступ: смартфон с той же симкой и вход через мобильный интернет.

Чтобы не попасть под блокировку, не рассылайте одно и то же сообщение десяткам контактов, не накручивайте подписчиков, просмотры и реакции, не подключайте неофициальные скрипты и автоматизацию. По соглашению Макса это основания для блокировки, даже когда текст сообщения безобидный.

Шаблон обращения в поддержку

Обращение в обе поддержки строится одинаково:

Кто вы: номер аккаунта в международном формате и/или юзернейм.
Что случилось и когда: дата, время, что именно произошло.
Что уже сделали сами: завершили сессии, сменили пароль, проверили резервную почту.
Чего просите: снять ограничение, вернуть доступ, проверить активность.
Приложения: скриншоты без кодов, паролей и номеров карт.

Пример для взлома: «Здравствуйте. 28 июля около 21:00 с моего аккаунта +7… ушла рассылка, которую я не отправлял. Чужую сессию из Самары завершил, облачный пароль сменил, резервную почту проверил. Прошу проверить активность за последние сутки и подтвердить, что других сессий не осталось. Скриншот списка устройств прикладываю».

Для бизнес-обращений добавьте ссылку или ID канала либо бота и название организации.

Поддержке для работы не нужен ни ваш облачный пароль, ни код входа, ни токен бота. Если их просят — вы разговариваете не с поддержкой.

Чек-лист и регулярная ревизия

Сделать сегодня

Для любого аккаунта:

проверить, что номер принадлежит вам или компании и продолжает работать;
включить облачный пароль в Telegram и пароль для входа в Максе;
добавить и подтвердить резервную почту, закрыть её отдельным паролем и двухфакторной аутентификацией;
включить код-пароль на приложении;
проверить список устройств и завершить незнакомые сеансы;
настроить видимость номера, поиск, звонки и приглашения под личный или рабочий сценарий.

Для рабочих аккаунтов и каналов:

записать, кому принадлежит каждый рабочий канал и кто в нём администратор;
удалить ненужных ботов, а оставшимся урезать права.

Проверять регулярно

список устройств и активность входов;
администраторов каналов и чатов;
ботов, интеграции и место хранения токенов;
актуальность номера и резервной почты;
обновления приложений и операционной системы;
возможность связаться с клиентами и командой через резервный канал.

Для личного аккаунта хватит напоминания раз в несколько месяцев плюс проверки после любого странного события. Для бизнеса — раз в квартал, а если сотрудников и интеграций много, раз в месяц. Увольнение, потеря устройства, смена подрядчика и новый бот — повод проверить сразу.

Три вопроса перед любой новой интеграцией

Какие данные и права она получит?
Что произойдёт с каналом, если сервис скомпрометируют или он перестанет работать?
Сможем ли мы отозвать доступ за пять минут без участия разработчика сервиса?

Если на третий вопрос ответа нет, подключать интеграцию к рабочему каналу рано.

Весь список за один вечер закрывать не обязательно: пройдите хотя бы блок «Сделать сегодня» — большинство пунктов там закрывается за пару минут в настройках. Если что-то случится, разбираться придётся по этому же списку — а заполнить его проще сегодня, чем в тот день, когда с вашего аккаунта уже ушла рассылка.