Вход в Telegram по QR-коду: как работает и безопасно ли подключать аккаунт к сервису
· 4 min
Вход в Telegram по QR-коду открывает сессию с полным доступом к аккаунту. Как это устроено, как не попасться на фейковый QR и как проверить сервис.
Вход в Telegram по QR-коду — это авторизация нового приложения через телефон, на котором вы уже вошли: Настройки → Устройства → Подключить устройство (в части версий — «Сканировать QR-код»), затем сканируете код на экране. Это безопасно, если вход начали вы сами: в Telegram Web, Telegram Desktop или в сервисе, который вы открыли и которому доверяете. Если же QR прислали в сообщении или показали на странице «голосования» и «проверки», вы отдаёте аккаунт тому, кто этот код сгенерировал. Каждый отсканированный QR-код создаёт новую сессию с полным доступом к аккаунту.
Как устроен вход по QR
В официальной документации API процесс описан так:
- Приложение, которое хочет войти, вызывает
auth.exportLoginTokenи получает токен входа со сроком жизни, «обычно 30 секунд». - Токен упаковывается в ссылку
tg://login?token=...и показывается как QR-код. Когда срок истекает, приложение запрашивает новый — поэтому код на экране постоянно меняется. - Телефон, на котором уже выполнен вход, сканирует код и подтверждает его методом
auth.acceptLoginToken. - Первое приложение получает уведомление, и вход завершается (если приложения на разных дата-центрах, токен импортируется на нужном).
То есть сканирование — это не «подтверждение» чего-то абстрактного. Вы разрешаете приложению, показавшему код, войти в аккаунт как новое устройство. Сессия появится в «Настройки → Устройства» рядом с остальными.
К чему получает доступ сессия по QR
У пользовательских аккаунтов Telegram нет «ограниченных разрешений» для приложений. Сессия, созданная по QR, равна сессии, созданной по номеру и коду: чтение переписки, отправка сообщений, доступ к группам и каналам, изменение профиля. Поэтому сервис, к которому вы подключаетесь по QR, выбирайте так же тщательно, как тот, которому доверили бы пароль. Это касается любых CRM и сервисов-агрегаторов: принципиально важно не название, а то, как сервис хранит сессии и кто внутри него видит ваши чаты.
Фейковые QR-коды: самая частая схема угона
С начала 2026 года компании по кибербезопасности сообщают о кампаниях, которые используют настоящий механизм QR-входа. В отчёте Bitdefender за апрель 2026 схема выглядит так:
- Приходит сообщение от знакомого (чаще всего его аккаунт уже угнан): «проголосуй за рисунок ребёнка», «поддержи в конкурсе».
- Ссылка ведёт на страницу, где просят «подтвердить, что вы не бот»: открыть настройки устройств в Telegram и отсканировать QR-код.
- Код — настоящий токен входа, сгенерированный злоумышленником. После сканирования его приложение входит в ваш аккаунт.
- Дальше та же приманка и просьбы о деньгах уходят по вашим контактам.
Ключевая фраза из отчёта: QR-код — это не токен проверки, а активная сессия входа, созданная атакующим. О похожей кампании в феврале 2026 писал и CYFIRMA.
Как проверить и завершить сеансы
- На телефоне откройте Настройки → Устройства.
- Незнакомое устройство, город или название приложения — нажмите и завершите сеанс.
- Там же включите автоматическое завершение неактивных сеансов.
- Если облачный пароль не включён, включите: Настройки → Конфиденциальность → Облачный пароль.
Важная деталь из документации API: сессия, вошедшая менее 24 часов назад, не может завершить все остальные. Поэтому действуйте быстро и со старого доверенного устройства.
Как проверить сервис перед подключением
| Что проверить | Надёжный сервис | Тревожный признак |
|---|---|---|
| Откуда QR-код | В личном кабинете, куда вы зашли сами | Прислали в чате, письме, рекламе |
| Для чего | Прямо: «подключите номер» | «Подтвердите», «проголосуйте», «получите» |
| Коды входа | Их никогда не просят переслать | «Пришлите код из Telegram» |
| Отключение | Номер удаляется из сервиса и завершается в «Устройствах» | Непонятно |
| Хранение | Ключи сессий зашифрованы | Ничего не сказано |
| Доступ команды | Роли, права по каждому номеру, журнал действий | Все видят всё |
| Вход в сам сервис | Есть двухфакторная авторизация | Только пароль |
И базовое: в адресной строке тот домен, который вы собирались открыть, и соединение по HTTPS.
Подключение номера по QR в Telegramte
- Войдите в Telegramte, откройте Номера → Подключить номер и вкладку QR-код. При желании выберите прокси.
- На телефоне откройте Telegram: Настройки → Устройства → Подключить устройство.
- Отсканируйте код в панели — по истечении срока он обновляется сам.
- Если на аккаунте есть облачный пароль, панель попросит его ввести.
- Номер появится в списке, чаты начнут синхронизироваться. Сеанс виден в «Устройствах» на телефоне, и завершить его можно в любой момент.
Ключи сессий хранятся зашифрованными (AES-256-GCM), а сотрудники работают с номером через выданные вами права, без кодов и паролей. Не хотите QR — подключите по номеру и коду или импортируйте собственный файл сессии.
По теме: Двухэтапная аутентификация Telegram для команды · Как управлять несколькими аккаунтами Telegram в команде