کلاهبرداری‌های تلگرامی با نام تیم شما: راهنمای عملی برای کسب‌وکاری که جعل هویت شده است

هفته گذشته یکی از مشتریانتان در گروه تلگرامی شما سؤالی پرسید و کسی زودتر از تیم شما جوابش را داد. نه در گروه. در پیام خصوصی، از حسابی با نام مسئول پشتیبانی شما، لوگوی شما به‌عنوان عکس پروفایل و لینکی برای «تأیید کیف پول» یا «رفع پرداخت گیرکرده».

همه راهنماهای کلاهبرداری تلگرامی برای کسی نوشته شده‌اند که آن پیام خصوصی را دریافت کرده است. این یکی برای شما نوشته شده، کسب‌وکاری که از نامش استفاده شده است. مشتری شما پول از دست داده یا نزدیک بوده از دست بدهد و یادش می‌ماند که نام چه کسی روی آن حساب بود.

با یک عدد شروع کنید. تلگرام فقط وقتی به ادمین اجازه می‌دهد فهرست اعضای یک سوپرگروه را پنهان کند که گروه دست‌کم ۱۰۰ عضو داشته باشد. این مقدار پیش‌فرضی است که در پیکربندی API تلگرام برای پنهان کردن اعضا تعیین شده است. زیر این عدد، هر کسی که عضو شود می‌تواند کل فهرست اعضای شما را ببیند. بالای آن هم همچنان می‌تواند هر کسی را که پیام می‌فرستد ببیند، و این دقیقاً همان کسی است که ادمین جعلی دنبالش است: کسی که همین الان اعتراف کرده مشکلی دارد.

الگوها هر چند ماه یک بار متنشان را عوض می‌کنند. سازوکارشان تقریباً تغییری نمی‌کند. همه‌شان به این تکیه دارند که مشتری نمی‌داند کدام حساب واقعاً مال شماست.

این الگویی است که مستقیم‌تر از همه روی گروه خود شما ساخته شده است. کلاهبردار در گروهتان می‌نشیند، منتظر کسی می‌ماند که درباره تراکنش ناموفق، حساب قفل‌شده یا بازپرداخت پست بگذارد و ظرف چند دقیقه در خصوصی به او پیام می‌دهد. نام نمایشی از یکی از اعضای تیم شما کپی شده است. عکس از پروفایل او برداشته شده. جمله اول شبیه پشتیبانی شماست، چون پاسخ‌های پشتیبانی شما در گروه است و هر کسی می‌تواند بخواندشان.

مشتری آماده است. کمک خواسته و کمک رسیده است. کلاهبرداری جواب می‌دهد چون پشتیبانی واقعی شما کندتر از پشتیبانی جعلی است. این ناخوشایند است و در عین حال همان بخشی است که کنترلش دست شماست.

نام‌های کاربری تلگرام یکتا هستند. نام‌های نمایشی نه. هر کسی می‌تواند نامش را «Acme Support» بگذارد و لوگوی شما را بارگذاری کند. کاری که نمی‌تواند بکند این است که دقیقاً @username شما را بگیرد. پس کلاهبردار نزدیک‌ترین گزینه را ثبت می‌کند: یک زیرخط اضافه، صفر به‌جای O، یا «official» در انتها.

بیشتر مشتریان هرگز به نام کاربری نگاه نمی‌کنند. به نام و عکس بالای چت نگاه می‌کنند، که دقیقاً همان دو چیزی است که کلاهبردار کپی کرده است.

رباتی که نام برند شما را دارد، یا لینکی به صفحه‌ای که کد ورود تلگرام می‌خواهد، روی مشتریانی جواب می‌دهد که به آن‌ها گفته شده فرایندی نیاز به «تأیید» دارد. صفحه پرسش‌های متداول خود تلگرام می‌گوید کدهای ورودش فقط در چت تأییدشده «Verification Codes» می‌رسند و هرگز نباید با کسی، حتی اپ‌های دیگر، به اشتراک گذاشته شوند. بخش ربات‌های آن هم به همین صراحت است: رمز عبور، کدهای تلگرام یا اطلاعات بانکی‌تان را به ربات ندهید، هر چقدر هم مؤدبانه بخواهد.

اگر محصول شما در جایی از مشتری می‌خواهد چیزی را داخل تلگرام تأیید کند، کلاهبردار همان مرحله را کپی می‌کند. اگر می‌توانید حذفش کنید. اگر نمی‌توانید، دقیقاً به‌طور عمومی توضیح دهید که چه شکلی است، تا نسخه کپی به چشم بیاید.

این‌ها بعد از موج اول پیدا می‌شوند. مشتری‌ای که پول از دست داده درباره‌اش پست می‌گذارد و پاسخ‌ها پر می‌شود از حساب‌هایی که پیشنهاد می‌دهند در ازای کارمزد پول را برگردانند. اگر درباره یک جاعل هویت هشدار منتشر کنید، انتظار همین پاسخ‌ها را زیر آن داشته باشید. هشدار را طوری بنویسید که از قبل جوابشان را داده باشد: هیچ‌کس از تیم شما و هیچ‌کس دیگری نمی‌تواند در ازای کارمزد پول را برگرداند.

تلگرام بیشتر از آنچه مردم فکر می‌کنند در اختیارتان می‌گذارد، و کمتر از آنچه دلتان می‌خواهد. این فهرست چیزهایی است که وجود دارند، بررسی‌شده با صفحه‌های خود تلگرام در تاریخ ۱۴ اکتبر ۲۰۲۶.

صفحه پرسش‌های متداول تلگرام می‌گوید همه اپ‌ها دکمه‌های Report دارند که محتوا را برای ناظران می‌فرستند. پاسخش به سؤال «اگر کسی خودش را جای من جا بزند چه؟» یک خط است: با @NoToScam تماس بگیرید. این حساب با عنوان «Report Impersonation» نمایش داده می‌شود. آن را از لینک داخل صفحه پرسش‌های متداول تلگرام باز کنید، نه از جستجو، چون جاعلان هویت حساب‌های گزارش‌دهی را هم کپی می‌کنند.

برای یک کسب‌وکار، کسی که باید گزارش @NoToScam را ثبت کند همان کسی است که هویتش جعل شده: کارمند شما، یا یکی از ادمین‌های کانال رسمی‌تان وقتی خود برند کپی شده است. @username دقیق کلاهبردار و اسکرین‌شاتی از پیام خصوصی‌ای را که مشتری‌تان دریافت کرده ضمیمه کنید. بعد به مشتری‌تان بگویید از طرف خودش هم حساب را گزارش کند، چون گزارش کسی که پیام را دریافت کرده همان گزارشی است که به چت گره خورده است.

صفحه پرسش‌های متداول اسپم اضافه می‌کند که ادمین‌های گروه می‌توانند کاربرانی را که در گروهشان اسپم می‌فرستند گزارش کنند. اگر حساب کلاهبردار هنوز عضو است، همین کار را بکنید و بعد حذفش کنید.

API تلگرام دو پرچم روی حساب تعریف می‌کند: scam با توضیح «This may be a scam user» (این ممکن است کاربر کلاهبردار باشد)، و fake که وقتی تنظیم می‌شود که حسابی توسط کاربران زیادی به‌عنوان جعلی یا کلاهبردار گزارش شده باشد (شیء user). اپ‌ها این‌ها را به شکل برچسب هشدار کنار نام نشان می‌دهند. خودتان نمی‌توانید چنین برچسبی بزنید. گزارش‌ها ورودی هستند؛ برچسب تصمیم تلگرام است.

سیاست تأیید تلگرام کانال‌ها، ربات‌ها و گروه‌های عمومی‌ای را تأیید می‌کند که معیارهای شهرت را داشته باشند، مثل پروفایل تأییدشده در دست‌کم دو پلتفرم اجتماعی بزرگ و پوشش رسانه‌ای. همچنین به‌صراحت می‌گوید تلگرام فعلاً حساب‌های کاربری را تأیید نمی‌کند.

این مسئله مهم‌تر از آن است که به نظر می‌رسد. تیم پشتیبانی شما از یک حساب شخصی جواب می‌دهد. آن حساب هرگز تیک آبی نمی‌گیرد، پس مشتری روی خود حساب هیچ نشانه‌ای ندارد که پشتیبانی واقعی شما را از نسخه کپی تشخیص دهد.

تأیید شخص ثالث بخشی از این فاصله را پر می‌کند. همان سیاست به سازمانی که ربات رسمی‌اش از قبل تأیید شده اجازه می‌دهد از طریق @VerifyBot درخواست دهد تا تأییدکننده شود، و بعد حساب‌ها و چت‌ها را با آیکون خودش علامت بزند، همان‌طور که در مستندات توسعه‌دهندگان توضیح داده شده است. برای یک برند بزرگ که واجد شرایط است، این می‌تواند یعنی یک آیکون روی حساب هر کارمند. برای بیشتر کسب‌وکارهایی که پشتیبانی تلگرامی دارند، امسال این سطح بیش از حد بالاست.

سه تنظیم پیدا کردن مشتریان شما را برای کلاهبردار سخت‌تر می‌کنند. هیچ‌کدام جلوی خواندن گروه توسط کلاهبردار را نمی‌گیرد.

• Hide members (پنهان کردن اعضا). وقتی سوپرگروه دست‌کم ۱۰۰ عضو داشته باشد در دسترس است. فهرست برای اعضا ناپدید می‌شود، اما هر کسی که پست بگذارد همچنان دیده می‌شود، پس کسی که کمک می‌خواهد همچنان در معرض است.
• Join requests (درخواست عضویت). اعضای جدید را منتظر تأیید ادمین نگه دارید (مستندات دعوت). این کار حساب‌هایی را که فقط برای جمع کردن اطلاعات عضو می‌شوند کند می‌کند. به شما نمی‌گوید چه کسی کلاهبردار است.
• Aggressive Anti-Spam (ضداسپم سخت‌گیرانه). صفحه پرسش‌های متداول آن را برای گروه‌های بزرگ توصیه می‌کند. پیکربندی تلگرام حداقل پیش‌فرض را ۲۰۰ عضو تعیین کرده است. اسپمی را که در گروه منتشر می‌شود حذف می‌کند؛ پیام‌های خصوصی را نمی‌بیند.

تلگرام همچنین به افراد اجازه می‌دهد جلوی شروع چت توسط غریبه‌ها را بگیرند. API یک گزینه حریم خصوصی را مستند کرده که چت‌های جدید را به مخاطبان، کاربران Premium و کسانی که از قبل با آن‌ها چت باز دارند محدود می‌کند (تنظیمات سراسری حریم خصوصی)، و صفحه پرسش‌های متداول اشاره می‌کند که برخی کاربران برای پیام‌های افرادی که در مخاطبانشان نیستند Stars می‌گیرند. هر دو تنظیمات مشتری شما هستند، نه شما، و یک حساب Premium همچنان می‌تواند پیام بدهد.

بپرسید یک جاعل هویت متقاعدکننده واقعاً به چه چیزی نیاز دارد. فهرستی از اینکه مشتریان شما چه کسانی هستند. نام و لحن کارکنان پشتیبانی‌تان. و در حالت ایدئال، اینکه چه کسی همین حالا مشکل حل‌نشده‌ای دارد، چون آن آدم منتظر یک پیام خصوصی است.

یک فرد بیرونی اولی را از فهرست اعضای شما و سومی را از پیام‌های عمومی گروهتان به دست می‌آورد. کسی که داخل صندوق ورودی پشتیبانی شما کار کرده، هر سه را دارد، به‌علاوه جمله‌بندی دقیقی که تیمتان به کار می‌برد و جزئیات پرونده هر مشتری. به نظر ما، این همان جاعل هویتی است که باید بیش از همه نگرانش بود. پیمانکاری که با فهرستی از نام‌های کاربری و مشکلات باز می‌رود، لازم نیست حدس بزند به چه کسی پیام بدهد.

این همان ریسک داده‌های داخلی یک CRM است، از بیرون دیده‌شده. به شکل نشت اطلاعات ظاهر نمی‌شود. چند هفته بعد ظاهر می‌شود، به شکل پیام‌های خصوصی بسیار دقیقی که مشتریانتان از کسی دریافت می‌کنند که شما نیستید.

مرز: بیشتر جعل هویتی که خواهید دید کار افراد بیرونی است که یک گروه عمومی را می‌خوانند، و هیچ کنترل داخلی به آن دست نمی‌زند. کنترل‌های داخلی یک مسیر را می‌بندند، خطرناک‌ترینش را. راهنمای عملی عمومی پایین همچنان باید بقیه کار را انجام دهد.

هیچ‌کدام از این‌ها به ابزار نیاز ندارد. همه‌اش باید یک بار نوشته شود و در هر جایی که مشتریانتان نگاه می‌کنند تکرار شود.

یک @username برای پشتیبانی انتخاب کنید. آن را در صفحه تماس وب‌سایتتان، در توضیحات کانال رسمی‌تان، در پیام سنجاق‌شده گروهتان و در امضای ایمیل‌هایتان بگذارید. در همه جا دقیقاً همان رشته را استفاده کنید، تا یک نسخه کپی کنارش اشتباه به نظر برسد.

تلگرام همین کار را برای خودش انجام می‌دهد. صفحه پرسش‌های متداولش مسیرهای رسمی پشتیبانی‌اش را نام می‌برد و می‌گوید هیچ حساب پشتیبانی دیگری در پلتفرم‌های اجتماعی ندارد و هر کس خلافش را ادعا کند تلگرام نیست. درباره کسب‌وکار خودتان همین را بگویید.

قانون را طوری بنویسید که مشتری بتواند بررسی‌اش کند: «تیم ما هرگز اول به شما پیام نمی‌دهد. پشتیبانی فقط از @acme_support جواب می‌دهد، آن هم بعد از اینکه شما به آن پیام دادید.» آن را همراه با بقیه قوانین گروه در گروه سنجاق کنید. آن را در پیام خوش‌آمدگویی گروه بگذارید، قابلیتی که تلگرام در ۲۵ اوت ۲۰۲۶ عرضه کرد و فقط عضو جدید آن را می‌بیند، تا درست در لحظه‌ای که بیشترین احتمال هدف قرار گرفتن را دارند به دستشان برسد.

بعد به قانون پایبند بمانید. اگر یک فروشنده اول به مشتری پیام بدهد، قانون بی‌ارزش می‌شود، چون مشتری حالا می‌داند استثنا وجود دارد.

اگر پنج کارمند هر کدام از حساب تلگرام خودشان به مشتریان جواب بدهند، مشتریانتان باید پنج هویت را یاد بگیرند. کلاهبردار فقط باید یکی از آن‌ها را کپی کند. اگر کل تیم از یک حساب پشتیبانی مشترک جواب بدهد، دقیقاً یک هویت برای یاد گرفتن وجود دارد و هر حساب دیگری که از نام شما استفاده کند، طبق تعریف اشتباه است.

بیشتر تیم‌ها همین‌جا گیر می‌کنند، چون یک حساب تلگرام روی یک گوشی برای پنج نفر در یک شیفت کار نمی‌کند. Entergram برای همین وضعیت ساخته شده است: یک تیم می‌تواند یک حساب تلگرام را داخل یک فضای کاری به اشتراک بگذارد و همه از یک رابط واحد به آن جواب بدهند، پس مشتری همیشه با همان @username حرف می‌زند در حالی که کار میان اعضای تیم تقسیم شده است. Entergram روی حساب‌های واقعی و شخصی تلگرام کار می‌کند، نه ربات‌ها، پس حسابی که مشتریانتان می‌بینند یک حساب معمولی تلگرام با نام کاربری پشتیبانی شماست. صفحه نرم‌افزار پشتیبانی تلگرام توضیح می‌دهد صندوق ورودی مشترک و تیکت‌ها چطور کار می‌کنند. Entergram کلاهبرداری را تشخیص نمی‌دهد، حساب‌های مشابه را علامت نمی‌زند و جاعلان هویت را به تلگرام گزارش نمی‌کند. دلیلی را که مشتریان مجبور بودند حدس بزنند کدام حساب شما واقعی است از بین می‌برد.

کنترل‌های حریم خصوصی Entergram رو به داخل هستند. می‌توانید نام‌های کاربری و اطلاعات اعضای گروه را از کاربران فضای کاری‌تان پنهان کنید و جلوی ویرایش یا حذف پیام‌ها توسط آن‌ها را بگیرید. دو مورد اول یعنی کارمند یا پیمانکاری که روی صف پشتیبانی شما کار می‌کند، با فهرستی از اینکه مشتریان شما چه کسانی هستند نمی‌رود. دو مورد آخر یعنی تاریخچه آنچه حساب پشتیبانی شما واقعاً گفته دست‌نخورده می‌ماند، که وقتی مشتری اسکرین‌شاتی فوروارد می‌کند و می‌پرسد آیا از طرف شما بوده، اهمیت دارد. برای نسخه‌ای از آن تاریخچه که بیرون از تلگرام نگهداری شود، پشتیبان‌گیری از چت تلگرام برای کسب‌وکار را ببینید.

محدودیت: این کنترل‌ها روی چیزی اعمال می‌شوند که تیم شما داخل Entergram می‌بیند. چیزی را که تلگرام به سایر کاربران تلگرام نشان می‌دهد تغییر نمی‌دهند و فهرست اعضای گروهتان را از کلاهبرداری که عضو گروه شده پنهان نمی‌کنند. آن کار تنظیم Hide Members خود تلگرام است که بالاتر توضیح دادیم.

وقتی مشتری به شما می‌گوید یک حساب جعلی با او تماس گرفته:

1. @username دقیق و یک اسکرین‌شات بخواهید. نام نمایشی به‌عنوان مدرک بی‌فایده است.
2. حساب را داخل اپ گزارش کنید، از مشتری بخواهید او هم گزارشش کند و از طرف حساب کارمند یا کانالی که کپی شده، آن را به @NoToScam گزارش دهید.
3. اگر حساب عضو گروه شماست، حذفش کنید و همان‌جا به‌عنوان اسپم گزارشش دهید.
4. یک هشدار کوتاه در گروه منتشر کنید که @username جعلی را نام می‌برد و تنها هویت واقعی پشتیبانی شما را تکرار می‌کند.
5. در همان پست بگویید هیچ‌کس نمی‌تواند پول از دست رفته را در ازای کارمزد برگرداند.

اگر جعل هویت به جای کپی کردن یک حساب واقعی کارمند، شامل تصاحب آن باشد، با یک رخداد متفاوت روبه‌رو هستید. اول راهنمای محافظت از حساب تلگرام را دنبال کنید، نشست‌های ناشناس را ببندید و تأیید دومرحله‌ای را روشن کنید. و اگر حساب پشتیبانی خودتان بعد از گزارش‌های گسترده محدود شد، مراحلش در وقتی حساب تلگرام فریز می‌شود چه باید کرد آمده است.

همه آنچه گفتیم از متقاعدکننده بودن یک جاعل هویت کم می‌کند. مدیریت گروه مدت زمانی را که او در گروهتان می‌ماند کم می‌کند. تیمی که حساب‌های کلاهبردار را ظرف چند دقیقه حذف می‌کند و متخلفان تکراری را برچسب می‌زند تا هر ناظری آن‌ها را بشناسد، به ادمین جعلی زمان کمتری برای پیدا کردن هدف می‌دهد. راهنمای عملی مدیریت جامعه ما شیفت‌ها، برچسب‌ها و ارجاع مسائل را برای گروه‌های بزرگ‌تر پوشش می‌دهد، و راهنمای ما درباره پشتیبانی مشتری از حساب شخصی تلگرام توضیح می‌دهد چرا مشتریان انتظار یک آدم را دارند و نه یک ربات.

حساب را از داخل تلگرام با گزینه Report گزارش کنید و جزئیات را برای @NoToScam بفرستید، که صفحه پرسش‌های متداول تلگرام آن را برای جعل هویت معرفی کرده است. @username دقیق و یک اسکرین‌شات ضمیمه کنید. از مشتری‌ای که پیام را دریافت کرده بخواهید او هم گزارشش کند.

از گزینه Report داخل اپ روی پیام یا حساب استفاده کنید. اگر کلاهبردار عضو گروهی است که شما اداره می‌کنید، از داخل گروه به‌عنوان اسپم گزارشش کنید و حذفش کنید. اگر هویت برند شما یا یکی از کارکنانتان جعل شده، @NoToScam همان مسیری است که تلگرام به آن ارجاع می‌دهد.

روی حساب شخصی نه. سیاست تأیید تلگرام کانال‌ها، ربات‌ها و گروه‌های عمومی‌ای را پوشش می‌دهد که معیارهایش را داشته باشند و می‌گوید فعلاً حساب‌های کاربری را تأیید نمی‌کند. سازمانی که توسط تلگرام تأیید شده می‌تواند تأییدکننده شخص ثالث شود و حساب‌های کارکنان خودش را علامت بزند، اما این کار ابتدا به یک ربات تأییدشده نیاز دارد.

تلگرام آن را روی حساب‌هایی می‌گذارد که احتمال می‌دهد کلاهبردار باشند یا کاربران زیادی آن‌ها را جعلی یا کلاهبردار گزارش کرده‌اند. خودتان نمی‌توانید آن را روی یک جاعل هویت بگذارید. گزارش دادن راهی است که با آن به این تصمیم کمک می‌کنید.

نمی‌توانید کاملاً جلویش را بگیرید. می‌توانید اثرش را کمتر کنید: وقتی از ۱۰۰ عضو گذشتید فهرست اعضا را پنهان کنید، درخواست عضویت را الزامی کنید، در گروه‌های بزرگ Aggressive Anti-Spam را روشن کنید، قانون «ما هرگز اول پیام نمی‌دهیم» را سنجاق کنید و همین قانون را در پیام خوش‌آمدگویی گروه بگذارید. نویسندگان پیام‌ها در هر حال دیده می‌شوند، پس قانون عمومی از هر تنظیمی مهم‌تر است.

نه. Entergram دنبال کلاهبرداری نمی‌گردد و حساب‌های مشابه را علامت نمی‌زند. به یک تیم اجازه می‌دهد از یک حساب پشتیبانی مشترک جواب بدهد تا مشتریان فقط یک هویت را یاد بگیرند، و می‌تواند نام‌های کاربری و اطلاعات اعضای گروه را از کارکنان خودتان پنهان کند.

بشمارید به مشتریانتان گفته شده به چند حساب تلگرام اعتماد کنند. اگر جواب صادقانه این است که «هر کسی از تیم که جواب داد»، کار کلاهبردار راحت است. همین هفته آن یک @username را که قرار است هویت پشتیبانی شما باشد انتخاب کنید، آن را در پیام سنجاق‌شده و پیام خوش‌آمدگویی‌تان بگذارید و بعد تصمیم بگیرید که آیا تیمتان با امکاناتی که الان دارد، واقعاً می‌تواند از همان یک حساب جواب بدهد یا نه.