Les arnaques Telegram qui utilisent le nom de votre équipe : le guide de l'entreprise usurpée

La semaine dernière, l'un de vos clients a posé une question dans votre groupe Telegram, et quelqu'un lui a répondu avant votre équipe. Pas dans le groupe. En message privé, depuis un compte portant le nom de votre responsable support, votre logo en photo, et un lien pour « vérifier le wallet » ou « débloquer le paiement en attente ».

Tous les guides sur les arnaques Telegram sont écrits pour la personne qui a reçu ce message. Celui-ci est écrit pour vous, l'entreprise dont le nom a été utilisé. Votre client a perdu de l'argent, ou a failli en perdre, et il se souviendra du nom qui figurait sur le compte.

Commencez par un chiffre. Telegram ne permet à un admin de masquer la liste des membres d'un supergroupe qu'à partir de 100 membres, la valeur par défaut fixée dans la configuration de l'API Telegram pour masquer les participants. En dessous, toute personne qui rejoint le groupe peut faire défiler la liste complète de vos membres. Au-dessus, elle voit toujours chaque personne qui publie un message, et c'est exactement celle que le faux admin cherche : celle qui vient d'avouer qu'elle a un problème.

Les formulations changent tous les quelques mois. Les mécanismes, presque pas. Chacun repose sur le fait que le client ne sait pas quel compte est vraiment le vôtre.

C'est le schéma qui s'appuie le plus directement sur votre propre groupe. Un escroc reste dans votre groupe, guette quiconque parle d'une transaction échouée, d'un compte bloqué ou d'un remboursement, et lui écrit en privé dans les minutes qui suivent. Le nom d'affichage copie celui d'un membre de votre équipe. La photo est reprise de son profil. La première phrase ressemble à votre support, parce que les réponses de votre support sont dans le groupe, lisibles par tous.

Le client est conditionné. Il a demandé de l'aide, et l'aide est arrivée. L'arnaque fonctionne parce que votre vrai support est plus lent que le faux. C'est inconfortable, et c'est aussi la partie que vous maîtrisez.

Les noms d'utilisateur Telegram sont uniques. Les noms d'affichage, non. N'importe qui peut s'appeler « Acme Support » et mettre votre logo. Ce qu'il ne peut pas faire, c'est prendre votre @nom d'utilisateur exact. Alors l'escroc enregistre ce qui s'en rapproche le plus : un tiret bas en plus, un zéro à la place d'un O, « official » ajouté à la fin.

La plupart des clients ne regardent jamais le nom d'utilisateur. Ils regardent le nom et la photo en haut du chat, soit précisément les deux éléments que l'escroc a copiés.

Un bot avec votre marque dans son nom, ou un lien vers une page qui demande un code de connexion Telegram, fonctionne sur les clients à qui l'on a dit qu'une démarche nécessite une « vérification ». La FAQ de Telegram précise que ses codes de connexion n'arrivent que dans le chat vérifié « Verification Codes » et ne doivent jamais être partagés avec qui que ce soit, y compris d'autres applications. Sa section sur les bots est tout aussi claire : ne donnez à un bot ni vos mots de passe, ni vos codes Telegram, ni vos coordonnées bancaires, aussi poliment qu'il les demande.

Si votre produit demande un jour à un client de vérifier quoi que ce soit dans Telegram, un escroc copiera cette étape. Supprimez-la si vous le pouvez. Sinon, décrivez publiquement et précisément à quoi elle ressemble, pour qu'une copie se remarque.

Elles apparaissent après la première vague. Un client qui a perdu de l'argent en parle publiquement, et les réponses se remplissent de comptes qui proposent de récupérer les fonds contre rémunération. Si vous publiez un avertissement sur un usurpateur, attendez-vous aux mêmes réponses en dessous. Rédigez l'avertissement de façon à leur répondre d'avance : personne de votre équipe, et personne d'autre, ne peut récupérer l'argent contre paiement.

Telegram vous donne plus que ce que l'on croit, et moins que ce que vous voudriez. Voici ce qui existe, vérifié sur les pages de Telegram le 2026-10-14.

La FAQ de Telegram indique que chaque application dispose de boutons de signalement qui envoient le contenu aux modérateurs. Sa réponse à « que faire si quelqu'un se fait passer pour moi » tient en une ligne : contactez @NoToScam. Ce compte apparaît sous le nom « Report Impersonation ». Ouvrez-le depuis le lien de la FAQ de Telegram plutôt que via la recherche, car les usurpateurs copient aussi les comptes de signalement.

Pour une entreprise, c'est la personne usurpée qui doit déposer le signalement auprès de @NoToScam : le membre de votre équipe concerné, ou un admin de votre chaîne officielle quand c'est la marque elle-même qui est copiée. Indiquez le @nom d'utilisateur exact de l'escroc et une capture d'écran du DM reçu par votre client. Demandez ensuite à votre client de signaler le compte de son côté aussi, car le signalement de la personne qui a reçu le message est celui qui est lié au chat.

La FAQ sur le spam ajoute que les admins de groupe peuvent signaler les utilisateurs qui publient du spam dans leurs groupes. Faites-le pour le compte de l'escroc s'il est encore membre, puis retirez-le.

L'API de Telegram définit deux indicateurs sur un compte : scam, décrit comme « This may be a scam user » (il peut s'agir d'un escroc), et fake, attribué quand un compte a été signalé par de nombreux utilisateurs comme faux ou frauduleux (objet user). Les applications les affichent comme une étiquette d'avertissement à côté du nom. Vous ne pouvez pas en appliquer une vous-même. Les signalements sont la matière première, l'étiquette est la décision de Telegram.

La politique de vérification de Telegram vérifie les chaînes, les bots et les groupes publics qui remplissent des critères de notoriété, comme des profils vérifiés sur au moins deux grandes plateformes sociales et une couverture médiatique. Elle précise aussi clairement que Telegram ne vérifie pas les comptes utilisateurs pour le moment.

C'est plus important qu'il n'y paraît. Votre équipe support répond depuis un compte personnel. Ce compte n'aura jamais de badge bleu, donc le client n'a rien sur le compte lui-même pour distinguer votre vrai support d'une copie.

La vérification tierce comble une partie de l'écart. La même politique permet à une organisation dont le bot officiel est déjà vérifié de postuler via @VerifyBot pour devenir vérificateur, puis de marquer des comptes et des chats avec sa propre icône, comme le décrit la documentation développeur. Pour une grande marque éligible, cela peut signifier une icône sur chaque compte de l'équipe. Pour la plupart des entreprises qui font du support sur Telegram, la barre est trop haute cette année.

Trois réglages rendent vos clients plus difficiles à trouver pour un escroc. Aucun n'empêche un escroc de lire le groupe.

• Masquer les membres. Disponible dès qu'un supergroupe compte au moins 100 membres. La liste disparaît pour les membres, mais toute personne qui publie reste visible, donc celle qui demande de l'aide reste exposée.
• Demandes d'adhésion. Les nouveaux membres attendent la validation d'un admin (documentation sur les invitations). Cela ralentit les comptes qui rejoignent uniquement pour collecter des données. Cela ne vous dit pas qui est un escroc.
• Anti-spam agressif. La FAQ le recommande pour les grands groupes. La configuration de Telegram fixe le minimum par défaut à 200 membres. Il supprime le spam publié dans le groupe, mais il ne voit pas les DM.

Telegram permet aussi à une personne d'empêcher des inconnus de lancer un chat avec elle. L'API documente une option de confidentialité qui limite les nouveaux chats aux contacts, aux utilisateurs Premium et aux personnes qui ont déjà un chat ouvert avec elle (réglages globaux de confidentialité), et la FAQ mentionne que certains utilisateurs facturent des Stars pour les messages de non-contacts. Ce sont des réglages de votre client, pas les vôtres, et un compte Premium passe quand même.

Demandez-vous ce dont un usurpateur convaincant a réellement besoin. Une liste de vos clients. Les noms et le ton de votre équipe support. Et, idéalement, qui a un problème en cours en ce moment, parce que cette personne attend un DM.

Une personne extérieure obtient le premier élément grâce à votre liste de membres et le troisième grâce aux messages publics de votre groupe. Quelqu'un qui a travaillé dans votre boîte de réception support a les trois, plus les formulations exactes de votre équipe et le détail du dossier de chaque client. À notre avis, c'est l'usurpateur qui doit vous inquiéter le plus. Un prestataire qui part avec une liste de noms d'utilisateur et de problèmes en cours n'a pas besoin de deviner à qui écrire.

C'est le risque des données internes d'un CRM, vu de l'extérieur. Il n'apparaît pas comme une fuite. Il apparaît des semaines plus tard, quand vos clients reçoivent des DM très précis de quelqu'un qui n'est pas vous.

La limite : la plupart des usurpations que vous verrez sont le fait de personnes extérieures qui lisent un groupe public, et aucun contrôle interne n'y change rien. Les contrôles internes ferment une voie, la plus dangereuse. Le guide public ci-dessous doit encore faire le reste.

Rien de tout cela ne demande un outil. Tout cela demande d'être écrit une fois et répété partout où vos clients regardent.

Choisissez un seul @nom d'utilisateur pour le support. Mettez-le sur la page contact de votre site, dans la description de votre chaîne officielle, dans le message épinglé de votre groupe et dans vos signatures e-mail. Utilisez exactement la même chaîne partout, pour qu'une copie détonne à côté.

Telegram le fait pour lui-même. Sa FAQ nomme ses canaux de support officiels, précise qu'il n'a pas d'autres comptes de support sur les réseaux sociaux, et que quiconque prétend le contraire n'est pas Telegram. Dites la même chose de votre entreprise.

Formulez la règle comme quelque chose que le client peut vérifier : « Notre équipe ne vous écrira jamais en premier. Le support répond uniquement depuis @acme_support, après que vous lui avez écrit. » Épinglez-la dans le groupe avec le reste de vos règles de groupe. Mettez-la dans le message de bienvenue du groupe, que Telegram a lancé le 2026-08-25 et que seul le nouveau membre voit, pour qu'elle touche les gens au moment où ils risquent le plus d'être ciblés.

Ensuite, respectez la règle. Si un seul commercial écrit en premier à un client, la règle ne vaut plus rien, car le client sait désormais qu'il existe des exceptions.

Si cinq membres de l'équipe répondent chacun aux clients depuis leur propre compte Telegram, vos clients doivent apprendre cinq identités. Un escroc n'a besoin d'en copier qu'une. Si toute l'équipe répond depuis un seul compte de support partagé, il n'y a qu'une identité à apprendre, et tout autre compte utilisant votre nom est faux par définition.

C'est aussi là que la plupart des équipes bloquent, car un compte Telegram sur un téléphone ne fonctionne pas pour cinq personnes qui se relaient. Entergram est conçu pour ce cas : une équipe peut partager un compte Telegram dans un même espace de travail, et tout le monde y répond depuis une interface unique, si bien que le client parle toujours au même @nom d'utilisateur pendant que le travail est réparti dans l'équipe. Entergram fonctionne sur de vrais comptes Telegram personnels, pas sur des bots, donc le compte que voient vos clients est un compte Telegram ordinaire avec votre nom d'utilisateur de support. Notre page logiciel de support Telegram explique le fonctionnement de la boîte de réception partagée et des tickets. Entergram ne détecte pas les arnaques, ne signale pas les comptes imités et ne déclare pas les usurpateurs à Telegram. Il supprime la raison pour laquelle vos clients doivent deviner lequel de vos comptes est le vrai.

Les contrôles de confidentialité d'Entergram sont tournés vers l'intérieur. Vous pouvez masquer les noms d'utilisateur et les informations sur les membres des groupes aux utilisateurs de votre espace de travail, et les empêcher de modifier ou de supprimer des messages. Les deux premiers font qu'un membre de l'équipe ou un prestataire qui traite votre file de support ne repart pas avec la liste de vos clients. Les deux derniers font que l'historique de ce que votre compte de support a réellement dit reste intact, ce qui compte quand un client transfère une capture d'écran et demande si elle vient de vous. Pour une copie de cet historique conservée hors de Telegram, consultez la sauvegarde des chats Telegram pour les entreprises.

La limite : ces contrôles s'appliquent à ce que votre équipe voit dans Entergram. Ils ne changent pas ce que Telegram montre aux autres utilisateurs de Telegram, et ils ne masquent pas la liste des membres de votre groupe à un escroc qui l'a rejoint. Pour cela, il y a le réglage Masquer les membres de Telegram, vu plus haut.

Quand un client vous dit qu'il a été contacté par un faux compte :

1. Demandez le @nom d'utilisateur exact et une capture d'écran. Le nom d'affichage ne sert à rien comme preuve.
2. Signalez le compte dans l'application, demandez au client de le signaler aussi, et déposez un signalement auprès de @NoToScam depuis le compte de l'équipe ou la chaîne copiés.
3. Retirez le compte de votre groupe s'il en est membre, et signalez-le comme spam dans le groupe.
4. Publiez un court avertissement dans le groupe qui nomme le faux @nom d'utilisateur et rappelle votre unique identité de support réelle.
5. Dans le même post, précisez que personne ne peut récupérer des fonds perdus contre paiement.

Si l'usurpation passe par la prise de contrôle d'un vrai compte de l'équipe plutôt que par une copie, c'est un autre incident. Suivez d'abord comment protéger un compte Telegram, en fermant les sessions inconnues et en activant la vérification en deux étapes. Et si votre propre compte de support est restreint après des signalements en masse, les étapes se trouvent dans que faire quand un compte Telegram est gelé.

Tout ce qui précède rend un usurpateur moins convaincant. La modération réduit le temps qu'il passe dans votre groupe. Une équipe qui retire les comptes frauduleux en quelques minutes, et qui étiquette les récidivistes pour que chaque modérateur les reconnaisse, laisse au faux admin moins de temps pour trouver une cible. Notre guide de modération de communauté couvre les rotations, les étiquettes et l'escalade pour les grands groupes, et notre guide sur le support client depuis un compte Telegram personnel explique pourquoi les clients attendent une personne plutôt qu'un bot.

Signalez le compte depuis Telegram avec l'option de signalement, et envoyez les détails à @NoToScam, que la FAQ de Telegram désigne pour l'usurpation d'identité. Indiquez le @nom d'utilisateur exact et joignez une capture d'écran. Demandez au client qui a reçu le message de le signaler aussi.

Utilisez l'option de signalement de l'application sur le message ou sur le compte. Si l'escroc est membre d'un groupe que vous gérez, signalez-le comme spam depuis le groupe et retirez-le. Si votre marque ou un membre de votre équipe est usurpé, @NoToScam est la voie indiquée par Telegram.

Pas sur un compte personnel. La politique de vérification de Telegram couvre les chaînes, les bots et les groupes publics qui remplissent ses critères, et précise qu'elle ne vérifie pas les comptes utilisateurs pour le moment. Une organisation vérifiée par Telegram peut devenir vérificateur tiers et marquer les comptes de son équipe, mais cela nécessite d'abord un bot vérifié.

Telegram l'applique aux comptes qu'il considère comme probablement frauduleux, ou que de nombreux utilisateurs ont signalés comme faux ou frauduleux. Vous ne pouvez pas l'ajouter vous-même à un usurpateur. Le signalement est la façon dont vous alimentez la décision.

Vous ne pouvez pas l'empêcher totalement. Vous pouvez le rendre moins efficace : masquez la liste des membres dès 100 membres, exigez des demandes d'adhésion, activez l'anti-spam agressif dans les grands groupes, épinglez une règle « nous n'écrivons jamais en premier » et mettez cette règle dans le message de bienvenue du groupe. Les auteurs de messages restent visibles quoi qu'il arrive, donc la règle publique compte plus que n'importe quel réglage.

Non. Entergram ne recherche pas les arnaques et ne signale pas les comptes imités. Il permet à une équipe de répondre depuis un seul compte de support partagé pour que les clients n'aient qu'une identité à connaître, et il peut masquer les noms d'utilisateur et les informations sur les membres des groupes à votre propre équipe.

Comptez combien de comptes Telegram vos clients ont appris à croire. Si la réponse honnête est « celui de la personne de l'équipe qui a répondu », un escroc a la tâche facile. Choisissez cette semaine le seul @nom d'utilisateur qui sera votre identité de support, mettez-le dans votre message épinglé et dans votre message de bienvenue, puis demandez-vous si votre équipe peut réellement répondre depuis ce seul compte avec l'organisation que vous avez aujourd'hui.