Truffe su Telegram che usano il nome del tuo team: guida pratica per l'azienda impersonata

La settimana scorsa un tuo cliente ha fatto una domanda nel tuo gruppo Telegram, e qualcuno ha risposto prima del tuo team. Non nel gruppo. In privato, da un account con il nome del tuo responsabile del supporto, il tuo logo come foto e un link per "verificare il wallet" o "sbloccare il pagamento in sospeso".

Tutte le guide sulle truffe su Telegram sono scritte per chi ha ricevuto quel messaggio. Questa è scritta per te, l'azienda il cui nome è stato usato. Il tuo cliente ha perso soldi, o ci è andato vicino, e si ricorderà di chi era il nome su quell'account.

Parti da un numero. Telegram permette a un admin di nascondere l'elenco membri di un supergruppo solo quando il gruppo ha almeno 100 membri, il valore predefinito nella configurazione dell'API di Telegram per nascondere i partecipanti. Sotto quella soglia, chiunque entri può scorrere l'elenco completo dei membri. Sopra, può comunque vedere chiunque scriva un messaggio, ed è proprio la persona che il falso admin cerca: quella che ha appena ammesso di avere un problema.

Gli schemi cambiano formulazione ogni pochi mesi. Il meccanismo cambia appena. Ognuno si basa sul fatto che il cliente non sa quale account è davvero il tuo.

È lo schema costruito più direttamente sul tuo gruppo. Un truffatore sta nel tuo gruppo, aspetta che qualcuno scriva di una transazione fallita, di un account bloccato o di un rimborso, e gli scrive in privato nel giro di pochi minuti. Il nome visualizzato copia quello di un membro del tuo team. La foto è presa dal suo profilo. La frase di apertura suona come il tuo supporto, perché le risposte del tuo supporto sono nel gruppo e chiunque può leggerle.

Il cliente è già pronto. Ha chiesto aiuto e l'aiuto è arrivato. La truffa funziona perché il tuo supporto vero è più lento di quello falso. È scomodo da ammettere, ed è anche la parte che controlli tu.

Gli username di Telegram sono unici. I nomi visualizzati no. Chiunque può chiamarsi "Acme Support" e caricare il tuo logo. Quello che non può fare è prendere il tuo @username esatto. Così il truffatore registra la cosa più simile: un trattino basso in più, uno zero al posto di una O, "official" aggiunto in fondo.

La maggior parte dei clienti non guarda mai l'username. Guarda il nome e la foto in cima alla chat, cioè proprio le due cose che il truffatore ha copiato.

Un bot con il tuo marchio nel nome, o un link a una pagina che chiede un codice di accesso di Telegram, funziona sui clienti a cui è stato detto che un certo processo richiede una "verifica". Le FAQ di Telegram dicono che i codici di accesso arrivano solo nella chat verificata "Verification Codes" e non vanno mai condivisi con nessuno, nemmeno con altre app. La sezione sui bot è altrettanto chiara: non dare a un bot le tue password, i codici di Telegram o i dati bancari, per quanto gentilmente te li chieda.

Se il tuo prodotto chiede mai a un cliente di verificare qualcosa dentro Telegram, un truffatore copierà quel passaggio. Eliminalo, se puoi. Se non puoi, descrivi pubblicamente com'è fatto esattamente, così una copia salta all'occhio.

Arrivano dopo la prima ondata. Un cliente che ha perso soldi ne parla in pubblico, e le risposte si riempiono di account che si offrono di recuperare i fondi a pagamento. Se pubblichi un avviso su un impostore, aspettati le stesse risposte sotto. Scrivi l'avviso in modo che risponda già a loro: nessuno del tuo team, e nessun altro, può recuperare i soldi a pagamento.

Telegram ti dà più di quanto si pensi, e meno di quanto vorresti. Ecco cosa esiste, verificato sulle pagine di Telegram il 2026-10-14.

Le FAQ di Telegram dicono che ogni app ha pulsanti Report che inviano i contenuti ai moderatori. La risposta a "cosa faccio se qualcuno si spaccia per me" è una riga sola: contatta @NoToScam. Quell'account compare come "Report Impersonation". Aprilo dal link nelle FAQ di Telegram e non dalla ricerca, perché gli impostori copiano anche gli account di segnalazione.

Per un'azienda, la segnalazione a @NoToScam va fatta da chi viene impersonato: il membro del tuo staff, oppure un admin del tuo canale ufficiale quando è il marchio stesso a essere copiato. Includi l'@username esatto del truffatore e uno screenshot del DM ricevuto dal cliente. Poi chiedi al cliente di segnalare l'account anche dalla sua parte, perché la segnalazione di chi ha ricevuto il messaggio è quella legata alla chat.

Le FAQ sullo spam aggiungono che gli admin di un gruppo possono segnalare gli utenti che pubblicano spam nei loro gruppi. Fallo con l'account del truffatore se è ancora membro, poi rimuovilo.

L'API di Telegram definisce due flag su un account: scam, descritto come "This may be a scam user", e fake, applicato quando un account è stato segnalato da molti utenti come falso o truffa (oggetto user). Le app li mostrano come etichetta di avviso accanto al nome. Non puoi applicarne una tu. Le segnalazioni sono l'input; l'etichetta è una decisione di Telegram.

La politica di verifica di Telegram verifica canali, bot e gruppi pubblici che soddisfano criteri di notorietà, come profili verificati su almeno due grandi piattaforme social e copertura sulla stampa. Dice anche chiaramente che al momento Telegram non verifica gli account utente.

Conta più di quanto sembri. Il tuo team di supporto risponde da un account personale. Quell'account non avrà mai una spunta blu, quindi il cliente non ha nulla sull'account stesso per distinguere il tuo supporto vero da una copia.

La verifica di terze parti chiude una parte del divario. La stessa politica permette a un'organizzazione il cui bot ufficiale è già verificato di candidarsi tramite @VerifyBot come verificatore, e poi di contrassegnare account e chat con la propria icona, come descritto nella documentazione per sviluppatori. Per un grande marchio che ha i requisiti, può significare un'icona su ogni account dello staff. Per la maggior parte delle aziende che fanno supporto su Telegram, quest'anno l'asticella è troppo alta.

Tre impostazioni rendono più difficile a un truffatore trovare i tuoi clienti. Nessuna impedisce a un truffatore di leggere il gruppo.

• Nascondere i membri. Disponibile quando un supergruppo ha almeno 100 membri. L'elenco sparisce per i membri, ma chiunque scriva resta visibile, quindi chi chiede aiuto è comunque esposto.
• Richieste di adesione. I nuovi membri devono aspettare l'approvazione di un admin (documentazione sugli inviti). Rallenta gli account che entrano solo per raccogliere contatti. Non ti dice chi è un truffatore.
• Aggressive Anti-Spam. Le FAQ lo consigliano per i gruppi grandi. La configurazione di Telegram fissa il minimo predefinito a 200 membri. Rimuove lo spam pubblicato nel gruppo; non vede i DM.

Telegram permette anche a una persona di impedire agli sconosciuti di avviare una chat con lei. L'API documenta un'opzione di privacy che limita le nuove chat ai contatti, agli utenti Premium e a chi ha già una chat aperta con lei (impostazioni di privacy globali), e le FAQ ricordano che alcuni utenti fanno pagare in Stars i messaggi dei non contatti. Sono impostazioni del tuo cliente, non tue, e un account Premium passa comunque.

Chiediti cosa serve davvero a un impostore convincente. Un elenco di chi sono i tuoi clienti. I nomi e il tono del tuo staff di supporto. E, idealmente, chi ha un problema aperto in questo momento, perché quella persona sta aspettando un DM.

Un estraneo ottiene il primo dall'elenco membri e il terzo dai messaggi pubblici nel gruppo. Chi ha lavorato dentro la tua inbox di supporto li ha tutti e tre, più le parole esatte che usa il tuo team e i dettagli del caso di ogni cliente. Secondo noi, è questo l'impostore di cui preoccuparsi di più. Un collaboratore esterno che se ne va con un elenco di username e di problemi aperti non deve indovinare a chi scrivere.

È il rischio legato ai dati interni di un CRM, visto dall'esterno. Non si presenta come una violazione. Si presenta settimane dopo, quando i tuoi clienti ricevono DM molto precisi da qualcuno che non sei tu.

Il limite: la maggior parte delle impersonificazioni che vedrai è opera di estranei che leggono un gruppo pubblico, e nessun controllo interno tocca questo. I controlli rivolti all'interno chiudono una strada, la più pericolosa. Il resto lo deve fare la guida pubblica qui sotto.

Niente di tutto questo richiede uno strumento. Tutto richiede di essere scritto una volta e ripetuto ovunque i tuoi clienti guardino.

Scegli un solo @username per il supporto. Mettilo nella pagina contatti del tuo sito, nella descrizione del tuo canale ufficiale, nel messaggio fissato del tuo gruppo e nelle firme email. Usa la stessa identica stringa ovunque, così una copia stona accanto a lei.

Telegram lo fa per sé. Le sue FAQ indicano i canali di supporto ufficiali e dicono che non ha altri account di supporto sulle piattaforme social, e che chiunque sostenga il contrario non è Telegram. Di' la stessa cosa della tua azienda.

Scrivi la regola in un modo che il cliente possa verificare: "Il nostro team non ti scriverà mai per primo. Il supporto risponde solo da @acme_support, dopo che gli hai scritto tu." Fissala nel gruppo insieme alle altre regole del gruppo. Mettila nel messaggio di benvenuto del gruppo, che Telegram ha rilasciato il 2026-08-25 e che vede solo il nuovo membro, così arriva alle persone proprio quando è più probabile che vengano prese di mira.

Poi rispetta la regola. Se un commerciale scrive per primo a un cliente, la regola non vale più nulla, perché ora il cliente sa che esistono eccezioni.

Se cinque persone dello staff rispondono ai clienti ciascuna dal proprio account Telegram, i tuoi clienti devono imparare cinque identità. A un truffatore basta copiarne una. Se tutto il team risponde da un unico account di supporto condiviso, c'è una sola identità da imparare, e qualsiasi altro account che usa il tuo nome è sbagliato per definizione.

È anche il punto in cui la maggior parte dei team si blocca, perché un account Telegram su un telefono non funziona per cinque persone a turno. Entergram è fatto per questo caso: un team può condividere un account Telegram dentro un unico workspace, e tutti gli rispondono da un'unica interfaccia, così il cliente parla sempre con lo stesso @username mentre il lavoro è distribuito sul team. Funziona su veri account Telegram personali, non su bot, quindi l'account che vedono i tuoi clienti è un normale account Telegram con il tuo username di supporto. La nostra pagina sul software di supporto per Telegram spiega come funzionano l'inbox condivisa e i ticket. Entergram non rileva le truffe, non segnala gli account sosia e non denuncia gli impostori a Telegram. Toglie ai clienti il motivo di dover indovinare quale dei tuoi account è quello vero.

I controlli di privacy di Entergram sono rivolti verso l'interno. Puoi nascondere gli username e le informazioni sui membri dei gruppi agli utenti del tuo workspace, e impedire loro di modificare o eliminare i messaggi. I primi due fanno sì che una persona dello staff o un collaboratore che lavora sulla tua coda di supporto non se ne vada con un elenco dei tuoi clienti. Gli altri due fanno sì che lo storico di ciò che il tuo account di supporto ha detto davvero resti intatto, e conta quando un cliente inoltra uno screenshot e chiede se viene da te. Per una copia di quello storico conservata fuori da Telegram, vedi il backup delle chat Telegram per le aziende.

Il limite: questi controlli si applicano a ciò che il tuo team vede dentro Entergram. Non cambiano quello che Telegram mostra agli altri utenti Telegram, e non nascondono l'elenco membri del tuo gruppo a un truffatore che vi è entrato. Per quello c'è l'impostazione Hide Members di Telegram, vista sopra.

Quando un cliente ti dice di essere stato contattato da un falso account:

1. Chiedi l'@username esatto e uno screenshot. Il nome visualizzato non serve come prova.
2. Segnala l'account in app, chiedi al cliente di segnalarlo anche lui e invia la segnalazione a @NoToScam dall'account dello staff o dal canale copiato.
3. Rimuovi l'account dal tuo gruppo se ne fa parte, e segnalalo lì come spam.
4. Pubblica nel gruppo un breve avviso che nomina il falso @username e ripete la tua unica identità di supporto vera.
5. Nello stesso post, scrivi che nessuno può recuperare i fondi persi a pagamento.

Se l'impersonificazione nasce dal furto di un vero account dello staff e non da una copia, è un incidente diverso. Segui prima come proteggere un account Telegram, chiudendo le sessioni sconosciute e attivando la verifica in due passaggi. E se il tuo account di supporto viene limitato dopo segnalazioni di massa, i passaggi sono in cosa fare quando un account Telegram è congelato.

Tutto quanto sopra riduce quanto un impostore sembra credibile. La moderazione riduce quanto a lungo resta nel tuo gruppo. Un team che rimuove gli account truffaldini in pochi minuti, e tagga i recidivi in modo che ogni moderatore li riconosca, lascia al falso admin meno tempo per trovare un bersaglio. La nostra guida alla moderazione delle community copre turni, tag ed escalation per i gruppi più grandi, e la nostra guida all'assistenza clienti da un account Telegram personale spiega perché i clienti si aspettano una persona e non un bot.

Segnala l'account da dentro Telegram con l'opzione Report e invia i dettagli a @NoToScam, che le FAQ di Telegram indicano per l'impersonificazione. Includi l'@username esatto e uno screenshot. Chiedi anche al cliente che ha ricevuto il messaggio di segnalarlo.

Usa l'opzione Report in app sul messaggio o sull'account. Se il truffatore è membro di un gruppo che gestisci, segnalalo come spam dal gruppo e rimuovilo. Se vengono impersonati il tuo marchio o un membro dello staff, @NoToScam è la strada indicata da Telegram.

Non su un account personale. La politica di verifica di Telegram copre canali, bot e gruppi pubblici che soddisfano i suoi criteri, e dice che al momento non verifica gli account utente. Un'organizzazione verificata da Telegram può diventare verificatore di terze parti e contrassegnare gli account del proprio staff, ma serve prima un bot verificato.

Telegram la applica agli account che considera probabili truffe o che molti utenti hanno segnalato come falsi o truffaldini. Non puoi aggiungerla tu a un impostore. Segnalare è il modo in cui contribuisci alla decisione.

Non puoi impedirlo del tutto. Puoi renderlo meno efficace: nascondi l'elenco membri quando superi i 100 membri, attiva le richieste di adesione, abilita Aggressive Anti-Spam nei gruppi grandi, fissa la regola "non scriviamo mai per primi" e inseriscila nel messaggio di benvenuto del gruppo. Gli autori dei messaggi restano comunque visibili, quindi la regola pubblica conta più di qualsiasi impostazione.

No. Entergram non cerca truffe e non segnala gli account sosia. Permette a un team di rispondere da un unico account di supporto condiviso, così i clienti devono imparare una sola identità, e può nascondere gli username e le informazioni sui membri dei gruppi al tuo stesso staff.

Conta di quanti account Telegram è stato detto ai tuoi clienti di fidarsi. Se la risposta onesta è "chiunque del team abbia risposto", un truffatore ha vita facile. Scegli questa settimana l'unico @username che sarà la tua identità di supporto, mettilo nel messaggio fissato e nel messaggio di benvenuto, poi decidi se il tuo team può davvero rispondere da quell'unico account con l'organizzazione che hai oggi.