Oszustwa na Telegramie w imieniu Twojego zespołu: poradnik dla firmy, pod którą ktoś się podszywa

W zeszłym tygodniu jeden z Twoich klientów zadał pytanie w Twojej grupie na Telegramie i ktoś odpowiedział szybciej niż Twój zespół. Nie w grupie, tylko w wiadomości prywatnej. Z konta z imieniem i nazwiskiem Twojego szefa wsparcia, z Twoim logo jako zdjęciem i z linkiem do „weryfikacji portfela” albo „naprawy zablokowanej płatności”.

Każdy poradnik o oszustwach na Telegramie jest pisany dla osoby, która dostała taką wiadomość. Ten jest dla Ciebie, czyli dla firmy, której nazwy użyto. Twój klient stracił pieniądze albo był o krok od tego i zapamięta, czyja nazwa widniała na koncie.

Zacznij od jednej liczby. Telegram pozwala adminowi ukryć listę członków supergrupy dopiero wtedy, gdy grupa ma co najmniej 100 członków. To domyślna wartość z konfiguracji API Telegrama dla ukrywania uczestników. Poniżej tego progu każdy, kto dołączy, może przewinąć całą listę członków. Powyżej nadal widzi każdego, kto napisze wiadomość, a to właśnie osoba, na której zależy fałszywemu adminowi: ta, która przed chwilą przyznała, że ma problem.

Schematy zmieniają sformułowania co kilka miesięcy. Mechanika prawie się nie zmienia. Każdy z nich opiera się na tym, że klient nie wie, które konto naprawdę należy do Ciebie.

To schemat najmocniej oparty na Twojej własnej grupie. Oszust siedzi w grupie, wypatruje każdego, kto pisze o nieudanej transakcji, zablokowanym koncie albo zwrocie, i w ciągu kilku minut pisze do tej osoby prywatnie. Nazwa wyświetlana kopiuje nazwę Twojego pracownika. Zdjęcie jest wzięte z jego profilu. Pierwsze zdanie brzmi jak Twoje wsparcie, bo odpowiedzi Twojego wsparcia są w grupie i każdy może je przeczytać.

Klient jest gotowy. Poprosił o pomoc i pomoc przyszła. Oszustwo działa, bo Twoje prawdziwe wsparcie jest wolniejsze niż fałszywe. To niewygodne, ale to też ta część, na którą masz wpływ.

Nazwy użytkownika w Telegramie są unikalne. Nazwy wyświetlane nie są. Każdy może ustawić sobie nazwę „Acme Support” i wgrać Twoje logo. Nie może za to zająć Twojej dokładnej @nazwy użytkownika. Oszust rejestruje więc coś najbliższego: dodatkowe podkreślenie, zero zamiast O, dopisek „official” na końcu.

Większość klientów nigdy nie patrzy na nazwę użytkownika. Patrzą na nazwę i zdjęcie w nagłówku czatu, czyli dokładnie te dwie rzeczy, które oszust skopiował.

Bot z Twoją marką w nazwie albo link do strony, która prosi o kod logowania do Telegrama, działa na klientów, którym powiedziano, że jakiś proces wymaga „weryfikacji”. Własne FAQ Telegrama mówi, że kody logowania przychodzą wyłącznie na zweryfikowany czat „Verification Codes” i nie wolno ich nikomu udostępniać, także innym aplikacjom. Część o botach jest równie jasna: nie podawaj botowi haseł, kodów Telegrama ani danych bankowych, choćby prosił najuprzejmiej.

Jeśli Twój produkt kiedykolwiek prosi klienta o weryfikację czegoś w Telegramie, oszust skopiuje ten krok. Usuń go, jeśli możesz. Jeśli nie możesz, opisz publicznie dokładnie, jak wygląda, żeby kopia się wyróżniała.

Pojawiają się po pierwszej fali. Klient, który stracił pieniądze, pisze o tym, a pod wpisem pojawiają się konta, które oferują odzyskanie środków za opłatą. Jeśli opublikujesz ostrzeżenie przed oszustem, spodziewaj się pod nim tych samych odpowiedzi. Napisz ostrzeżenie tak, żeby z góry na nie odpowiadało: nikt z Twojego zespołu ani nikt inny nie odzyska pieniędzy za opłatą.

Telegram daje więcej, niż ludzie zakładają, i mniej, niż byś chciał. Oto, co istnieje, sprawdzone w oficjalnych materiałach Telegrama 2026-10-14.

FAQ Telegrama mówi, że każda aplikacja ma przyciski Report, które przekazują treści moderatorom. Odpowiedź na pytanie „co jeśli ktoś się pode mnie podszywa” ma jedno zdanie: skontaktuj się z @NoToScam. To konto wyświetla się jako „Report Impersonation”. Otwórz je z linku w FAQ Telegrama, a nie przez wyszukiwarkę, bo oszuści kopiują też konta do zgłoszeń.

W firmie zgłoszenie do @NoToScam powinna złożyć osoba, pod którą ktoś się podszywa: Twój pracownik albo admin Twojego oficjalnego kanału, gdy skopiowano samą markę. Podaj dokładną @nazwę użytkownika oszusta i zrzut ekranu wiadomości, którą dostał klient. Potem poproś klienta, żeby też zgłosił konto ze swojej strony, bo to zgłoszenie od odbiorcy wiadomości jest powiązane z czatem.

FAQ o spamie dodaje, że admini grup mogą zgłaszać użytkowników, którzy publikują spam w ich grupach. Zrób to z kontem oszusta, jeśli nadal jest członkiem, a potem je usuń.

API Telegrama definiuje dwie flagi konta: scam, opisaną jako „This may be a scam user” („to może być oszust”), oraz fake, ustawianą, gdy wielu użytkowników zgłosiło konto jako fałszywe lub oszukańcze (obiekt user). Aplikacje pokazują je jako etykietę ostrzegawczą obok nazwy. Nie możesz nadać jej sam. Zgłoszenia są danymi wejściowymi, a etykieta to decyzja Telegrama.

Zasady weryfikacji Telegrama obejmują kanały, boty i grupy publiczne, które spełniają kryteria rozpoznawalności, na przykład zweryfikowane profile na co najmniej dwóch dużych platformach społecznościowych i obecność w mediach. Mówią też wprost, że Telegram obecnie nie weryfikuje kont użytkowników.

To ważniejsze, niż się wydaje. Twój zespół wsparcia odpowiada z prywatnego konta. To konto nigdy nie dostanie niebieskiego znaczka, więc na samym koncie klient nie ma nic, co pozwoli odróżnić Twoje prawdziwe wsparcie od kopii.

Weryfikacja przez strony trzecie częściowo wypełnia tę lukę. Te same zasady pozwalają organizacji, której oficjalny bot jest już zweryfikowany, złożyć wniosek przez @VerifyBot o status weryfikatora, a potem oznaczać konta i czaty własną ikoną, jak opisuje dokumentacja dla deweloperów. Dla dużej marki, która spełnia warunki, może to oznaczać ikonę na koncie każdego pracownika. Dla większości firm prowadzących wsparcie na Telegramie poprzeczka jest w tym roku zbyt wysoko.

Trzy ustawienia utrudniają oszustowi znalezienie Twoich klientów. Żadne z nich nie powstrzyma go przed czytaniem grupy.

• Ukrywanie członków. Dostępne, gdy supergrupa ma co najmniej 100 członków. Lista znika dla członków, ale każdy, kto pisze, nadal jest widoczny, więc osoba prosząca o pomoc wciąż jest odsłonięta.
• Prośby o dołączenie. Nowi członkowie czekają na zatwierdzenie admina (dokumentacja zaproszeń). To spowalnia konta, które dołączają tylko po to, żeby zbierać dane. Nie mówi Ci, kto jest oszustem.
• Agresywny antyspam (Aggressive Anti-Spam). FAQ zaleca go dużym grupom. Konfiguracja Telegrama ustawia domyślne minimum na 200 członków. Usuwa spam publikowany w grupie, ale nie widzi wiadomości prywatnych.

Telegram pozwala też zablokować obcym możliwość rozpoczęcia czatu. API opisuje opcję prywatności, która ogranicza nowe czaty do kontaktów, użytkowników Premium i osób, które mają już otwarty czat z daną osobą (globalne ustawienia prywatności), a FAQ wspomina, że niektórzy użytkownicy pobierają Stars za wiadomości od osób spoza kontaktów. Oba to ustawienia Twojego klienta, nie Twoje, a konto Premium i tak się przebije.

Zastanów się, czego naprawdę potrzebuje przekonujący oszust. Listy Twoich klientów. Imion i tonu Twoich pracowników wsparcia. A najlepiej informacji, kto ma teraz otwarty problem, bo ta osoba czeka na wiadomość prywatną.

Osoba z zewnątrz pierwszą rzecz bierze z listy członków, a trzecią z publicznych wiadomości w grupie. Ktoś, kto pracował w Twojej skrzynce wsparcia, ma wszystkie trzy, a do tego dokładne sformułowania zespołu i szczegóły sprawy każdego klienta. Naszym zdaniem właśnie taki oszust jest najgroźniejszy. Współpracownik, który odchodzi z listą nazw użytkowników i otwartych spraw, nie musi zgadywać, do kogo napisać.

To wewnętrzne ryzyko danych w CRM widziane z zewnątrz. Nie wygląda jak wyciek. Pokazuje się kilka tygodni później, gdy Twoi klienci dostają bardzo trafne wiadomości od kogoś, kto nie jest Tobą.

Granica: większość podszywania się, które zobaczysz, prowadzą osoby z zewnątrz czytające publiczną grupę, a tego żadna kontrola wewnętrzna nie dotyczy. Kontrole skierowane do wewnątrz zamykają jedną drogę, tę najgroźniejszą. Resztę wciąż musi załatwić publiczny plan działania poniżej.

Nic z tego nie wymaga narzędzia. Wszystko wymaga jednorazowego spisania i powtarzania wszędzie tam, gdzie zaglądają Twoi klienci.

Wybierz jedną @nazwę użytkownika dla wsparcia. Umieść ją na stronie kontaktowej, w opisie oficjalnego kanału, w przypiętej wiadomości grupy i w stopkach e-maili. Używaj w każdym miejscu dokładnie tego samego ciągu znaków, żeby kopia wyglądała obok niego źle.

Telegram robi tak sam. Jego FAQ wymienia oficjalne kanały wsparcia i mówi, że nie ma innych kont wsparcia na platformach społecznościowych, a każdy, kto twierdzi inaczej, nie jest Telegramem. Powiedz to samo o swojej firmie.

Sformułuj zasadę tak, żeby klient mógł ją sprawdzić: „Nasz zespół nigdy nie napisze do Ciebie pierwszy. Wsparcie odpowiada wyłącznie z @acme_support, po tym jak do niego napiszesz”. Przypnij ją w grupie razem z resztą zasad grupy. Dodaj ją do wiadomości powitalnej grupy, którą Telegram udostępnił 2026-08-25 i którą widzi tylko nowy członek, żeby dotarła do ludzi w chwili, gdy najłatwiej stają się celem.

Potem przestrzegaj tej zasady. Jeśli jeden handlowiec napisze do klienta pierwszy, zasada traci wartość, bo klient wie już, że są wyjątki.

Jeśli pięciu pracowników odpowiada klientom z własnych kont Telegram, Twoi klienci muszą poznać pięć tożsamości. Oszust musi skopiować tylko jedną. Jeśli cały zespół odpowiada z jednego wspólnego konta wsparcia, jest dokładnie jedna tożsamość do zapamiętania, a każde inne konto używające Twojej nazwy jest z definicji fałszywe.

Tu utyka większość zespołów, bo jedno konto Telegram na jednym telefonie nie działa dla pięciu osób na zmianie. Entergram powstał właśnie z myślą o tym: zespół może dzielić jedno konto Telegram w jednym obszarze roboczym, a każdy odpowiada z niego w jednym interfejsie. Klient zawsze rozmawia z tą samą @nazwą użytkownika, a praca rozkłada się na cały zespół. Entergram działa na prawdziwych prywatnych kontach Telegram, a nie na botach, więc konto, które widzą Twoi klienci, to zwykłe konto Telegram z nazwą użytkownika Twojego wsparcia. Na stronie o oprogramowaniu do obsługi klienta na Telegramie opisujemy, jak działa wspólna skrzynka i zgłoszenia. Entergram nie wykrywa oszustw, nie oznacza podobnych kont i nie zgłasza oszustów do Telegrama. Usuwa powód, dla którego klienci muszą zgadywać, które z Twoich kont jest prawdziwe.

Ustawienia prywatności w Entergram są skierowane do wewnątrz. Możesz ukryć nazwy użytkowników i informacje o członkach grup przed użytkownikami swojego obszaru roboczego oraz zablokować im edytowanie i usuwanie wiadomości. Dwie pierwsze opcje sprawiają, że pracownik albo współpracownik obsługujący kolejkę wsparcia nie wychodzi z listą Twoich klientów. Dwie ostatnie sprawiają, że historia tego, co faktycznie napisało Twoje konto wsparcia, pozostaje nienaruszona. To ważne, gdy klient przesyła zrzut ekranu i pyta, czy wiadomość była od Ciebie. Jeśli chcesz mieć kopię tej historii poza Telegramem, przeczytaj o kopii zapasowej czatów Telegram dla firm.

Ograniczenie: te ustawienia dotyczą tego, co Twój zespół widzi w Entergram. Nie zmieniają tego, co Telegram pokazuje innym użytkownikom Telegrama, i nie ukrywają listy członków Twojej grupy przed oszustem, który do niej dołączył. Do tego służy opisane wyżej ustawienie Telegrama do ukrywania członków.

Gdy klient powie Ci, że skontaktował się z nim oszust:

1. Poproś o dokładną @nazwę użytkownika i zrzut ekranu. Nazwa wyświetlana jest bezużyteczna jako dowód.
2. Zgłoś konto w aplikacji, poproś klienta, żeby też je zgłosił, i złóż zgłoszenie do @NoToScam z konta pracownika lub kanału, który skopiowano.
3. Usuń konto z grupy, jeśli jest jej członkiem, i zgłoś je tam jako spam.
4. Opublikuj w grupie krótkie ostrzeżenie, które podaje fałszywą @nazwę użytkownika i powtarza Twoją jedną prawdziwą tożsamość wsparcia.
5. W tym samym wpisie napisz, że nikt nie odzyska straconych środków za opłatą.

Jeśli podszywanie się polega na przejęciu prawdziwego konta pracownika, a nie na jego skopiowaniu, to zupełnie inny incydent. Najpierw przejdź przez poradnik jak chronić konto Telegram: zakończ nieznane sesje i włącz weryfikację dwuetapową. A jeśli Twoje własne konto wsparcia zostanie ograniczone po masowych zgłoszeniach, kroki znajdziesz w artykule co zrobić, gdy konto Telegram zostanie zamrożone.

Wszystko powyżej sprawia, że oszust wygląda mniej przekonująco. Moderacja skraca czas, jaki spędza w Twojej grupie. Zespół, który usuwa konta oszustów w ciągu kilku minut i oznacza recydywistów tak, żeby każdy moderator ich rozpoznawał, daje fałszywemu adminowi mniej czasu na znalezienie celu. Nasz poradnik moderacji społeczności omawia zmiany, tagi i eskalację w większych grupach, a poradnik o obsłudze klienta z prywatnego konta Telegram wyjaśnia, dlaczego klienci oczekują człowieka, a nie bota.

Zgłoś konto w Telegramie opcją Report i wyślij szczegóły do @NoToScam, które FAQ Telegrama wskazuje do zgłaszania podszywania się. Podaj dokładną @nazwę użytkownika i zrzut ekranu. Poproś klienta, który dostał wiadomość, żeby też ją zgłosił.

Użyj opcji Report w aplikacji na wiadomości albo koncie. Jeśli oszust jest członkiem grupy, którą prowadzisz, zgłoś go z grupy jako spam i usuń. Jeśli ktoś podszywa się pod Twoją markę albo pracownika, Telegram wskazuje drogę przez @NoToScam.

Nie na prywatne konto. Zasady weryfikacji Telegrama obejmują kanały, boty i grupy publiczne, które spełniają kryteria, i mówią, że Telegram obecnie nie weryfikuje kont użytkowników. Organizacja zweryfikowana przez Telegram może zostać weryfikatorem i oznaczyć konta swoich pracowników, ale najpierw potrzebuje zweryfikowanego bota.

Telegram nadaje ją kontom, które uważa za prawdopodobne oszustwa albo które wielu użytkowników zgłosiło jako fałszywe lub oszukańcze. Nie możesz sam nadać jej oszustowi. Zgłoszenia to Twój wkład w tę decyzję.

Całkowicie się nie da. Możesz zmniejszyć skuteczność oszustów: ukryj listę członków, gdy przekroczysz 100 osób, włącz prośby o dołączenie, w dużych grupach włącz Aggressive Anti-Spam, przypnij zasadę „nigdy nie piszemy pierwsi” i dodaj ją do wiadomości powitalnej grupy. Autorzy wiadomości zawsze pozostają widoczni, więc publiczna zasada liczy się bardziej niż jakiekolwiek ustawienie.

Nie. Entergram nie skanuje pod kątem oszustw ani nie oznacza podobnych kont. Pozwala zespołowi odpowiadać z jednego wspólnego konta wsparcia, więc klienci muszą poznać tylko jedną tożsamość, i potrafi ukryć nazwy użytkowników oraz informacje o członkach grup przed Twoimi własnymi pracownikami.

Policz, ilu kontom Telegram Twoi klienci mają ufać. Jeśli szczera odpowiedź brzmi „temu, kto z zespołu akurat odpisał”, oszust ma łatwe zadanie. Wybierz w tym tygodniu jedną @nazwę użytkownika, która będzie tożsamością Twojego wsparcia, umieść ją w przypiętej wiadomości i w wiadomości powitalnej, a potem zdecyduj, czy Twój zespół da radę realnie odpowiadać z tego jednego konta przy obecnej konfiguracji.