Golpes no Telegram que usam o nome da sua equipe: um guia para a empresa que está sendo imitada

Na semana passada, um cliente fez uma pergunta no seu grupo do Telegram, e alguém respondeu antes da sua equipe. Não no grupo. Na DM dele, a partir de uma conta com o nome do seu líder de suporte, o seu logo na foto e um link para "verificar a carteira" ou "resolver o pagamento travado".

Todo guia sobre golpes no Telegram é escrito para quem recebeu essa DM. Este é escrito para você, a empresa cujo nome foi usado. Seu cliente perdeu dinheiro, ou quase perdeu, e ele vai lembrar de quem era o nome naquela conta.

Comece por um número. O Telegram só permite que um admin oculte a lista de membros de um supergrupo depois que o grupo tem pelo menos 100 membros, o padrão definido na configuração da API do Telegram para ocultar participantes. Abaixo disso, qualquer pessoa que entra pode rolar a sua lista completa de membros. Acima disso, ela ainda vê todo mundo que publica uma mensagem, que é exatamente quem o falso admin procura: a pessoa que acabou de admitir que tem um problema.

Os padrões mudam de texto a cada poucos meses. A mecânica quase não muda. Todos dependem de o cliente não saber qual conta é realmente sua.

É o padrão construído mais diretamente sobre o seu próprio grupo. Um golpista fica no grupo, observa quem posta sobre uma transação que falhou, uma conta bloqueada ou um reembolso, e manda mensagem no privado em minutos. O nome de exibição copia o do seu colaborador. A foto vem do perfil dele. A primeira frase soa como o seu suporte, porque as respostas do seu suporte estão no grupo para qualquer um ler.

O cliente está pronto para acreditar. Ele pediu ajuda, e a ajuda chegou. O golpe funciona porque o seu suporte real é mais lento do que o falso. Isso incomoda, e é também a parte que você controla.

Usernames no Telegram são únicos. Nomes de exibição não são. Qualquer pessoa pode se chamar "Acme Support" e subir o seu logo. O que ela não consegue é pegar o seu @username exato. Então o golpista registra o mais parecido possível: um underline a mais, um zero no lugar de um O, "official" no final.

A maioria dos clientes nunca olha o username. Eles olham o nome e a foto no topo do chat, que são justamente as duas coisas que o golpista copiou.

Um bot com a sua marca no nome, ou um link para uma página que pede um código de login do Telegram, funciona com clientes que ouviram que algum processo exige "verificação". O próprio FAQ do Telegram diz que os códigos de login só chegam no chat verificado "Verification Codes" e nunca devem ser compartilhados com ninguém, nem com outros apps. A seção sobre bots é igualmente direta: não entregue a um bot suas senhas, códigos do Telegram ou dados bancários, por mais educado que ele seja.

Se o seu produto em algum momento pede que o cliente verifique algo dentro do Telegram, um golpista vai copiar essa etapa. Elimine-a se puder. Se não puder, descreva publicamente como ela é, exatamente, para que uma cópia chame a atenção.

Essas aparecem depois da primeira onda. Um cliente que perdeu dinheiro posta sobre o assunto, e as respostas se enchem de contas oferecendo recuperar os fundos mediante uma taxa. Se você postar um alerta sobre um impostor, espere as mesmas respostas embaixo dele. Escreva o alerta de forma que ele já responda a elas: ninguém da sua equipe, e ninguém mais, consegue recuperar o dinheiro mediante pagamento.

O Telegram oferece mais do que as pessoas imaginam, e menos do que você gostaria. Veja o que existe, conferido nas próprias páginas do Telegram em 2026-10-14.

O FAQ do Telegram diz que todo app tem botões de Denunciar que enviam o conteúdo para os moderadores. A resposta para "e se alguém estiver se passando por mim" tem uma linha: fale com o @NoToScam. Essa conta aparece como "Report Impersonation". Abra-a pelo link no FAQ do Telegram, e não pela busca, porque impostores também copiam contas de denúncia.

Para uma empresa, quem deve fazer a denúncia ao @NoToScam é quem está sendo imitado: o seu colaborador, ou um admin do seu canal oficial quando a marca em si é copiada. Inclua o @username exato do golpista e um print da DM que o seu cliente recebeu. Depois, peça ao cliente que também denuncie a conta do lado dele, porque a denúncia de quem recebeu a mensagem é a que fica ligada ao chat.

O FAQ de spam acrescenta que admins de grupo podem denunciar usuários que postam spam nos seus grupos. Faça isso com a conta do golpista se ela ainda for membro, e depois remova-a.

A API do Telegram define duas flags em uma conta: scam, descrita como "This may be a scam user" (pode ser um usuário golpista), e fake, definida quando uma conta foi denunciada por muitos usuários como falsa ou golpe (objeto user). Os apps mostram isso como um aviso ao lado do nome. Você não pode aplicar um selo por conta própria. As denúncias são a entrada; o selo é decisão do Telegram.

A política de verificação do Telegram verifica canais, bots e grupos públicos que atendem a critérios de notoriedade, como perfis verificados em pelo menos duas grandes redes sociais e cobertura na imprensa. Ela também diz com todas as letras que o Telegram não verifica contas de usuário no momento.

Isso pesa mais do que parece. A sua equipe de suporte responde de uma conta pessoal. Essa conta nunca vai ter um selo azul, então o cliente não tem nada na própria conta que diferencie o seu suporte real de uma cópia.

A verificação de terceiros fecha parte dessa lacuna. A mesma política permite que uma organização cujo bot oficial já é verificado se candidate pelo @VerifyBot para se tornar verificadora e, então, marque contas e chats com o próprio ícone, como descrito na documentação para desenvolvedores. Para uma marca grande que se qualifica, isso pode significar um ícone em cada conta da equipe. Para a maioria das empresas que fazem suporte no Telegram, a exigência é alta demais este ano.

Três configurações reduzem a facilidade com que um golpista encontra os seus clientes. Nenhuma delas impede um golpista de ler o grupo.

• Ocultar membros. Disponível quando o supergrupo tem pelo menos 100 membros. A lista some para os membros, mas quem posta continua visível, então quem pede ajuda continua exposto.
• Solicitações de entrada. Fazem novos membros esperar a aprovação de um admin (documentação de convites). Isso desacelera contas que entram só para coletar dados. Não diz quem é golpista.
• Antispam agressivo. O FAQ recomenda para grupos grandes. A configuração do Telegram define o mínimo padrão em 200 membros. Ele remove spam postado no grupo; não enxerga DMs.

O Telegram também permite que uma pessoa impeça desconhecidos de iniciar conversas com ela. A API documenta uma opção de privacidade que limita novos chats a contatos, usuários Premium e pessoas que já têm um chat aberto com ela (configurações globais de privacidade), e o FAQ menciona que alguns usuários cobram Stars por mensagens de quem não é contato. As duas são configurações do seu cliente, não suas, e uma conta Premium ainda passa.

Pergunte do que um impostor convincente realmente precisa. Uma lista de quem são os seus clientes. Os nomes e o tom da sua equipe de suporte. E, de preferência, quem tem um problema em aberto agora, porque essa pessoa está esperando uma DM.

Alguém de fora consegue a primeira coisa pela sua lista de membros e a terceira pelas mensagens públicas no grupo. Alguém que já trabalhou dentro da sua caixa de entrada de suporte tem as três, mais as palavras exatas que a sua equipe usa e os detalhes do caso de cada cliente. Na nossa visão, esse é o impostor que mais deve preocupar. Um prestador de serviço que sai com uma lista de usernames e de chamados abertos não precisa adivinhar para quem mandar mensagem.

Esse é o risco interno de dados de um CRM, visto de fora. Ele não aparece como um vazamento. Aparece semanas depois, com os seus clientes recebendo DMs muito precisas de alguém que não é você.

O limite: a maior parte das falsificações de identidade que você vai ver é feita por pessoas de fora lendo um grupo público, e nenhum controle interno chega nisso. Controles internos fecham um caminho, o mais perigoso. O guia público abaixo ainda precisa fazer o resto.

Nada disso exige uma ferramenta. Tudo precisa ser escrito uma vez e repetido em todos os lugares onde os seus clientes olham.

Escolha um @username para o suporte. Coloque-o na página de contato do seu site, na descrição do seu canal oficial, na mensagem fixada do grupo e nas assinaturas de e-mail. Use exatamente o mesmo texto em todos os lugares, para que uma cópia pareça errada ao lado dele.

O Telegram faz isso por si mesmo. O FAQ dele cita os canais oficiais de suporte e diz que não tem outras contas de suporte nas redes sociais, e que quem disser o contrário não é o Telegram. Diga o mesmo sobre a sua empresa.

Escreva a regra como algo que o cliente consiga conferir: "Nossa equipe nunca vai mandar mensagem para você primeiro. O suporte só responde por @acme_support, depois que você escreve para ele." Fixe a regra no grupo junto com as outras regras do grupo. Coloque-a na mensagem de boas-vindas do grupo, que o Telegram lançou em 2026-08-25 e que só o novo membro vê, para que ela chegue às pessoas no momento em que elas têm mais chance de virar alvo.

Depois, cumpra a regra. Se um vendedor mandar DM primeiro para um cliente, a regra perde o valor, porque o cliente agora sabe que existem exceções.

Se cinco pessoas da equipe respondem aos clientes, cada uma da própria conta do Telegram, os seus clientes precisam aprender cinco identidades. O golpista só precisa copiar uma. Se a equipe inteira responde de uma única conta de suporte compartilhada, existe exatamente uma identidade para aprender, e qualquer outra conta usando o seu nome está errada por definição.

É aqui também que a maioria das equipes trava, porque uma conta do Telegram em um celular não funciona para cinco pessoas em um turno. A Entergram foi feita para esse caso: uma equipe pode compartilhar uma conta do Telegram dentro de um espaço de trabalho, e todos respondem por uma única interface, então o cliente sempre fala com o mesmo @username enquanto o trabalho se divide entre a equipe. Ela funciona em contas pessoais reais do Telegram, não em bots, então a conta que os seus clientes veem é uma conta comum do Telegram com o seu username de suporte. A nossa página de software de suporte para Telegram explica como funcionam a caixa de entrada compartilhada e os tickets. A Entergram não detecta golpes, não sinaliza contas parecidas e não denuncia impostores ao Telegram. Ela elimina o motivo pelo qual os clientes precisam adivinhar qual das suas contas é a real.

Os controles de privacidade da Entergram apontam para dentro. Você pode ocultar usernames e ocultar informações dos membros de grupos para os usuários do seu espaço de trabalho, e impedir que eles editem ou apaguem mensagens. Os dois primeiros fazem com que um colaborador ou prestador de serviço que atende a sua fila de suporte não saia com uma lista de quem são os seus clientes. Os dois últimos mantêm intacto o histórico do que a sua conta de suporte realmente disse, o que importa quando um cliente encaminha um print e pergunta se aquilo veio de você. Para uma cópia desse histórico guardada fora do Telegram, veja backup de chats do Telegram para empresas.

O limite: esses controles se aplicam ao que a sua equipe vê dentro da Entergram. Eles não mudam o que o Telegram mostra para outros usuários do Telegram e não ocultam a lista de membros do seu grupo de um golpista que entrou nele. Para isso existe a configuração Ocultar membros do Telegram, citada acima.

Quando um cliente contar que foi abordado por uma conta falsa:

1. Peça o @username exato e um print. O nome de exibição não serve como prova.
2. Denuncie a conta no app, peça ao cliente que também denuncie e registre o caso no @NoToScam a partir da conta do colaborador ou do canal que está sendo copiado.
3. Remova a conta do seu grupo se ela for membro e denuncie-a como spam ali.
4. Publique um alerta curto no grupo com o @username falso e repita a sua única identidade real de suporte.
5. No mesmo post, diga que ninguém consegue recuperar dinheiro perdido mediante uma taxa.

Se a falsificação envolve tomar uma conta real da equipe, e não copiá-la, é outro tipo de incidente. Siga primeiro o guia como proteger uma conta do Telegram, encerrando sessões desconhecidas e ativando a verificação em duas etapas. E se a sua própria conta de suporte for restringida depois de denúncias em massa, os passos estão em o que fazer quando uma conta do Telegram é congelada.

Tudo acima reduz o quanto um impostor parece convincente. A moderação reduz o tempo que ele passa no seu grupo. Uma equipe que remove contas golpistas em minutos, e marca os reincidentes para que todo moderador os reconheça, dá ao falso admin menos tempo para achar um alvo. O nosso guia de moderação de comunidades cobre turnos, tags e escalonamento para grupos maiores, e o nosso guia de atendimento ao cliente por uma conta pessoal do Telegram explica por que os clientes esperam uma pessoa, e não um bot.

Denuncie a conta dentro do Telegram pela opção Denunciar e envie os detalhes para o @NoToScam, que o FAQ do Telegram indica para falsificação de identidade. Inclua o @username exato e um print. Peça ao cliente que recebeu a mensagem que também a denuncie.

Use a opção Denunciar do app na mensagem ou na conta. Se o golpista for membro de um grupo que você administra, denuncie-o como spam pelo grupo e remova-o. Se a sua marca ou alguém da sua equipe estiver sendo imitado, o @NoToScam é o caminho que o Telegram indica.

Não em uma conta pessoal. A política de verificação do Telegram cobre canais, bots e grupos públicos que atendem aos critérios, e diz que não verifica contas de usuário no momento. Uma organização verificada pelo Telegram pode se tornar verificadora de terceiros e marcar as contas da própria equipe, mas isso exige primeiro um bot verificado.

O Telegram o aplica a contas que considera prováveis golpes ou que muitos usuários denunciaram como falsas ou golpe. Você não consegue adicioná-lo a um impostor por conta própria. Denunciar é a forma de alimentar essa decisão.

Não dá para impedir por completo. Dá para tornar isso menos eficaz: oculte a lista de membros quando passar de 100 membros, exija solicitações de entrada, ative o Antispam agressivo em grupos grandes, fixe uma regra de "nunca mandamos DM primeiro" e coloque essa regra na mensagem de boas-vindas do grupo. Os autores das mensagens continuam visíveis em qualquer caso, então a regra pública importa mais do que qualquer configuração.

Não. A Entergram não procura golpes nem sinaliza contas parecidas. Ela permite que uma equipe responda de uma única conta de suporte compartilhada, para que os clientes só precisem aprender uma identidade, e pode ocultar usernames e informações dos membros de grupos da sua própria equipe.

Conte em quantas contas do Telegram os seus clientes foram orientados a confiar. Se a resposta honesta for "quem da equipe respondeu", o golpista tem um trabalho fácil. Escolha o @username que vai ser a sua identidade de suporte nesta semana, coloque-o na mensagem fixada e na mensagem de boas-vindas e, depois, decida se a sua equipe consegue, de forma realista, responder dessa única conta com a estrutura que tem hoje.