Вердикт редакции. Вакансия «помощник администратора Telegram-канала» или «сотрудник службы заботы», в которой соискателя просят подключить специального бота с правами администратора к его собственному тестовому каналу или чужой рабочей группе, — это опасная схема угона цифровых ресурсов. Вместо реальной работы кандидату навязывают запуск скрипта, перехватывающего управление правами доступа и удаляющего реальных владельцев из их каналов и чатов.
3 минуты требуется программному алгоритму мошенников, чтобы лишить владельца прав на Telegram-канал с многотысячной аудиторией после добавления вредоносного бота. Под видом простой стажировки соискателям предлагают легкие обязанности: отвечать на сообщения подписчиков, сортировать комментарии или публиковать готовые посты. Однако ключевым условием «тестирования навыков» становится подключение сервисного бота с расширенными административными полномочиями.
Ниже представлен технический разбор уязвимостей Telegram Bot API, анализ схемы обмана и инструкция по защите личных проектов.
За и против: почему вакансия подкупает и где кроется ловушка
На первый взгляд предложение выглядит безобидно и профессионально:
- Предлагают удаленный график, 2–4 часа в день и фиксированную оплату.
- Обязанности формулируются понятно: чистить спам в комментариях, публиковать отложенные посты, общаться с аудиторией.
- Работодатель вежливо общается, присылает красивое руководство и гайды по ведению каналов.
Но за внешней солидностью скрывается преступный замысел:
- У кандидата не просят резюме и профессионального опыта.
- Работодатель отказывается подписывать официальный договор или договор самозанятого.
- В качестве первого же практического задания требуют создать канал или предоставить права в существующем проекте стороннему боту.
- Любые вопросы о юридическом лице или источниках финансирования игнорируются.
Технический разбор: как работает угон каналов через Telegram Bot API
Telegram предоставляет разработчикам удобный интерфейс Telegram Bot API для автоматизации рутины: публикации контента, сбора статистики или модерации спама. Однако архитектура прав доступа построена так, что бот с правами администратора наделяется теми же техническими возможностями, что и живой пользователь.
Схема угона строится на использовании штатных методов Bot API:
- Запрос критических прав. Соискателю дают ссылку на бота (якобы «сервис автопостинга», «аналитический трекер» или «модуль защиты от спама») и просят добавить его в администраторы канала с включением тумблера «Назначение новых администраторов» (Add New Admins / Manage Chat).
- Скрытый вызов метода promoteChatMember. Как только бот получает право назначать администраторов, встроенный серверный скрипт мгновенно отправляет API-запрос
promoteChatMember. Бот наделяет максимальными правами скрытые аккаунты злоумышленников, превращая их в администраторов без видимого участия человека. - Удаление реальных сотрудников через banChatMember. Следующим шагом бот или добавленный им аккаунт афериста применяет метод
banChatMember(илиrestrictChatMember) ко всем легитимным администраторам и модераторам проекта. Доступ реальной команды к каналу блокируется навсегда. - Смена настроек и смена публичной ссылки. Злоумышленники за считанные секунды меняют публичный юзернейм канала, отвязывают привязанный чат обсуждений, удаляют историю постов и перепродают ресурс на биржах каналов за десятки или сотни тысяч рублей.
Если у соискателя нет своего канала, мошенники используют другую уловку: просят соискателя «пройти стажировку» в их чужом канале, но через личный Telegram-аккаунт с предоставлением API-токенов или авторизацией через сомнительный QR-код, что ведет к полной потере личного профиля.
Расчет рисков и матрица полномочий Telegram Bot API
В таблице ниже показано, какие права запрашивают аферисты и к каким последствиям приводит предоставление каждого уровня доступа:
| Запрашиваемое право бота | Предлог аферистов | Реальная угроза при злоупотреблении |
|---|---|---|
| Назначение новых администраторов | «Бот должен подключать других стажеров» | Бот назначает аккаунты мошенников и захватывает канал |
| Блокировка пользователей | «Бот будет автоматически банить спамеров» | Бот блокирует настоящих модераторов и владельца |
| Изменение профиля канала | «Для автоматического обновления описания» | Мгновенная кража юзернейма и смена тематики ресурса |
| Удаление сообщений | «Для очистки нецензурных комментариев» | Полная зачистка истории постов за все годы существования |
| Добавление участников | «Для инвайта подписчиков по белому списку» | Загонка накрученных ботов и теневой бан от Telegram |
Кому подходит и кому категорически не подходит вакансия
| Аудитория | Рекомендация |
|---|---|
| Владельцы собственных каналов | Категорический отказ. Ни при каких условиях не добавляйте непроверенных ботов в личные группы и каналы. |
| Начинающие администраторы без опыта | Отказ. Честные каналы нанимают модераторов вручную и дают минимальные права без доступа к админ-ботам. |
| Опытные вебмастера и SMM-специалисты | Проверка кода. Использование только проверенных открытых сервисов (FleepBot, ControllerBot) с двухфакторной защитой. |
Безопасные правила работы помощником администратора
Если вы планируете работать контент-менеджером или модератором в мессенджере:
- Никогда не создавайте каналы на личный номер телефона по просьбе сторонних заказчиков до заключения договора.
- Никогда не выдавайте ботам право «Назначение новых администраторов». Честному сервисному боту для публикации постов требуется только право «Публикация сообщений».
- Если заказчик настаивает на установке бота по прямой ссылке из непроверенного репозитория, немедленно прекращайте общение.
Вопросы об обмане с правами администратора
Может ли бот украсть канал, если я являюсь его создателем (Owner)?
Создателя канала бот удалить технически не может — права Owner в Telegram защищены. Однако бот может удалить всех подписчиков, стереть весь контент, изменить аватар и название канала на запрещенные правилами платформы темы, что приведет к вечной блокировке ресурса поддержкой Telegram.
Как проверить сервисного бота перед добавлением в канал?
Используйте только общепризнанные сервисы с многолетней репутацией и миллионной аудиторией. Проверяйте юзернейм бота символ в символ: аферисты создают клоны-подделки с разницей в одну букву (например, заменяя английскую «l» на единицу или большую «I»).
Что делать, если канал уже угнали с помощью вредоносного бота?
Срочно пишите в официальную поддержку Telegram (через форму telegram.org/support или в аккаунты @notoscam). Приложите доказательства создания канала с датой основания, скриншоты переписки и исходные реквизиты. Однако процент возврата украденных каналов через общую поддержку невысок, поэтому профилактика и осмотрительность остаются главным способом защиты.