Telegram hace tiempo que dejó de ser un simple mensajero, convirtiéndose en una plataforma amplia para la comunicación, la publicación y el comercio. Y cuanto mayor es su alcance, más dispuestos están los delincuentes a usar la infraestructura del servicio para sus fines. En lugar de los habituales ataques de phishing y hackeos, ha surgido un esquema nuevo y sofisticado: bots maliciosos de Telegram, con los que no solo se puede bloquear la cuenta de otra persona, sino también obtener beneficio económico.
El escenario es simple pero insidioso. Al usuario, con diversos pretextos —desde comprobaciones de seguridad hasta chats anónimos y servicios de citas— se le persuade para que inicie un bot de Telegram. A primera vista no hay nada sospechoso: una pantalla habitual, el botón «Start», una interfaz típica. Pero un solo clic activa un mecanismo oculto. La víctima pasa a ser administrador o propietario de un canal externo, completamente controlado por los atacantes. Y ese hecho se convierte después en una herramienta de chantaje.
Cómo funciona la estafa: artimañas técnicas y conductuales
Los bots de Telegram se crean a través del estándar @BotFather y al principio no tienen permisos peligrosos. Sin embargo, pueden programarse para que, después de iniciarse, añadan automáticamente al usuario a un grupo o canal determinado y le otorguen el estatus de administrador —incluso de propietario. El usuario a menudo no se da cuenta: Telegram no notifica sobre la transferencia de roles en otras comunidades.
Tras eso, la víctima se convierte formalmente en la persona responsable de la plataforma a la que la conectaron. Y es en ese momento cuando intervienen los atacantes. Se ponen en contacto con el usuario (por ejemplo, a través de otro bot o directamente), informándole de que ahora tienen control total sobre ese canal y que Telegram lo considera su propietario.
A continuación viene un ultimátum: si no se cumple el requisito —normalmente una transferencia de dinero en criptomoneda— el canal será renombrado con algo prohibido (por ejemplo, un nombre con simbología extremista o pornográfica), se subirá contenido provocador y empezará un ataque masivo de denuncias.
Telegram registrará que el contenido que viola las normas se publicó en un canal que formalmente pertenece a la víctima. Y con suficiente número de denuncias no solo eliminará el canal, sino que bloqueará la cuenta del usuario. Esto es especialmente crítico si la cuenta se usaba para hacer negocios, para acceder a otras comunidades o era el principal medio de comunicación.
Por qué Telegram reacciona así: particularidades de la moderación
La moderación de Telegram es híbrida: algunas decisiones se toman manualmente y otras automáticamente, en función de denuncias y detectores de contenido prohibido. Cuando el sistema recibe múltiples reportes sobre un mismo canal con contenido claramente infractor, responde con dureza: elimina el canal y, junto con él, al usuario que figura como propietario.
Es importante entender que Telegram se basa en etiquetas técnicas internas: quién creó el canal, quién lo posee ahora y qué roles se asignaron. Y si en la base figura su ID como administrador, apelar es prácticamente imposible. Especialmente en casos que involucren extremismo, llamados a la violencia o material para adultos.
Qué quieren los atacantes: dinero, eliminación o intimidación
El objetivo principal de estos ataques es el beneficio económico. Los delincuentes montan un esquema de extorsión con la lógica típica del chantaje:
- Rescate por «tranquilidad». Se ofrece al usuario pagar para que el canal no sea renombrado ni se convierta en una plataforma para provocaciones. Las cantidades dependen de la «importancia» de la víctima: a unos les piden $50, a otros — $1000.
- Falsa ayuda tras el bloqueo. Si la víctima se negó, su cuenta es eliminada y entonces comienza una segunda fase: le ofrecen ayuda para «recuperar el acceso» —por supuesto, a cambio de dinero. En realidad esto suele ser otro engaño.
- Eliminación por encargo. En algunos casos el esquema se usa no para obtener un rescate, sino por encargo. Un competidor, un periodista molesto o el administrador de un gran canal pueden convertirse en objetivo si alguien está dispuesto a pagar por ello.
Un peligro aparte lo constituyen los bots disfrazados de servicios populares: comprobación de bases «filtradas», chats con «preguntas anónimas», soporte técnico de Telegram, generadores de avatares. La gente los inicia por curiosidad sin leer qué permisos concede. Y cae en la trampa.
Por qué funciona: vulnerabilidades en la arquitectura y el comportamiento
En primer lugar, Telegram no exige confirmación para transferir derechos de propietario. Se puede convertir a un usuario en administrador o incluso en propietario de un canal con un solo clic, sin su consentimiento.
En segundo lugar, Telegram no avisa de ninguna manera cuando recibe derechos de administrador en otra comunidad. Todo ocurre en silencio. Muchos usuarios no saben siquiera dónde ver la lista de canales que administran y solo descubren la verdad cuando ya es demasiado tarde.
En tercer lugar, Telegram no ofrece un mecanismo completo para apelar bloqueos. Si su cuenta es sancionada por participar en una actividad prohibida, incluso de forma accidental, demostrar lo contrario es casi imposible. Y si no tiene activada la autenticación de dos factores ni vinculada una dirección de correo, recuperar el acceso es en general improbable.
Cómo protegerse: reglas básicas de higiene digital
Esto es lo que conviene hacer ahora mismo para no caer en esta trampa:
- Nunca ejecute bots desconocidos. Especialmente enlaces enviados por personas poco conocidas o en canales sospechosos.
- Compruebe la lista de canales y grupos que administra. La forma más sencilla es entrar en cualquier chat público con comentarios habilitados (por ejemplo, bajo una publicación en un gran canal de noticias) e intentar escribir un mensaje. A la izquierda del campo de entrada aparecerá su avatar. Si lo pulsa, se abrirá la lista de todos los canales y chats donde es administrador. Si ve plataformas desconocidas, renuncie de inmediato a los permisos y abandónelas.
- Compruebe si tiene bots. Envíe un mensaje privado a @BotFather, pulse
/starty luego el comando/mybots. Telegram mostrará la lista de todos los bots a los que tiene acceso o le dirá que no tiene ninguno. Esto le ayudará a confirmar que ningún bot malicioso esté vinculado a su cuenta. - Active la autenticación de dos factores. Esto aumentará su resistencia a los hackeos y dará a Telegram razones para considerar su cuenta como confiable.
- Ignore los bots «oficiales» de Telegram que piden pulsar Start. Telegram nunca escribe a los usuarios a través de bots.
- Alerte a otros. Cuente el esquema a sus amigos, colegas y seguidores. Cuantos menos clics confiados haya, menor será la superficie de ataque.
Conclusión: un clic que puede costarle todo
El esquema de bots maliciosos en Telegram muestra lo sutil que puede ser el engaño. Los atacantes no hackean; le hacen pulsar el botón. Después convierten su clic en una cadena de sucesos que puede llevar a la pérdida de la cuenta, de datos y, en algunos casos, de la reputación.
Telegram no se apresura a resolver las vulnerabilidades de la arquitectura: demasiado está construido sobre una API abierta y una burocracia mínima. Por eso la responsabilidad de la protección recae sobre el usuario. Sea atento, no confíe en el primer bot que encuentre y recuerde siempre: lo gratuito también puede ser motivo para perderlo todo.
