В Telegram обнаружили способ отследить пользователей через ссылки. Владелец аккаунта узнает, кто открыл подготовленный адрес, даже если человек не написал ничего. Ссылка может быть замаскирована под обычный сайт или чужой профиль.
Причина — недавно появившиеся ссылки для бесплатных сообщений. Если пользователь установил плату за входящие сообщения в Telegram Stars, он может создавать адреса, по которым другие смогут писать бесплатно. При переходе по такой ссылке мессенджер сразу добавляет посетителя в список исключений владельца аккаунта. Отправлять сообщение не требуется.
Опасность в том, что настоящий адрес легко скрывается за произвольным текстом. Ссылка может выглядеть как упоминание @durov или адрес https://google.com, а на самом деле вести к чужому профилю Telegram с параметром ?free=. Пользователь видит знакомое имя или сайт, нажимает — и попадает в список исключений совершенно другого аккаунта. Telegram не запрашивает отдельного подтверждения.
Система работает через специальный токен доступа в ссылке профиля. Он позволяет обойти плату за сообщения конкретному пользователю. Владелец профиля видит, кто воспользовался приглашением, через список исключений для платных сообщений. Это не перехват переписки, а раскрытие факта перехода с привязкой к конкретному аккаунту.
Официальные строки интерфейса Telegram подтверждают механизм. Есть уведомление, что пользователь воспользовался QR-кодом владельца и теперь может писать бесплатно. Система заранее связывает использование приглашения с конкретным пользователем.
Для злоумышленника это дает способ отслеживать интерес без аналитики. Достаточно распространить замаскированную ссылку среди аудитории, потом проверить появившиеся исключения. Этот приём показывает, кто открыл сообщение, заинтересовался или перешёл по ссылке, которую считал ведущей на другой ресурс.
Функция появилась 17 октября 2026 года в бета-версиях Telegram для iOS, macOS и Android. Позже вошла в обновление Telegram 13.1 от 20 октября. Владелец аккаунта выбирает Remove message fee в настройках QR-кода профиля. По умолчанию код действует одну минуту, но это можно отключить. Предусмотрен сброс токена для прекращения действия приглашений.
Насколько широко проявляется особенность на разных платформах, неизвестно. Разработчики не подтвердили, что это признано уязвимостью. Регистрация пользователей при открытии приглашения может быть намеренной частью функции, но отсутствие предупреждения о передаче сведений о посетителе создает риск для конфиденциальности.
Переход по такой ссылке не означает взлом аккаунта, кражу сообщений, раскрытие номера или получение доступа к устройству. Проблема уже — только идентификация пользователя без отправки сообщения. Для защиты проверяйте фактический адрес ссылки перед открытием, особенно когда знакомый никнейм замаскирован под активный текст. Если ссылка ведет на профиль Telegram с неизвестным параметром, безопаснее найти нужный профиль через поиск мессенджера.
