Ни слова в чат, а в блокноте уже отметили. Как работает новый трюк с деанонимизацией в Telegram
Переход по адресу с параметром ?free= может автоматически добавить пользователя в список исключений для платных сообщений.
В Telegram обнаружили необычный способ отслеживать пользователей через ссылки. Новая функция бесплатных сообщений позволяет владельцу аккаунта узнать, кто открыл подготовленный адрес, даже если человек ничего не написал. Причём ссылка может выглядеть как обычный адрес сайта или чужой профиль.
Проблема связана с недавно появившимися ссылками для бесплатных сообщений. Пользователи, установившие плату за входящие сообщения в Telegram Stars, могут создавать специальные адреса, по которым другие люди смогут писать им бесплатно. Однако при переходе по такой ссылке мессенджер, согласно опубликованному описанию проблемы, сразу добавляет посетителя в список исключений владельца аккаунта. Отправлять сообщение для регистрации перехода не требуется.
Главная опасность заключается в возможности скрыть настоящий адрес за произвольным текстом. Например, отправитель может оформить ссылку как упоминание @durov или как адрес https://google.com, хотя фактически переход ведёт к его собственному профилю Telegram с параметром ?free=. Пользователь видит знакомое имя или сайт, нажимает на ссылку и может попасть в список исключений совершенно другого аккаунта. Отдельного подтверждения добавления в список, по наблюдениям автора сообщения, Telegram не запрашивает.
Механизм работает благодаря специальному токену доступа, который мессенджер добавляет к ссылке на профиль. Токен позволяет обойти плату за отправку сообщений конкретному пользователю. Владелец профиля получает возможность определить, кто воспользовался приглашением, через список исключений для платных сообщений. Причём технически речь идёт не о перехвате переписки, а о раскрытии факта перехода с привязкой к конкретному аккаунту.
Дополнительное подтверждение механизма содержится в официальной локализации Telegram. Среди строк интерфейса присутствует уведомление о том, что определённый пользователь воспользовался QR-кодом владельца профиля и теперь может писать ему бесплатно. Предусмотрено и сообщение для самого посетителя о предоставленном бесплатном доступе. Таким образом, система изначально связывает использование специального приглашения с конкретным пользователем, а не просто открывает страницу профиля.
Для потенциального злоумышленника такая особенность создаёт возможность отслеживать интерес к сообщениям без обычных инструментов веб-аналитики. Достаточно распространить замаскированную ссылку среди определённой аудитории, а затем проверить появившиеся исключения. Подобный приём может использоваться для выяснения, кто открыл конкретное сообщение, заинтересовался предложением или перешёл по ссылке, которую получатель считал ведущей на совершенно другой ресурс.
Новая возможность появилась 17 октября 2026 года в бета-версиях Telegram для iOS 13.0.1, macOS 13.0 и Android 13.1. Позднее функция вошла в обновление Telegram 13.1, распространение которого началось 20 октября. Для создания бесплатной ссылки владелец аккаунта выбирает Remove message fee в настройках QR-кода профиля. По умолчанию код действует одну минуту, но ограничение можно отключить. Также предусмотрен сброс токена для прекращения действия ранее созданных приглашений.
Насколько широко проявляется описанная особенность на разных платформах и версиях Telegram, пока неизвестно. Публичного подтверждения от разработчиков, что поведение признано уязвимостью, также нет. Сама возможность регистрировать пользователей при открытии приглашения может быть предусмотренной частью функции, однако отсутствие очевидного предупреждения о передаче владельцу ссылки сведений о посетителе создаёт риск для конфиденциальности.
При этом переход по такой ссылке сам по себе не означает взлом аккаунта, кражу сообщений, раскрытие номера телефона или получение доступа к устройству. Потенциальная проблема значительно уже и связана с идентификацией пользователя без отправки сообщения. Для защиты стоит проверять фактический адрес ссылки перед открытием, особенно когда знакомый никнейм или название сайта оформлены как активный текст. Если ссылка ведёт на профиль Telegram с неизвестным параметром, безопаснее открыть нужный профиль через поиск мессенджера.