Il lato oscuro di Telegram, phishing automatizzato, truffe altamente personalizzate e dati in vendita

Telegram è oggi una delle infrastrutture più sfruttate dal cybercrime per costruire, vendere e gestire campagne di phishing. La piattaforma svolge contemporaneamente tre funzioni: canale di distribuzione dei kit, forum di supporto tra criminali e punto di raccolta dei dati rubati. Bot, canali privati e marketplace illeciti permettono di allestire truffe sempre più personalizzate, capaci di colpire utenti, professionisti e aziende con messaggi difficili da distinguere dalle comunicazioni legittime.

Il fenomeno non riguarda più soltanto il furto di credenziali. Su Telegram circolano dati personali, accessi compromessi, strumenti di automazione delle frodi e servizi criminali offerti come veri prodotti digitali, secondo un modello phishing-as-a-service (PhaaS) che abbatte le competenze necessarie per attaccare. Per questo il phishing Telegram è una delle manifestazioni più evidenti dell’evoluzione del cybercrime verso modelli scalabili, industrializzati e accessibili anche ad attori poco sofisticati.

Capire come funzionano queste campagne è essenziale per riconoscere i segnali di rischio, proteggere account e identità digitali e ridurre l’esposizione di utenti e organizzazioni.

Phishing Telegram: perché è diventato un canale privilegiato

La combinazione di funzionalità che ha reso Telegram popolare presso il grande pubblico è la stessa che lo rende attraente per gli attaccanti: canali pubblici e privati a bassa moderazione, automazione tramite bot, anonimato percepito, facilità di diffusione dei link e prossimità tra community legittime e marketplace criminali dove si scambiano kit e database.

La distanza tra chi sviluppa gli strumenti d’attacco e chi li utilizza si è ridotta quasi a zero. Un aspirante truffatore privo di competenze tecniche può accedere a servizi chiavi in mano, configurarli in pochi passaggi e avviare una campagna senza scrivere una riga di codice. L’analisi pubblicata nel novembre 2025 da Group-IB su un kit che imitava il provider italiano Aruba S.p.A. descrive proprio questa logica: non più singole pagine clonate, ma piattaforme complete con template dedicati a ciascuna fase dell’attacco e con Telegram come spina dorsale operativa.

Come funzionano le truffe Telegram

Le truffe veicolate su Telegram seguono schemi ricorrenti, quasi sempre basati sull’imitazione di un soggetto affidabile. I messaggi simulano banche, corrieri, exchange di criptovalute, social network o servizi di assistenza, e indirizzano la vittima verso pagine clone costruite per sottrarre credenziali.

Tra le modalità più diffuse rientrano la richiesta di codici OTP con pretesti di sicurezza, il furto di credenziali tramite moduli fasulli, i falsi investimenti in criptovalute, le finte offerte di lavoro e l’impersonificazione del supporto clienti. Una variante molto attiva nel 2025 e 2026 è la truffa del finto lavoro da remoto (il cosiddetto “side job” che imita piattaforme come Booking.com): la vittima viene spostata in un gruppo con un finto mentor e profili compiacenti, invitata a “ricaricare” un account in criptovaluta e poi bloccata quando tenta di prelevare. In tutti i casi la leva è la stessa: una pressione psicologica costruita con tecniche di social engineering che spinge l’utente ad agire prima di verificare.

Bot Telegram e phishing automatizzato

L’automazione è ciò che rende Telegram particolarmente interessante per i cybercriminali. I bot inviano messaggi, raccolgono dati, generano link e, soprattutto, esfiltrano in tempo reale le credenziali appena digitate. Il team di KnowBe4 ha documentato nel maggio 2025 un sistema di “Instant Session Capturing” che, tramite le API dei bot, trasmette i dati all’attaccante nel momento stesso della compilazione, consentendo un account takeover (ATO) nel giro di pochi secondi e mascherando il traffico dietro l’infrastruttura legittima di Telegram.

La scala del fenomeno è significativa. La ricerca di Forescout Vedere Labs, pubblicata nel settembre 2025, ha analizzato 9.100 domini di phishing che usavano le API dei bot Telegram per inoltrare le credenziali rubate tra il 2020 e l’agosto 2025. Lo studio rileva che la quota di domini malevoli ospitati sulle principali piattaforme di hosting front-end è più che triplicata, passando dal 5,3% del 2023 al 16,3% del 2025, che il 28% dei token dei bot risultava riutilizzato su più domini (segno di campagne industrializzate) e che il 30% delle pagine imitava servizi di uso aziendale come WeTransfer e DocuSign.

In parallelo cresce il mercato dei kit venduti direttamente tramite bot. Il team di ricerca di Sekoia ha analizzato “Sneaky 2FA” (noto anche come “Sneaky Log”), un kit di tipo Adversary-in-the-Middle (AiTM) capace di aggirare l’autenticazione a due fattori, commercializzato attraverso un bot al prezzo di circa 200 dollari al mese, in linea con concorrenti come Tycoon 2FA e Mamba 2FA. Sullo stesso modello, nell’aprile 2026 l’FBI ha diffuso un avviso sulla piattaforma “Kali365”, un PhaaS distribuito via Telegram che prende di mira gli account Microsoft 365 con email generate tramite intelligenza artificiale, tracciamento delle vittime in tempo reale e cattura dei token OAuth, sfruttando in particolare l’abuso del device code flow di autenticazione.

Dati in vendita: dal phishing al mercato delle credenziali

Il phishing è solo il primo anello di una catena che porta alla monetizzazione. I canali privati di Telegram funzionano come marketplace in cui si comprano, vendono e scambiano credenziali rubate, kit, accessi a sistemi compromessi e database. L’oggetto della vendita spazia dalle email e password agli account social, dai documenti ai numeri di telefono, fino agli accessi aziendali, ai dati bancari e ai session token utili a bypassare l’autenticazione.

Il caso Aruba documentato da Group-IB mostra l’intera filiera in azione. L’attacco parte da email di spear phishing che segnalano un servizio in scadenza o un pagamento fallito; un filtro CAPTCHA scarta gli scanner di sicurezza; segue una replica fedele della pagina di login, poi una finta pagina di pagamento che chiede una cifra modesta (circa 4,37 euro) per estrarre i dati completi della carta, infine una falsa schermata 3D Secure che cattura il codice OTP inviato dalla banca. Al termine la vittima viene reindirizzata al sito legittimo, ignara di aver consegnato tutto il necessario per autorizzare transazioni fraudolente in tempo reale.

Telegram dopo l’arresto di Durov: cosa è cambiato (e cosa no)

Il quadro va letto alla luce di due sviluppi che hanno modificato in parte il calcolo del rischio per chi usa la piattaforma a fini illeciti.

Il 24 agosto 2024 il fondatore e CEO Pavel Durov è stato fermato all’aeroporto di Parigi-Le Bourget nell’ambito di un’indagine della sezione JUNALCO della Procura di Parigi. Gli sono stati contestati dodici capi d’imputazione, tra cui la complicità nella gestione di una piattaforma che agevola transazioni illecite e la mancata collaborazione con le autorità; Durov, che respinge le accuse, è stato rilasciato su cauzione da cinque milioni di euro con obbligo di firma e divieto di lasciare la Francia.

A metà 2026 l’inchiesta è ancora aperta e le restrizioni agli spostamenti risultano in vigore: il caso si inserisce in una più ampia strategia franco-europea che chiama i vertici delle piattaforme a rispondere personalmente dei reati commessi sui loro servizi, con un parallelo procedimento UE sulla conformità di Telegram al Digital Services Act.

A poche settimane dal fermo, nel settembre 2024, Telegram ha aggiornato la propria privacy policy: la sezione 8.3 prevede che, a fronte di una richiesta legale valida, la piattaforma possa fornire indirizzo IP e numero di telefono degli utenti sospettati di reati, estendendo la cooperazione oltre i soli casi di terrorismo, ai quali era di fatto limitata. L’effetto è misurabile nei rapporti di trasparenza: nel 2024 Telegram ha soddisfatto negli Stati Uniti 900 richieste per 2.253 utenti (contro 14 richieste per 108 utenti fino al 30 settembre), in India 14.641 richieste per 23.535 utenti e nel Regno Unito 142 richieste per 293 utenti.

La lettura per le organizzazioni è duplice. Da un lato l’anonimato percepito su Telegram è meno solido di quanto molti attori criminali ritengano; dall’altro l’infrastruttura di phishing automatizzato, kit e marketplace descritta sopra continua a operare, e parte dell’utenza più esposta sta migrando verso servizi alternativi. La minaccia non si è ridotta: si è spostata e ridistribuita.

Come riconoscere un tentativo di phishing su Telegram

Alcuni segnali ricorrenti permettono di individuare una truffa prima di subire danni:

• messaggi urgenti o minacciosi che impongono di agire subito;
• link accorciati o domini con anomalie nel nome del brand;
• richieste di codici OTP o di credenziali di accesso;
• finte pagine di pagamento per piccole cifre “di rinnovo” o “validazione”;
• richieste di inserire un codice dispositivo su una pagina di login reale;
• promesse di guadagni facili e offerte di lavoro troppo vantaggiose;
• account che si presentano come assistenza ufficiale senza esserlo;
• inviti a installare app esterne o a spostarsi su canali privati.

Nel dubbio, la regola resta una sola: non cliccare, non fornire dati e verificare il canale ufficiale attraverso un percorso indipendente.

Come proteggersi dalle truffe Telegram

Sul piano pratico, alcune misure riducono in modo significativo l’esposizione:

• attivare l’autenticazione a più fattori, privilegiando le passkey o le app rispetto ai codici via SMS;
• non condividere mai i codici OTP, nemmeno con presunti operatori;
• controllare periodicamente le sessioni attive e impostare la chiusura automatica di quelle inattive;
• diffidare dei link ricevuti in chat e verificare gli URL prima di inserire credenziali;
• evitare download da fonti non affidabili e segnalare bot e canali sospetti;
• adottare un password manager con password uniche per ogni servizio.

Per le organizzazioni il presidio va spostato a monte: filtri di posta (secure email gateway), standard di autenticazione delle email (SPF, DKIM, DMARC), monitoraggio e segnalazione dei domini di phishing, architetture zero trust e, come raccomandato dall’FBI nel caso Kali365, la limitazione del device code flow dove non è strettamente necessario, insieme alla formazione continua del personale sul social engineering.

Perché il phishing Telegram è un problema anche per le aziende

Il phishing su Telegram non è solo un rischio per gli utenti privati. Le credenziali sottratte tramite campagne apparentemente consumer possono essere riutilizzate contro account aziendali, servizi cloud, piattaforme SaaS e ambienti collaborativi. Il confine tra truffa personale e compromissione professionale è sempre più sottile, soprattutto quando gli utenti riutilizzano password, numeri di telefono e indirizzi email in più contesti.

Il dato italiano rende la questione concreta. Oltre al kit che imitava Aruba, la ricerca di Forescout segnala che, su 2.600 vittime i cui dati erano stati inoltrati via Telegram, il 33% apparteneva a istituzioni di ricerca italiane, tra cui il CNR e diverse università, con un’esposizione marcata nei settori delle biotecnologie e delle scienze della vita. Per le funzioni di sicurezza, questo significa trattare le piattaforme di messaggistica come parte della superficie d’attacco, integrandole nei programmi di awareness, nelle policy sull’uso degli strumenti personali e nel monitoraggio delle credenziali compromesse. Sono temi che approfondiamo costantemente anche durante i nostri due eventi di cybersecurity annuali: Cyber Crime Conference e al Forum ICT Security.

Domande frequenti

Cos’è il phishing Telegram? Il phishing Telegram è l’uso di messaggi, bot, canali o gruppi della piattaforma per ingannare gli utenti e sottrarre credenziali, dati personali, codici di verifica o informazioni finanziarie.

Come riconoscere una truffa su Telegram? I segnali più comuni sono link sospetti, richieste di codici OTP, finte pagine di pagamento, offerte troppo vantaggiose, messaggi urgenti, account che fingono di essere assistenza ufficiale e inviti a compilare moduli esterni.

I bot Telegram possono essere usati per il phishing? Sì. I bot automatizzano l’invio dei messaggi, la raccolta dei dati e l’esfiltrazione in tempo reale delle credenziali, e vengono usati anche per vendere kit di phishing pronti all’uso, rendendo le campagne più scalabili e difficili da bloccare.

Telegram è sicuro? Telegram offre funzioni di sicurezza, ma la protezione dell’utente dipende anche dal comportamento individuale. Link malevoli, bot fraudolenti, gruppi falsi e richieste di codici possono comunque mettere a rischio account e dati. Dal 2024, inoltre, la piattaforma condivide indirizzo IP e numero di telefono con le autorità in presenza di una richiesta legale valida.

Cosa fare se si è caduti in una truffa Telegram? È consigliabile cambiare subito le password, revocare le sessioni attive, attivare l’autenticazione a più fattori, contattare gli eventuali servizi coinvolti e segnalare il bot, il canale o l’account sospetto.