Как мошенники крадут аккаунты на Госуслугах через MAX и Telegram: новая схема 2026 года

Телефонные звонки от «следователей» и «службы безопасности» окончательно устарели. Осенью 2026 года киберпреступники автоматизировали процесс. Теперь учетные записи от Госуслуг массово угоняют через мессенджеры MAX и Telegram. Алгоритм работает без участия человека. Жертва сама отдает ключи шифрования.

Ниже — детальный разбор новой механики перехвата и сухая инструкция по защите.

Анатомия взлома: как работают фейковые боты

Злоумышленники сделали ставку на доверие пользователей к локальным цифровым сервисам. Вместо прямых угроз они предлагают помощь или срочную информацию.

• Этап 1: Подмена источника. Пользователь получает ссылку на запуск бота в Telegram или MAX. Преступники маскируют их под полезные региональные утилиты: радары городских новостей, сервисы оплаты ЖКХ или агрегаторы муниципальных скидок. Дизайн и логотипы скопированы идеально.

• Этап 2: Фишинговая авторизация. Для доступа к «расширенным функциям» или чтению закрытой новости бот просит подтвердить личность. Жертву перекидывает на встроенный WebView-экран. Визуально это точная копия страницы входа на Госуслуги.

• Этап 3: Перехват сессии. Вы вводите логин и пароль. Затем приходит реальное SMS-сообщение от портала с кодом подтверждения. Как только цифры попадают в форму бота — скрипт мгновенно авторизуется в вашем аккаунте на удаленном сервере мошенников.

• Этап 4: Блокировка владельца. Скрипт автоматически меняет контактный email, номер телефона и контрольные вопросы. Доступ теряется за три секунды.

Почему эта схема собирает максимум жертв

Старые методы требовали живого диалога. Человек мог заподозрить обман по голосу, акценту или интонации. Боты лишены эмоций. Они не давят, а просто предлагают удобный функционал.

Схема активно эксплуатирует региональные инфополя. Ссылки на поддельные мини-приложения часто сеют через таргетированную рекламу ВКонтакте или в комментариях крупных городских сообществ. Местный контекст усыпляет бдительность. Пользователи привыкли доверять районным пабликам.

Три жестких правила для защиты профиля

Никаких полумер. Угнанный профиль — это оформленные микрозаймы, слив электронных подписей и проблемы с налоговой.

1. Запрет на внутренние браузеры. Никогда не вводите пароли от государственных порталов внутри мессенджеров. Открывайте только официальное приложение Госуслуг или вбивайте адрес в десктопном браузере руками.

2. TOTP вместо SMS. Обычные текстовые сообщения легко перехватываются фишингом. Подключите в настройках безопасности генератор кодов (например, Google Authenticator). Эту защиту автоматизированные скрипты обойти не могут.

3. Аудит подключенных сессий. Возьмите за правило раз в месяц проверять вкладку «Безопасность». Видите активную сессию с неизвестного IP-адреса или странного смартфона? Немедленно жмите «Завершить все сессии» и меняйте пароль.