Une session Telegram ouverte dans un navigateur donne accès à l’intégralité des conversations cloud du compte. Elle survit à la fermeture du navigateur, ne dépend plus du téléphone une fois établie, et n’émet aucune alerte tant que personne ne va la chercher. C’est un accès complet, traité par la plupart des utilisateurs comme un onglet parmi d’autres.
Article invité – Le vecteur d’entrée le plus efficace tient en une image. L’attaquant ouvre Telegram Web sur sa propre machine, capture le QR code de connexion affiché à l’écran, puis le fait scanner à sa victime sous un prétexte anodin : une vérification, un accès à un groupe, une inscription. La victime scanne avec son application Telegram, et ouvre son compte sur l’ordinateur de l’attaquant. Aucun mot de passe n’est demandé, aucune notification n’est envoyée, rien ne distingue l’opération d’une connexion légitime. La compromission est immédiate et silencieuse.
Un second mécanisme entretient la confusion. Contrairement à ce que tout le monde suppose, Telegram n’envoie pas son code de connexion par SMS en priorité : si un appareil du compte est déjà actif, le code part dans l’application elle-même, dans la conversation de service à coche bleue. Le SMS n’est qu’un repli. L’utilisateur qui fixe sa messagerie SMS sans rien voir arriver redemande un code, se heurte à des délais qui s’allongent, et devient réceptif au premier raccourci qu’on lui propose. Le QR code envoyé par un tiers arrive exactement à ce moment-là.
Trois mesures réduisent la surface, dans cet ordre :
- L’audit des sessions actives d’abord, depuis le téléphone : Paramètres puis Appareils, ou Confidentialité et sécurité puis Sessions actives. Chaque session y est listée et peut être fermée à distance, sans accès à la machine concernée. C’est le seul endroit où une compromission par QR code devient visible.
- La validation en deux étapes ensuite. Elle impose un mot de passe après la connexion par QR code, ce qui casse le scénario décrit plus haut.
- Les clés d’accès enfin, que Telegram a ajoutées le 12 décembre 2025. Elles suppriment le code de connexion au profit du déverrouillage de l’appareil, et retirent au passage tout intérêt aux techniques qui reposent sur l’interception ou la sollicitation de ce code.
Une limite demeure, et elle est structurelle. Le numéro de téléphone reste l’identifiant unique du compte, et le code SMS reste disponible en secours. Qui prend le contrôle de la ligne prend le contrôle du compte, clé d’accès ou pas. La sensibilisation doit porter sur les deux, pas seulement sur le mot de passe.
Le détail des méthodes de connexion, des cas de blocage et des manipulations citées ici est documenté dans ce guide : https://jurojin.net/telegram-
