Telegram 账号安全检查清单：Passkey、两步验证与登录设备

Telegram 盗号很少从“破解加密”开始，更多是用户把登录验证码交给假客服、扫描陌生二维码、运行窃取 Session 的程序，或忘记清理旧电脑上的登录。安全设置的目标很朴素：即使短信被截获或某台设备失控，攻击者也不能轻易接管账号。

下面按优先级检查。界面路径可能因版本不同，但都应从官方客户端的 Settings → Privacy and Security 一类入口进入，不要跟着陌生人发来的网页操作。

1. 确认绑定号码仍由你控制

Telegram 账号与手机号码关联。官方 FAQ 建议始终使用你控制的最新号码；换号时应通过应用内 Change Number 迁移，而不是等旧号码被运营商回收。

检查 SIM 是否仍能收取通信，运营商账户是否有额外 PIN 或转号保护。号码失效却继续依赖现有登录设备，会让未来恢复变得困难。虚拟号码、临时接码和不受你控制的公司号码都增加风险。

2. 设置 Passkey，但不要因此放弃其他恢复方式

Telegram 于 2025 年加入 Passkeys。它允许用设备 PIN 或生物识别完成登录，减少对短信验证码的依赖。到 Settings → Privacy and Security → Passkeys 查看是否可创建；Passkey 可保存在支持的密码管理器或设备生态中，并同步到你的其他设备。

创建后做两件事：确认密码管理器本身受强认证保护；保留你仍控制的电话号码。Passkey 提高登录便利与抗钓鱼能力，不代表账号从此与号码无关，也不应把唯一 Passkey 留在一台可能丢失的设备上。

3. 开启两步验证并设置恢复邮箱

Telegram 的 Two-Step Verification 会在新设备登录时要求额外密码。这个密码不应与邮箱、手机解锁码或其他网站相同。使用密码管理器生成并保存长而唯一的密码，比依赖记忆中的简单词可靠。

设置恢复邮箱，并立即确认邮箱地址正确。恢复邮箱本身也要启用多因素认证；否则攻击者只需先拿下邮箱。收到重置请求时，先从 Telegram 设置内核对，不点击来历不明邮件中的按钮。

不要把“两步验证密码”和短信/应用内登录验证码混为一谈。任何自称管理员、频道客服、招聘方或投资顾问的人都不需要这两类凭据。

4. 查看 Devices / Active Sessions

在 Privacy and Security 中打开 Devices 或 Active Sessions，逐项检查设备型号、客户端、位置和最近活动。位置通常来自网络地址，只能作为线索，不必因城市略有偏差立即恐慌；陌生设备、异常国家或你早已不用的电脑则应终止会话。

先保留当前设备，终止确定不认识或不再控制的会话。若怀疑账号已被盗，同时更改两步验证密码、保护恢复邮箱、检查绑定号码，并通知可能收到冒充消息的联系人。

定期清理比出事后回忆更有效。公共电脑、维修设备、出售旧手机和借用别人电脑后，都应马上检查会话列表。

5. 给每台设备加本地锁

Telegram 的应用内 Passcode Lock 用来防止别人拿到已解锁设备后直接打开聊天。它和账号两步验证不是同一功能：前者保护本机应用入口，后者保护新登录。

设置短自动锁定时间，并启用设备磁盘加密、系统登录密码和生物识别。桌面端尤其容易长期保持登录，不应只依赖办公室门锁。通知预览也可能在锁屏或投屏时泄露消息，按设备场景隐藏敏感正文。

6. 识别五种常见接管方式

“官方客服”索要验证码

Telegram 登录验证码用于登录你的账号，不用于退款、解封、投票、认证或加入频道。验证码发给谁，谁就可能完成登录。

二维码登录诱导

Telegram Desktop/Web 的二维码用于把新设备加入你的账号。陌生网站让你“扫码验证不是机器人”或“扫码投票”，本质可能是在授权新会话。扫码前只从你主动打开的官方客户端和官方域名进入。

Session 文件和桌面程序

所谓抢红包、频道采集、自动交易、会员破解工具可能窃取本地会话。不要向任何人发送 Telegram Desktop 数据目录、Session 字符串或调试日志；不运行无法核验来源的软件。

SIM 换卡与号码回收

攻击者可能利用运营商流程控制号码；废弃号码也可能重新分配。两步验证、Passkey 和运营商账户保护能降低风险，但最重要的是及时把 Telegram 迁移到仍控制的号码。

假频道与仿冒管理员

头像和显示名可以复制。核对准确 @username、共同群组、官网链接和历史行为。认证标识用于识别官方身份，不代表每条投资、招聘或付款信息都安全。

7. 调整电话号码与转发隐私

在 Privacy and Security 中检查 Who can see my phone number、Who can find me by my number、转发消息链接、群组邀请和通话等设置。选择要根据社交需求，不存在适合所有人的“全部关闭”。

Telegram 用户名是公开发现入口。设置用户名后，别人可在不知道号码的情况下联系你；不想被公开搜索时可移除用户名。限制号码可见也不能抹掉已经知道或保存你号码的人所掌握的信息。

账号异常时先做什么

仍有一个设备在线时，不要先退出。进入 Devices 终止陌生会话，设置或更改两步验证，检查号码与邮箱，再通知联系人忽略可疑消息。如果所有设备都失去访问，按照 Telegram 官方 FAQ 的账号恢复路径和号码控制情况处理。

不要向搜索结果中的“付费恢复专家”发送验证码、身份证或加密货币。Telegram 官方支持不会通过陌生私聊要求远程控制你的电脑。

每月一次的最小检查

1. 绑定号码仍由自己控制。
2. Passkey 可用且有可靠备份路径。
3. 两步验证密码唯一，恢复邮箱安全。
4. Devices 中没有陌生或废弃会话。
5. 手机与电脑应用本地锁正常。
6. 锁屏不显示不必要的敏感内容。
7. 没有安装来历不明的 Telegram 工具或客户端。

常见问题

Passkey 能完全替代手机号吗？

不能这样理解。Telegram 官方仍建议保持绑定号码处于你的控制，Passkey 是更安全便捷的登录方式之一。

终止其他会话会删除聊天吗？

终止会话会让对应设备退出账号，不等于删除云端聊天。该设备上的 Secret Chats 属于设备限定内容，退出后无法从云端恢复。

收到自己没申请的验证码怎么办？

不要转发或输入到陌生页面，检查 Devices 和两步验证状态。验证码本身可能说明有人尝试登录，但只有结合会话列表才能判断是否成功。