Bot do Telegram é seguro? O que ele vê e quando fugir

Resumo rápido

• Ao tocar em “Iniciar”, o bot recebe seu nome, seu @username, suas fotos de perfil e o que você mandar; o número só chega se você confirmar o envio.
• Bot que promete consultar CPF, telefone ou placa de outra pessoa trabalha com dados de quem não consentiu e viola as regras do próprio Telegram.
• Nenhum bot legítimo pede o código de login, a senha da conta ou Pix adiantado por créditos de consulta.
• Selo de verificado só separa o bot autêntico das imitações; não é aval do Telegram ao serviço.
• Abuso dentro do app se denuncia em “Denunciar”; venda de dados pessoais também cabe à ANPD e à polícia.

Um bot de figurinhas e um balcão que vende fichas de desconhecidos chegam até você com a mesma cara: uma descrição curta e um botão “Iniciar”. O que separa um do outro é o que cada um pede depois do primeiro toque, e o que o Telegram deixa ou não deixa o criador enxergar.

Bot comum, bot de consulta e perfil disfarçado: de onde vem a confusão

A central de perguntas do Telegram responde “sim” à dúvida sobre a segurança dos bots e, na mesma resposta, manda tratar qualquer bot como um estranho. Uma frase fala do que a plataforma deixa o bot ver; a outra, do que a pessoa por trás dele pode fazer com o que você entregar, e essa pessoa quase nunca é o Telegram.

A confusão cresce com dois personagens que se misturam aos bots comuns. O primeiro é o bot de consulta, que promete devolver CPF, telefone, endereço ou placa de qualquer pessoa em troca de Pix. O segundo é a conta humana que se apresenta como “bot de suporte” para parecer automática e inofensiva.

Esse segundo caso tem pistas técnicas. Pela documentação oficial, um bot não consegue começar conversa: só responde a quem mandou mensagem primeiro ou o colocou num grupo. Bots também não têm “visto por último” nem status online, e o app mostra o rótulo “bot” no lugar disso. Se um “assistente automático” surge no seu privado sem que você tenha falado com ele antes, ou exibe horário de acesso, trate como pessoa desconhecida.

Seis crenças sobre bots diante do que o Telegram documenta

“O Telegram responde pelo que o bot faz”

Fato: não responde. Fora alguns bots próprios para funções específicas, como o @gif e o @Stickers, os bots são de desenvolvedores de fora, e os termos de uso dos bots dizem que cada serviço é de um terceiro independente, sem afiliação com o Telegram, e que disputas de pagamento devem ser tratadas com esse terceiro ou com o prestador de pagamento escolhido por ele. Num Pix feito direto para a chave do dono de um bot de consulta, o Telegram não entra na disputa, e o único caminho de contestação passa pelo seu banco.

“Tocou em Iniciar, o bot já tem seu número e seus contatos”

Fato: pela central de perguntas, o bot vê seu nome público, seu @username, suas fotos de perfil e as mensagens que você manda a ele. Não vê seu “visto por último” nem seu número, a menos que você decida entregar. A Política de Privacidade acrescenta três detalhes: ele pode receber o idioma do seu app, pode saber que você é membro de um grupo em que ele também está e pode obter seu endereço IP se você tocar num link ou botão que leve a um site controlado por ele.

Número e localização só saem por botões que o próprio bot exibe para pedir isso. No caso do telefone, o app abre uma janela de confirmação antes de enviar: quem confirma entrega o dado na hora; quem cancela não envia nada.

“Bot de consulta só reúne dados que já são públicos”

Fato: os termos que todo desenvolvedor aceita proíbem bots que publiquem, promovam ou facilitem a circulação de informações pessoais de terceiros que não consentiram. No Brasil, a Lei Geral de Proteção de Dados só admite o uso de dado pessoal com base legal, e mesmo o dado de acesso público continua preso à finalidade para a qual foi divulgado. Um balcão anônimo vendendo ficha de desconhecido não cumpre nenhuma dessas condições.

Para quem usa, o risco é duplo: você paga a alguém que já opera fora das regras, sem garantia de receber nada, e entrega seus próprios dados no caminho. Numa situação hipotética, Marcos abre um bot anunciado num grupo de ofertas, toca em “Iniciar” e recebe uma lista de planos; um botão chamado “Liberar acesso” dispara a janela de compartilhar o telefone, e o passo seguinte é um Pix. Ao fim, o desconhecido tem nome, foto, @username, telefone e o nome completo do comprovante, e a consulta pode nunca chegar.

“Bot com selo de verificado foi aprovado pelo Telegram”

Fato: pelos termos para desenvolvedores, o status de verificado é dado a critério exclusivo do Telegram e serve só para distinguir bots autênticos e oficiais de imitações, sem representar endosso ao bot, ao dono ou ao conteúdo. A terminação “bot” no @ também não prova nada sozinha: a documentação lembra que há bots sem esse final, como o @wiki e o @bing, e que nomes de usuário colecionáveis podem ser dados a qualquer bot.

“Bot no grupo lê tudo o que você escreve”

Fato: depende do modo em que ele foi colocado. Por padrão, o bot só vê as mensagens destinadas a ele, e a lista de membros mostra “não tem acesso às mensagens” ao lado do nome. Quando o desenvolvedor desliga esse modo de privacidade, aparece “tem acesso às mensagens” e o bot recebe tudo o que é enviado no grupo. Bot administrador, porém, recebe todas as mensagens de qualquer forma.

“Se o bot pediu o código, é para confirmar a conta”

Fato: o código de login da sua conta chega numa conversa verificada chamada “Telegram”, e a central de perguntas diz que ele não deve ser passado a ninguém, nem a outros serviços ou apps. Códigos de outros serviços que usam o Telegram para enviá-los caem numa conversa separada, “Códigos de Verificação”, e também não são assunto de bot. Os termos para desenvolvedores, por sua vez, proíbem bots que peçam a senha ou o código de acesso do usuário.

O exame de cada bot antes de tocar em “Iniciar”

Tudo o que importa aparece antes do primeiro toque. Sempre que um link t.me levar você a um bot desconhecido, siga esta ordem:

1. Olhe embaixo do nome, no topo da conversa: um bot mostra ali o rótulo “bot”, nunca o “visto por último” de uma pessoa.
2. Compare o @username, letra por letra, com o endereço que a empresa divulga no site oficial dela; uma imitação pode trocar uma única letra ou acrescentar um sublinhado.
3. Leia o quadro “O que este bot pode fazer?”, que o criador escreve e o app mostra enquanto a conversa está vazia; promessa de consultar dados alheios, de ganho fácil ou de “liberar” algo mediante código encerra a avaliação ali.
4. Repare no link que trouxe você: no formato t.me/nome_do_bot?start=código, ele entrega esse código ao bot com o comando de início, e o bot fica sabendo de qual divulgação você veio.
5. Toque em “Iniciar” só depois dessas checagens.
6. Recuse a janela que pede para compartilhar seu número e os pedidos de localização quando o serviço não precisa disso para funcionar.

A tabela resume o que cada pedido do bot custa a você:

Pedido do bot	O que ele passa a saber	Quando aceitar
Toque em “Iniciar”	Nome, @username, fotos de perfil e idioma do app	Quando a função do bot é clara e o link veio de um canal oficial
Botão que pede seu número	O telefone ligado à sua conta	Só quando um serviço que você já usa precisa ligar a conta ao seu cadastro
Botão que pede localização	Onde você está naquele momento	Em serviço de entrega ou mapa que você conhece; nunca em bot de sorteio ou consulta
Link ou botão que abre um site	Seu endereço IP, se o site for do criador do bot	Quando o endereço é de quem você reconhece, sem letra trocada no domínio
Código, senha ou Pix antecipado	Acesso à sua conta ou ao seu dinheiro	Nunca

Ajustes e hábitos que diminuem o que um bot leva de você

Mesmo um bot honesto fica com o que recebe: pelos termos de uso, quem guarda o que você envia é o desenvolvedor. Mande só o necessário para a função que você quer e nunca envie documento, foto de RG ou número de CPF a um bot que você não conhece.

• Bloqueie o que incomoda. No perfil do bot, a opção de bloqueio corta as mensagens dele; se mudar de ideia, desbloquear e reiniciar o bot reabre a conversa.
• Proteja a conta antes de precisar. Em “Configurações” > “Privacidade e Segurança” > “Verificação em Duas Etapas”, você cria uma senha extra, pedida além do código sempre que alguém tentar entrar na conta por outro aparelho.
• Revise as sessões abertas. Em “Configurações” > “Dispositivos” (ou “Privacidade e Segurança” > “Sessões Ativas”) aparece cada aparelho conectado; encerre a sessão de qualquer um que você não reconheça.
• Apague dados de compra guardados. Se já pagou algo dentro de um bot, “Limpar Dados de Pagamento e Entrega”, em “Configurações” > “Privacidade e Segurança” > “Configurações de Dados”, remove o que ficou salvo e pede aos provedores de pagamento que apaguem os dados do cartão.

Num caso hipotético, Júlia entra num grupo novo e, pouco depois, recebe no privado uma mensagem de um tal “Bot de Verificação do Grupo” pedindo o código que acabou de chegar, para “provar que não é robô”. Ela abre o perfil e encontra um horário de visto por último no lugar do rótulo “bot”: é uma pessoa. Júlia não responde, usa “Denunciar” na mensagem, bloqueia o perfil e abre “Dispositivos” para ver se há alguma sessão estranha.

Também não é preciso entregar nada a bot que promete indicar grupos: para achar grupos e canais por assunto, basta navegar pelas categorias de grupos e canais do site; quando o convite vier por link, o guia sobre convites t.me e pedidos de aprovação mostra o que cada tipo faz antes de você tocar nele.

Bot suspeito, dado exposto ou código entregue: a quem recorrer

No app, a denúncia vai para os moderadores do Telegram, e o gesto muda conforme o aparelho:

• Android: toque na mensagem do bot e escolha “Denunciar”.
• iPhone: pressione e segure a mensagem e escolha “Denunciar”.
• Computador (Desktop, Web ou macOS): clique com o botão direito na mensagem e escolha “Denunciar”.

Depois, escolha o motivo que mais se aproxima do caso. Para conteúdo ilegal, a central de perguntas também indica o endereço de remoção abuse@telegram.org. Se alguém usa um perfil se passando por você, o contato indicado é o @NoToScam.

Se você chegou a digitar o código de login num bot ou numa conversa, aja na hora: abra “Dispositivos”, encerre as sessões desconhecidas e ative a “Verificação em Duas Etapas”.

Fora do app, cada problema tem seu endereço. Venda ou exposição de dados pessoais pode ser comunicada à Autoridade Nacional de Proteção de Dados: a página de direitos do titular de dados na ANPD explica a diferença entre a denúncia, aberta a qualquer pessoa, e a petição do titular, para quando um responsável específico violou seus direitos. Golpe com Pix e ameaça feita com seus dados pedem boletim de ocorrência e contato imediato com o seu banco.

Crimes e violações de direitos humanos que circulem por bots ou grupos, como abuso contra crianças, podem ser denunciados de forma anônima na central de denúncias da SaferNet Brasil. Não reencaminhe esse material a ninguém: guarde só o link ou o @ e o horário. Outros guias de conta e privacidade estão no blog do Links de Telegram BR.