Le lien Telegram qui « fait bannir » : ce que fait vraiment tg://msg_url

Le 24 octobre, des messages ont commencé à circuler sur des chaînes Telegram à propos d'un lien qui commence par tg://msg_url. Selon eux, l'ouvrir envoie depuis votre compte un message d'hameçonnage déjà rédigé, et Telegram vous suspend ensuite pour spam. Ces messages attribuent l'alerte à Telegram, mais nous n'avons trouvé aucune déclaration de Telegram lui-même. Les messages précisent eux-mêmes que l'information n'est pas confirmée.

De quel lien s'agit-il ?

Ce n'est pas une nouvelle faille. tg://msg_url est le lien de partage standard de Telegram, décrit dans la documentation de l'API Telegram. Il contient un lien et, en option, un texte. À l'ouverture, l'application affiche la liste de vos conversations. Une fois la conversation choisie, le lien et le texte sont placés dans le champ de saisie.

Dans l'exemple qui circule le 24 octobre, ce texte vante un cadeau de collection (un lien vers t.me/nft/…) pour 1500 étoiles, une arnaque classique aux cadeaux.

Le message part-il tout seul ?

D'après la documentation de Telegram, non. Il faut choisir une conversation, et le message ne part que lorsque vous appuyez sur Envoyer. Nous n'avons pas testé toutes les versions de l'application et ne pouvons donc pas exclure qu'une d'elles se comporte autrement.

Le vrai risque, c'est le geste rapide ou distrait : vous choisissez une conversation, le texte est déjà là, et vous l'envoyez. Les destinataires signalent l'arnaque, et les modérateurs de Telegram limitent les comptes signalés pour spam, comme l'explique sa FAQ sur le spam. Les récidives entraînent des limitations plus longues.

Comment se protéger

• N'ouvrez pas les liens commençant par tg://msg_url, t.me/share ou t.me/msg/url envoyés par des inconnus.
• Si une liste de conversations s'ouvre sans raison, fermez-la. N'envoyez jamais un texte que vous n'avez pas écrit.
• Méfiez-vous des offres de cadeaux, de NFT ou d'étoiles. Les vrais cadeaux arrivent dans Telegram, pas par un lien.
• Activez la vérification en deux étapes et vérifiez Réglages, Appareils pour repérer des sessions inconnues.
• Si votre compte a été limité par erreur, écrivez à @SpamBot, comme le conseille Telegram.

Ce que nous ne savons pas

Nous n'avons trouvé ni la source d'origine de l'alerte, ni aucun cas confirmé d'un message envoyé sans que l'utilisateur appuie sur Envoyer. Nous mettrons cet article à jour si Telegram réagit.