O ecossistema aberto de bots do Telegram é uma das suas maiores forças e, como já mostramos, grande parte do motivo pelo qual as ferramentas de IA decolaram ali. Mas essa mesma abertura significa que não existe uma revisão de loja de apps entre o desenvolvedor e o bot publicado, nem um mecanismo automático que remova um bot que deixou de ser mantido, mudou de dono ou nunca foi legítimo.
Um grande estudo acadêmico sobre bots do Telegram mostrou que cerca de 10% dos bots ligados a finanças já tinham recebido o alerta de golpe do próprio Telegram, contra cerca de 1% nas outras categorias. Além disso, pesquisadores de fraude da Revolut relataram que o Telegram responde hoje por 58% de todos os golpes de emprego denunciados no mundo, contra 50% apenas dois anos antes. Nenhum desses números trata especificamente de bots de IA, mas o padrão se aplica diretamente: as categorias em que as ferramentas de IA estão mais ativas no Telegram hoje (cripto, finanças, assistentes pessoais que cuidam de tarefas reais) também são as que mais atraem golpistas.
Isso não é motivo para evitar bots do Telegram. É motivo para gastar dois minutos conferindo antes de entregar a um bot uma conversa, a conexão de uma carteira ou direitos de administrador em um grupo importante para você.
O checklist: o que olhar de verdade
1. Veja quando ele foi atualizado pela última vez e se ainda responde corretamente
Um bot abandonado é diferente de um bot golpista, mas pode ser igualmente arriscado, principalmente se ainda registra suas mensagens ou mantém permissões que ninguém está monitorando. Procure:
- Um changelog, histórico de versões ou aviso de “última atualização” visível no site ou canal ligado ao bot
- Se os comandos básicos ainda funcionam como descrito ou se retornam respostas desatualizadas ou quebradas
- Se o canal de suporte ou contato ligado ao bot teve alguma atividade recente
Um bot que ninguém mexe há meses, mas que continua no ar, é provavelmente um risco de longo prazo maior do que um novo: não sobrou ninguém responsável se algo der errado com os dados que ele já coletou.
2. Compare o nome de usuário com o original, caractere por caractere
O truque de falsificação mais comum não tem nada de sofisticado: trocar uma letra, acrescentar um hífen ou sublinhado, ou usar um caractere parecido (um “I” maiúsculo no lugar de um “l” minúsculo, por exemplo) em um nome de usuário que, fora isso, é idêntico ao de um projeto legítimo. Funciona porque a maioria das pessoas só bate o olho no nome em vez de ler caractere por caractere.
O que fazer: se um bot diz representar uma empresa, projeto ou figura pública, vá direto ao site oficial ou ao canal verificado dela e copie o link exato do bot de lá, em vez de confiar em um link recebido por mensagem privada ou em um grupo.
3. Compare o que ele pede com o que diz fazer
Esse é o sinal mais rápido. Um bot que gera imagens a partir de prompts não precisa de todo o seu histórico de mensagens. Um bot de alertas de preço não precisa de direitos de administrador em um grupo. Um bot de “atendimento ao cliente” que pede um código de login ou de verificação não está prestando atendimento: é uma tentativa de roubo de credenciais, ponto final, por mais oficial que pareça.
O que fazer: antes de conceder qualquer permissão (direitos de administrador em um grupo, conexão de carteira, acesso à lista de contatos), pergunte se aquela permissão específica faz sentido para a função anunciada do bot. Se a resposta for não, pare por aí.
4. Desconfie de urgência, retorno garantido ou taxas de “verificação”
Bots golpistas, inclusive os disfarçados de assistentes de trading com IA ou “consultores” cripto, dependem muito de urgência fabricada: contagens regressivas falsas, saldos simulados que parecem crescer ou pedidos de um pequeno pagamento de “verificação” ou “desbloqueio” antes de você supostamente poder sacar. Ferramentas legítimas não pedem que você pague para acessar um dinheiro que já é seu.
O que fazer: trate qualquer pedido de pagamento antecipado para “desbloquear”, “verificar” ou “liberar” fundos como um sinal de alerta automático, por mais convincente que seja a conversa.
5. Procure uma política de privacidade real e específica, não um texto genérico
Já escrevemos sobre quanto as ferramentas de IA “gratuitas” realmente custam em dados, e as mesmas checagens valem em dobro aqui. Um bot legítimo, com ou sem IA, deve ter uma política de privacidade específica explicando o que guarda e por quanto tempo. Uma linguagem vaga e genérica, que poderia descrever qualquer app, muitas vezes esconde a falta de uma resposta de verdade.
6. Veja se existe um jeito real de falar com o desenvolvedor
Muitas boas ferramentas são criadas por desenvolvedores independentes que não querem ser identificados publicamente, e o anonimato por si só não desqualifica ninguém. Mas um bot sem nenhuma forma visível de contato com o desenvolvedor (sem canal, site ou suporte em lugar algum), somado a um pedido de permissões sensíveis, elimina qualquer responsabilidade se algo der errado.
Referência rápida: sinais de alerta de bots falsos ou abandonados
| Sinal | O que costuma significar |
|---|---|
| O nome de usuário tem a grafia levemente alterada de uma marca ou projeto conhecido | Tentativa de falsificação |
| O bot tem o rótulo de aviso “SCAM” do próprio Telegram | Já denunciado por outros usuários: confie no aviso |
| Pede um código de login, código de uso único ou código de 2FA | Tentativa de roubo de conta: nunca é um pedido legítimo |
| Pede permissões além da função anunciada | Excesso: só continue depois de questionar o motivo |
| Sem atualizações, comandos quebrados, canal de suporte parado | Abandonado: os dados podem continuar sendo coletados sem responsável |
| Promete retorno garantido ou pede uma “taxa de desbloqueio” | Padrão de golpe financeiro |
| Sem política de privacidade, ou com uma genérica que serve para qualquer app | Não dá para verificar o tratamento dos dados: tenha cautela |
Onde isso mais importa neste diretório
Algumas categorias têm mais risco do que outras simplesmente pelo que foram feitas para acessar:
- IA para cripto: ferramentas que pedem conexão de carteira somam exposição financeira à exposição das conversas, e é justamente a categoria em que o estudo publicado no arXiv encontrou a maior concentração de bots marcados como golpe.
- Agentes pessoais: por definição, acumulam contexto sobre você ao longo do tempo, o que torna mais importante conferir o histórico de atualizações e a política de privacidade do que no caso de um chatbot sem memória.
- Grupos e equipes: bots com direitos de administrador veem todas as mensagens de um grupo, não só as dirigidas a eles, uma área de exposição bem maior do que a de um bot individual.
Nada disso significa evitar essas categorias. Significa que, quanto mais acesso um bot pede, mais o checklist acima importa.
Perguntas frequentes
O Telegram mostra uma mensagem de aviso direto no chat quando você tenta interagir com um bot marcado como suspeito de golpe ou conta falsa. Se você vir esse aviso, confie nele: não siga em frente com base em garantias dadas em outro lugar.
Não por si só. Muitas ferramentas legítimas são criadas por desenvolvedores independentes ou com pseudônimo. O problema maior é o anonimato combinado com um pedido de permissões sensíveis e nenhuma forma de falar com alguém se algo der errado.
Encerre a conversa, não envie mais nenhuma informação nem pagamento e denuncie o bot diretamente ao Telegram. Se você compartilhou um código de login ou senha, troque-o e encerre todas as sessões ativas imediatamente. Se enviou criptomoedas, considere que a transação é muito difícil de reverter e guarde os registros caso precise fazer uma denúncia.
Potencialmente, sim. Um bot abandonado com direitos de administrador ou histórico de conversas guardado, que ninguém mantém, é uma falha de governança de dados: não há ninguém responsável se esse acesso for mal usado ou se o bot mudar de dono depois.
