Telegram è sicuro? Crittografia, polizia e hacker nel 2026

Telegram si descrive come un'app di messaggistica "focalizzata su velocità e sicurezza", e la usano più di un miliardo di persone. Se sia sicura dipende dal tipo di chat in cui ti trovi, e la maggior parte delle persone non entra mai in quella crittografata. Tutto quello che trovi qui sotto viene dalle domande frequenti e dall'informativa sulla privacy di Telegram, dalle ricerche di crittografia pubblicate, dai dati sulle divulgazioni fino a metà 2026 e dalle correzioni di sicurezza che Telegram ha rilasciato fino a settembre 2026.

Telegram è sicuro?

Telegram è sicuro rispetto agli estranei sulla tua rete, ma le sue chat normali non sono crittografate end-to-end. Messaggi, gruppi e canali sono conservati sui server di Telegram, e le chiavi le ha Telegram. Solo le chat segrete, che avvii a mano con una persona su un dispositivo, sono crittografate end-to-end. Davanti a un ordine valido di un'autorità giudiziaria, Telegram può divulgare il tuo indirizzo IP e il tuo numero di telefono.

Per le chat informali e i canali pubblici, i rischi principali sono le truffe e il furto dell'account, e qualche impostazione li riduce entrambi. Sul computer, aggiorna Telegram Desktop alla versione 7.2.9 o successiva: nel 2026 sono state corrette due falle gravi dell'app desktop. Tutto quello che non vorresti far leggere a un'azienda o a un tribunale non va scritto in una chat normale di Telegram. Il contenuto delle chat segrete è fuori dalla portata di Telegram, con dei limiti su dove funzionano.

Telegram è crittografato? Tipo di chat per tipo di chat

"Crittografato" copre due cose diverse. La crittografia tra te e un server impedisce a chi è sul Wi-Fi di leggere, ma il server può leggere il messaggio. La crittografia end-to-end vuol dire che solo le persone nella conversazione hanno le chiavi.

Le domande frequenti di Telegram lo dicono chiaramente: "La crittografia server-client che è usata nelle Chat Cloud (chat private e di gruppo) mentre le Chat Segrete utilizzano un ulteriore di livello di crittografia client-client."

Tre limiti delle chat segrete contano nella pratica:

• Sono manuali. Apri il profilo di un contatto, tocca "…" e scegli Avvia chat segreta. Niente passa da solo a una chat segreta.
• Sono uno a uno. Non esiste una chat segreta per gruppi o canali.
• Sono legate a un dispositivo. Telegram dice che se crei una chat segreta da un dispositivo, "la chat sarà disponibile solo su quest'ultimo", e se ti disconnetti la perdi. Le app per smartphone e Telegram per macOS le hanno. Telegram Desktop, l'app che usa la maggior parte di chi ha Windows o Linux, no: la richiesta di questa funzione è aperta nel sistema di segnalazione del progetto dal 2014.

Telegram può leggere i miei messaggi?

Per le chat cloud Telegram ha la capacità tecnica di farlo, perché conserva i messaggi e ha le chiavi. La sua informativa sulla privacy (in inglese) descrive due casi in cui quella capacità viene usata: i moderatori "possono controllare i messaggi che sono stati segnalati loro dai destinatari", e Telegram "può anche usare algoritmi automatici per analizzare i messaggi nelle chat cloud per fermare spam e phishing". La stessa informativa dice che il contenuto delle chat cloud non viene usato per mirare la pubblicità.

Telegram difende questo modello dicendo che i dati delle chat cloud stanno in data center in diverse giurisdizioni e che "le relative chiavi di decrittazione sono divise in parti e non sono mai conservate nello stesso posto dei dati che proteggono", quindi servirebbero più ordini di tribunali di paesi diversi per forzare l'accesso. Questo alza l'asticella legale senza cambiare chi ha le chiavi.

Per le chat segrete, l'informativa dice: "Non c'è modo per noi o per chiunque altro senza accesso diretto al tuo dispositivo di sapere quale contenuto viene inviato in quei messaggi."

Telegram dà i tuoi dati alla polizia o ai governi?

Sì, i dati dell'account. È la parte che è cambiata di più, e ha delle date precise.

Agosto 2024. Il fondatore Pavel Durov è stato arrestato all'aeroporto di Le Bourget, vicino a Parigi, e indagato formalmente per le attività criminali sulla piattaforma e per la mancata collaborazione di Telegram con le autorità.

Settembre 2024. Telegram ha riscritto la sezione 8.3 della sua informativa sulla privacy. Da allora non è cambiata; l'ultimo aggiornamento dell'informativa, il 21 agosto 2026, riguardava la pubblicità. La versione precedente copriva solo i sospettati di terrorismo. Quella attuale dice: "Se Telegram riceve un ordine valido dalle autorità giudiziarie competenti che conferma che sei sospettato in un caso che riguarda attività criminali che violano i Termini di servizio di Telegram, effettueremo un'analisi legale della richiesta e potremo divulgare il tuo indirizzo IP e il tuo numero di telefono alle autorità competenti."

I numeri da allora. Telegram li pubblica solo tramite il suo bot @transparency, un paese alla volta. Per gli Stati Uniti, BleepingComputer ha riportato (in inglese) 14 richieste soddisfatte per 108 utenti da gennaio a settembre 2024, e 900 richieste per 2.253 utenti nell'intero anno. Un archivio collaborativo dei report del bot (in inglese), aggiornato l'ultima volta il 5 ottobre 2026, mostra questi dati per gli Stati Uniti:

A livello mondiale, 404 Media ha contato dati su 22.777 utenti consegnati solo nei primi tre mesi del 2025. L'archivio è raccolto da volontari, quindi considera i totali per paese come un minimo.

Cosa non c'è in quei numeri. Le domande frequenti di Telegram dicono: "Ad oggi, abbiamo divulgato 0 byte di messaggi degli utenti a terzi, inclusi i governi." Le divulgazioni qui sopra sono numeri di telefono e indirizzi IP, che bastano a identificare il titolare di un account. L'informativa di Telegram dice che può conservare indirizzi IP, dettagli del dispositivo e la cronologia degli username per un massimo di 12 mesi.

Il caso francese a ottobre 2026. L'indagine è ancora aperta. Durov ha potuto lasciare la Francia a marzo 2025, e gli inquirenti gli hanno tolto del tutto il divieto di viaggio (in inglese) a novembre 2025. A luglio 2026 è stato interrogato dai giudici istruttori per la quarta volta (in inglese), secondo quanto riportato da AFP. I suoi avvocati dicono che non ci sono prove per le accuse.

Il protocollo di crittografia di Telegram è sicuro?

Telegram usa un protocollo tutto suo, MTProto, dove la maggior parte delle app usa TLS per la connessione al server. La versione attuale è MTProto 2.0, basata su AES-256, SHA-256 e Diffie-Hellman a 2048 bit. È stata studiata pubblicamente più di una volta:

• 2015, Jakobsen e Orlandi. Hanno mostrato che l'MTProto originale non soddisfaceva una definizione standard di sicurezza (IND-CCA). Non hanno trovato un modo per recuperare i messaggi, e MTProto 2.0 ha poi sostituito il progetto che avevano esaminato.
• 2020, Miculan e Vitacolonna. Hanno verificato MTProto 2.0 in modo automatico con lo strumento ProVerif e ne hanno dimostrato le proprietà di autenticazione, segretezza e forward secrecy, trovando però una debolezza teorica nella fase di rinnovo delle chiavi.
• 2022, Albrecht, Mareková, Paterson e Stepanovs. "Four Attacks and a Proof for Telegram" (in inglese), presentato all'IEEE Symposium on Security and Privacy, ha trovato quattro debolezze, tra cui una che permetteva a un attaccante sulla rete di riordinare i messaggi. Telegram le ha corrette con aggiornamenti delle app a metà 2021. Gli autori hanno scritto che "per la maggior parte degli utenti, il rischio immediato è basso", e hanno dimostrato che il protocollo corretto fornisce un canale riservato e protetto nell'integrità, con delle riserve sui suoi componenti insoliti.
• 2026, Symbolic Software. Una revisione commissionata nel 2025 e resa pubblica a maggio 2026 (in inglese) ha scoperto che le app per Android e per computer inviano un identificatore del dispositivo di lunga durata, auth_key_id, in una forma che qualunque osservatore della rete può leggere. Non espone il contenuto dei messaggi, ma potrebbe permettere a un provider internet o a un osservatore della rete di livello statale di seguire un dispositivo tra reti e luoghi diversi. Telegram ha detto ai giornalisti che l'identificatore cambia regolarmente e non rivela nulla sugli utenti o sui messaggi. I revisori lo contestano per le versioni che hanno testato.

Nessuno ha pubblicato un modo per decifrare il traffico di Telegram. L'esposizione più grande è il modello di conservazione descritto sopra.

Telegram è sicuro da scaricare?

Sì, dalle fonti ufficiali: App Store, Google Play o telegram.org/apps. Le app di Telegram sono open source, e Telegram supporta le build riproducibili (in inglese), quindi chiunque può verificare che la versione dello store sia stata compilata dal codice pubblicato. Anche Telegram X per Android è un'app ufficiale di Telegram.

Il rischio sono le copie che sembrano Telegram. A settembre 2023 Kaspersky ha trovato su Google Play app Telegram modificate con un trojan (in inglese) che copiavano messaggi, contatti e file degli utenti e li mandavano agli attaccanti. Google le ha rimosse. Controlla il nome dello sviluppatore prima di installare, e lascia perdere le versioni di Telegram "più veloci" o "sbloccate" di qualunque sito.

Telegram è sicuro contro hacker e truffatori?

La maggior parte delle persone che perdono un account Telegram viene ingannata, non hackerata.

Furto dell'account. Telegram ti fa accedere con un codice inviato via SMS o dentro l'app. Chiunque ottenga quel codice, con il phishing o prendendo il controllo del tuo numero di telefono, ottiene le tue chat cloud. Le domande frequenti di Telegram dicono che i codici di accesso arrivano nella chat verificata di notifiche di servizio "Telegram" e "non devono essere mai condivisi con nessuno".

Furti d'identità e truffe sugli investimenti. Finti account di assistenza, finti amministratori nei gruppi di criptovalute e offerte di lavoro che pagano piccoli compiti e poi chiedono un deposito sono tutti comuni. Un estraneo può scriverti se ha il tuo numero, trova il tuo username o è in un gruppo con te.

File dannosi. Telegram permette file fino a 2 GB, e gli attaccanti ne approfittano. A luglio 2024 ESET ha documentato "EvilVideo", un exploit che faceva sembrare un'app Android dannosa un video in una chat. Telegram l'ha corretto nella versione 10.14.5.

Falle di Telegram Desktop corrette nel 2026. Due sono state rese pubbliche a settembre e ottobre 2026. Una permetteva a un bot di nascondere codice JavaScript in una chat, che veniva eseguito quando aprivi un'esportazione HTML della chat in un browser e poteva inviare l'intera esportazione a un attaccante; riguardava le versioni dalla 4.15.1 alla 6.9.3 ed è stata corretta nella 7.0.1 a luglio 2026, secondo The Hacker News (in inglese). L'altra permetteva, con un solo clic su un link costruito ad arte in un browser, di prendere il controllo di un account Telegram Desktop su Windows senza codice di accesso locale, e sfruttava le impostazioni che permettono a chiunque di aggiungerti a un gruppo; è stata corretta nella versione 7.2.9 il 17 settembre 2026, secondo Cyber Security News (in inglese). A parte, un malware per macOS segnalato a luglio 2026 copia i file di sessione di Telegram Desktop per accedere altrove senza codice e senza la password della verifica in due passaggi, cosa che un codice di accesso locale blocca. Aggiorna Desktop e imposta un codice di accesso (passo 2 qui sotto).

Foto private. In una chat normale una foto è conservata sui server di Telegram come qualsiasi altro messaggio, e chi la riceve può salvarla o inoltrarla. In una chat segreta è crittografata end-to-end e può autodistruggersi, ma Telegram stesso avverte che "non c'è alcun modo infallibile di rilevare gli screenshot su certi sistemi".

Le persone possono vedere il mio numero o la mia posizione su Telegram?

Telegram richiede un numero di telefono per l'iscrizione. Per impostazione predefinita, dicono le domande frequenti, "il tuo numero è visibile solo alle persone che hai aggiunto alla tua rubrica come contatti". Un'impostazione separata controlla se chi ha già il tuo numero può trovare il tuo account con quel numero, ed è così che gli estranei collegano i numeri ai profili. Trovi entrambe al passo 3 qui sotto. Il nome visualizzato, le foto profilo e lo username sono sempre pubblici.

Telegram non mostra la tua posizione a nessuno a meno che tu non la condivida. Una posizione che invii in una chat viene conservata come qualsiasi altro messaggio di quella chat, secondo la sezione 3.5 dell'informativa sulla privacy, e la posizione in tempo reale continua ad aggiornarsi per le persone con cui la condividi finché non la interrompi. Telegram vede il tuo indirizzo IP, che indica una zona approssimativa, e può conservarlo per un massimo di 12 mesi.

Un controllo di due minuti che puoi fare da solo

1. Apri Impostazioni > Dispositivi. Ci trovi ogni telefono, computer e browser collegato al tuo account. Termina ogni sessione che non riconosci.
2. Accedi a Telegram su un secondo dispositivo. Le tue chat normali compaiono per intero, perché sono sempre state sul server. Le chat segrete mancano, perché lì non ci sono mai state.
3. Apri il bot @transparency (quello collegato alla sezione 8.3 dell'informativa sulla privacy di Telegram) per vedere il report sulle divulgazioni del tuo paese.

Come rendere Telegram più sicuro: 8 impostazioni da cambiare

I nomi delle impostazioni vengono dalle domande frequenti e dal blog di Telegram in italiano, a novembre 2026. Le etichette cambiano un po' tra una piattaforma e l'altra.

1. Attiva la verifica in due passaggi. Impostazioni > Privacy e sicurezza > Verifica in due passaggi. Aggiunge una password oltre al codice di accesso, quindi un SMS rubato non basta. Aggiungi un'email di recupero che controlli tu.
2. Imposta un codice di accesso. È il codice locale che blocca l'app, diverso dal codice che ricevi per accedere. Anche questa opzione è in Impostazioni > Privacy e sicurezza. Blocca l'app stessa su un telefono condiviso o sbloccato. Su Telegram Desktop protegge anche la sessione salvata sul computer, che è proprio ciò su cui contavano la falla dei link su Windows e il furto di sessioni su macOS descritti sopra. Già che ci sei, tieni l'app aggiornata.
3. Nascondi il tuo numero. Impostazioni > Privacy e sicurezza > Numero di telefono. Imposta chi può vedere il tuo numero su nessuno, poi imposta chi può trovarti tramite il numero sui soli tuoi contatti.
4. Usa le chat segrete per tutto ciò che è delicato. Profilo del contatto > "…" > Avvia chat segreta. Confronta l'immagine della chiave di crittografia con l'altra persona e imposta un timer di autodistruzione.
5. Limita ciò che vedono gli estranei. In Privacy e sicurezza, limita chi può vedere il tuo ultimo accesso e la tua foto profilo, chi può chiamarti e chi può aggiungerti ai gruppi.
6. Imposta un timer di autoeliminazione predefinito. Impostazioni > Privacy e sicurezza > Autoelimina i messaggi. Le nuove chat si cancelleranno da sole dopo il periodo che scegli.
7. Controlla i dispositivi ogni mese. Impostazioni > Dispositivi. Puoi anche aggiungere una passkey in Privacy e sicurezza > Passkey, che secondo Telegram è più sicura dei codici SMS.
8. Fai pulizia dei contatti sincronizzati. In Impostazioni > Privacy e sicurezza (su iOS, poi Impostazioni dati) puoi interrompere la sincronizzazione dei contatti e scegliere Elimina i contatti sincronizzati per cancellare quelli già caricati.

Nessuna impostazione toglie un gruppo o un canale dai server di Telegram. Scrivi lì come se il messaggio potesse essere letto in futuro.

La stessa domanda vale per la tua casella di posta

Le chat cloud di Telegram si riducono a una domanda: chi ha le chiavi dei messaggi conservati. L'email funziona allo stesso modo. La maggior parte delle caselle sta sui server del provider in una forma che il provider può leggere. Secria Mail usa la crittografia ad accesso zero per ogni messaggio della tua casella: le tue chiavi vengono create sul tuo dispositivo e arrivano ai nostri server solo criptate. La nostra guida su whether Signal is safer than email (in inglese) spiega quali compiti spettano a un'app di messaggistica e quali a una casella di posta.

Domande frequenti

Telegram è crittografato end-to-end per impostazione predefinita?

No. Le chat normali, i gruppi e i canali usano la crittografia tra il tuo dispositivo e i server di Telegram, e i messaggi sono conservati lì. Solo le chat segrete sono crittografate end-to-end, e devi avviarle una per una.

La polizia può leggere i miei messaggi Telegram?

L'informativa permette a Telegram di divulgare un indirizzo IP e un numero di telefono davanti a un ordine valido dell'autorità giudiziaria, e Telegram dice di non aver mai divulgato il contenuto dei messaggi. Telegram non può leggere il contenuto delle chat segrete. La polizia che ha il tuo telefono sbloccato può leggere tutto ciò che c'è sopra.

Le chat di gruppo di Telegram sono crittografate?

Sono crittografate in transito e nell'archiviazione, con chiavi in mano a Telegram. Non sono crittografate end-to-end, e per i gruppi non esiste l'opzione della chat segreta.

Telegram X è sicuro?

Telegram X è un'app ufficiale di Telegram per Android, elencata su telegram.org/apps. Usa gli stessi account, server e crittografia dell'app principale, quindi tutto quello che c'è in questa pagina vale anche per Telegram X. Installala da Google Play o da telegram.org, non da un sito di terze parti.

Telegram è sicuro da usare con gli sconosciuti?

Considera ogni messaggio inaspettato come non verificato. Nascondi il tuo numero di telefono, non condividere mai un codice di accesso, non aprire file che non hai chiesto e non mandare soldi o criptovalute a nessuno che hai conosciuto in una chat.

Telegram è uno strumento per trasmettere e fare comunità con una modalità privata in aggiunta. Usa quella modalità quando conta, blinda l'account e riserva la stessa attenzione alla tua casella di posta con Secria Mail.