Telegram 安全嗎？2026 年加密、警方與駭客一次看

Telegram 形容自己是一款「注重速度與安全」的通訊 App，使用者超過十億人。它安不安全，要看你在哪一種對話裡，而大多數人從來沒進過有加密的那一種。以下內容全部來自 Telegram 自己的常見問題和隱私政策、公開發表的密碼學研究、截至 2026 年年中的資料揭露數字，以及 Telegram 到 2026 年 9 月為止推出的安全修補。

Telegram 安全嗎？

Telegram 能防範你所在網路上的陌生人，但它的一般對話沒有端對端加密。訊息、群組和頻道都存在 Telegram 的伺服器上，金鑰也在 Telegram 手上。只有「秘密聊天」（Secret Chat）有端對端加密，而且必須由你手動開啟，只能一對一、只在一台裝置上。在有效的法院命令下，Telegram 可能會揭露你的 IP 位址和電話號碼。

如果只是閒聊和看公開頻道，主要風險是詐騙和帳號被盜，而幾個設定就能同時降低這兩種風險。在電腦上，請把 Telegram Desktop 更新到 7.2.9 或更新的版本：2026 年修補了兩個嚴重的 Desktop 漏洞。任何你不希望一家公司或法院讀得到的內容，都不該放在一般的 Telegram 對話裡。秘密聊天的內容 Telegram 碰不到，但能用的地方有限制。

Telegram 有加密嗎？逐一看各種對話

「加密」其實涵蓋兩件不同的事。你和伺服器之間的加密，能防止同一個 Wi-Fi 上的人偷看，但伺服器讀得到訊息。端對端加密則代表只有對話中的人持有金鑰。

Telegram 的常見問題（英文）講得很直接：「雲端對話（私人和群組對話）使用伺服器與用戶端之間的加密，秘密聊天則多加了一層用戶端與用戶端之間的加密。」

你使用的功能	有端對端加密嗎？	存在 Telegram 伺服器上嗎？
一般一對一對話（雲端對話）	沒有	是
群組和超級群組	沒有	是
頻道	沒有	是
儲存的訊息（Saved Messages）	沒有	是
秘密聊天	有	否，只存在兩台裝置上
語音、視訊和群組通話（最多 200 人）	有，根據 Telegram 的常見問題	通話內容不會儲存

秘密聊天有三個實際會碰到的限制：

必須手動開啟。 打開聯絡人的個人檔案，點「...」選單，選擇 Start Secret Chat（開始秘密聊天）。沒有任何對話會自己變成秘密聊天。
只能一對一。 群組和頻道沒有秘密聊天。
只綁定一台裝置。 Telegram 說秘密聊天「只會在那台裝置上提供」，登出就會刪除。手機 App 和 macOS 版 Telegram 有這個功能。大多數 Windows 和 Linux 使用者用的 Telegram Desktop 則沒有：這項功能需求從 2014 年起就一直掛在該專案的問題追蹤系統上。

Telegram 讀得到我的訊息嗎？

雲端對話的部分，Telegram 在技術上做得到，因為訊息存在它那裡，金鑰也在它手上。它的隱私政策（英文）描述了兩種會用到這個能力的情況：審核人員「可能會檢查收件者向他們檢舉的訊息」，而 Telegram「也可能使用自動化演算法分析雲端對話中的訊息，以阻止垃圾訊息和網路釣魚」。同一份政策也說，雲端對話內容不會用來投放廣告。

Telegram 為這種設計辯護的理由是：雲端對話資料存放在多個司法管轄區的資料中心，而且「相關的解密金鑰被拆成好幾部分，從不和它們保護的資料放在同一個地方」，所以需要好幾個不同國家的法院命令，才能強制取得存取權。這提高了法律門檻，但沒有改變金鑰在誰手上。

關於秘密聊天，政策是這樣寫的：「我們或任何無法直接接觸你裝置的人，都沒有辦法得知那些訊息裡傳送了什麼內容。」

Telegram 會把你的資料交給警方或政府嗎？

會，交的是帳號資料。這是變化最大的部分，以下按時間說明。

2024 年 8 月。 創辦人 Pavel Durov 在巴黎附近的勒布爾熱機場被捕，並因平台上的犯罪活動以及 Telegram 不配合當局，被列為正式調查對象。

2024 年 9 月。 Telegram 改寫了隱私政策第 8.3 節，之後就沒再改過；這份政策最近一次更新是在 2026 年 8 月 21 日，內容與廣告有關。舊版只涵蓋恐怖主義嫌疑人。現行版本寫的是：「如果 Telegram 收到相關司法機關的有效命令，確認你是某件涉及違反 Telegram 服務條款之犯罪活動案件的嫌疑人，我們會對該請求進行法律分析，並可能向相關機關揭露你的 IP 位址和電話號碼。」

之後的數字。 Telegram 只透過它的 @transparency 機器人公布這些數字，一次一個國家。以美國為例，BleepingComputer 報導（英文），2024 年 1 月到 9 月 Telegram 完成了 14 件請求，涉及 108 名使用者；全年則是 900 件請求，涉及 2,253 名使用者。一份由群眾蒐集的機器人報告存檔（英文），最近一次更新是 2026 年 10 月 5 日，美國的數字如下：

期間（美國）	完成的請求	受影響的使用者
2024 年	900	2,253
2025 年	1,706	4,807
2026 年 1 月到 6 月	701	2,061

在全球範圍，404 Media 統計光是 2025 年前三個月，就有 22,777 名使用者的資料被交出。這份存檔是志願者蒐集的，所以各國總數應視為最低值。

這些數字裡沒有的東西。 Telegram 的常見問題寫著：「直到今天，我們向第三方（包括政府）揭露的使用者訊息是 0 位元組。」上面那些揭露的是電話號碼和 IP 位址，這已經足以辨識帳號持有人。Telegram 的政策說，它可以保存 IP 位址、裝置資訊和使用者名稱紀錄最長 12 個月。

截至 2026 年 10 月的法國案件。 調查仍在進行中。Durov 在 2025 年 3 月獲准離開法國，調查人員在 2025 年 11 月完全解除了他的出境禁令（英文）。根據法新社的報導，2026 年 7 月他第四次接受預審法官訊問（英文）。他的律師表示，這些指控沒有證據。

Telegram 自己的加密協定安全嗎？

大多數 App 和伺服器連線時用的是 TLS，Telegram 則使用自己的協定 MTProto。目前的版本是 MTProto 2.0，建立在 AES-256、SHA-256 和 2048 位元 Diffie-Hellman 之上。它已經被公開研究過不只一次：

2015 年，Jakobsen 與 Orlandi。 證明原始的 MTProto 不符合一項標準的安全定義（IND-CCA）。他們沒有找到還原訊息的方法，而 MTProto 2.0 後來取代了他們檢驗的設計。
2020 年，Miculan 與 Vitacolonna。 用 ProVerif 工具對 MTProto 2.0 進行機器驗證，證明了它的身分驗證、保密性和前向保密性，同時在更換金鑰的步驟中找到一個理論上的弱點。
2022 年，Albrecht、Mareková、Paterson 與 Stepanovs。 在 IEEE 安全與隱私研討會上發表的〈Four Attacks and a Proof for Telegram〉（英文），找到四個弱點，其中一個讓網路攻擊者可以重新排列訊息順序。Telegram 在 2021 年年中的 App 更新中修正了這些問題。作者寫道「對大多數使用者來說，立即的風險很低」，並證明修正後的協定能提供一個保密、具完整性保護的通道，但對它不尋常的組成元件有所保留。
2026 年，Symbolic Software。 一份在 2025 年委託進行、2026 年 5 月公開（英文）的審查發現，Android 和桌面版 App 會以任何網路觀察者都讀得懂的形式，送出一個長期不變的裝置識別碼 auth_key_id。它不會洩漏訊息內容，但可能讓網路供應商或國家級的網路觀察者跨網路、跨地點追蹤同一台裝置。Telegram 對記者表示，這個識別碼會定期更換，不會透露任何關於使用者或訊息的資訊。審查人員則對他們測試的版本提出異議。

目前沒有人公開過解密 Telegram 流量的方法。比較大的曝險來自上面說的儲存模式。

下載 Telegram 安全嗎？

從官方來源下載就安全：App Store、Google Play 或 telegram.org/apps（英文）。Telegram 的 App 是開放原始碼，Telegram 也支援可重現建置（英文），任何人都可以檢查商店上的版本是不是由公開的程式碼建置出來的。Android 版的 Telegram X 也是 Telegram 官方 App。

風險在於長得像 Telegram 的仿冒品。2023 年 9 月，Kaspersky 在 Google Play 上發現植入木馬的 Telegram App（英文），會把使用者的訊息、聯絡人和檔案複製給攻擊者。Google 已將它們下架。安裝前先確認開發者名稱，也不要從任何網站下載「更快」或「解鎖版」的 Telegram。

Telegram 能防駭客和詐騙嗎？

大多數弄丟 Telegram 帳號的人是被騙，不是被駭。

帳號被盜。 Telegram 用簡訊或 App 內傳送的驗證碼讓你登入。任何人拿到這組驗證碼，不管是透過網路釣魚騙你，還是盜用你的電話號碼，就能取得你的雲端對話。Telegram 的常見問題說，登入驗證碼會出現在經過驗證的「Telegram」服務對話中，而且「絕對不應該分享給任何人」。

冒名和投資詐騙。 假客服帳號、加密貨幣群組裡的假管理員，以及先付錢請你做小任務、再要求你存入保證金的打工機會，都很常見。陌生人只要有你的電話號碼、找到你的使用者名稱，或和你在同一個群組，就能傳訊息給你。

惡意檔案。 Telegram 允許最大 2 GB 的檔案，攻擊者也會利用這一點。2024 年 7 月，ESET 記錄了一個名為「EvilVideo」的漏洞利用手法，讓惡意 Android App 在對話中看起來像一段影片。Telegram 在 10.14.5 版修補了它。

2026 年修補的 Telegram Desktop 漏洞。 有兩個在 2026 年 9 月和 10 月公開。第一個讓機器人能在對話中藏入 JavaScript，當你在瀏覽器中打開 HTML 格式的對話匯出檔時就會執行，並可能把整份匯出檔傳給攻擊者；受影響的是 4.15.1 到 6.9.3 版，已在 2026 年 7 月的 7.0.1 版修正，根據 The Hacker News（英文）。第二個讓人只要在瀏覽器中點一下特製連結，就能接管沒有設定本機密碼的 Windows 版 Telegram Desktop 帳號，而且它利用的是允許任何人把你加進群組的設定；已在 2026 年 9 月 17 日的 7.2.9 版修正，根據 Cyber Security News（英文）。另外，2026 年 7 月報導的一款 macOS 惡意軟體，會複製 Telegram Desktop 的工作階段檔案，在別處不需驗證碼或兩步驟驗證密碼就能登入，而本機密碼同樣能擋下這種手法。請更新 Desktop 並設定密碼（見下方第 2 步）。

私密照片。 在一般對話中，照片和其他訊息一樣存在 Telegram 的伺服器上，收件者也可以儲存或轉傳。在秘密聊天中，照片有端對端加密，也可以設定自動銷毀，但 Telegram 自己也提醒，「沒有萬無一失的方法可以偵測截圖」。

別人看得到我在 Telegram 上的電話號碼或位置嗎？

註冊 Telegram 需要電話號碼。根據常見問題，預設情況下「只有你加進通訊錄成為聯絡人的人，才看得到你的號碼」。另一個設定則控制已經有你號碼的人能不能用號碼找到你的帳號，陌生人就是這樣把號碼對到個人檔案的。這兩個設定都在下方第 3 步。你的顯示名稱、大頭貼和使用者名稱一律是公開的。

除非你主動分享，Telegram 不會把你的位置顯示給任何人。根據隱私政策第 3.5 節，你在對話中傳送的位置，會和該對話中的其他訊息一樣被儲存；而「即時位置」會持續更新給你分享的對象，直到你停止為止。Telegram 自己看得到你的 IP 位址，這能指出大概的區域，而且可能保存最長 12 個月。

你可以自己做的兩分鐘檢查

打開 Settings > Devices（設定 > 裝置）。所有登入你帳號的手機、電腦和瀏覽器都會列在這裡。結束任何你不認得的工作階段。
在第二台裝置上登入 Telegram。你的一般對話會完整出現，因為它們一直都在伺服器上。秘密聊天則不會出現，因為它們從來不在那裡。
打開 @transparency 機器人（Telegram 隱私政策第 8.3 節連結的那一個），查看你自己國家的揭露報告。

如何讓 Telegram 更安全：8 個該改的設定

以下設定名稱取自 Telegram 截至 2026 年 10 月的英文介面和說明文件；中文語言包的用詞可能不同，各平台的標籤也略有差異。

開啟兩步驟驗證。 Settings > Privacy and Security > 2-Step Verification（設定 > 隱私與安全性 > 兩步驟驗證）。這會在登入驗證碼之外再加一組密碼，所以光是偷到簡訊還不夠。記得加上一個你能控制的救援電子郵件。
設定密碼鎖。 密碼鎖（Passcode）選項也在 Settings > Privacy and Security 底下。它會在共用或沒上鎖的手機上鎖住 App 本身。在 Telegram Desktop 上，它還能保護存在你電腦裡的工作階段，而上面提到的 Windows 連結漏洞和 macOS 工作階段竊取，正是利用這一點。順便把 App 更新到最新版。
隱藏你的號碼。 Settings > Privacy and Security > Phone Number（設定 > 隱私與安全性 > 電話號碼）。把「Who can see my phone number」（誰可以看到我的電話號碼）設為 Nobody（沒有人），再把「Who can find me by my number」（誰可以用號碼找到我）設為 My Contacts（我的聯絡人）。
敏感內容一律用秘密聊天。 聯絡人的個人檔案 > 「...」 > Start Secret Chat。和對方比對加密金鑰的圖案，並設定自動銷毀計時器。
限制陌生人看得到的東西。 在 Privacy and Security 中，限制誰能看到你的上線時間和大頭貼、誰能打電話給你，以及誰能把你加進群組。
設定預設的自動刪除計時器。 Settings > Privacy and Security > Auto-Delete Messages（設定 > 隱私與安全性 > 自動刪除訊息）。新對話會在你選擇的期間後自動清除。
每個月檢查一次裝置。 Settings > Devices。你也可以在 Privacy and Security > Passkeys 底下新增密碼金鑰，Telegram 說它比簡訊驗證碼更安全。
清理同步的聯絡人。 Settings > Privacy and Security > Data Settings（設定 > 隱私與安全性 > 資料設定）可以讓你停止同步聯絡人，並刪除已經上傳的聯絡人。

沒有任何設定能讓群組或頻道離開 Telegram 的伺服器。在那裡發言時，就當作訊息以後可能會被讀到。

同樣的問題也適用於你的收件匣

Telegram 的雲端對話歸根究柢，是誰持有已儲存訊息的金鑰，而電子郵件也是一樣。大多數信箱都以服務商讀得懂的形式存在服務商的伺服器上。Secria Mail 對你信箱裡的每一封郵件都使用零存取加密：你的金鑰在你的裝置上產生，送到我們伺服器時一律是加密狀態。我們的 whether Signal is safer than email（英文）說明了哪些事適合用通訊 App，哪些適合用信箱。

常見問題

Telegram 預設有端對端加密嗎？

沒有。一般對話、群組和頻道使用的是你的裝置和 Telegram 伺服器之間的加密，訊息也存在那裡。只有秘密聊天有端對端加密，而且每一個都必須由你自己開啟。

警察讀得到我的 Telegram 訊息嗎？

Telegram 的政策允許它在有效的司法命令下揭露 IP 位址和電話號碼，並表示它從未揭露過訊息內容。Telegram 讀不到秘密聊天的內容。拿到你已解鎖手機的警察，則能讀到手機上的所有東西。

Telegram 群組對話有加密嗎？

傳輸中和儲存時都有加密，但金鑰在 Telegram 手上。它們沒有端對端加密，群組也沒有秘密聊天的選項。

Telegram X 安全嗎？

Telegram X 是 Telegram 官方的 Android App，列在 telegram.org/apps 上。它使用和主要 App 相同的帳號、伺服器和加密，所以本頁的所有內容都適用於它。請從 Google Play 或 telegram.org 安裝，不要從第三方網站下載。

和陌生人用 Telegram 安全嗎？

把每一則不請自來的訊息都當作未經驗證。隱藏你的電話號碼，絕不分享登入驗證碼，不要打開你沒要求的檔案，也不要把錢或加密貨幣轉給任何你在聊天中認識的人。

Telegram 是一個廣播和社群工具，附帶一個私密模式。在重要的時候使用那個模式，把帳號鎖好，也用 Secria Mail 以同樣的標準看待你的收件匣。