📄 Postmortem: Incident TG-2026-0716 — SecMemOOOOPS

Сервис: Telegram-канал SecMemOps

Severity: High (репутационный ущерб)

Статус: ✅ Resolved

Executive Summary


Во время отражения бот-набега было принято тактическое решение перевести канал в приватный режим.
В виду дремучести админа в части всей этой ТГ кухни, он не учел, что при переходе в приватный режим теряется имя канала.
Telegram интерпретировал это как добровольный отказ от публичного username и моментально выставил его на свободный рынок.

Рынок ждать не стал.

Username оперативно был экспроприирован неизвестными лицами.
После успешного возврата произошёл рецидив инцидента, пока админ отвлёкся на доклад перед ЦЫСО.

В итоге username спасён, знания получены, мемы произведены.

Timeline (время в MSK)

~10:25. В личку канала поступило предложение рекламы продукта PT. Предложение было встречено с присущей админу лёгкой воздушной иронией.
10:30-12:00. Спокойная публикация мемов разной степени всратости.
12:01. На канал налетает орда ботов.
12:01-14:50. Напряжение нарастает.
~14:35. Админ в истовом ужасе перед перспективой подачи канала в РКН и Минцифры. Для притормаживания ботов канал переводится в Private. Параллельно начинается изучение MTProto и библиотеки Telethon для удаления набежавших.
~14:50. Скрипт удаления внезапно сообщает, что админ больше не является админом канала с именем SecMemOps, поскольку по этому имени теперь располагается логово фут-фетишистов (не осуждаем).
~14:55. После короткого траблшутинга и расследования приходит осознание, что освобождённый при переводе канала в Private юзернейм SecMemOps успешно подрезан неизвестными. Инцидент объявлен публично в СМИ.
~15:30. В ходе оперативно-розыскных мероприятий, попыток общения с саппортом Telegram и связями в преступном сообществе юзернейм технически возвращён. Однако Telegram включает какой-то дурной таймаут на его повторное занятие владельцем. Начинается изучение проблематики.
~15:32. Админ внезапно вызван к ТОП-69 ЦЫСО на ковёр и вынужден отвлечься от решения инцидента.
~16:00. Пока идёт ковровая бомбардировка админа по результатам основной деятельности (вообще-то он папирсек, а канал у него для души), выясняется, что юзернейм снова (!) подрезан неизвестными.
~16:20. Неизвестные оказываются заботливыми известными коллегами. Юзернейм возвращён владельцу, по дороге нафигачены мемы.
16:26. Инцидент закрыт. Начинается написание постмортема и производство контента.


Impact

❌ Потеря публичного username канала.

❌ Часть пользователей могла попасть в альтернативную вселенную вместо SecMemOps и стать фут-фетишистом.

✅ Появился отличный материал для нового постмортема.

Root Cause

Если сделать публичный Telegram-канал приватным, username освобождается и его может занять любой желающий.
О существовании данной фичи администратор узнал в процессе ее злонамеренной эксплуатации.
Также стоит иметь в виду сомнительные совпадения (!): легкий троллинг маркетинга ПТ, и через пару часов изысканная схема отжатия канала.


Lessons Learned

1. Не переводить публичный канал в Private без понимания последствий.
2. Доработать и держать наготове скрипт вычистки ботов.
3. Рейт-лимиты на баны и удаления у телеги мерзкие.
4. Новая схема отжима публичных каналов, занятно.
5. Любой инцидент рано или поздно превращается в контент для SecMemOps.



Финальный статус

✅ Username возвращён.

✅ Канал жив.

✅ Сообщество получило новый кейс.

📈 Уровень знаний админа о Telegram вырос примерно на +1 CWE.

📈 Модель угроз канала пополнилась еще одним пунктом.

📈 Общий уровень IQ админа не повысился.


Благодарности

Любимому подписчику и его ИИшке за шаблон отчетности
@poebei за братский вылов освобожденного юзернейма, пока админ радовал ЦЫСУ речами. Разногласия про маркетинг разногласиями, но ИБшно-мемное отраслевое братство превыше этого.