Telegram entró en 2025 bajo una presión sin precedentes. El escrutinio público, la atención regulatoria y la agitación en su liderazgo obligaron a la plataforma a hacer algo que durante mucho tiempo había resistido: aplicar medidas de cumplimiento a gran escala. Los volúmenes de moderación se dispararon, la automatización se expandió y millones de canales y grupos fueron eliminados en un solo año. Sobre el papel, esto parece un punto de inflexión.

En la práctica, no fue el colapso de la actividad delictiva en Telegram; fue una evolución, ciertamente, pero no un colapso. Lo que estamos viendo en 2026 no es un éxodo masivo de la plataforma ni una disminución significativa en la coordinación de actores de amenazas. En cambio, la ofensiva de Telegram ha desencadenado un patrón familiar: los ecosistemas criminales se adaptan más rápido de lo que las plataformas pueden reformarse.

Consulte el informe recién publicado sobre Telegram, por Tal Samra y Or Shichrur, sobre métodos de evasión, estadísticas y recomendaciones de monitoreo: https://checkpoint.cyberint.com/telegrams-crackdown-criminal-resilience

Más de 43 millones de canales bloqueados

Los propios datos de transparencia de Telegram muestran un aumento drástico en las eliminaciones durante 2025, con niveles de moderación base que aumentan bruscamente y se mantienen altos hasta principios de 2026. Los picos que antes aparecían esporádicamente ahora ocurren con regularidad, algunos alcanzando cientos de miles de eliminaciones en un solo día. Sin embargo, la escala por sí sola no determina la efectividad.

Nuestro seguimiento muestra que, aunque se bloquearon más de 43 millones de canales y grupos en 2025, solo una fracción estaba vinculada a actividades que impactan directamente a empresas y organizaciones. Las operaciones de carding, los mercados de Fullz y las comunidades de hackers fueron interrumpidas repetidamente, pero rara vez desmanteladas. Los mismos actores reaparecían bajo nuevos nombres, nuevos enlaces y nuevos modelos de acceso, a menudo en cuestión de días. Telegram ha elevado el costo de operar abiertamente, pero no lo suficiente como para forzar la migración o el abandono.

Por qué los actores de amenazas se quedaron cuando muchos esperaban que se fueran

Durante momentos de incertidumbre, especialmente tras el arresto de Pavel Durov a finales de 2024, las discusiones subterráneas se centraron brevemente en alternativas. Se probaron plataformas más pequeñas y mensajeros centrados en la privacidad. Pero ninguna ganó tracción. ¿Por qué? La razón es simple: Telegram aún ofrece un alcance, descubrimiento y efectos de red inigualables. En nuestro análisis de enlaces de invitación compartidos en foros y mercados subterráneos, Telegram superó a cualquier otra plataforma de mensajería por órdenes de magnitud. La alternativa más cercana representó menos del seis por ciento del volumen.

Los ecosistemas criminales dependen de la escala. El reclutamiento, la reputación, la distribución y la monetización se benefician de la visibilidad. Telegram continúa proporcionando eso a un nivel que ningún competidor iguala. Mientras eso siga siendo cierto, la presión moderada por sí sola no lo desplazará.

La adaptación es ahora el mecanismo de defensa principal

En lugar de migrar, los actores de amenazas refinaron su forma de operar. Observamos un uso generalizado de acceso restringido mediante funciones de solicitud de unión diseñadas para bloquear herramientas de moderación automatizadas. Las biografías de los canales incluyen cada vez más exenciones de responsabilidad de cumplimiento performativas, a menudo etiquetando directamente al liderazgo de Telegram, a pesar de la actividad ilícita en curso. Se crean canales de respaldo por adelantado y se agrupan en estructuras comunitarias privadas para que las audiencias puedan ser reensambladas rápidamente después de las eliminaciones.

Un patrón notable es la separación de funciones. Telegram sigue siendo la capa de transmisión y coordinación, mientras que las negociaciones uno a uno o los intercambios sensibles se trasladan brevemente a otras plataformas o conversaciones privadas antes de regresar. Este enfoque híbrido minimiza la exposición sin sacrificar el alcance.

Qué significa esto para los profesionales de seguridad y los equipos SOC

La creciente línea base de la actividad de moderación de Telegram muestra una inversión y automatización continuas. Pero la aplicación ha resultado en contención, no en erradicación. Para los equipos de seguridad, esto tiene dos implicaciones.

  • Primero, monitorear Telegram sigue siendo no opcional. Continúa siendo una fuente de señal primaria para indicadores tempranos de fraude, exposición de datos, abuso de marca e infraestructura de ataque emergente.
  • Segundo, la detección estática es insuficiente. El ritmo al que los actores de amenazas recrean canales y remodelan comunidades requiere seguimiento, correlación y validación continuos.

Además, es crucial entender qué actividad afecta a su marca y cómo se conecta con el riesgo real. Aquí es donde a menudo aparece una brecha. La inteligencia sin contexto y acción a menudo es inútil y abruma a los equipos. El contexto sin acción retrasa la respuesta. Y ahí es donde acciones como eliminaciones, remediación de credenciales filtradas, controles IPS, diseminación de IoCs, parches virtuales y más deben ocurrir a la velocidad del rayo.

Telegram no va a ninguna parte

A pesar de la moderación agresiva, Telegram sigue siendo el centro dominante para la comunicación cibercriminal. Telegram sigue siendo la plataforma de elección, lo que hace que el monitoreo continuo sea esencial a medida que los actores de amenazas se adaptan a la aplicación en curso. Entender cómo los criminales se adaptan bajo presión es más valioso que contar cuántos canales desaparecen.

Lea el informe completo para métodos de evasión, estadísticas y recomendaciones de monitoreo: https://checkpoint.cyberint.com/telegrams-crackdown-criminal-resilience