я делал так, отвлекал жертву чтоб она была занята далеко от телефона, с ее номера заходил в веб версию телеги, подтверждал вход с ее телефона, смс с подтвержденями удалял, вуаля - есть доступ