10 скунд хватит что бы выкинуть мошенника, делать это в настройках telegram
десктоп и мобильный: настройки -> конфиденциальность -> Активные сеансы -> кнопка 'Завершить все другие сеансы'
Затем там же в меню 'Конфиденциальность' установить облачный пароль и запомнить его, так как он будет единственное, что позволит в будущем получить доступ (вроде бы еще можно сбросить, требуется 7 суток ждать).
повторяю! Внимание, забыв этот пароль, доступ к аккаунту будет потерян! но с этим паролем, никакие sms коды не позволят отобрать доступ (по крайней мере пока)