Что нашли исследователи
Специалисты InterSecLab и RKS Global опубликовали анализ нацмессенджера MAX. За три месяца они изучали реальные аккаунты, перехватывали трафик до его шифрования и сверяли его с кодом приложения.
Ключевые выводы
- Сквозное шифрование отсутствует: секретные чаты — это всего лишь сообщения с истекающим временем, а сервера VK читают переписку.
- Адресная книга целиком синхронизируется с VK, включая номера людей, которых MAX никогда не показывал. По номеру можно узнать имя, дату регистрации и онлайн‑статус.
- MAX может перестать работать при обнаружении VPN: эксперты видели примеры, когда приложение требовало отключить VPN.
- Ссылки в переписке проверяются, голосовые преобразуются в текст, а аудио анализируется нейросетью по ключевым словам.
- Приложение содержит несколько систем телеметрии и аналитики, передаваемых VK; их сочетание образует широкую поведенческую слежку.
- MAX спроектирован так, чтобы затруднить анализ: при обнаружении инструментов анализа приложение может завершать работу и прятать адреса в коде.
Контекст во Воронежской области
В августе прошлого года власти Воронежской области объявили MAX обязательным для школ региона; Институт развития образования назвал это шагом к «единой и безопасной среде коммуникаций». С тех пор внутренняя переписка туда же переносится, в то время как прокуратура Вологодской области признала принуждение незаконным.
VPN и бесплатные прокси для Telegram обсуждаются в контексте MAX.
