Покупка бензина на заправке с использованием QR-кода через мессенджер Max, 17 июля 2026 года
Кремлевский мессенджер Max имеет широкие возможности для отслеживания пользователей, но их конфигурация может варьироваться от аккаунта к аккаунту и контролируется его разработчиком – российской компанией в социальных медиа – ВКонтакте. Об этом свидетельствует новый отчет из цифровой лаборатории безопасности InterSecLab, который рассмотрела Meduza. В течение девяти недель авторы отчета наблюдали, как работает мессенджер с реальными аккаунтами, перехватывали его сетевой трафик до момента шифрования и проверяли каждое наблюдение по коду приложения. Вот основные выводы из отчета лаборатории.
Ключевой вывод: Max ведет себя по-разному в зависимости от пользователя. ВКонтакте может активировать конкретные функции для индивидуальных аккаунтов без обновления приложения или изменения его интерфейса.
Max не имеет конечного шифрования, и ВКонтакте имеет доступ к содержимому переписки пользователей. В «секретных чатах» мессенджера сообщения не зашифрованы: они просто удаляются по таймеру. Ученые утверждают, что термин «секретный чат» намеренно вводит в заблуждение в случае Max, поскольку Telegram использует тот же термин для режима переписки, который действительно имеет конечное шифрование.
Max может быть индивидуально настроен для каждого аккаунта: расшифровывать голосовые сообщения на серверах ВКонтакте, блокировать отправку сообщений при обнаружении VPN, собирать данные о действиях пользователя в приложении и отправлять информацию о личности пользователя сторонним сервисам. Ученые также обнаружили функцию, которая не была активирована во время тестирования: она позволила бы Max получить информацию обо всех установленных приложениях на устройстве пользователя.
При каждом запуске Max отправляет ВКонтакте отчет о сетевой среде пользователя: публичный IP-адрес, информацию о мобильном операторе, активность VPN и наличие других интернет-сервисов. ВКонтакте обновляет этот отчет каждый раз при открытии приложения. Ученые утверждают, что сам по себе IP-адрес достаточен для определения приблизительного местоположения пользователя.
Max загружает полную адресную книгу пользователя на сервера ВКонтакте в нешифрованной форме. Приложение сопоставляет имена в ней с номерами телефонов и синхронизирует данные каждый раз при внесении изменений. При этом ВКонтакте получает доступ к номерам тех людей, которые никогда не регистрировались в Max. Одно из более ранних исследований приложения утверждало, что номера были хешированы перед загрузкой, но ученые из InterSecLab опровергли это.
Сам по себе номер телефона может раскрыть много информации о пользователе Max. В ответ на запрос Max возвращает идентификатор аккаунта, отображаемое имя и дату создания аккаунта, а затем в течение 15 минут отправляет информацию о последнем онлайне пользователя. Искомый человек не получает никакого уведомления, и ученые не обнаружили ограничений на количество таких запросов.
Max перестает работать, если обнаруживает VPN, требуя от пользователей его отключения перед отправкой сообщения. Ограничение можно обойти, переместив VPN на маршрутизатор, написали исследователи, хотя не все пользователи знают об этом способе.
Новые аккаунты Max получают кураторский список из 25 рекомендованных каналов, прежде чем пользователи сделают хоть один поисковый запрос. В список входят государственные СМИ, чиновники и журналисты, поддерживающие войну, включая аккаунты российского государственного информационного агентства РИА Новости, телеканала НТВ, «Известий», Владимира Соловьева и Дмитрия Медведева.
На Meduza мы стремимся к прозрачности в использовании искусственного интеллекта в редакции новостей. Историю, которую вы читаете, написал один из наших живых, дышащих журналистов и перевел с русского с использованием модели искусственного интеллекта, настроенной в соответствии с нашими строгими редакционными стандартами. Этот процесс перевода – результат обширного тестирования и усовершенствований, чтобы наша англоязычная информация была своевременной и точной. Каждый черновик проверяет редактор Meduza. Если вы заметите какие-либо ошибки в данном переводе, пожалуйста, свяжитесь с нами по адресу reports@meduza.io. Чтобы читать эксклюзивный контент Meduza на английском языке, подпишитесь на нашу рассылку.
