Дослідження: Max працює як бекдор в екосистемі мінідодатків на пристрої користувача

Дослідження провела команда під керівництвом Рої Енсафі, доцентки кафедри комп'ютерних наук Мічиганського університету. За її словами, Max фактично функціонує як бекдор у всій екосистемі мінідодатків на пристрої: здатен знімати екран без відома власника, читати листування й платежі у внутрішніх сервісах, відтворювати дії користувача та впроваджувати код у мінідодатки. Енсафі припускає, що теоретично це відкриває владі шлях до використання платформи для кібератаки.

Розробником Max є компанія ВКонтакте, тісно пов'язана з державою. Як зазначає джерело, президент рф володимир путін опосередковано володів часткою в цьому об'єкті. Сам застосунок побудований за моделлю суперзастосунку: під однією іконкою об'єднані банкінг, державні сервіси й месенджер, покликаний замінити заборонений Telegram. Найближчий аналог такої моделі — китайський WeChat, але там інфраструктура контролю формувалася паралельно з розвитком сервісу десятиліттями, тоді як Max нав'язали населенню, яке ще недавно мало практично вільний доступ до Інтернету.

Тиск на користувачів має системний характер. Вчителька з москви розповіла, що директор школи наказав перевести всю комунікацію з батьками й учнями на Max ще навесні. Студент із санкт-петербурга на ім'я Данііл встановив додаток перед початком навчального року, бо без QR-коду з Max йому закривали доступ до гуртожитку й корпусів університету.

Реакція ринку та середовища неоднорідна. Серед еліти використання Max часто має декоративний характер: один із наближених до кремля співрозмовників придбав другий телефон спеціально для цього додатка, продовжуючи спілкуватися через Telegram і Signal на основному пристрої. Звичайні користувачі формулюють тривогу простіше. Московський консультант Ніколай зазначив, що додаток виглядає сучасним, але «ніколи не знаєш, хто ще за тобою стежить», і все люди користуються ним дедалі частіше, бо альтернативи стають дедалі важче доступними.

Енсафі назвала швидкість впровадження Max «сигналом тривоги» для інших країн: Іран, Казахстан та Індія можуть спробувати повторити цю модель. За її словами, росія стиснула шлях до цифрового авторитаризму, який Китай проходив десятиліттями, у значно коротший термін.

Підсумок для ринку очевидний: кейс Max демонструє, як звичайний на вигляд застосунок може перетворитися на інструмент масового стеження, а отже, вибір цифрової інфраструктури — особливо сервісів із російським чи пов'язаним з РФ походженням — потребує підвищеної обережності. Це аргумент і для посилення кіберзахисту компаній та державних органів, і для уважнішого ставлення користувачів до застосунків, які пропонують «універсальні» банківські та державні функції в одному вікні.