Дослідження: месенджер Max отримав доступ до екранів і платежів мільйонів росіян

Месенджер Max, розроблений компанією ВКонтакте, цієї весни став найпопулярнішим у Росії. Він поєднує банкінг, державні сервіси й переписку, а влада подає його як патріотичну заміну забороненим Telegram і WhatsApp.

Форензик-дослідження команди під керівництвом Рої Енсафі, доцентки кафедри комп'ютерних наук Мічиганського університету, показало масштабні проблеми безпеки. За її словами, Max фактично працює як бекдор у всій екосистемі мінідодатків на пристрої: може робити скриншоти екрана без відома власника, читати повідомлення й платежі у внутрішніх сервісах, імітувати дії користувача та впроваджувати код у мінідодатки. Це, за оцінкою дослідниці, теоретично відкриває владі шлях до кібератак.

Енсафі наголосила: Max не здатен зламати Telegram чи WhatsApp, встановлені окремо. Проте обидва сервіси в Росії заблоковані, тож у користувачів залишається практично один варіант.

Тиск на людей має системний характер. Учителька з Москви розповіла, що директор школи ще навесні наказав перевести всю комунікацію з батьками та учнями на Max. Студент із Санкт-Петербурга на ім'я Данііл встановив додаток перед початком навчального року, бо без QR-коду з Max його не пускали до гуртожитку й корпусів університету.

Серед еліти користування часто має декоративний характер. Один із наближених до Кремля співрозмовників придбав другий телефон спеціально для Max, а для спілкування на основному пристрої далі використовує Telegram і Signal.

Звичайні користувачі описують ситуацію простіше. Московський консультант Ніколай зазначив, що додаток виглядає сучасним, але «ніколи не знаєш, хто ще за тобою стежить», і люди користуються ним дедалі частіше, бо альтернативи стають дедалі менш доступними.

Для ринку цифрових сервісів висновки дослідження важливі не лише як опис методів Кремля. Енсафі назвала швидкість упровадження Max «сигналом тривоги» для інших країн: Іран, Казахстан та Індія можуть спробувати повторити цю модель. За її словами, Росія стиснула шлях до цифрового авторитаризму, який Китай проходив десятиліттями, у значно коротший термін.

Для України це насамперед привід посилити кіберзахист і обережніше обирати цифрову інфраструктуру, особливо там, де йдеться про сервіси російського або пов'язаного з РФ походження. Користувачам варто уважніше перевіряти походження застосунків, які пропонують банківські та державні функції в одному вікні.