Специалисты InterSecLab выявили в мессенджере Max особенность, из‑за которой параметры сбора данных могут отличаться для разных аккаунтов. Совместно с экспертами RKS Global они провели масштабный анализ функционала Android‑приложения Max (версия 26.12.0, сборка 6664) и определили, какую информацию программа отправляет разработчикам.
Ключевой нюанс найденного механизма — персонализированная настройка: даже если у двух пользователей установлена одна и та же версия Max, у них могут быть разные параметры работы ряда функций.
Речь идёт о сетевой диагностике, проверке VPN, расшифровке голосовых сообщений и дополнительном журналировании. Такие изменения поступают с серверов VK и применяются без согласия владельца учётной записи.
Когда функция сетевой диагностики активна, мессенджер фиксирует публичный IP‑адрес, данные о мобильном операторе, использовании VPN и доступности отдельных интернет‑сервисов. Проверки запускаются при открытии приложения либо при переходе в фоновый режим, а собранные сведения отправляются разработчикам в виде единого отчёта.
Кроме того, исследователи обнаружили ещё один механизм диагностики: перечень адресов для проверки загружается с сервера. В ходе лабораторных тестов этот канал срабатывал 19 раз. Такой подход даёт возможность корректировать объекты проверки без необходимости обновлять само приложение.
Если пользователь разрешил доступ к контактам, Max синхронизирует адресную книгу. При регистрации эксперты зафиксировали, что имена и номера телефонов передаются в открытом виде — до применения транспортного шифрования, а не в формате необратимых хешей. Из‑за этого на сервер могут попадать данные людей, которые не используют этот мессенджер.
Отдельно исследователи обратили внимание на механизм поиска по номеру телефона. По такому запросу система возвращала идентификатор и имя пользователя, дату создания аккаунта, а также позволяла узнавать, находится ли он онлайн. При этом человек, чей номер искали, не получал никаких уведомлений, а ограничений на количество подобных запросов специалисты не выявили.
В стандартных чатах Max не реализовано сквозное шифрование, которое гарантировало бы, что содержимое переписки доступно только её участникам. Сервер сохраняет возможность доступа к сообщениям, несмотря на защищённый канал передачи. В «секретных» чатах присутствует таймер удаления сообщений, но отдельного режима сквозного шифрования нет.
Во время тестирования приложение блокировало отправку сообщений, если на устройстве был обнаружен активный VPN, — функция восстанавливалась только после отключения соединения.
Также в коде был найден компонент, способный собирать список установленных программ, однако в рамках исследования он не активировался: для его работы требуется системное разрешение, которого не было в проанализированной сборке.
Согласно действующей редакции политики конфиденциальности Max (от 18 мая), сервис вправе обрабатывать IP‑адрес, сведения об устройстве, провайдере, активности в приложении, а также контакты — при наличии соответствующего разрешения. При этом в документе нет детального описания механизма удалённой настройки функций для отдельных аккаунтов.
Представители InterSecLab особо отмечают рамки своих выводов: работа демонстрирует функциональные возможности и зафиксированное поведение конкретной сборки для Android, но не подтверждает, что каждая из этих функций реально применяется в отношении конкретных пользователей.
По словам авторов исследования, перед публикацией они направили свои результаты компании VK и оператору Max, однако ответа не получили.