Как выяснили исследователи из Мичиганского университета, российский «национальный мессенджер» MAX может без ведома пользователя делать снимки экрана мини-приложений, получать доступ к хранящимся в них файлам, включая платежи и сообщения, действовать от имени пользователя, а также внедрять в мини-приложения программный код.
Мини-приложения — это встроенные в MAX сторонние сервисы, которые открываются прямо внутри мессенджера. Через них пользоваться государственными услугами, совершать платежи, делать покупки или пользоваться другими сервисами.
Исследователи нашли пять таких способов слежки. MAX может незаметно делать снимки содержимого мини-приложений, читать и менять их локальные данные, внедрять в них JavaScript, контролировать их трафик и данные авторизации. Последнее позволяет технически обращаться к встроенному сервису от имени пользователя без его ведома.
Фото: KateV28 / Shutterstock / FOTODOM
Ранее функции «национального мессенджера» анализировали и другие независимые технические специалисты.
Так, в мае программист под ником zarazaex разобрал APK-файл Android-версии мессенджера и опубликовал результаты на Habr. Согласно исследованию, сервис доступ к адресной книге, сведениям об установленных приложениях и использовании VPN.
Незадолго до этого один из пользователей Pikabu обратил внимание на встроенный инструмент распознавания ключевых слов во время звонков. Разработчики MAX признали его наличие, но заявили, что он нужен исключительно для проверки качества связи.
В рамках программы Bug Bounty киберисследователи обнаружили в «национальном мессенджере» 213 уязвимостей. Большая их часть связана с возможностью получить несанкционированный доступ к чужим данным или действиям.
Закон о «национальном мессенджере» Владимир Путин подписал 24 июня 2025 года. С тех пор власти активно продвигают MAX: бюджетников и чиновников переводят туда принудительно, а остальных убеждают в «безопасности» сервиса.
Среди тех, кто раскритиковал «национальный мессенджер», были в том числе крупные Z-блогеры, а также воюющая на стороне России неонацистская ДШРГ «Русич».
