Мессенджер «Макс» умеет следить за пользователями по-разному. Исследователи InterSecLab обнаружили, что VK может незаметно менять функции слежки для любого аккаунта

Мессенджер «Макс» обладает широкими возможностями для слежки за пользователями, но их настройка может быть индивидуальной и контролируется разработчиком — холдингом VK. Об этом говорится в новом отчете лаборатории цифровой безопасности InterSecLab, с которым ознакомилась «Медуза». Авторы исследования в течение девяти недель наблюдали за работой мессенджера на примере реальных аккаунтов, перехватывали его сетевой трафик до этапа шифрования и сопоставляли каждое наблюдение с кодом приложения. «У Max нет единого набора функций. VK решает, что именно приложение будет делать в вашем случае, отдельно для каждого аккаунта, и может менять это в любой момент», — рассказал директор InterSecLab Марла Ривера. Вот главное из отчета лаборатории.

Ключевой вывод исследования: «Макс» может работать по-разному для разных пользователей. VK может активировать отдельные функции для конкретных аккаунтов. Для этого не требуется ни обновлять приложение, ни вносить какие-либо изменения в интерфейс.

В «Максе» нет сквозного шифрования, VK доступно содержимое переписки пользователей. В «секретных чатах» мессенджера сообщения не шифруются, а просто удаляются по таймеру. Исследователи полагают, что название «секретный чат» в случае с «Максом» намеренно вводит пользователей в заблуждение. Telegram использует этот же термин для обозначения режима переписки со сквозным шифрованием.

Отдельно для каждого аккаунта в «Максе» можно настроить: расшифровку голосовых сообщений на серверах VK, блокировку отправки сообщений при обнаружении VPN, сбор данных о действиях пользователя в приложении, а также передачу сведений о личности пользователя сторонним сервисам. Исследователи также обнаружили функцию, которая не была активна в момент тестирования — «Макс» может получить информацию обо всех приложениях, которые установлены на устройстве пользователя.

При каждом запуске «Макс» отправляет в VK информацию о сетевом окружении пользователя: его публичный IP-адрес, сведения о мобильном операторе, работе VPN и доступности других интернет-сервисов. Все это отправляется в VK единым отчетом, а данные обновляются при каждом запуске приложения. Исследователи подчеркивают, что один лишь IP-адрес уже позволяет определить примерное местоположение пользователя.  

Вся адресная книга пользователя загружается на серверы VK в открытом виде. Имена в ней соотносятся с номерами телефонов, и при каждом внесении изменений эти данные синхронизируются. При этом VK получает доступ к номерам даже тех людей, которые никогда не регистрировались в «Максе». В одном из ранних разборов приложения утверждалось, что перед загрузкой номера хешировались, однако исследователи InterSecLab это опровергли. 

О любом пользователе можно довольно много узнать по номеру телефона. В ответ на запрос «Макс» выдает идентификатор учетной записи, отображаемое имя и время создания аккаунта, а также в течение 15 минут посылает информацию о том, когда пользователь был онлайн. При этом сам человек, в отношении которого выполнялся запрос, не получает никаких уведомлений. Ограничений по количеству таких запросов исследователи не обнаружили.

«Макс» перестает работать, если обнаружит VPN. При попытке отправить сообщение приложение требует отключить VPN. Обойти это ограничение можно обойти, перенеся VPN на роутер, пишут исследователи, однако не все пользователи знают об этом способе. 

Новые аккаунты в «Максе» еще до выполнения каких-либо поисковых запросов получают подборку из 25 рекомендованных каналов. В список входят государственные СМИ, чиновники и провоенные журналисты, в том числе аккаунты РИА Новости, НТВ, «Известий», Владимира Соловьева и Дмитрия Медведева.