Серверы корпорации VK позволяют разработчикам госмессенджера Max удаленно следить за его пользователями, мониторя ключевые слова как в чатах, так и в аудиозвонках и голосовых сообщениях: серверы автоматически мониторят все сообщения и проверяют их на соответствие заданным словам. К такому выводу пришла лаборатория цифровой безопасности InterSecLab и RKS Global.
Каждое сообщение, отправленное через мессенджер Max, доступно для чтения серверами VK: это стало возможным за счет отсутствия в нем сквозного шифрования. VK может в режиме реального времени транскрибировать содержание звонков и читать сообщения в мессенджере. То же самое происходит и с голосовыми сообщениями: они расшифровываются на серверах VK, а не на устройстве.
Каждое текстовое сообщение содержит пометку, указывающую серверу на необходимость проверки на наличие ссылок или ключевых слов. Аналитики также пришли к выводу, что функции «секретных чатов» в Max (аналогичные зашифрованные чаты есть в Telegram) — всего лишь сообщения, исчезающие на устройстве по таймеру. Сами сообщения остаются на серверах компании.
Адресная книга пользователя тоже подгружается на серверы VK. Любой сторонний пользователь при желании может найти зарегистрированный аккаунт, его номер телефона, узнать дату создания аккаунта и его статус «онлайн». Владелец найденного аккаунта при этом не получит никаких уведомлений.
Max также регулярно мониторит другие приложения на устройстве: например, он перестает работать, если обнаруживает на телефоне включенный VPN.
Российские власти активно продвигают Max как национальную альтернативу Telegram и WhatsApp после того, как усилили блокировку иностранных мессенджеров. Специалисты по информационной безопасности неоднократно и раньше критиковали Max, указывая на проблемы с защитой данных и конфиденциальностью пользователей. В апреле этого года Cloudfare пометил домен мессенджера как шпионское ПО.
