Лаборатория цифровой безопасности InterSecLab совместно с RKS Global выяснили, что VK может удаленно активировать для пользователей Max функции, позволяющие отслеживать их сетевую активность, расшифровывать голосовые сообщения и проверять содержимое переписки. К такому выводу исследователи пришли после девяти недель анализа работы мессенджера. Как установили специалисты, VK может дистанционно менять настройки Max отдельно для каждой учетной записи или сразу для группы пользователей — без обновления приложения и без уведомления владельцев аккаунтов. Таким образом, у двух человек с одной и той же версией Max набор активных функций может отличаться, а сами пользователи не увидят этого. В частности, с серверов могут включаться функции обнаружения VPN, сетевого сканирования, расшифровки голосовых сообщений и расширенного сбора данных.
InterSecLab также установила, что в Max нет сквозного шифрования. Функция «секретных чатов», как выяснили специалисты, не защищает переписку шифрованием, а лишь устанавливает таймер автоматического удаления сообщений. Исследователи смогли перехватить текст сообщения в момент его передачи криптографической системе, а голосовые сообщения, по их данным, расшифровываются на серверах VK. Кроме того, Max передает VK данные об интернет-подключении пользователя. При включении соответствующей функции приложение проверяет IP-адрес устройства, наличие VPN, мобильного оператора и доступность ряда интернет-сервисов. Также Max загружает на сервер всю адресную книгу пользователя.
Исследователи обнаружили и возможность искать зарегистрированных пользователей по номеру телефона. Для этого не нужно добавлять человека в контакты, а сам владелец номера не получает уведомления о поиске. Специалисты рекомендуют не передавать через Max конфиденциальную информацию, поскольку, согласно их выводам, содержание сообщений может быть доступно серверам VK.
