Исследователи InterSecLab в течение девяти недель наблюдали за работой Max на реальных аккаунтах, анализировали код приложения и перехватывали его сетевой трафик до этапа шифрования. Согласно отчету, набор активных функций может различаться для разных аккаунтов, а VK способна менять его в любой момент без видимых изменений в интерфейсе.
«У Max нет единого набора функций. VK решает, что именно приложение будет делать в вашем случае, отдельно для каждого аккаунта», — заявил директор InterSecLab Марла Ривера.
Ключевой вывод отчета: в мессенджере нет сквозного шифрования, поэтому содержимое переписки технически доступно VK. Так называемые секретные чаты также не используют сквозное шифрование — сообщения в них просто удаляются по таймеру, но остаются на серверах компании. Исследователи полагают, что такое название вводит пользователей в заблуждение, поскольку в Telegram этот термин обозначает режим со сквозным шифрованием.
По данным InterSecLab, для отдельных аккаунтов VK может включать расшифровку голосовых сообщений на своих серверах, блокировку отправки сообщений при обнаружении VPN, расширенный сбор данных о действиях пользователя и передачу сведений о его личности сторонним сервисам. Отдельно исследователи нашли в коде функцию, позволяющую получить сведения обо всех установленных на устройстве программах, — на момент тестирования она не была активна.
При каждом запуске Max, согласно исследованию, передает VK данные о сетевом окружении пользователя: публичный IP-адрес, сведения о мобильном операторе, работе VPN и доступности других интернет-сервисов. IP-адрес позволяет приблизительно определить местоположение. Адресная книга загружается на серверы VK в открытом виде: имена сопоставляются с номерами телефонов, и изменения синхронизируются. Так VK получает номера и тех людей, которые никогда не регистрировались в Max.
Исследователи также обнаружили возможность получать информацию об аккаунте по номеру телефона. В ответ на запрос сервис выдает идентификатор учетной записи, отображаемое имя, время создания аккаунта, а затем в течение 15 минут — сведения о том, когда пользователь был онлайн. Сам пользователь уведомления не получает. Ограничений на количество таких запросов во время исследования найдено не было.
Отдельно InterSecLab изучила взаимодействие мессенджера с VPN. Max способен определить, что VPN работает непосредственно на устройстве, и запретить отправку сообщений до его отключения. VPN, настроенный на роутере, таким способом не обнаруживается.
Новым пользователям Max еще до первого поискового запроса предлагаются 25 рекомендованных каналов. Среди них, по данным лаборатории, — РИА «Новости», НТВ, «Известия», Владимир Соловьев и заместитель председателя Совета безопасности России Дмитрий Медведев.
Авторы отчета подчеркивают, что обнаружение технической возможности не означает, что она используется в отношении всех или каких-либо конкретных пользователей: поскольку функции могут включаться удаленно, их набор у разных аккаунтов способен отличаться.
Max разработан компанией VK и позиционируется российскими властями как национальный мессенджер. На фоне его внедрения власти ограничивают работу иностранных сервисов связи и переводят в Max ряд государственных и образовательных коммуникаций.