Лаборатория InterSecLab обвинила разработчиков MAX во внедрении кода для отслеживания всех действий пользователей в приложении

Киберлаборатория InterSecLab выпустила отчёт об опасности отслеживания в государственном мессенджере MAX («Макс»). Из него следует, что VK Group может читать все чаты, отслеживать каждое открытое окно, составлять карту связей людей даже без их общения в мессенджере и смотреть, какая именно часть видео интересовала пользователя.

Аналитики InterSecLab искали признаки активности как внутри доступного кода приложения, так и в трафике, который оно отправляет на сервера. Авторы отчёта предупреждают, что версии на официальном сайте и в магазинах вроде RuStore могут быть разными. Более того, у каждого отдельного пользователя может оказаться свой набор запущенных функций, так как разработчики встроили дистанционную возможность включать и отключать некоторые части кода.

«Угрозы правам человека касаются не только отдельной личности, но и общества в целом: принудительное внедрение этого суперприложения фактически подрывает любые формы общественной самоорганизации, не контролируемые государством и не поддерживаемые им идеологически. Подобная изоляция сужает социальное, эмоциональное и политическое пространство, в котором могут существовать сопротивление, солидарность и обычные человеческие связи. MAX — это не просто мессенджер с недостаточным уровнем защиты; это инфраструктура изоляции, развернутая в массовом масштабе и закрепленная законодательно <..> Более того, механизм удаленного управления функциями на серверах «Макса» может оказывать на общество “охлаждающий эффект”, характерный для “паноптикума”: <..> пользователи никогда не могут точно знать, что именно и когда видит государство. Таким образом, контроль над населением достигается с минимальными финансовыми и политическими затратами, так как люди корректируют свое поведение, опасаясь постоянной угрозы слежки,», — говорят авторы отчёта. 

Согласно документу, Max привязывает аккаунты не только к номеру телефона и физическому устройству, но и к «социальному графу», который строится на основе списка контактов в телефоне. Более того, чаты между людьми создаются в момент поиска человека внутри приложения, а не во время первого сообщения. Это значит, что VK отслеживают как тех, с кем человек знаком, так и тех, кого он просто ищет. 

Киберспециалисты подтвердили, что чаты в мессенджере не защищены сквозным шифрованием (E2EE), а значит администрация может читать все переписки и передвать их кому захочет, включая силовиков. Отдельное предупреждение касается кнопки «секретный чат», название которой скопировали у Телеграма. Пользователям обещают «максимальную конфиденциальность», однако, как показывает анализ, даже в этом случае не применяется реальное шифрование, а значит контент переписки будет доступен всем, у кого есть доступ к серверам. 

Более того, в компании выяснили, что сервера VK получают отдельное уведомление каждый раз, когда человек нажимает на кнопку для перехода на новый экран внутри MAX. В него входят временная метка с точностью до миллисекунды, данные о том, какая конкретная кнопка была нажата («первый и целевой экраны») и  идентификаторы конкретного чата или контакта, с которым идёт взаимодействие. VK может посекундно восстановить действия любого пользователя; в какие чаты он заходил, что писал и как долго общался с каждым из контактов. 

Исследователи также заметили, что приложение передаёт IP-адрес и прочую информацию на сторонние веб-сервисы, в которые можно логиниться через MAX. В коде нашли функцию WebAppVerifyMobileId, которая позволяет приложению принудительно отправить запрос через мобильный интернет, а не wifi. Таким образом приложение может получить целый набор сведений о сотовой связи абонента, а также проверяет, сидит ли человек через VPN. Авторы отчёта говорят, что пока не заметили, чтобы функция использовалась, но её могут включить в любой момент.

Отдельно сообщается, что мессенджер научился «подслушивать» разговоры пользователей во время звонков и расшифровывать текст диалога. Сейчас, как пишет InterSecLab, эта функция ищет только одну фразу — «не слышу», на русском языке. Вероятно, так разработчики проверяют качество связи через их приложение и тестируют возможность расшифровки. В будущем количество распознаваемых фраз может измениться.

Аналитики отдельно рассказали, что «Макс» может собирать данные о местоположении пользователя в фоновом режиме. Формально, это нужно для функции Live Location, которую могут внедрить в будущем. При этом серверы VK собирают не только координаты в реальном времени, но и данные о телефоне, с которого эти координаты отправляются. В функцию автоматической смены темы после заката также встроен сбор GPS. В лаборатории предупреждают, что данные об IP и его изменении, насколько можно судить, также постоянно используются разработчиками для определения примерного местоположения. 

Среди прочих данных, которые собирают или пытаются собирать разработчики — информация о том, какую конкретно часть какого видео посмотрел пользователь, состояние батареи и список установленных на телефоне приложений. Некоторые функции встроены код, но пока не используются, другие не имеют нужных разрешений. Аналитики упоминают некую систему DPS, которая связана с сайтом trace-flow RU. В InterSecLab говорят, что назначение этого модуля неизвестно, однако по коду видно, что она встроена в приложение отдельно.

Государство заставляет скачивать MAX для обучения в школе, согласования вопросов ЖКХ и получения сообщений с подтверждением. Скоро чиновники обещают перевести в приложение билеты на общественный транспорт. Активистку из Казани оштрафовали за «фейк» о принудительной установке MAX. Правительство подтвердило, что заставляет пользоваться мессенджером ради «безопасности».