Додаток Max стежить за мільйонами росіян через один-єдиний backdoor

Мільйони росіян отримали на телефон не просто ще один месенджер, а інструмент, здатний робити скриншоти їхнього екрана без дозволу, читати платежі й підмінювати їхню особу в переписці.

Йдеться про додаток Max, фіолетово-синю кнопку для повідомлень і платежів, які за останні 18 місяців змусили встановити десятки мільйонів росіян. Влада дає його як патріотичну альтернативу Telegram і WhatsApp, а цієї весни він став найпопулярнішим месенджером країни, повідомляє The Guardian .

Розробник Max, компанія ВКонтакте, тісно пов'язана з державою. За даними видання, президент рф володимир путін опосередковано володів часткою в цьому об’єкті. Сам додаток побудований за принципом суперзастосунку: під однією іконкою ховаються банкінг, державні сервіси й месенджер, який має замінити заборонений Telegram.

Найвідоміший приклад такої моделі, китайський WeChat, але він створював 35 років паралельно з розвитком усієї інфраструктури контролю. Max нав'язали населенню, яке ще недавно мало практично вільний доступ до Інтернету.

Підписуйтеся на наші соцмережі

Форензик-дослідження, проведене командою під керівництвом Рої Енсафі, доцентки кафедри комп'ютерних наук Мічиганського університету, показало масштабні проблеми.

За її словами, Макс фактично працює як бекдор у всій екосистемі мінідодатків на пристрої користувача : може робити скриншоти екрана без власника, читати повідомлення й платежі у внутрішніх сервісах, імітувати дії користувача й навіть впроваджувати код у мінідодатки, а це, за оцінкою Енсафі, теоретично дозволяє владі використовувати платформу для кібератаки.

Вона додала, що Макс не здатен зламати ні Telegram, ні WhatsApp, якщо їх встановити окремо, але Росія заблокувала обидва сервіси, залишивши людям фактично один варіант.

Тиск на користувачів має системний характер. Вчителька з москви розповіла The Guardian, що директор школи наказав перевести всю комунікацію з батьками й учнями на Макса ще навесні. Студент із санкт-петербурга на ім’я Данііл встановив додаток перед початком навчального року, бо без QR-коду з Максом йому закривали доступ до гуртожитку й корпусів університету.

Показово, що серед еліти використання Max часто має декоративний характер. Один із наближених до кремля співрозмовників видання повідомили, що придбав другий телефон спеціально для Max, продовжуючи спілкуватися через Telegram і Signal на основному пристрої.

Звичайні користувачі формулюють тривогу простіше. Московський консультант Ніколай сказав виданню, що додаток виглядає сучасним, але «ніколи не знаєш, хто ще за тобою стежить», і все люди користуються ним дедалі частіше, бо альтернативи стають дедалі важче доступними.

Енсафі назвала швидкість впровадження Max «сигналом тривоги» для інших країн: Іран, Казахстан та Індія можуть спробувати повторити цю модель. За її словами, росія стиснула шлях до цифрового авторитаризму, який Китай проходив десятиліттями, у значно коротший термін.

Що це означає для України

Досвід Max важливий не лише як результат методів кремля, а як шаблон, який росія намагається експортувати на тимчасово окуповані території та помістити в інформаційні операції проти українців.

Розуміння того, як держава може відмовитися від звичайного додатка на інструмент масового стеження, дає українським компаніям і державним органам аргумент для посилення кіберзахисту та обережності при виборі цифрової інфраструктури, особливо там, де використовуються сервіси з російським чи пов’язаним з РФ походженням. Для українських користувачів це також надається уважніше стежити за походженням застосунків, які пропонують «універсальні» банківські чи державні функції в одному вікні.