Исследователи разобрали MAX изнутри и нашли удалённое управление функциями для каждого пользователя
Исследователи InterSecLab изучили Android-версию мессенджера MAX и пришли к выводу, что часть функций приложения может настраиваться на сервере отдельно для разных аккаунтов без обновления клиента. Во время девятинедельного анализа специалисты наблюдали передачу данных о сетевом окружении, работу проверки VPN, синхронизацию адресной книги и механизм обработки сообщений, при котором серверная инфраструктура участвует в работе с их содержимым. Исследование опубликовано 24 сентября 2026 года. Команда анализировала Android-версию 26.12.0, сборку 6664, с марта по май. Специалисты перехватывали трафик внутри приложения до его передачи криптографической библиотеке и сопоставляли наблюдаемое поведение с кодом клиента.
Одним из главных результатов стала система удалённых настроек. Авторы обнаружили, что некоторые параметры MAX поступают с серверов и могут различаться для разных аккаунтов. Среди таких параметров исследователи называют сетевую диагностику, обнаружение VPN, транскрибацию голосовых сообщений, расширенное журналирование и список сервисов, которым разрешено получать определённые сведения о пользователе. Подобный подход сам по себе не является необычным для современных приложений. Серверные флаги широко применяют для постепенного запуска функций, A/B-тестирования и изменения настроек без выпуска новой версии программы. InterSecLab обращает внимание на другой аспект: независимый исследователь при проверке одного аккаунта может не увидеть функцию, активированную для другого пользователя.
Отдельная часть работы посвящена сквозному шифрованию. По результатам анализа InterSecLab, MAX не использует E2EE для обычной переписки. Исследователи перехватили текст сообщения до передачи криптографической библиотеке и считают, что архитектура сервиса позволяет серверной стороне обрабатывать содержание сообщений. Речь не идёт о передаче переписки через интернет в открытом виде. Транспорт между приложением и серверами защищён криптографией. Сквозное шифрование отличается тем, что расшифровать сообщение могут только устройства участников разговора, тогда как при серверной обработке содержимое становится доступно инфраструктуре сервиса после расшифровки транспортного канала. В коде приложения InterSecLab обнаружила механизм, который исследователи обозначают как secret chat. По интерпретации авторов исследования, найденный механизм связан со сроком хранения сообщений и не добавляет сквозного шифрования.
При изучении сетевых функций специалисты наблюдали сбор сведений о сетевом окружении устройства. Когда соответствующая серверная настройка была активна, MAX определял публичный IP-адрес через внешние сервисы, проверял наличие VPN, получал сведения о мобильном операторе и проверял доступность заданных интернет-ресурсов. Результаты передавались инфраструктуре VK. Исследователи обнаружили и второй механизм проверки доступности сетевых адресов, список которых мог поступать с сервера. Во время эксперимента механизм сработал 19 раз. Среди проверяемых адресов оказался сервис push-уведомлений Apple, которого специалисты не нашли в коде приложения, поэтому предполагают, что адрес был передан серверной стороной.
Команда отдельно проверила поведение MAX при работающем VPN. На тестовом устройстве попытка ответить на сообщение привела к появлению полноэкранного уведомления с просьбой отключить VPN. Проверка определяла VPN непосредственно на смартфоне, поэтому туннель на маршрутизаторе таким способом не выявлялся. InterSecLab не утверждает, что одинаковое поведение включено для каждого аккаунта MAX.
Ещё один эксперимент касался адресной книги. При регистрации нового аккаунта исследователи зафиксировали передачу имён и телефонных номеров на серверы после предоставления приложению доступа к контактам. По результатам анализа номера перед отправкой не хешировались. Функция, которую в некоторых предыдущих технических разборах принимали за хеширование, по версии InterSecLab занимается нормализацией формата номера.
Официальная политика MAX предусматривает обработку IP-адреса, сведений об устройстве и интернет-провайдере, информации об активности пользователя и данных адресной книги при наличии соответствующего разрешения. Поэтому сам факт обработки контактов не противоречит заявленной политике сервиса. Исследование уточняет технический способ, которым такая синхронизация происходила в протестированной версии приложения.
InterSecLab также проверила поиск зарегистрированного пользователя по номеру телефона. Во время тестирования запрос возвращал идентификатор аккаунта, отображаемое имя и время создания учётной записи без необходимости предварительно добавлять человека в контакты. После запроса сервер некоторое время передавал сведения о сетевом статусе найденного пользователя. Уведомления владельцу аккаунта исследователи не наблюдали.
Голосовые функции MAX работают по другой схеме. По данным InterSecLab, распознавание голосовых сообщений выполняется на серверной инфраструктуре. В коде звонков исследователи нашли механизм локальной обработки аудиопотока моделью на устройстве. Файлы модели приложение может получать с серверов, что позволяет разработчику обновлять такой компонент отдельно от самого клиента.
Некоторые потенциально чувствительные возможности, обнаруженные в коде, во время исследования не работали. Например, специалисты нашли компонент, способный получать сведения об установленных приложениях, однако в протестированной сборке компонент не инициализировался, а у приложения отсутствовало необходимое разрешение. InterSecLab поэтому прямо указывает, что исследование не подтверждает сбор MAX полного списка установленных программ.
Авторы также проводят границу между техническими возможностями приложения и их практическим применением. Исследование не содержит доказательств того, что VK, MAX или государственные структуры использовали описанные механизмы для наблюдения за конкретными людьми. Работа показывает поведение одной версии приложения в определённый период и функции, обнаруженные исследователями в коде.
Перед публикацией InterSecLab направила результаты ООО «МАХ», Apple, Google и структурам Евросоюза. По словам авторов, ответ поступил только от подразделения ЕС, занимающегося санкционной политикой. MAX к моменту публикации исследования на вопросы лаборатории не ответили. Публичного комментария MAX непосредственно к выводам нового отчёта на момент подготовки материала также обнаружить не удалось.
Отчёт дополняет опубликованное в сентябре отдельное исследование мини-приложений MAX. Его авторы изучили 90 мини-приложений и показали, что основное приложение обладает техническими возможностями взаимодействовать с их локальными данными и управлять частью среды выполнения. При этом исследователи также не обнаружили доказательств злоупотребления такими возможностями.
Масштаб MAX делает результаты подобных исследований особенно заметными. По данным Mediascope за июнь 2026 года, месячная аудитория сервиса среди россиян старше 12 лет достигла 86,3 млн человек, а среднесуточная составила около 69 млн. По этому показателю MAX обошёл другие крупнейшие мессенджеры в России. В августе среднесуточная аудитория выросла примерно до 69,9 млн пользователей. Поэтому MAX корректнее называть крупнейшим мессенджером страны по текущему ежедневному охвату, а не просто «самым популярным» без уточнения методики подсчёта.