Max может делать скриншоты встроенных банковских и государственных сервисов и видеть ключи от Госуслуг, показали американские исследователи

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ THE BELL ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА THE BELL. 18+

Мессенджер Max технически способен незаметно для пользователей перехватывать все, что происходит во встроенных в него сервисах: от записи к врачу до банковских приложений и Госуслуг. К такому выводу пришли авторы исследования из Мичиганского университета, Технологического института Джорджии, Университета Калгари и Индийского технологического института в Дели. Группу возглавляет Роя Энсафи, профессор Мичиганского университета и руководитель проекта Censored Planet, который изучает интернет-цензуру, в том числе российскую систему блокировок ТСПУ.

Следов того, что Max уже использует эти возможности во вред пользователям, исследователи не нашли. Речь о том, что это позволяет устройство мессенджера. Работа пока опубликована как препринт и не прошла рецензирование.

Что проверяли

Исследователи разбирали работу Max на Android в двух версиях: одну предустанавливают на смартфоны в России, другая доступна в Google Play. Устроены они почти одинаково и различаются способом шифрования. Российская версия использует российские криптоалгоритмы ГОСТ и подключается к отдельным серверам, недоступным из-за рубежа. Чтобы она заработала, исследователям пришлось пропускать трафик через сервер в России и настраивать телефон так, чтобы Max не заметил VPN и иностранную сим-карту. Версия из Google Play работает со стандартным шифрованием и из любой страны.

Всего исследователи протестировали 90 мини-приложений. Это встроенные в мессенджер сервисы, которые работают как веб-страницы внутри Max, например региональные Госуслуги, запись к врачу, МФЦ, банки, страховые компании, «Почта России». Для таких сервисов Max фактически заменяет операционную систему, а Android воспринимает мессенджер и все мини-приложения внутри него как одно приложение.

Что может Max

▪️ Делать скриншоты мини-приложений. Чтобы это проверить, исследователи подключились к работающему мессенджеру и от его имени вызвали стандартную функцию Android, которая копирует изображение с экрана. Никаких специальных разрешений для этого не понадобилось, а пользователь ничего не заметил. Функция сработала в 31 из 35 попыток. На одном из снимков была форма входа мини-приложения с логином и паролем. Если делать такие снимки во время ввода пароля, его можно восстановить, даже когда символы скрыты точками, пишут авторы.

▪️ Видеть все, что мини-приложения сохраняют на телефоне. Все протестированные сервисы записывали через мессенджер данные, которые он получал в открытом виде. Среди примеров: токен приложения банка «Ак Барс» и ключ сессии, который сервис «Госуслуги. Моя школа» получает после входа через ЕСИА (единую систему авторизации Госуслуг). Кроме того, при входе в этот сервис через ЕСИА Max видел цифровую подпись, которой сервис подтверждает Госуслугам, что запрос на вход исходит от него.

▪️ Запускать любой код внутри мини-приложения, при этом сервис не сможет отличить его от своего. Сейчас мессенджер использует это для служебных задач: подменяет функцию «Поделиться» и замеряет скорость загрузки страниц.

▪️ Видеть каждую страницу, которую пользователь открывает в мини-приложении, и каждый запрос. В одном из тестов это были направление и даты поездки, номер рейса «Победы» и название отеля. В российской версии этот трафик затем уходит на серверы с ГОСТ-шифрованием. Авторы считают, что это создает риск перехвата данных на уровне государства.

▪️ Действовать от имени пользователя. Мини-приложения обычно не проверяют, кто ими пользуется, а верят Max на слово: при каждом запуске мессенджер передает сервису данные пользователя, например его ID. Так же устроены запросы на доступ. Если сервису нужен, например, номер телефона, он обращается к Max. По выводу авторов, у Max есть все необходимое, чтобы выдать себя за пользователя перед любым встроенным сервисом, включая госпорталы и банки.

В чем проблема

Подобные возможности есть у любого супераппа, включая китайский WeChat, подчеркивают исследователи. Это обусловлено стандартным устройством системы. Но Max они считают самым тревожным примером, ссылаясь на то, что разработчик мессенджера VK, по подсчетам «Новой газеты Европа», был причастен почти к 46% уголовных дел за посты в соцсетях за 14 лет, а в июле ЕС ввел против компании санкции за участие в слежке. При этом Max стал единственной точкой доступа к школьным чатам и госуслугам. Пик его установок из Google Play пришелся на март 2026 года, когда на фоне сбоев Telegram мессенджер скачивали почти 2,9 млн раз в день, отмечают исследователи.

Независимые специалисты и раньше сомневались в безопасности Max, но в основном изучали его разрешения и код. Новое исследование показывает, что мессенджер может делать со встроенными сервисами во время работы. Авторы призывают Google и Apple изолировать мини-приложения от супер-приложений на уровне операционной системы и дать пользователям возможность отключать таким программам доступ в интернет.