мне кажется что об этом пора переставать писать. просто оставить мессенджер мах с его подневольной аудитоорией, если вы все еще там, по собственному желанию - ну ок

InterSecLab девять недель изучала андрюшечную версию МАХА изнутри. Выяснилось, что ВК, которой он принадлежит, может выставлять настройки отдельно для каждого аккаунта:

-включать проверку VPN и доступности сайтов,
-расширять журналы работы приложения,
-управлять функцией расшифровки голосовых.

для этого не требуется обновления, на экране и в настройках ничего не меняется

Есть отдельный сетевой щуп. Сервер присылает список адресов, МАХ проверяет их с телефона пользователя и отправляет результаты обратно. На тестовых устройствах этот канал сработал 19 раз. Среди целей были Госуслуги и серверы уведомлений Apple, Google и Huawei. Какие адреса сервер задавал другим аккаунтам, исследователи не знают

«СеКрЕтНыЙ чАт» в MAX это просто таймер удаления сообщений. Сквозного шифрования нет, сервер VK получает текст в читаемом виде

Если дать доступ к контактам, MAX загружает в VK адресную книгу: имена вместе с номерами, без хеширования номеров.

По чужому зарегистрированному номеру можно узнать имя и время создания аккаунта. После такого поиска сервер ещё больше 15 минут присылал исследователям статус онлайн найденного человека. Сам он уведомления не получил

В одном из тестов MAX отказался отправлять сообщение, пока на телефоне работал VPN. Когда VPN перенесли на роутер, отправка заработала

Авторы не нашли в изученной сборке тайной записи звонков и съёмки экранов мини-приложений. Они также не доказали, что VK уже настраивала слежку под конкретного человека. Но механизм индивидуальной настройки есть. Проверить, какие переключатели выставлены для вашего аккаунта, интерфейс MAX не позволяет.

Исследование:мне кажется что об этом пора переставать писать. просто оставить мессенджер мах с его подневольной аудитоорией, если вы все еще там, по собственному желанию - ну ок

InterSecLab девять недель изучала андрюшечную версию МАХА изнутри. Выяснилось, что ВК, которой он принадлежит, может выставлять настройки отдельно для каждого аккаунта:

-включать проверку VPN и доступности сайтов,
-расширять журналы работы приложения,
-управлять функцией расшифровки голосовых.

для этого не требуется обновления, на экране и в настройках ничего не меняется

Есть отдельный сетевой щуп. Сервер присылает список адресов, МАХ проверяет их с телефона пользователя и отправляет результаты обратно. На тестовых устройствах этот канал сработал 19 раз. Среди целей были Госуслуги и серверы уведомлений Apple, Google и Huawei. Какие адреса сервер задавал другим аккаунтам, исследователи не знают

«СеКрЕтНыЙ чАт» в MAX это просто таймер удаления сообщений. Сквозного шифрования нет, сервер VK получает текст в читаемом виде

Если дать доступ к контактам, MAX загружает в VK адресную книгу: имена вместе с номерами, без хеширования номеров.

По чужому зарегистрированному номеру можно узнать имя и время создания аккаунта. После такого поиска сервер ещё больше 15 минут присылал исследователям статус онлайн найденного человека. Сам он уведомления не получил

В одном из тестов MAX отказался отправлять сообщение, пока на телефоне работал VPN. Когда VPN перенесли на роутер, отправка заработала

Авторы не нашли в изученной сборке тайной записи звонков и съёмки экранов мини-приложений. Они также не доказали, что VK уже настраивала слежку под конкретного человека. Но механизм индивидуальной настройки есть. Проверить, какие переключатели выставлены для вашего аккаунта, интерфейс MAX не позволяет