VK может удаленно включать слежку в Max: исследователи обнаружили функции для анализа звонков и сообщений

Серверы VK позволяют удаленно включать и отключать функции мониторинга в мессенджере Max без обновления приложения и уведомления пользователей, выяснили специалисты InterSecLab совместно с RKS Global. Внимание на исследование обратили «Важные истории».

По данным исследователей, серверы могут транскрибировать звонки и голосовые сообщения и анализировать переписку. Сообщения автоматически проверяются на ссылки и заданные разработчиками ключевые слова.

Специалисты также обнаружили, что в Max нет сквозного шифрования, а «секретные чаты» фактически лишь устанавливают таймер удаления сообщений с устройств — сами данные продолжают храниться на серверах VK.

Кроме того, приложение загружает на серверы адресную книгу пользователя, регулярно обновляя ее при изменении контактов. Зарегистрированный в Max номер телефона можно найти через приложение и увидеть дату создания аккаунта и статус «онлайн», при этом владелец номера не получает уведомления.

Max также собирает данные о действиях пользователя внутри приложения и проверяет, какие еще программы установлены на устройстве, включая VPN. При включенном VPN мессенджер перестает работать.