InterSecLab нашла в Max опции для слежки за пользователями

Российский мессенджер Max обладает широкими техническими возможностями для сбора данных о пользователях, причем набор активных функций может различаться для разных аккаунтов. К такому выводу пришла лаборатория цифровой безопасности InterSecLab. Новый отчёт имеется в распоряжении Радио Свобода.

Исследователи в течение девяти недель наблюдали за работой Max на реальных аккаунтах, анализировали код приложения и перехватывали его сетевой трафик до шифрования. Один из главных выводов исследования заключается в том, что VK может удаленно активировать или отключать отдельные функции для конкретных пользователей без обновления приложения и видимых изменений в его интерфейсе.

«У Max нет единого набора функций. VK решает, что именно приложение будет делать в вашем случае, отдельно для каждого аккаунта, и может менять это в любой момент», – утверждают в InterSecLab.

По данным исследователей, в Max нет сквозного шифрования, поэтому содержимое переписки технически доступно VK. Так называемые секретные чаты также не используют сквозное шифрование: сообщения в них удаляются через установленный промежуток времени. InterSecLab считает, что такое название может вводить пользователей в заблуждение, поскольку, например, в Telegram секретными чатами называется режим со сквозным шифрованием.

Для отдельных аккаунтов, как утверждает лаборатория, VK может включать расшифровку голосовых сообщений на своих серверах, блокировку отправки сообщений при обнаружении VPN, расширенный сбор данных о действиях пользователя и передачу сведений о его личности сторонним сервисам.

При каждом запуске Max, согласно исследованию, передает VK информацию о сетевом окружении пользователя – публичный IP-адрес, сведения о мобильном операторе, использовании VPN и доступности других интернет-сервисов. IP-адрес, в частности, позволяет приблизительно определить местоположение пользователя.

InterSecLab также утверждает, что адресная книга пользователя загружается на серверы VK в открытом виде: имена сопоставляются с номерами телефонов, а изменения в контактах синхронизируются с сервером. Таким образом, VK может получать номера и тех людей, которые сами никогда не регистрировались в Max.

Исследователи обнаружили возможность получать информацию об аккаунте Max по номеру телефона. В ответ на запрос сервис предоставляет идентификатор учетной записи, отображаемое имя и время ее создания, а затем в течение 15 минут – сведения о том, когда пользователь был онлайн. Сам пользователь уведомления о таком запросе не получает. Ограничений на количество подобных запросов во время исследования обнаружено не было.

Отдельно InterSecLab изучила взаимодействие мессенджера с VPN. По данным лаборатории, Max способен определить, что VPN работает непосредственно на устройстве, и запретить отправку сообщений до его отключения. При этом VPN, настроенный на роутере, таким способом не обнаруживается.

В коде Max исследователи нашли и функцию, позволяющую приложению получить сведения обо всех установленных на устройстве программах. Однако во время исследования она не была активирована. Авторы отчета отдельно подчеркивают, что обнаружение технической возможности не означает, что она используется в отношении всех или каких-либо конкретных пользователей: поскольку функции могут включаться удаленно, их набор у разных аккаунтов способен отличаться.

InterSecLab также изучила рекомендации контента. Новым пользователям Max еще до первого поискового запроса предлагаются 25 каналов. Среди них, по данным лаборатории, – РИА «Новости», НТВ, «Известия», Владимир Соловьев и заместитель председателя Совета безопасности России Дмитрий Медведев.

Max разработан компанией VK и позиционируется российскими властями как национальный мессенджер. На фоне его внедрения российские власти ограничивают работу иностранных сервисов связи и переводят в Max ряд государственных и образовательных коммуникаций. (svoboda.org)