Команда InterSecLab, работающая совместно с RKS Global, опубликовала провела технический анализ российского мессенджера Max. В ходе исследования специалисты детально изучили приложение и установили, что его архитектура не предусматривает сквозного шифрования. При этом заявленная функция «секретных чатов» оказалась лишь таймером автоматического удаления сообщений, поскольку все переписки передаются и хранятся на серверах VK в незашифрованном виде.
Ключевой технической особенностью приложения является возможность динамической настройки функциональности непосредственно на стороне сервера. Это позволяет компании VK удаленно активировать такие функции, как сетевое зондирование, блокировка VPN, расширенное логирование или скрытую проверку доступности внешних ресурсов для конкретных аккаунтов. Таким образом, в зависимости от пользователя, одна и та же версия приложения может функционировать по-разному, при этом изменения не будут отражаться в пользовательском интерфейсе.
Согласно заявлению исследователей, во время первоначальной регистрации Max загружает всю телефонную книгу устройства на серверы VK без предварительного шифрования. Кроме того, приложение активно препятствует работе при обнаружении включенного VPN и содержит скрытые инструменты для анализа сетевой среды.
