Общество 4 мин чтения
Исследование: мессенджер «Макс» позволяет VK индивидуально настраивать слежку за любым аккаунтом
Лаборатория InterSecLab выяснила, что VK может незаметно включать и отключать функции слежки в «Максе» для каждого пользователя отдельно, без обновления приложения и без уведомления владельца аккаунта.
Разработчик мессенджера «Макс» холдинг VK может индивидуально настраивать функции слежки для каждого аккаунта, не уведомляя об этом пользователя и не выпуская обновлений приложения. К такому выводу пришла лаборатория цифровой безопасности InterSecLab, которая в течение девяти недель изучала работу мессенджера на реальных аккаунтах, перехватывала его сетевой трафик до этапа шифрования и сопоставляла наблюдения с кодом приложения.
«У Max нет единого набора функций. VK решает, что именно приложение будет делать в вашем случае, отдельно для каждого аккаунта, и может менять это в любой момент», — заявил директор InterSecLab Марла Ривера. По данным исследователей, для активации или отключения отдельных возможностей не требуется ни обновлять приложение, ни вносить изменения в интерфейс — все управляется со стороны серверов.
В «Максе» отсутствует сквозное шифрование, поэтому содержимое переписки доступно VK. Функция «секретных чатов», название которой совпадает с режимом зашифрованной переписки в Telegram, в действительности лишь удаляет сообщения по таймеру на устройстве, тогда как сами сообщения остаются на серверах компании. Исследователи полагают, что такое название намеренно вводит пользователей в заблуждение.
Отдельно для каждого аккаунта могут быть настроены расшифровка голосовых сообщений на серверах VK, блокировка отправки сообщений при обнаружении VPN, сбор данных о действиях пользователя внутри приложения и передача сведений о его личности сторонним сервисам. Кроме того, обнаружена пока неактивная функция, позволяющая «Максу» получать информацию обо всех приложениях, установленных на устройстве.
При каждом запуске мессенджер отправляет в VK единый отчет о сетевом окружении пользователя: публичный IP-адрес, сведения о мобильном операторе, работе VPN и доступности других интернет-сервисов. Данные обновляются при каждом запуске. Даже один IP-адрес, как подчеркивают исследователи, позволяет определить примерное местоположение человека.
Адресная книга пользователя загружается на серверы VK в открытом виде: имена соотносятся с номерами телефонов и синхронизируются при каждом изменении. При этом VK получает доступ к номерам даже тех людей, которые никогда не регистрировались в «Максе». В одном из ранних разборов приложения утверждалось, что перед загрузкой номера хешируются, однако InterSecLab это опровергла.
По номеру телефона можно получить идентификатор учетной записи, отображаемое имя и время создания аккаунта, а в течение 15 минут — сведения о том, когда пользователь был онлайн. Сам человек, в отношении которого выполняется запрос, не получает никаких уведомлений. Ограничений по количеству таких запросов исследователи не обнаружили.
«Макс» перестает работать при обнаружении VPN: при попытке отправить сообщение приложение требует отключить его. Обойти ограничение можно, перенеся VPN на роутер, но, как отмечают исследователи, об этом способе знают не все пользователи.
Новые аккаунты еще до выполнения каких-либо поисковых запросов получают подборку из 25 рекомендованных каналов. В список входят государственные СМИ, чиновники и провоенные журналисты, в том числе аккаунты РИА Новости, НТВ, «Известий», Владимира Соловьева и Дмитрия Медведева.
Согласно отдельному исследованию InterSecLab и RKS Global, серверы VK позволяют удаленно следить за пользователями «Макса» за счет мониторинга ключевых слов как в чатах, так и в аудиозвонках и голосовых сообщениях. Каждое текстовое сообщение содержит пометку, указывающую серверу на необходимость проверки на наличие ссылок или заданных слов, а звонки и голосовые сообщения могут транскрибироваться в режиме реального времени.
2
