Исследователи: VK может включить слежку в Max для одного аккаунта

24 сентября лаборатория цифровой безопасности InterSecLab опубликовала технический разбор Max - мессенджера, который в России обязателен к предустановке. Главное в этой работе не то, что приложение много собирает. Главное, что набор собираемого меняется для отдельного аккаунта с серверов VK: без обновления, без следа в интерфейсе.

Два человека с одной и той же сборкой Max могут пользоваться разными приложениями. Опрос сети, проверка на VPN, расшифровка голосовых, подробное логирование - всё это серверные переключатели. Из-за этого меняется цена любой самостоятельной проверки: она показывает, что включено лично у вас сегодня, а не на что приложение способно.

Что именно сделали исследователи

Это важнее, чем обычно: вокруг Max давно идёт обмен анонимными обвинениями и такими же анонимными опровержениями. InterSecLab вместе с RKS Global работала с реальных аккаунтов на Android-сборке 26.12.0 (6664) с марта по май 2026 года, перехватывала содержимое сообщений в момент до шифрования и сверяла увиденное с кодом самого приложения. Публикация вышла через четыре месяца после окончания работы, 24 сентября.

Этот разрыв стоит проговорить. Описано то, как приложение вело себя весной, и это сверено с кодом того времени. Перед публикацией, по словам авторов, выводы отправили в VK Group, MAX LLC, Apple, Google и Совет Евросоюза. Ответил только Евросоюз.

Переключатели, которых нет в настройках

В отчёте описана конфигурация, которая приходит с сервера, а не выбирается пользователем. Опрашивать ли сеть, искать ли VPN, расшифровывать ли голосовые, сколько писать в логи - каждый пункт можно задать для одного аккаунта или для многих, и интерфейс об этом молчит.

Проверить это снаружи пользователь не может. Независимый тест показывает, что делает конкретный аккаунт в конкретный момент, и именно поэтому вывод неудобен всем, включая самих исследователей: выключенная на время проверки функция - это не отсутствующая функция.

Про VPN и почему это две разные истории

VPN в отчёте касаются два сюжета, и они разного свойства. Первый пассивный: в отчёте о сети есть признак того, поднят ли туннель. Второй активный. Исследователи описывают, как попытка ответить на сообщение упёрлась в полноэкранное требование отключить VPN, и обойти его было нельзя.

Проверка смотрит на устройство. VPN на роутере, то есть выше телефона по цепочке, для неё не виден. Мы описываем, как устроена проверка, а не советуем обходить правила сервиса, и честно очертим границу: туннель на роутере меняет то, что приложение узнаёт о вашем подключении. Он ничего не меняет для уже выгруженной адресной книги и для переписки, которая изначально не шифруется сквозным образом.

Первый заход этой темы мы разбирали в мае, когда независимые специалисты впервые сообщили об определении VPN в Max. Новый отчёт - не повтор: здесь названы лаборатория, сборка и метод, и добавлена часть про переключение для отдельных аккаунтов.

Что говорит VK, тогда и сейчас

Центр безопасности Max исследование отверг: опубликованный материал не соответствует тому, как работает Max, и упор сделан на одном пункте - в Max никогда не было «секретных чатов», а значит, по этой логике, доверия нет и всей работе. Там же предположили, что текст мог быть написан нейросетью. Чего в ответе нет, так это разбора конкретных технических утверждений про шифрование, адресную книгу, отчёт о сети и серверные переключатели.

Любопытнее более раннее заявление. В марте, после поста на Habr с тем же вопросом, VK сказала «Коммерсанту», что Max не отслеживает VPN, а данные об IP нужны только для звонков.

Пресс-служба VK, «Коммерсантъ», 5 марта 2026 года

«Max не отправляет запросы на серверы WhatsApp и Telegram и не отслеживает использование VPN. Данные об IP-адресах используются только для корректной работы звонков внутри мессенджера».

1. В сентябрьском отчёте признак VPN входит в тот самый отчёт о сети, который приложение отправляет при каждом запуске, вместе с IP и оператором.
2. Там же описано полноэкранное требование выключить VPN, без которого сообщение не уходит.
3. Оба утверждения могут быть буквально верными в разные моменты, если функция включается с сервера. Ровно это отчёт и утверждает.

Что из этого следует за пределами России

Само приложение - российский сюжет: Max обязателен на новых устройствах, а из магазинов его с тех пор убрали и Apple, и Google. А вот архитектура - сюжет общий. Серверные флаги функций это обычная инженерия, так выкатывает изменения почти любое крупное приложение. В отчёте нет экзотики. В нём описан штатный механизм, направленный на вопрос, который пользователь считает закрытым номером версии у себя в телефоне.

Отсюда вывод, применимый к любому приложению, которое работает по государственному предписанию: то, что делает программа сегодня, гарантия куда более слабая, чем кажется. Сквозное шифрование отличается от этого тем, что оно не обещание о поведении, а свойство системы. У Max его нет.