Мессенджер «Макс» умеет следить за пользователями по-разному. Исследователи InterSecLab обнаружили, что VK может незаметно менять функции слежки для любого аккаунта
0
Мессенджер «Макс» обладает широкими возможностями для слежки за пользователями, но их настройка может быть индивидуальной и контролируется разработчиком — холдингом VK. Об этом говорится в новом отчете лаборатории цифровой безопасности InterSecLab, с которым ознакомилась «Медуза». Авторы исследования в течение девяти недель наблюдали за работой мессенджера на примере реальных аккаунтов, перехватывали его сетевой трафик до этапа шифрования и сопоставляли каждое наблюдение с кодом приложения. «У Max нет единого набора функций. VK решает, что именно приложение будет делать в вашем случае, отдельно для каждого аккаунта, и может менять это в любой момент», — рассказал директор InterSecLab Марла Ривера. Вот главное из отчета лаборатории.
VK может активировать отдельные функции для конкретных аккаунтов. Для этого не требуется ни обновлять приложение, ни вносить какие-либо изменения в интерфейс.
В «секретных чатах» мессенджера сообщения не шифруются, а просто удаляются по таймеру. Исследователи полагают, что название «секретный чат» в случае с «Максом» намеренно вводит пользователей в заблуждение. Telegram использует этот же термин для обозначения режима переписки со сквозным шифрованием.
расшифровку голосовых сообщений на серверах VK, блокировку отправки сообщений при обнаружении VPN, сбор данных о действиях пользователя в приложении, а также передачу сведений о личности пользователя сторонним сервисам. Исследователи также обнаружили функцию, которая не была активна в момент тестирования — «Макс» может получить информацию обо всех приложениях, которые установлены на устройстве пользователя.
: его публичный IP-адрес, сведения о мобильном операторе, работе VPN и доступности других интернет-сервисов. Все это отправляется в VK единым отчетом, а данные обновляются при каждом запуске приложения. Исследователи подчеркивают, что один лишь IP-адрес уже позволяет определить примерное местоположение пользователя.
Имена в ней соотносятся с номерами телефонов, и при каждом внесении изменений эти данные синхронизируются. При этом VK получает доступ к номерам даже тех людей, которые никогда не регистрировались в «Максе». В одном из ранних разборов приложения утверждалось, что перед загрузкой номера хешировались
, однако исследователи InterSecLab это опровергли.
В ответ на запрос «Макс» выдает идентификатор учетной записи, отображаемое имя и время создания аккаунта, а также в течение 15 минут посылает информацию о том, когда пользователь был онлайн. При этом сам человек, в отношении которого выполнялся запрос, не получает никаких уведомлений. Ограничений по количеству таких запросов исследователи не обнаружили.
При попытке отправить сообщение приложение требует отключить VPN. Это ограничение можно обойти, перенеся VPN на роутер, пишут исследователи, однако не все пользователи знают об этом способе.
В список входят государственные СМИ, чиновники и провоенные журналисты, в том числе аккаунты РИА Новости, НТВ, «Известий», Владимира Соловьева и Дмитрия Медведева.
VK может активировать отдельные функции для конкретных аккаунтов. Для этого не требуется ни обновлять приложение, ни вносить какие-либо изменения в интерфейс.
В «секретных чатах» мессенджера сообщения не шифруются, а просто удаляются по таймеру. Исследователи полагают, что название «секретный чат» в случае с «Максом» намеренно вводит пользователей в заблуждение. Telegram использует этот же термин для обозначения режима переписки со сквозным шифрованием.
расшифровку голосовых сообщений на серверах VK, блокировку отправки сообщений при обнаружении VPN, сбор данных о действиях пользователя в приложении, а также передачу сведений о личности пользователя сторонним сервисам. Исследователи также обнаружили функцию, которая не была активна в момент тестирования — «Макс» может получить информацию обо всех приложениях, которые установлены на устройстве пользователя.
: его публичный IP-адрес, сведения о мобильном операторе, работе VPN и доступности других интернет-сервисов. Все это отправляется в VK единым отчетом, а данные обновляются при каждом запуске приложения. Исследователи подчеркивают, что один лишь IP-адрес уже позволяет определить примерное местоположение пользователя.
Имена в ней соотносятся с номерами телефонов, и при каждом внесении изменений эти данные синхронизируются. При этом VK получает доступ к номерам даже тех людей, которые никогда не регистрировались в «Максе». В одном из ранних разборов приложения утверждалось, что перед загрузкой номера хешировались
, однако исследователи InterSecLab это опровергли.
В ответ на запрос «Макс» выдает идентификатор учетной записи, отображаемое имя и время создания аккаунта, а также в течение 15 минут посылает информацию о том, когда пользователь был онлайн. При этом сам человек, в отношении которого выполнялся запрос, не получает никаких уведомлений. Ограничений по количеству таких запросов исследователи не обнаружили.
При попытке отправить сообщение приложение требует отключить VPN. Это ограничение можно обойти, перенеся VPN на роутер, пишут исследователи, однако не все пользователи знают об этом способе.
В список входят государственные СМИ, чиновники и провоенные журналисты, в том числе аккаунты РИА Новости, НТВ, «Известий», Владимира Соловьева и Дмитрия Медведева.
