VK может незаметно включать функции сбора данных в «Макс» для отдельных пользователей
VK может удаленно менять настройки сбора данных в «Макс» — без обновления приложения и уведомления. Об этом сообщили InterSecLab и RKS Global, изучившие Android-версию приложения. Среди таких настроек — проверка сетевых подключений, обнаружение VPN и расшифровка сообщений.
Исследователи отмечают, что описывают технические возможности приложения. Доказательств их использования против людей авторы не привели. Выводы основаны на проверке одной сборки и тестовых аккаунтов.
Какие функции обнаружили эксперты:
— чтение сообщений и транскрибирование звонков на серверах VK, а не на устройстве,
— блокировку сообщений при обнаружении VPN,
— проверку, к каким интернет-сервисам может подключиться гаджет,
— сбор более подробных данных о поведении пользователя внутри приложения,
— передачу данных пользователя сторонним сервисам.
По данным исследователей, текстовые сообщения в «Макс» не защищены сквозным шифрованием и доступны серверам VK. «Секретные чаты» добавляют только таймер удаления сообщений. Серверы также проверяют текст на ссылки. Вся адресная книга пользователя загружается на серверы VK в виде открытого текста и синхронизируется заново при каждом добавлении или изменении контакта.
Кроме того, приложение собирает объемный массив данных: «каждый экран, который посещает пользователь, время, проведенное на нем, каждый сетевой вызов и его тайминги, каждое видео, которое смотрит пользователь, то, как он взаимодействует с плеером и др».
«Макс»построен так, чтобы «сопротивляться» изучению, отметили там. Приложение завершает работу, обнаружив программы анализа, и прячет адреса в коде, вместо того, чтобы хранить их читаемым текстом.
«Устройство приложения таково, что два человека, использующие одну и ту же версию "Макс" в один и тот же день, могут работать с существенно разными приложениями, и результаты у них будут отличаться», — добавили там.
🔵 Риски. В апреле хостинг-провайдер Cloudflare пометил мессенджер как «шпионское ПО». В июне приложение удалили из магазина Apple, в июле — из Google Play.
