Скриншоты без ведома и перехват паролей: MAX оказался дырявее, чем считалось

То, о чем давно предупреждали эксперты, свершилось в катастрофических масштабах. По данным западных исследователей из Мичиганского университета, национальный мессенджер Max превратился в гигантскую брешь, через которую личные данные десятков миллионов россиян уже утекают прямо на серверы силовиков и злоумышленников.

Выяснилось, что Макс без ведома владельцев смартфонов тайно делает скриншоты экранов при вводе паролей в банковских приложениях и на «Госуслугах». Мессенджер в открытом виде перехватывает цифровые подписи, ключи сессий ЕСИА и токены доступа. То есть прямо сейчас в руках платформы находятся абсолютные ключи от ваших денег, медицинских карт и недвижимости.

Пока чиновники агрессивно загоняли граждан в Max, превращая его в единственный способ попасть в школьные чаты или записаться к врачу, архитектура приложения изначально проектировалась как тотальный бэкдор. Наличие ГОСТ-шифрования лишь гарантирует, что вся перехваченная информация - от пароля в банк до номера рейса - уходит в «нужные» кабинеты.

Источники, близкие к разработчикам VK, на условиях анонимности сообщают, что за последние три месяца базы перехваченных скриншотов и сессионных токенов Max уже неоднократно «утекали» на теневые форумы из-за системных уязвимостей в серверах сбора ГОСТ-трафика. Мошенники уже используют эти токены для мгновенного оформления микрозаймов и угона аккаунтов на Госуслугах без ввода СМС-кодов. По сути, частной жизни в России больше не существует - любой ваш клик внутри Max уже зафиксирован и продан.

✦✦✦

Закрытая повестка — здесь реальная повестка без редакции и согласований, то что не публикуют СМИ, подпишись.