🧨 На этой неделе вокруг мессенджера MAX появилось сразу две довольно громкие публикации — и обе описывают его не с лучшей стороны. Первая история касается безопасности файлов. Выяснилось, что изображения, отправленные через MAX, могут быть доступны без авторизации. Механика довольно простая: если открыть веб-версию мессенджера и посмотреть код страницы, можно получить прямую ссылку на загруженное изображение. Проблема в том, что эта ссылка открывается даже если пользователь не авторизован — например, из другого браузера или в режиме инкогнито. Более того, по сообщениям исследователей, даже после удаления изображения из переписки оно ещё какое-то время остаётся доступным по той же ссылке. Файлы раздаются с домена oneme.ru, который принадлежит инфраструктуре MAX. Вот пример ссылки на изображение из личной переписки: https://i.oneme.ru/i?r=BTE2sh_eZW7g8kugOdIm2NotI0vOhXwldyv85-CoX0TNu2FZNAcoEqAPCoZ0BzRpcWQ Вторая публикация ещё интереснее. Исследователь решил разобраться, почему MAX делает сетевые запросы к инфраструктуре Telegram и WhatsApp, и проанализировал трафик клиента. Если коротко: в приложении обнаружили модуль, который проверяет доступность разных сервисов (включая Telegram и WhatsApp), определяет IP пользователя, оператора связи и факт использования VPN. Эти данные отправляются на серверы мессенджера. Причём модуль может включаться и настраиваться удалённо. По мнению автора исследования, такая система может использоваться для анализа блокировок и выявления пользователей, которые обходят их через VPN. То есть фактически миллионы устройств могут превращаться в датчики проверки доступности различных сервисов. Интересно, что после выхода статьи в одном из обновлений MAX перестал отправлять запросы к Telegram и WhatsApp — но сам модуль из кода приложения, по словам исследователя, не исчез. Когда за одну неделю появляются сразу две независимые истории — одна про доступность пользовательских файлов без авторизации, другая про встроенный сетевой мониторинг — это как минимум повод внимательно присмотреться к тому, как именно работает новый «национальный» мессенджер. ✔️VesnaVPN