WhatsApp шифрует переписку сквозным шифрованием с 2016 года. Signal — с 2014-го. Telegram предлагает секретные чаты с самоуничтожением. Max — мессенджер 2025 года от компании с 94,9 млрд рублей убытка — не имеет сквозного шифрования вообще. Сообщения расшифровываются и хранятся на серверах. Но зато «национальный». Зато «безопасный». 213 уязвимостей нашли белые хакеры в Max за девять месяцев Bug Bounty. 22 миллиона рублей выплатили за отчёты. Самый частый тип — IDOR: меняешь ID сообщения в запросе и читаешь чужую переписку. Без взлома, без пароля — просто подменил цифру. Веб-версия открывала личные фото по прямой ссылке без авторизации. Ссылка работала даже после удаления картинки из чата. Это не баг — это дизайн.

Но дыры в коде — цветочки. Хабр опубликовал реверс-инжиниринг Android-клиента, и там нашлось вкусное. Max проверяет, включён ли у вас VPN, — и по команде сервера может заблокировать доступ к чатам, пока вы его не выключите. Серверно управляемые флаги: fake-chats — «фейковые чаты», fake-in-app-review — «фейковые отзывы», calls-fakeboss-incoming-call-enabled — «фейковый входящий от начальника». Зачем мессенджеру функция создания фейковых чатов? Ответа нет. Есть только класс FakeInAppReview в коде.

Дальше — прослушка. В кастомном WebRTC от VK нашлась функция nativeSubmitDumpRequest. Телефон молча начинает записывать сырой звук с шести точек пайплайна, включая чистый микрофон до шумоподавления. NeuralProbe-сеть стучится на шесть внешних IP-чекеров — Yandex, ifconfig.me, ipify, AWS — чтобы узнать ваш реальный IP даже через VPN. А фингерпринт через Widevine DRM не сбрасывается при factory reset. Человека можно отслеживать вечно.

TLS-валидация отключается серверным флагом. Любой провайдер может подменить сертификат для медиа-трафика звонков. «SECURITY WARNING: INSECURE configuration!» — собственный комментарий разработчиков в коде. ZipSlip в DownloadService — удалённое исполнение кода. Мини-аппы работают не как песочницы, а как веб-страницы с инъекцией JS.

Сравнение с миром. WhatsApp: сквозное шифрование по умолчанию, протокол Signal, проверка ключей. Telegram: секретные чаты, MTProto, эмодзи-отпечатки. Signal: открытый код, E2EE везде, минимум метаданных. Max: транспортное шифрование TLS, закрытый код, хранение на серверах, коллекция сенсоров телефона. Signal заблокирован в России. Max предустановлен принудительно. Безопасность по-русски: убрать тех, кто шифрует, навязать того, кто не умеет.

Мошенничество? Сбер подтвердил: 8–9% мошеннических звонков идут через Max. Полиция и ЦБ зафиксировали «эпидемию» вредоносных ссылок. Схема: «посмотри фото» — аккаунт взломан. Мошенники арендуют верифицированные аккаунты у школьников за 10–15 долларов. В Екатеринбурге двое потеряли 600 и 350 тысяч рублей. В Москве участковые просят не использовать Max для домовых чатов. Реклама нелегальных казино цветёт. Модерация закрывает глаза — реальным рекламодателям Max неинтересен.

VK шесть лет в минусе. Убыток 2024 года — 94,9 млрд. Государство вливает 43,5 млрд на «суверенные продукты». Max создан на базе TamTam — провального мессенджера, который никто не хотел использовать. Школьников и студентов заставляют устанавливать под угрозой отчисления. Рейтинг в RuStore рухнул до одной звезды. Кремль назвал замысел провальным. Код написан на украинских, американских и польских библиотеках. Железо закупают американское. «Полностью отечественный» — это оксюморон уровня «честный чиновник».

Max — не мессенджер. Это цифровой паспорт с дырявой защитой, принудительно вшитый в каждый новый телефон. Когда WhatsApp шифрует ваши сообщения, Max шифрует путь к вашему микрофону. ФСБ предъявляет претензии к защите данных. Вице-премьер Григоренко беспокоится об утечках. А в это время VK скупает GPU-серверы на 422 млн и Mac mini по тендерам. Бизнес-модель проста: убытки растут, продукт не лечится, деньги из бюджета текут. #вк #vk #max #макс #it