Хакеры заявили о взломе Max.
На даркфоруме появилось объявление о продаже полного дампа мессенджера Max — 46 203 590 строк данных. Число пользователей почти совпадает с последними официальными данными VK.
Команда мессенджера пока не комментировала утечку. Редакция Rozetked сверила опубликованные телефоны и имена пользователей из утечки — они сошлись
Мошенники украли у пенсионерки квартиру и 2 млн.руб. через мессенджер Max.
Видео: https://t.me/Galina_Tsareva_of...
Абсолютно всех пользователей мессенджера Max ВЗЛОМАЛИ — хакеры заявляют, что выкачали всю базу данных сервиса.
Информация появилась (https://darkforums.st/Thread-Selling-46-2m-rows-MAX-RU) на сайте DarkForums. Хакер под ником Titusko25357 заявил, что в руках злоумышленников оказалось 46 203 590 строк, и для подтверждения своих слов продемонстрировал часть данных.
Привет, у меня есть полный дамп max.ru, в нём ровно 46 203 590 строк, и у меня всё ещё есть доступ через VPN к их Salesforce и другим внутренним инструментам. Похоже, это мессенджер российского правительства, и все данные на русском языке.
Мессенджер против мошенников. Твердо и чётко.
UPD. официальный комментарий платформы:
Данные пользователей MAX надежно защищены. Информация об утечке фейк, распространяемый анонимными источниками.
darkforums.st (https://darkforums.st/Thread-Selling-46-2m-rows-MAX-RU)
[46.2m rows] MAX.RU
Hello, i have full max.ru dump, there is exactly 46203590 rows and i still have VPN access to their salesforce and other internal tools. This seems to be a russian government messenger and all data is.........
«На основании технического анализа приложения "Макс" (MAX), выявлены следующие критические риски для пользователей:
1. Риски конфиденциальности и слежки.
- Сбор персональных данных:
- Возраст, пол, email, номера телефонов, ID мессенджеров (VK, ICQ, OK.ru), кастомные идентификаторы.
- Геолокация с точностью до GPS (ACCESS_FINE_LOCATION) даже в фоне.
- Контакты и аккаунты:
- Полный доступ к списку контактов (READ_CONTACTS), учетным записям устройства (MANAGE_ACCOUNTS).
- Медиафайлы:
- Чтение фото/видео (READ_MEDIA_IMAGES/VIDEO), внешнего хранилища.
- Биометрия:
- Доступ к отпечаткам пальцев (USE_FINGERPRINT).
⚠️ 2. Угрозы безопасности устройства.
- Фоновый шпионаж:
- Службы с foregroundServiceTypeпозволяют:
• Скрытую запись аудио (microphone) и видео (camera).
• Захват экрана (mediaProjection) во время звонков.
• Постоянный сбор геоданных (location).
- Закрепление в системе:
• Автозапуск при включении устройства (BOOT_COMPLETED).
• Службы синхронизации контактов с внешними серверами.
- Установка стороннего ПО:
• Разрешение REQUEST_INSTALL_PACKAGES может использоваться для скрытой инсталляции вредоносных APK.
3. Сетевые угрозы и манипуляции.
- Контроль веб-трафика:
• Компонент LinkInterceptorActivity перехватывает HTTP/HTTPS-ссылки, подменяя обработку (потенциальный фишинг).
- Отправка данных на сторонние серверы:
• Модуль MyTracker передает собранные данные на неизвестные серверы (США, Чили — по предыдущему отчету).
- Риск MITM-атак:
• Использование OkHttpClient с возможной кастомной настройкой TLS (tlsCertPolicy) для обхода проверки сертификатов.
4. Скрытые возможности.
- Обфускация кода:
• 90% кода (особенно com.my.tracker.obfuscated) намеренно затрудняет анализ, скрывая:
• Логику сбора данных (например, методы trackEvent, a(), b()).
• Механизмы отправки пакетов (класс f1 управляет буферизацией данных).
- Нетипичные для мессенджера функции:
• Сбор списка установленных приложений (InstalledPackagesProvider).
• Мониторинг времени в приложении (startAnytimeTimeSpent).
• Фиксация действий в чатах (lastInput, lastInputEditMessageId).
5. Юридические и операционные риски для спецслужб/военных.
- Утечка гостайны:
• Запись звонков + захват экрана + геолокация → передача данных за рубеж.
- Инструмент для кибератак:
• Разрешение SYSTEM_ALERT_WINDOW позволяет показывать фишинговые окна поверх банковских/секретных приложений.
- Криминальные последствия:
• Использование приложения сотрудниками силовых структур подпадает под ст. 275 УК РФ (Госизмена).
Итоговые рекомендации для пользователей:
1. Немедленно удалить приложение MAX с устройств.
2. Не использовать для личной/служебной связи, особенно военным и госслужащим.
3. Провести аудит устройств, где было установлено приложение:
• Сменить пароли, включить 2FA.
• Проверить историю сетевой активности.
4. Сообщить в ФСТЭК/ФСБ о выявленных угрозах (на основе данного отчета).
Данный анализ подтверждает выводы предыдущего эксперта (Колмыков А.Н.): MAX — не мессенджер, а инструмент тотальной слежки, угрожающий национальной безопасности РФ. Требует срочного запрета и уголовного расследования».
Какие законы нарушает Max?
Обзор от ИИ
Приложение MAX подозревается в нарушении законодательства о персональных данных, включая сбор данных без согласия пользователя, а также в нарушении прав потребителей. Также сообщается, что у приложения может отсутствовать функция полного удаления аккаунта, что противоречит законодательству.
Законы о персональных данных
Федеральный закон № 152 «О персональных данных»: Нарушение может заключаться в сборе и передаче личных данных без явного согласия пользователя, а также в невозможности полного удаления аккаунта.
Статьи 137 и 272 Уголовного кодекса РФ: Могут быть нарушены в случае незаконного вмешательства в тайну переписки и несанкционированного доступа к информации.
КоАП РФ (статьи 13.11–13.29.1): Нарушения могут подпадать под статьи о нарушении законодательства о персональных данных.
Права потребителей
Федеральный закон № 2300-1 «О защите прав потребителей»: Нарушение может включать принудительную предустановку приложения на устройства и ограничение права выбора пользователя.
Конституция РФ (статья 24): Нарушение права на неприкосновенность частной жизни и личной переписки.
Другие нарушения
Правила Google Play: Тайный сбор данных других приложений и ограничение прав пользователя.
Программное обеспечение: Возможное нарушение стандартов безопасности и приватности ПО.
Кодекс: Невозможность удалить аккаунт в одностороннем порядке, поскольку поддержка приложения самостоятельно решает, удалять аккаунт или нет.
На этом фоне ВУЗы заставляют (!!!) студентов скачивать МАХ на свои (!!!) телефоны под угрозой (!!!) отчисления.
Студентам начали угрожать отчислением за отказ установить госмессенджер MAX – первыми под замес попали ученики колледжа имени Ползунова в Екатеринбурге.
Тех, кто не захотел подключаться, под диктовку заставили написать заявление об отчислении по собственному желанию (*а зачем вообще писать что-то от себя? - пусть ОНИ увольняют или отчисляют!):
"Я принципиально отказываюсь устанавливать платформу – мессенджер MAX для получения официальной информации по организации образовательного процесса, несмотря на приказ Министерства просвещения РФ. Данный факт свидетельствует о том, что к образовательному процессу, в котором я учусь, не имею отношения. Прошу отчислить меня из колледжа по собственному желанию".
В департаменте информационной политики Свердловской области заявили, что использование MAX носит добровольный характер и не может быть основанием для отчисления.
https://t.me/dokumenty_SSSR/13772
Итак, все, кто ЗАСТАВЛЯЕТ - нарушает УК РФ, то есть являются преступниками!
Комментарии:
Здесь шантаж,угрозы+принуждение к сделке. Ст.51 конституции РФ= ничего не писать, не подписывать, не спорить, отправлять все вопросы к родителям.. детей уже предупредите!!!
Родителям также применять ст.51 и настаивать на заявлении директора о том,что директор отказывается предоставить государственные гарантии по образованию без установки шпионского ПО на предметы личного пользования учащегося...пусть она его напишет.
Требования ознакомления с приказом за подписью директора и зам по учебной деятельности. В случае непредоставления приказа есть основания предполагать факт насилия над ребенком (даже если ему 16 лет, но он находится на иждивении как учащийся - находится под опекой - ограниченно дееспособен)
https://t.me/dokumenty_SSSR/13772
По теме:
Программное обеспечение, приложение "мессенджер МАХ" - официальное заключение специалиста (документ и комментарии). https://cont.ws/@elenavr/31165...
Оценили 15 человек
23 кармы