The Guardian 18 сентября опубликовала материал, в котором назвала российский мессенджер Max инструментом слежки за пользователями. Поводом стала научная работа группы исследователей, изучивших архитектуру приложения. Её главный вывод звучит тревожно: оператор «суперприложения» технически может незаметно контролировать работу встроенных мини-приложений — от интерфейса до локально сохранённых данных и сетевого трафика.

Препринт «Don’t Trust the Super-App: A Case Study of Russia’s Max» вышел на arXiv 10 сентября. Авторы — исследователи из США, в том числе Роя Энсафи из Мичиганского университета, — разбирали Max как пример более широкой проблемы. В их трактовке сам принцип «суперприложения» даёт его оператору привилегии, которых нет у обычного сайта или отдельной программы.

По данным исследования, такой оператор способен снимать изображение интерфейса мини-приложений, читать и изменять их локальное хранилище, внедрять jаvascript-код, пропускать через себя сетевой обмен и управлять контекстом аутентификации. Это может открыть путь к незаметной подмене действий пользователя. Однако авторы работы говорят именно о технических возможностях, заложенных в архитектуре Max, а не приводят доказательства того, что приложение уже применяет их для постоянного наблюдения за каждым владельцем смартфона.

Эта граница принципиальна. Отдельное исследование RKS Global, опубликованное в сентябре 2025 года, тестировало Max на Android и iPhone в течение 48 часов. Специалисты предоставили приложению запрошенные разрешения, затем отозвали их и отслеживали работу камеры, микрофона, геолокации, контактов, файлов и сетевой активности. Несанкционированного доступа к этим данным в ходе теста они не зафиксировали. В то же время RKS Global прямо указывала: короткая проверка не исключает изменения поведения приложения в будущем или при других условиях.

Официальная политика конфиденциальности Max подтверждает, что сервис обрабатывает не только номер телефона и данные профиля. В документе перечислены IP-адрес, сведения об устройстве и операционной системе, местоположение, интернет-провайдер, действия в интерфейсе, а при разрешении пользователя — адресная книга. При подтверждении аккаунта и использовании цифровых сервисов Max может получать данные из ЕСИА и государственных информационных систем, но политика связывает это с согласием пользователя и конкретными функциями сервиса.

Уязвимость для приватности здесь создаёт не только набор разрешений на телефоне. Max строится как единая среда для переписки, платежей, цифрового ID и сторонних мини-приложений. Чем больше повседневных действий собираются в одном аккаунте, тем выше цена доверия к оператору этой платформы: у него появляется возможность видеть не один канал общения, а связанный цифровой след человека.

Продвижение Max перестало быть исключительно рыночной историей. С 1 сентября 2025 года многофункциональный сервис обмена информацией должен предустанавливаться на новые смартфоны. Власти также развивают через него цифровые государственные сервисы. The Guardian пишет, что сотрудники бюджетных учреждений, преподаватели, школьники и студенты сталкивались с давлением при переходе в Max; издание приводит рассказы пользователей, которым приложение требовалось для рабочей или учебной коммуникации.

Именно поэтому спор о Max выходит далеко за рамки очередного мессенджера. Научная работа не доказывает, что сервис уже ведёт тотальную слежку, но показывает: архитектура «суперприложения» даёт его оператору инструменты, которые позволяют глубоко вмешиваться в работу подключённых сервисов. Когда такая платформа становится входом одновременно в общение, учёбу, документы и платежи, вопрос о её технических гарантиях перестаёт быть частным.