Jens Asbjørn Bøgen
Ryssland har under året försökt få sina medborgare att gå över till en enda inhemsk meddelandetjänst.
Max, utvecklad av teknikföretaget VK, har sedan den 1 september 2025 varit obligatorisk på varje smartphone, surfplatta, dator och smart-tv som säljs i Ryssland. Roskomnadzor kastade ut WhatsApp från landets domännamnssystem den 11 februari och ströp Telegram till nära blockering två dagar tidigare.
En ny teknisk granskning visar att appen är mer än bara ett statligt godkänt varumärke. Det digitala säkerhetslaboratoriet InterSecLab undersökte Max under nio veckor och drog slutsatsen att VK i tysthet kan ändra hur appen spionerar på varje enskild användare – utan att leverera en uppdatering eller ändra användargränssnittet.
”Vad Max gör bestäms på VK:s servrar, per konto, utan en appuppdatering”, står det i InterSecLabs rapport.
Nätverksövervakning, VPN-detektering, transkription av röstmeddelanden, utökad loggning och listan över externa tjänster som får ta emot en användares identitet kan alla aktiveras individuellt för ett enskilt konto.
Ingen end-to-end-kryptering
Max erbjuder ingen end-to-end-kryptering, och dess ”hemliga chattar” raderar endast meddelanden automatiskt i stället för att kryptera dem, skriver forskarna. De fångade upp klartextdatan inom appen innan den nådde det krypterade transportlagret.
Varje gång appen startas skickas enligt studien en rapport till VK som innehåller användarens publika IP-adress, mobiloperatör, VPN-status och internetåtkomst. En separat, dold kanal vidarebefordrar ytterligare data till en domän i VK:s nätverk.
Avslöjar adressbok och telefonnummer
Vid registrering laddar Max upp användarens hela adressbok i klartext till VK, inklusive nummer till icke-användare, skriver InterSecLab. Företaget hade tidigare uppgett att numren skulle hashas.
En sökning på telefonnummer returnerar målkontots konto-ID, visningsnamn och skapandedatum, utan att den sökta personen meddelas och utan begränsning av förfrågningsfrekvensen.
”Inom 1,2 sekunder började VK:s servrar strömma den personens onlinestatus i realtid till det förfrågande kontot, och fortsatte att strömma den i över femton minuter”, står det i rapporten.
VPN-blockeringar och förvalda kanaler
Appen upptäcker ett VPN på enhetsnivå och visar en helskärmsinstruktion om att inaktivera det innan ett meddelande kan skickas, även om ett VPN på routernivå kringgår kontrollen.
Nya konton är redan förkonfigurerade med 25 rekommenderade kanaler som enligt InterSecLab har en dragning åt statliga medier och regeringsnära personer. VK:s verkställande direktör är son till en högt uppsatt Kreml-rådgivare.
InterSecLab analyserade version 26.12.0, build 6664 av Android-appen mellan mars och maj 2026.
