Цифровизация

[Гость]

[Гость]

[Гость]

[Гость]

«Эрнест и гиперболоиды» о мессенджере MAX:

"Самое смешное здесь то, в мессенджере макс просто НЕТ КАНАЛОВ, в чем может убедиться любой, кто установит себе мессенджер макс на телефон (чего я делать не советую, потому что мессенджер макс сразу после установки начинает лезть, куда его не просят). В документации каналы есть, а в приложении нет. Не допилили.
При том, что мессенджер макс на самом деле и не мессенджер макс никакой, а мессенджер ТамТам, просто с другим дизайном. Два года делали приложение, которое уже существует. Эджайл, суперапп, ИИ. Охуилиард рублей ввалили. Путин поддержал. НЕ ДОДЕЛАЛИ. "

[Гость]

[Гость]

НЕЗЫГАРЬ (в реестре иноагентов)


Свыше 1,1 миллиарда интернет-пользователей Китая производят самый большой объем данных в мире. Этому способствует не только онлайн-активность, но и физическая инфраструктура — от обширной сети камер с распознаванием лиц до беспилотных автомобилей и дронов, собирающих информацию в реальном времени. В ближайшем будущем именно данные станут основным стратегическим ресурсом, определяющим конкурентоспособность на мировой арене.

Председатель Си Цзиньпин назвал данные основополагающим ресурсом «с революционным воздействием» на международную конкуренцию. Масштаб этого видения не имеет себе равных, затрагивая все: от гражданских свобод до прибылей интернет-компаний и стремления Китая к лидерству в области искусственного интеллекта.

С 2021 года Китай начал внедрять правила, вдохновлённые европейским GDPR. Однако на практике он быстро начал расходиться с западными нормами. Все уровни власти теперь обязаны инвентаризировать и классифицировать свои массивы данных. Государственные компании проходят переоценку, где данные рассматриваются как активы, подлежащие учёту в балансах или торговле на биржевых платформах. 3 июня 2025 года был опубликован новый норматив, обязывающий все государственные органы обмениваться информацией между собой.

Следующий шаг — цифровое удостоверение личности, запуск которого намечен на 15 июля. В рамках этого процесса центральные органы власти смогут контролировать реестр веб-сайтов и приложений каждого человека. Для крупных технологических компаний, которые раньше управляли системой, станет сложнее связать имя человека с его онлайн-активностью— им останется только обезличенный цифровой идентификатор. Но именно у государства появится возможность выстроить прозрачный и тотальный механизм онлайн-наблюдения за гражданином.

В долгосрочной перспективе Пекин строит то, что можно назвать «национальным океаном данных» — систему, охватывающую не только потребительскую сферу, но и промышленное производство, логистику, энергетику и госуправление. Преимущества такой системы очевидны: масштабируемость, удешевление ИИ-разработок, снижение барьеров для стартапов. Но риски столь же значимы. Китайское государство имеет сомнительную репутацию в вопросах защиты персональных данных — громкий случай с утечкой миллиарда записей из базы полиции Шанхая тому подтверждение. Утрата контроля над данными может также лишить частные компании стимула к инновациям: без монетизации данных теряется бизнес-модель.

Схема цифровой идентификации, возможно, заменит более хаотичную и избыточную систему наблюдения, где решения часто принимаются низовыми исполнителями. Но новая модель куда более централизована и технологически изощрённа. Она может стать не просто инструментом управления, а основой цифровой автократии.

Опыт Китая становится вызовом для всего остального мира. В США обсуждается возможность привлечения частных подрядчиков, таких как Palantir, к консолидации государственных баз данных. Европейский союз, вероятно, пересмотрит правила GDPR. Индия с её системой Aadhaar делает ставку на цифровую идентичность, но пытается сохранить баланс между конфиденциальностью и экономическим развитием.

В западных странах задача сложнее: здесь необходимо не только обеспечить эффективность, но и встроить в систему сдержки и противовесы, защищающие частную собственность, права человека и свободу. Китай может позволить себе меньше внимания уделять таким вещам и построит эффективную и антиутопическую систему наблюдения. Десятилетиями он был «быстрым последователем» западных инноваций. Если Китай сейчас вырвется вперед, показывая финансовую ценность своего национального океана данных, его метод централизации станет не только экономической проблемой, но и политической.

Эта модель бросит вызов самой идее того, как должны быть устроены государство, рынок и свобода в XXI веке.


В Кремле понимают: управлять страной без большого массива цифровых данных о гражданах уже нельзя. В последние годы обсуждается идея создания единой базы данных — максимально подробной, централизованной и подконтрольной.

Такая, чтобы учитывать всё: место жительства, предпочтения, потребительские привычки, политические настроения и даже вкусы. Пример под рукой — Китай, где государство системно собирает и использует данные о 1,4 миллиарда человек. Там это считается не просто элементом внутреннего контроля, но и стратегическим преимуществом в глобальной экономике.

В России во многом ориентируются на Китай, который на государственном уровне создает такой океаны данных и рассматривает это как свое стратегическое преимущество в том числе и в плане международной торговли и взаимодействия с транснациональными корпорациями.

В России с этим пока сложно. Единый реестр населения, с трудом, но запущен. Теоретически туда поступает вся базовая информация о гражданах — от ФНС до ЗАГСов. Но в реальности система работает в полуручном режиме. Например, смену адреса нужно подтверждать не только в ЕРН, но и в военкомате. А обмен информацией между ведомствами — по-прежнему на уровне «по запросу». Автоматического обмена, по словам источника, не существует — и не только из-за технических сложностей (IT решения до сих пор не самая сильная область в России).

Причина — внутриэлитные конфликты. Силовые структуры — МВД, ФСБ, Следственный комитет — традиционно держат свои базы при себе. Обмен — дозированный и избирательный. В случае создания общего «океана данных» силовики теряют эксклюзивный доступ к информации. А с ним — и часть своего влияния. Кто будет контролировать эту мегабазу? Ответ на этот вопрос сегодня важнее самого технического решения. Источник предполагает: номинально — Администрация президента, но скорее всего — ФСБ.
Но в Кремле не спешат устанавливать монополизм со стороны Лубянки: традиционно считается, что надо создавать противовесы - поэтому и решения нет.

Конкуренция между группами влияния тормозит проект, но, одновременно, страхует от полного китайского сценария.

При этом риски, о которых в Китае предпочитают не говорить, в России уже проявились. Утечки персональных данных — регулярны. В 2025 году хакеры заявили о похищении 1 ТБ информации из Росреестра — ведомство опровергло, но специалисты подтвердили факт взлома. Аналогичные случаи были с базами Департамента информационных технологий Москвы. Масштабный недоверие к цифровым системам выражается даже в цифрах: 12 миллионов россиян оформили самозапрет на получение кредитов — чтобы мошенники не использовали их персональные данные.
От действий хакеров пострадали российские суды и ВГТРК.

[Гость]

"Развязанная пиарщиками Кириенко промокампания будущего национального мессенджера MAX вылилась на данный момент не столько в рост его популярности, сколько в разговоры о продажности блогеров. Ну и в откровенную войну с мессенджером, который пока находится в стадии бета тестирования и никаких особо полезных функций, кроме звонков и базовых чатов не имеет.

Некоторые пользователи уже скачивают приложение, чтобы поставить в магазине приложений ему единицу или написать негативный отзыв, а потом удалить его с сообщением об этом в соцсети. Телеграм-каналы полны результатами тестирования мессенджера, сопровождающимися подробными разъяснениями, почему им пользоваться опасно, и рекомендациями в случая принуждения к пользованию установки этого творения VK только на пустые телефоны.

И если с блоком цукерберговских соцсетей и YouTube у властей всё прошло, как по маслу, блокировка любимых россиянами мессенджеров в пользу MAX может вызвать серьезные затруднения, а имидж главнацмессенджера уже, мягко говоря, подпорчен. Это, конечно, никого не остановит. Бюджеты выделены и должны быть освоены, соответственно бюджетников уже погнали в MAX создавать аудиторию.

В результате можно с уверенностью предсказать, что с его внедрением получат широкое распространение два тренда. Народ для продолжения пользования привычными мессенджерам будет запасаться большим количеством VPN и скакать от одного к другому по мере их блокировки РКН. Одновременно резко вырастут продажи в сегменте самых дешёвых смартфонов. Заодно кто-то денег заработает." (Р)

[Гость]

"Итак, сюрприз, мессенджер Мах признан национальной платформой 💬 И у меня есть что сказать по этому поводу, но для начала недоумение. Если вспомнить принятое законодательство о том, что у нас теперь на первое место выходят русскоязычные названия, то как надо читать платформу, упомянутую в распоряжении - Мах (по-русски) или Max (по-английски)? Но это лирика, на самом деле у меня комментарий будет все-таки в тему канала 🤔

Когда принимали оборотные штрафы 🤑 за инциденты с ПДн (персональными данными), то одним из сценариев ухода от этого наказания, называли фирмы-однодневки, которые и будут становиться операторами персональных данных вместо своих "мам" и "пап". И вот яркий пример, когда государство само показывает "как надо делать". Чтобы не подставлять ВК, статусом оператора нацмессенджера наградили некое ООО "Коммуникационная платформа" (на сайт без слез не взглянешь h ttps://complatform.ru/). Теперь, если что и произойдет, то... Будет ли ВК нести ответственность за инциденты? ❓

Если посмотреть реестр операторов персональных данных, то мы увидим, что для ООО "Коммуникационная платформа" ответственным за организацию обработки ПДн является ООО "ВК", которому принадлежит 15% в операторе нацплатформы. 84,99% принадлежат ООО "В КОНТАКТЕ", а оставшийся 0,01% ООО "КОМПАНИЯ ВК" 📊 Устанавливая Max, вы кому даете согласие на обработку ПДн? ht tps://pd.rkn.gov.ru/operators-registry/operators-list/?id=77-25-174052 И кто в реальности их обрабатывает? Кстати, обратите внимание, между датой регистрации уведомления и датой внесения в реестр прошел... 1 (один) день! Я не вспомню больше ни одного такого случая, чтобы РКН столь оперативно регистрировал операторов ПДн 🛡

Дальше больше. Смотрим публичную информацию по компании (в СПАРКе и т.п. сервисах данных еще больше). htt ps://ww w.audit-it.ru/contragent/1247700595230_ooo-kommunikatsionnaya-platforma Среднесписочная численность персонала в 2024 году - 2️⃣ человека (и по ФОТу похоже). ht tps://ww w.tbank.ru/business/contractor/legal/1247700595230/ Согласно реестру РКН данное ООО обрабатывает ПДн широкого спектра и точно более чем 100000 субъектов (уже загрузок более 2 миллионов). Согласно ПП-1119 уровень защищенности ПДн, который может быть установлен в ООО "Коммуникационная платформа", не может быть ниже 3-го, а при выборе актуальных угроз 1-го или 2-го типа (а даст ли ФСБ 👮♂️ выбрать ниже?) - не ниже 1-го (2-й в принципе тут не предусмотрен). Как при 2-х сотрудниках реализовано требование наличия собственного подразделения по защите ПДн? 🤔

Смотрим дальше. В реестре РКН написано, что оператор передает ПДн по Интернет 🔗, но при этом, согласно тому же реестру, никаких шифровальных средств оператор нацплатформы не использует. Возникает очередной вопрос - а как, собственно, обеспечивается конфиденциальность персданных пользователей платформы? У ФСБ вроде вполне четкая позиция на этот счет? 🔑

А еще все говорят, что в Max будет интегрирован "Госключ" 🔑, а сам он будет связан с ЕСИА. И как это будет сделано без криптографии?.. А ведь криптографию еще надо внедрить в мессенджер и потом сертифицировать, что занимает в ФСБ немало времени (хотя может быть будет как при регистрации в реестре РКН - за 1 день?). И потом опять сертифицировать, и опять, и опять - ведь новые релизы с новыми функциями будут выпускаться еженедельно. И как при таких спринтах будет проверяться корректность встраивания СКЗИ? 👨💻

Изучаем запись в реестре операторов ПДн дальше. Там заявлено всего 5 целей обработки у ООО "Коммуникационная платформа":
1️⃣Заключение, исполнение, сопровождение, изменение, расторжение договоров с контрагентами с учетом требований действующего законодательства
2️⃣Осуществления трудовых отношений с работниками в соответствии с действующим трудовым законодательством и заключенными трудовыми договорами и обеспечение работников комфортными условиями труда
3️⃣Исполнение обязательств, предусмотренных действующим законодательством РФ, включая подзаконные акты
4️⃣Оформление гостевых пропусков для однократного прохода на территорию оператора
5️⃣Обработка обращений (жалоб, претензии, заявления и т.д.) по заключенным договорам (в т.ч. от пользователей) или в соответствии с действующим законодательством РФ.

Как вы думаете, какая цель описывает работу мессенджера? 🤔 Я вот думал-думал и не нашел никаких вариантов в этой пятерке. Не контрагентами же пользователей называют. А тогда на каком основании мессенджер вообще получает персональные данные своих абонентов? Кстати, заявляется об интеграции в Max еще и биометрии 🎭 Но в списке обрабатываемых данных для всех пяти целей биометрия не заявлена. Вообще там много чего не внесено из того, что с высоких трибун заявляют чиновники относительно функционала национальной платформы 🧐

Возвращаясь к первоначальному вопросу - будет ли нести ООО "ВК" ответственность за инциденты с ПДн в мессенджере? 🤔 Вроде как формулировка в реестре говорит, что ООО "Коммуникационная платформа" поручает обработку ПДн именно ВК, но... на самом деле там "поручена" организация обработки, а не сама обработка. И оператором продолжает оставаться именно оператор нацплатформы. На него и ляжет в случае чего вся тяжесть ответственности за инцидент 🚰

Кстати, по закону и многократным разъяснениям РКН политика обработки ПДн должна быть опубликована на сайте компании, чего мы не наблюдаем. Можно, конечно, сказать, что на этот кейс распространяется политика ВК, но, увы, соглашение об обработке ПДн самого ВК ни разу не упоминает ООО "Коммуникационная платформа" 🫢 Но вдруг что-то сказано в соглашении об обработке ПДн всей экосистемы ВК. http s://vk.com/privacy Тоже пустота. Я вам скажу больше - если отбросить в сторону местами странные юридические обороты (я все-таки не юрист), историю с конклюдентным согласием (кого-то другого РКН за такой фокус выдрал бы) и отказ упоминания конкретных юрлиц, которым передаются ПДн пользователей, то мы увидим, что мессенджер Мах вообще не входит в экосистему ВК и общее соглашение для сервисов экосистемы на нацплатформу не распространяется 🫢 htt ps://vk.com/vk_ecosystem_services

Как пишет Ника, продвижение нацмессенджера - это задача со звездочкой ⭐️ Соглашусь с ней в этом вопросе. Слишком уж быстро раскручивается вся ситуация, как будто кто-то дал указание срочно заместить Telegram и Whatsapp и все взяли под козырек, но делают все настолько топорно, что диву даешься 🤠 Ну как можно было не подумать об очевидных вещах, которые пробиваются на раз-два и доступны любому желающему - реестр РКН, информация о компании (и да, это не фейк, - все данные проверяются и перепроверяются по нескольким источникам), наличие лицензий ФСТЭК и ФСБ (их нет), согласие на обработку ПДн...

По результатам прошлого поста коллеги подсказали, что у Max выложено нечто, похожее на политику. Но все-таки это не политика по обработке ПДн, как того требует РКН. H ttps://legal.max.ru/pp И она точно не соответствует тому, что находится в реестре РКН. htt ps://pd.rkn.gov.ru/operators-registry/operators-list/?id=77-25-174052

В предыдущих сообщениях я рассмотрел только отдельные, лежащие на поверхности 🏔 моменты, связанные с обработкой персональных данных и криптографической защитой в нацплатформе. Если попробовать посмотреть глубже, например, на требования нового 117-го приказа ФСТЭК, то из него вытекает (хотя и неявно), что класс защищенности информационной системы, в которой разворачивается Max, должен быть не ниже того, что у ГИС, с которыми она взаимодействует 🤝 А так как там заявлено взаимодействие с ЕСИА, то класс защищенности не должен быть ниже К1, что накладывает еще больше организационных ограничений по ИБ, которые должно выполнять ООО "Коммуникационная платформа". Но способно ли оно это выполнить? Ведь даже поручить ООО "ВК" (как в части ПДн) свою защиту оно не может, так как у ООО "ВК" нет лицензии ФСТЭК на деятельность по ТЗКИ, что требуется по закону. Такая лицензия есть у ООО "ВК Цифровые технологии", но среди указанных там видов деятельности отсутствует мониторинг ИБ. htt ps://reestr.fstec.ru/regview1?guid=4f2c69c0-0dc6-4065-8f5b-0b38ca931cc1

И ведь даже до защиты самого мессенджера дело не дошло 🛡 Мне почему-то кажется, что именно в этой части там будет все нормально. Но все остальное снижает доверие и к нацплатформе, и к тому, как и кто ее продвигает... Пока это похоже на какое-то впаривание. Куда проще было просто заблокировать все мессенджеры кроме Мах. И все - задача решена. И без всех этих выкрутасов ⛔️

Я думаю, она и так будет решена, видя с каким упорством и скоростью продвигается эта нацплатформа 🤓 Будут выданы если не сертификаты, то хотя бы положительные заключения ФСБ на всю схему, будет выдан сертификат на безопасную разработку, быстро получены все лицензии, во все соглашения на обработку ПДн будут внесены изменения (да, без предупреждения субъектов), в уведомление РКН 🔢 будут внесены нужные изменения для реестра операторов ПДн, специалисты будут обучены, а в ООО "Коммуникационная платформа" будет назначен заместитель генерального директора по ИБ в соответствие с 250-м Указом (а то странно как-то, что нацплатформа не будет отнесена к стратегическим предприятиям) 🗂 И вообще будет много чего сделано... или не будет. Тут же как - у нас все равны перед законом, но есть те, кто ровнее.

Выполнить все утвержденные за долгие десятилетия нормотворчества организационные требования по ИБ и ПДн в Мах невозможно 🚫 И перед стейкхолдерами этого платформенного мессенджера встанет дилемма - забить болт на требования, попробовать их выполнить (честно скажу, нереально; особенно в столь сжатые сроки), заняться очковтирательством, запустить процесс изменения устаревших требований 🤔 Я, признаться честно, хотел бы, чтобы все пошло по последнему варианту. Собралась бы согласительная комиссия из разных ведомств, провела бы ревизию всего законодательства по ИБ и отменила бы все то говно мамонта, которое мы тянем за собой уже десятки лет. Поэтому, скорее всего, будет …, а вот что будет, мы посмотрим все вместе 💃

ЗЫ. Да, если, вдруг, меня читают представители ООО "Коммуникационная платформа" и на все заданные в трех заметках вопросы уже есть ответы, то был бы рад их увидеть. Готов даже про них написать, если будет продемонстрировано, что все или часть описанного не соответствуют текущей действительности ✍️ И еще раз повторю - вопросы у меня не к технической стороне защиты мессенджера, а к той обвязке, которая эту защиту должна сопровождать.

ЗЗЫ. Все-таки, куда все так торопятся с этим Мах, подставляя себя под критику иноагентов, нежелательных организаций, экстремистов, террористов, блогеров и просто интересующихся?.. ❓ Но ведь главное что? Что вся критика идет на частную компанию из двух человек. Это же не государственный мессенджер и разрабатывает его не государственная компания! И не важно, что через него будет осуществляться доступ к госуслугам (это такие "мелочи")..."


::::::::::::::::::


А.В. Лукацкий — эксперт по кибербезопасности

[Гость]

В России формируется "новое цифровое дворянство"

Автор: Евгений Чернышёв

17.07.2025

Вышел важный доклад СПЧ об угрозах нынешней цифровизации, которая стала опасной для страны

Совет по правам человека при президенте РФ (СПЧ) выпустил специальный доклад с говорящим названием "Цифровая трансформация и защита прав граждан в цифровом пространстве 2.0".

ht tp://sovet-nko.ru/files/2025/06/doklad-spch-po-pch-v-tsifre-2.0-2025-06-27_15-54-14_624644.pdf

В нем отмечаются не только конкретные многочисленные факты нарушений в этой сфере, но и говорится о том, что цифровизация стала идеологией, угрожающей стране. О чем говорится в документе и как его комментируют эксперты — в материале Накануне.RU.

Хотя права граждан защищены Конституцией РФ и даже были усилены поправкой 2020 года (п. "м" ст. 71), в которой говорится об обеспечении безопасности личности, общества и государства при цифровизации, фактически эта самая цифровизация внедряется безоглядно, без должных обоснований, в спешке, часто принудительно, "ковровым" методом. А цифровизация публичного управления и городской среды и вовсе приобрела характер типичной бюрократической кампании, напоминающей "перестройку и ускорение" 1980-х, когда за красивыми словами и лозунгами разрушали страну. И хотя о разрушении страны в докладе не говорится, сравнение с перестройкой более чем красноречиво.

Цифровизация представляет огромную опасность, так как данные граждан утекают неизвестно куда, в том числе за границу.
При всем этом в России до сих пор нет единого документа, который регулировал бы отношения и деятельность в цифровом пространстве. В то время как идеология цифровизации противоречит ценностным основам конституционного строя России. Она понимает человека и гражданина совсем не так, как это принято в России.

Эта идеология основана на следующих основных постулатах:
• о тотальной исчислимости всей жизни человека;
• о полной предсказуемости и безальтернативности тенденций общественного развития;
• о тотальном контроле жизни людей.

По существу идеология цифровизации представляет собой радикальный технологический детерминизм, означающий дегуманизацию общества. И ею заражены широкие слои мировой технологической и финансовой элиты, создатели массовой культуры, международные организации, часть российской элиты и чиновников. Идеология цифровизации позволяет "обосновывать" формирование нового "цифрового класса", а сами технологии — прибирать к рукам реальную власть, которую никто не делегировал. Чиновники же пребывают в состоянии "административного восторга" (Ф.М. Достоевский).

"С момента возникновения первых государств и до сегодняшнего дня во взаимоотношениях "власть-народ" разделительные линии между привилегированным классом и остальным населением традиционно проходили по двум основным признакам: социальному положению и уровню материального достатка. С внедрением тотальной цифровизации реальная власть сосредотачивается в руках разработчиков, владельцев и операторов цифровых технологий и платформ...
Фактическое наличие у "цифрового класса" скрытых ("теневых") полномочий, возможностей и рычагов воздействия на граждан и общество — при почти полном отсутствии ответственности — создает большие риски для прав и свобод граждан России, а также для устойчивости "традиционной" государственной власти... Вопрос: на каком этапе государство и общество осознают эту угрозу?" — говорится в докладе СПЧ.

В настоящее время в России основной объем оборота больших пользовательских данных (биометрия, геоданные и др.), собираемых хозяйствующими субъектами и публично-правовыми образованиями, остается в "серой правовой зоне". Гигантские массивы данных о гражданах собираются и вычисляются без их согласия, а затем многократно копируются, передаются, перепродаются, используются для рекламы, слежки и т.п. Причем огромной проблемой является не только сбор, но и вычисление персональных данных по косвенным признакам в "больших данных" с последующим их сведением в "цифровой профиль" гражданина. Это вообще никак не регулируется, поскольку законодательство регулируется только сбор и получение данных. Но их уже давно можно вычислять: человек формально никому ничего не предоставлял, но по другим данным его уже полностью вычислили и сделали его цифровой профиль.

Данные на людей стали товаром. В России можно купить все данные на конкретного гражданина всего за несколько тысяч рублей, отмечается в докладе.
"Специально проводимые эксперименты показывают, что за несколько часов можно купить набор фото и видео о своей поездке в другой город, полученный с камер системы "Безопасный город" — посмотреть на себя в аэропорту и на улицах посещенного города. Система "коврового" видеонаблюдения за всеми гражданами, созданная якобы для безопасности, страдает человеческим фактором и коррупционной емкостью таких сервисов", — пишут авторы.

Зачем вообще переводить все в цифру? Если оригиналом документа будет признаваться его электронная версия, как говорят цифровизаторы, то скоро люди вообще могут остаться без документов: их можно будет удалить или испортить. Носители информации живут не более 20 лет: сейчас уже практически невозможно прочесть дискеты, которые были в ходу еще в 2000-х. То же самое касается жестких дисков. Средний срок жизни операционных систем и офисных приложений также не превышает 20 лет. Попробуйте прочесть "документ из 1990-х" — у вас это не получится, так как практически нигде нет компьютеров с операционными системами MS DOS, Windows 3.1, Windows 1998. Та же проблема и с языками программирования, на которых создаются ИТ-системы, через 20–25 лет их станет невозможно поддерживать и развивать. То есть оцифровка всех данных не повышает надежность хранения, а кардинально снижает ее, создает риски забвения и потери данных.

С 2021 года людям, впервые поступающим на работу, трудовые книжки уже не оформляются. На них есть только электронные сведения. Смогут ли они через 40 лет подтвердить свой трудовой стаж, учитывая эти тенденции? На этот вопрос никто не ответит.
Сама лексика цифровизаторов выдает их с головой: они говорят о "нераспакованных отраслях" образования и медицины, имея в виду будущие огромные прибыли для тех, кто их "распакует", то есть приватизирует эти отрасли первым. Такие выражения напоминают "цифровых чубайсов", одержимых жаждой прибыли и власти.

Для России все риски усугубляются тем, что большинство "экосистем" — не отечественные, а зарубежные. Их повсеместное использование, в том числе представителями государственного сектора, создает прямую угрозу "цифровой колонизации" России в интересах других стран. Так, на долю американских цифровых платформ в рунете приходится более 50% пользовательских аккаунтов социальных сетей, около 50% поисковых запросов, более 90% аккаунтов в мессенджерах и более 95% просмотров видеороликов. Часто ли озвучиваются эти цифры?

"В России происходит все большее заимствование и внедрение готовых западных технологий и платформ. 90–95% всех систем ИИ, создаваемых сейчас в России и представляемых как отечественные разработки, основаны на общедоступных открытых решениях (так называемых нейронных фреймворках) Google и Facebook*, а не на отечественных программных решениях", — говорится в докладе.
В то же время к 2030 году власти собираются создать "цифровой профиль" всех школьников. Фактически их принуждают переходить на зарубежные цифровые сервисы, подаваемые под видом российских. Это же касается принуждения всех граждан к исключительно электронному взаимодействию граждан с властями, для которых цифровизация становится стеной, отгораживающей их от народа.

Глава СПЧ Валерий Фадеев на презентации доклада был достаточно резок. Ведь фактической нормой жизни стало то, чего быть не должно. Цифровизация проникла во все сферы жизни, а граждане несут ущерб порядка миллиарда рублей в день! Вмешательство в личную жизнь стало массовым. А как же тайна личной жизни, закрепленная Конституцией?
"Мы с коллегами посмотрели, какими данными манипулирует, например, "Яндекс". Да любая крупная платформа. Это текущие подписки, история прослушивания музыки, истории поиска, данные местоположения, клики, запросы, локации, язык, настройки предпочтений, настроения треков и т.д. Это огромная информация, которую собирает о нас каждый подобный сервис. А мы просто галочку ставим, мы же не смотрим на это и даем разрешение на использование наших персональных данных. Представьте, что ФСБ или МВД разошлет всем гражданам России письмо с просьбой дать согласие на обработку любых персональных данных, включая перемещение, телефонные разговоры, переписку и т.д. Мы же удивимся. Скажем, что это же странно. Есть закон об оперативно-розыскной деятельности, только по решению суда. Но ФСБ не разошлет таких писем. У меня возникает вопрос: а почему частные компании собирают любую информацию о нас? Я, например, как гражданин, гораздо больше доверяю ФСБ, чем частным компаниям. Но ФСБ от меня этого не требует... Почему частные компании не только не стремятся защитить наши персональные данные, но и полагают, что ими можно манипулировать как угодно?" — рассказал Фадеев.

Развивая эту тему, член СПЧ, специалист по ИИ Игорь Ашманов заявил, что ИИ — это не вопрос удобства, как это часто пытаются представить. Это прежде всего военная технология. И в оборонной сфере это необходимо. Но то, что происходит сегодня, когда ИИ внедряется в социальной сфере, — это огромный риск.
"Гражданина рассматривают как вектор свойств, как некое цифровое явление, которым надо управлять. Я это регулярно вижу в разговорах с сисадминами крупных сервисов. Для них люди — это вектор, у него нет прав, только свойства. Это классовое отношение. Создается параллельная власть и параллельный цифровой класс, который характеризуется своим отношением к цифровым средствам производства. Они получили огромную власть, позволяющую манипулировать людьми. Они давно это поняли, именно поэтому такое сопротивление любым цифровым законам, ограничивающим эту власть.

Это новое цифровое дворянство!

На ПМЭФ один чиновник сказал, что как будет прекрасно, если человек идет по парку, закурил, а система его распознала и говорит: не кури, это вредно. Но на самом деле это тюремная практика! Этот чиновник всерьез считает, что по всей стране надо внедрить тюремную практику не только слежки за людьми, но и окриков", — рассказал эксперт.
Он напоминает, что правила, определяющие, что хорошо, а что плохо, зашиты внутрь неизвестными людьми. Да и сами правила неизвестны никому, кроме программистов и владельцев этих сервисов. Это попытка управлять моралью людей. К тому же, неясно — с какими целями.
"Новость пр
ошлой недели. Пентагон фактически призвал в армию технических директоров крупнейших технологических компаний (Google, OpenAI и др.), разрабатывающих ИИ, дав им звание полковников. Шутки кончились. Там все будет абсолютно засекречено, будет опущен занавес молчания. Это не технологии двойного применения, это военные технологии... Но у нас отрезвления не происходит.

Цифровизаторы считают, что все привыкнут и про свои права говорить не будут. Весь криминал уже перешел в цифровую сферу, потому что ему дали огромную поляну, на которой вообще нет никакого контроля. И те, кто борются против закона об ограничении ИИ, борются за то, чтобы эта поляна была открыта для криминала. А там происходит смена модели — с зарабатывания на терроризм. Мы не можем не ограничивать цифровизацию, мы тогда просто не выживем", — заключил Ашманов.

*запрещена в РФ как экстремистская соцсеть


h ttps://w ww.nakanune.ru/articles/123683/

[Гость]

БУМАГА ВСЁ СТЕРПИТ

Какие риски несет в себе цифровизация госуправления


Наталья Касперская,
Президент группы компаний InfoWatch


Организаторы форума ЦИПР-2025 пригласили меня на сессию, посвященную цифровизации госуправления. На дискуссионной панели чиновники среднего звена и представители бизнеса рассуждали о том, какой дивный новый мир принесет цифровизация государственного управления. Как здорово можно будет поприжать плохо работающих чиновников и как великолепно они станут работать под воздействием ИИ. Особенно чудесно будет к 2030 г., когда цифровизация наконец позволит полностью отказаться от бумаги и всё это старье окончательно перетечет в цифру. Я терпеливо выслушала эти панегирики и сейчас выскажу несколько соображений на данную тему.

Риски информационной безопасности

Основу современной цифровизации составляют большие данные, собранные из разных источников и проанализированные различными технологиями наподобие искусственного интеллекта. Не секрет, что данные подвержены различным ИТ-рискам — хищение, компрометация, искажение, уничтожение. На сегодняшний день человечество не придумало, как нивелировать эти риски, и не похоже, что что-то появится в ближайшей перспективе.
Чем больше данных в «цифре», тем больше этих ИТ-рисков. Даже если цифровая система построена с их учетом, это не дает гарантии того, что в какой-то момент все данные не окажутся доступны мошенникам (кто-то же украл у граждан РФ 200 млрд руб. в 2024 г., использовав в том числе украденные персональные данные) или не подвергнутся уничтожению в результате атаки недружественного государства. Или что сисадмин не вытащит ценные данные, пользуясь портом, который сам специально не закрыл (а потом не сотрет логи доступа, заметая следы).

Иностранные платформы

Вышеназванные риски особенно опасны, так как до сих пор значительная часть используемых нами ИТ-систем иностранного производства. Планшеты и смартфоны, через которые граждане осуществляют доступ в госсистемы, — иностранные. Сервера — иностранные. Маршрутизаторы интернет-сетей — иностранные. Большей частью эти технологии — из недружественных государств. Что означает — закладки, возможность манипулирования информацией, а главное — риск одномоментного отключения извне связи, доступа, приложений в случае горячей войны. А то и взрывов устройств, как это произошло с устройствами в Ливане, которые были закуплены Хезболлой, как «надежная» и «защищенная» технология в противовес ненадежным смартфонам.
От перехвата данных не спасут «наложенные» средства инфобезопасности и доверенное ПО российского происхождения, поскольку перехват данных может вестись ИТ-платформой (сервером, ноутбуком, смартфоном) на аппаратном уровне.

Чиновник-робот

В выступлениях звучало, что цифровизация сделает чиновников независимыми, исключит коррупцию и личную заинтересованность. Это хорошее намерение. Но в реальности чиновник — не робот. И электронный кнут цифровизации неминуемо приведет к снижению ценности работы чиновников, к демотивации и унынию, сделает саму профессию непрестижной. Кому понравится, когда тобой управляет электронный болван с ИИ? И когда этот электронный болван определяет приоритеты твоей работы по совершенно непонятно кем написанному алгоритму.
Прижимать бизнес чиновниками при помощи электронных кнутов тоже затея неочевидной практической ценности. В прошлом году на форуме «Кибербезопасность финансов» приглашенная дама из Министерства сельского хозяйства с восторгом рассказывала про систему ИИ, после внедрения которой число инцидентов выросло в 90 тыс. раз (девяносто тысяч — это не описка!). Чиновница посетовала, что у них не хватает рук, чтобы наказать миллионы новых нарушителей, и пожелала, чтобы искусственному интеллекту дали бы право выносить наказания автоматически. То, что это провал, что система попросту не работает, что такой катастрофический рост инцидентов нереалистичен, — чиновнице в голову не пришло.

Инструмент отчуждения и снятия ответственности

Самим гражданам перспектива общаться с ИИ вместо живого человека — при обращении к государству, чиновнику, депутату, суду — вряд покажется радужной. За примерами далеко ходить не надо. Большинство банков и многие публичные учреждения для общения с клиентами стали использовать чат-боты. И вместо улучшения обслуживания, чтобы получить мало-мальски разумный ответ, граждане должны часами сидеть на телефоне, отвечая на вопросы бота или пытаясь добиться ответа живого оператора. Электронный болван отлично подходит, чтобы быстренько отказать гражданину или ответить на вопрос, который тот не задавал. Но совершенно не подходит для решения сложных проблем, которых в случае государственных сервисов значительно больше, чем в банках.
При этом системы чат-ботов при помощи того же ИИ рисуют владельцам красивую статистику по числу обработанных обращений пользователей, которым они якобы помогли.
Конечно, чат-боты прекрасно решают поставленную им владельцами сервисов задачу снизить нагрузку на контакт-центр, на живых операторов. Но это не та задача, которую должно ставить общество госсервисам и чиновникам. Нужно ли нам дальнейшее отчуждение чиновника от граждан? Если да, то зачем? Чтобы снять с него ответственность, оградить от населения? Или чтобы нельзя было спросить с чиновника, отгороженного от народа стеной ИИ, — а с ИИ какой спрос?

Что решит ИИ

ИИ у нас практически фетиш. Везде, куда приходишь последние 3 года, только и слышишь массовые камлания жрецов прогресса о пришествии ИИ. «Технология, изменившая мир (человечество)», «ИИ решит все проблемы», «ИИ полностью изменит рабочий ландшафт», «уже через 5-7 лет программисты (юристы, финансисты — нужное подчеркнуть) будут не нужны — всё будет делать ИИ»!
При этом под ИИ чаще всего имеются в виду технологии, основанные на глубоких нейронных сетях (иначе эти технологии называются «глубокое машинное обучение»). Эти технологии отличаются тем, что принципиально «глючат», то есть периодически выдают странные решения, противоречащие реальности и здравому смыслу. Например, много пальцев на картинах, «написанных» ИИ; неожиданно глупые высказывания в тексте; назначение фактом того, что фактом не является и т.д.
Разработчики ИИ сами не могут предсказать, когда система вдруг выдаст «глюк», и объяснить, по какой причине система выдала то или иное решение (высказывание, образ). Эта проблема известна среди специалистов как проблема «черного ящика ИИ». Специалисты бьются над решением проблемы черного ящика, создавая «доказательный ИИ», «подсистемы объяснений», «рассуждательные режимы работы», но это не снимает проблемы непредсказуемости; более того, часто ИИ учат убедительно обосновывать любое неверное утверждение, число которых от этого не снижается.
В этих условиях доверять искусственному интеллекту решения в ответственных областях или использовать для критических применений (жизненные показатели в медицине, управление регионом или государством, вынесение судебных решений и пр.) нельзя. Апологеты ИИ на это возражают тем, что люди ошибаются чаще. Да, в некоторых случаях это верно. Но только человека можно наказать, он может нести ответственность, а ИИ никакой ответственности не несет. Кому предъявлять претензии — OpenAI?
Это особенно опасно, потому что привыкшие к ИИ-подпорке люди теряют бдительность и сами перестают контролировать процесс.
Не стоит молиться на ИИ и еще по одной причине. Согласно известной кривой хайпа Гартнера, инновационная технология проходит некоторые стадии зрелости, среди которых хайп (когда все верят, что вот эта технология решит все проблемы человечества), потом пропасть разочарования, а потом (если повезет и технология не останется лежать в пропасти, как 3D-телевидение) выход на плато продуктивности, где технология решает конкретные задачи. Всего 5 лет назад мы переживали хайп технологии блокчейн, которая тоже должна была решить все проблемы и которую включили во все госпрограммы, а потом, когда блокчейн не оправдал ожиданий, его по возможности незаметно оттуда выковыривали. Генеративный ИИ сейчас на пике хайпа. Может, всё-таки подождать, пока он выйдет на плато продуктивности?

Необходимые условия цифровизации

Ну и наконец, ИИ да и вся цифровизация работают только при наличии двух вещей — электричества и доступа в интернет.
Уже сейчас, в связи с постоянной атакой вражеских БПЛА на регионы страны, интернет во многих регионах отключают: ночью — регулярно, а днем — время от времени. Постоянный доступ к электричеству тоже под вопросом, учитывая участившиеся атаки противника на инфраструктуру. А кроме того, бывают отказы оборудования, сбои электронных систем и пр.
Как в таком случае пользоваться электронными услугами и сервисами? Как получить удаленный доступ к документу? Заявленная на сессии одним из чиновников цель «отказа от бумаги к 2030 году», на мой взгляд, является просто диверсией. Если мы достигнем этой непонятной цели, то в случае кризиса превратимся в слепоглухонемых. Это точно то, чего мы хотим достичь за гигантские государственные деньги напряжением всего государственного организма и общества?

Альтернативная цифровизация

Рискну предложить несколько постулатов, которые должны учитываться для того, чтобы не отменять прогресс, но при это не подпадать под гигантские риски.
1. Цифровизация не должна осуществляться ради самой цифровизации, ради красного словца и потому что это модно. Цифровизация должна быть умной, то есть вестись осторожно и с учетом всех возможных рисков.
2. Нельзя отказываться от возможности использовать бумажные носители. Древние египтяне писали на папирусе, и мы сейчас при желании эти папирусы можем читать спустя четыре тысячи лет. В отличие, например, от 3,5-дюймовых дискет и цифровых видеокассет конца 20-го века, которые прочесть уже практически не на чем. Давайте помнить про папирусы!
3. Любая информационная система, которая внедряется, обязательно должна быть жестко и неразрывно связана с информационной безопасностью. Каждая внедряемая ИТ-система должна анализироваться на предмет ИТ-рисков. Каждая госпрограмма цифровизации должна иметь обязательный раздел рисков. И эти риски должны быть надлежащим образом купированы до того, как система (программа, сервис) пойдет в эксплуатацию.
4. Наконец, не стоит возлагать излишних надежд на ИИ. Технологиям ИИ по большому счету около 60 лет. И они переживали пики и падения, сейчас идет очередной, уже четвертый по счету, пик. Давайте дождемся выравнивания информационного фона, прежде чем окончательно констатировать победу ИИ над человеческим разумом. До сих пор человеческий разум оказывался хитрее.

В заключение приведу один показательный случай, который произошел со мной на следующий день после сессии по цифровизации госуправления — я должна была выступать на завтраке с министром цифрового развития на тему национальных чемпионов. Когда в 8:10 я подошла к турникетам ЦИПРа, то увидела там человек 15, которые терпеливо ждали, пока починят систему прохода, которая почему-то не работала. Я обратилась к девушке, которая выглядела главной:
— Девушка, вот мой бедж для прохода на форум. Я готова также предъявить паспорт, что это я. У меня завтрак с министром, пропустите, пожалуйста.
— Нет, — ответила девушка, — мы не можем, нам не разрешают. Пропуск осуществляется только через систему.
— Но система же не работает! А я — вот перед вами, с беджем и паспортом.
— Нет, только через систему.
Человек, управляемый роботом, и сам немножко становится роботом и теряет способность критического мышления. Может, нам стоит над этим задуматься, пока
мы еще являемся людьми?


-----------------------------

htt ps://expert.ru/mnenie/bumaga-vsye-sterpit/

[Гость]

[Гость]

«ЦНЭАТ»
ЦЕНТР НЕЗАВИСИМОЙ ЭКСПЕРТИЗЫ НА АВТОМОБИЛЬНОМ ТРАНСПОРТЕ


443098, г. Самара, ул. Пугачевская 73А, тел.+7 959 8058193, e-mail: at-63@mail.ru


ЗАКЛЮЧЕНИЕ СПЕЦИАЛИСТА № 108

г. Ростов на Дону (ЮВО) 12.08.2025 года

Специалист Колмыков Антон Николаевич, имеющий высшее техническое образование, специальную подготовку по компьютерной технике и программному обеспечению, стаж работы в качестве эксперта по компьютерно-технической экспертизе с 2000 г. УВД г. Самары и далее в ЦНЭАТ, сертификат серия СС № 036121, провел компьютерно-техническое исследования программного обеспечения "мессенджера МАХ".

На исследование представлено:
Программное обеспечение, приложение "мессенджер МАХ"

Перед специалистом поставлен вопрос:
Являются ли приложение, мессенджер МАХ безопасным для применения военнослужащими, офицерами спецслужб, работниками военных предприятий и членов их семей?

Литература: :
Россинская Е.Р., Усов А.И.«Судебная компьютерно-техническая экспертиза» /М.: Право и Закон. 2001 г.изд. ISBN 5-7858-0070-5.

Использованное оборудование:
1. Смартфон TECNO LH7n, версия Андроид 14.0.0.
2. Программное обеспечение: Фаервол без root-прав, версия 4.0.2 (build 50), автор: Grey
Shirts.
3. Сайт htt ps://2ip.io/ru/geoip


ИССЛЕДОВАНИЕ

Исследование проводится по инициативе специалиста в интересах МО РФ и всех участников Специальной Военной Операции для обеспечения государственной безопасности и повышения обороноспособности России, а так же в связи с рекламой, где всех специалистов призвали провести проверку мессенджера МАХ за денежное вознаграждение.

Для проведения исследования использован серийный смартфон TECNO LH7n, с программным обеспечением Андроид 14.0.0. Для проведения исследования на смартфон установлено приложение Фаервол без root-прав, версия 4.0.2 (build 50), автор: Grey Shirts. После этого из магазина приложений установлен мессенджер MAX.

Фото 1. Графический логотип приложения MAX

В процессе установки приложения в магазине приложений RuStore не обнаружена информация об авторе приложения – нет данных ни о юридическом ни о физическом лице. Сайт в сети Интернет по адресу: ht tps://max.ru содержится информация для пользовательского соглашения, что распространяет программу МАХ ООО "Коммуникационная платформа", ИНН: 9714058267, ОГРН: 1247700595230, адрес места нахождения: 125167, город Москва, вн.тер.г. муниципальный округ Хорошевский, проспект Ленинградский, д. 39, стр. 79.

История версий программного обеспечения начинается с версии 25.3.1 "Первая версия" от 26 марта 2025 года, т.е. информация выглядит неполно.

По состоянию на 12.08.2025 года к загрузке предлагается версия 25.8.0, которая и установлена специалистом на смартфон для тестирования (см. фото 2).

Фото 2. Установлено приложение МАХ. Разрешения, которые запросило приложение МАХ. Новое из разрешений: "Устройства рядом".

После установки приложения, специалист включил мониторинг обращения программы к серверам в сети Интернет, используя приложение Фаервол без root-прав, версия 4.0.2 (build 50), автор: Grey Shirts. Получен отчет программы (см. фото 3).

Фото 3. Отчет программы Фаервол без root-прав об обращениях приложения МАХ к внешним адресам.

Далее, с использованием сервиса h ttps://2ip.io/ru/geoip, специалистом проведено исследование каждого из выявленных адресов.

1. 217.20.155.18 – указан как сервер "Одноклассники".
2. 217.20.152.209 - указан как сервер "Одноклассники".
3. 172.217.168.42 – сервер в США, штат Калифорния, г. Монтейн-Вью (см. фото 4).
4. 142.250.178.202 – сервер в Чили, г.Сантьяго (см. фото 5).
5. 142.250.203.106 - сервер в Чили, г.Сантьяго (см. фото 6).
6. 172.217.168.74 - сервер в США, штат Калифорния, г. Монтейн-Вью (см. фото 7).
7. 95.163.41.56 – сервер в Москве, недалеко от Исторического музея.
8. 142.250.178.234 - сервер в Чили, г.Сантьяго (см. фото .
9. 185.16.148.119 - указан как сервер "Одноклассники".


Фото 4. Геолокация Фото 5. Геолокация Фото 6. Геолокация адреса 172.217.168.42 адреса 142.250.178.202 адреса 142.250.203.106

Фото 7. Геолокация Фото 7. Геолокация
адреса 172.217.168.74 адреса 142.250.178.234


Проведенным исследованием установлено, что мессенджер – приложение МАХ для своей работы использует внешние ресурсы и взаимодействует с серверами США, Калифорния и серверами Чили, Сантьяго.

Из судебно-экспертной практики известно, что организованные преступные группы (ОПГ) штата Калифорния, Лос-Анжелес активно продвигает игровые программы, выполняющие функции игровых автоматов в Россию (компания ИнБет и подобное). Вероятно продвижение приложения МАХ происходит по той же линии международных ОПГ в России. Целесообразно возбуждать уголовное дело по статье УК РФ Статья 275. "Государственная измена".

В связи с проведенным исследованием, специалист обратился 12.08.2025 в ООО "Коммуникационная платформа" за обещанным вознаграждением при выявлении критических уязвимостей. Предварительно специалисту дан ответ, что такое вознаграждение возможно лишь при сохранении тайны уязвимости и в случае оглашения результатов, денежное вознаграждение не предполагается. Учитывая высокую военную и социальную опасность от работы данного приложения с точки зрения государственной безопасности, специалист публикует данное исследование для всех спецслужб и для МО РФ.

Специалист готов повторить текст исследования в рамках проведения судебной экспертизы по постановлениям ВСК РФ, следователей и судей РФ.


В Ы В О Д Ы

Мессенджер МАХ опасен для применения военнослужащими, офицерами спецслужб, следователями и судьями, работниками военных предприятий и членов их семей. Приложение МАК необходимо немедленно запретить к применению в Российской Федерации.

Целесообразно возбуждать уголовное дело по статье 275 УК РФ "Государственная измена" против сотрудников Центра Информационной Безопасности (ЦИБ) ФСБ РФ и других участников активного продвижения приложения МАХ среди граждан России.


Специалист Колмыков А.Н.


=======================


Полностью исследование Zaklyuchenie_spetsialista_po_MAKh.pdf по ссылке:

h ttps://psv4.userapi.com/s/v1/d2/WGsGFmJOnWcw3CkcOC4ruzCDphu1gP7Y6sxX_NY_URFzROOZrcCPmXTp5Wg2lW08kmcGInojMLTdzPhPjJyKyKPATeB-BVOQzHKHXkjfqVqE6PEkvDeLw-qqjGdWXkw6BKS8yKw/Zaklyuchenie_spetsialista_po_MAKh.pdf

[Гость]

«MAX» под микроскопом — как дружелюбный мессенджер превращается в инструмент слежки

19 августа, 2025



Один из участников сообщества GitHub выложил в открытый доступ репозиторий, в котором провёл детальный разбор работы приложения MAX и описал, какие именно механизмы используются для сбора пользовательских данных.

h ttps://github.com/ZolManStaff/MAX-deep-analysis-of-the-messenger?utm_source=Securitylab.ru

Исследование оказалось достаточно обстоятельным, чтобы вызвать интерес не только у специалистов по безопасности, но и у более широкой аудитории. Я не занимался самостоятельным техническим анализом приложения, а подготовил данный пост уже на основе этого исследования. Таким образом, мой материал рассматривается не как исходное разоблачение, а как пересказ и объяснение найденных фактов для тех, кто хотел бы понять суть происходящего без необходимости самостоятельно изучать исходный код.

Приложение «Макс» внешне выглядит как современный мессенджер, готовый конкурировать с признанными лидерами за счёт «быстрых и лёгких» коммуникаций, качественных звонков, анимированных стикеров и возможности пересылать файлы до 4 ГБ. Оно доступно практически везде — на Android через Google Play, RuStore и AppGallery, на iOS через App Store и в десктопных версиях, а в файле AndroidManifest.xml ему соответствует пакет ru.oneme.app. Однако под гладкой оболочкой скрывается высокоинтрузивная система «чтения», искусно маскируемая глубокой обфускацией кода и опирающаяся на богатый набор разрешений и фоновых сервисов.

Почти весь критический функционал вынесен в модуль com.my.tracker, при этом его часть помещена в подпакет com.my.tracker.obfuscated. Там имена классов, методов и переменных сведены к абстрактным e0, c1, y2, b3, f1 и одно¬буквенным a(), b(), c(), что почти исключает статический анализ без предварительной деобфускации. Такой приём обычно используют либо чтобы сохранить коммерческие тайны, либо чтобы скрыть сомнительную логику. В случае «Макса» признаки второго сценария выражены особенно ярко: трекер собирает детальнейшую телеметрию, отслеживает каждое действие пользователя и способен передавать на сервер огромные массивы персональных и системных данных.

Файл MyTracker.java играет роль фасада: публичные статические методы initTracker, trackEvent, trackAdEvent, trackPurchaseEvent, startAnytimeTimeSpent и десятки других делегируют вызовы в обфусцированный класс c1, а тот уже взаимодействует с инфраструктурой трекера. Инициализация требует лишь ID и контекста приложения, после чего c1 начинает буферизовать события и паковать их во внутренний формат с помощью класса f1, а затем отправляет через сеть при первом же удобном случае (метод e0.c() проверяет подключение и инициирует выгрузку).

Категории собираемых данных впечатляют масштабом.

• События взаимодействия: клики по рекламе, покупки в Google Play и AppGallery с передачей ID товара, цены, валюты и arbitrary parameters, приглашения, регистрации, входы, запуски, переходы по уровням, активность в мини-приложениях, произвольные трекинговые события по выбору разработчиков и точное время, проведённое в приложении или в конкретном сценарии.

• Персональная информация: возраст, пол, пользовательские идентификаторы (включая customUserId и их массивы), адреса электронной почты, номера телефонов, ICQ ID, OK ID, VK ID, VK Connect ID, а также язык интерфейса и целая россыпь специальных идентификаторов MRGS. Любой из этих параметров можно как прочитать, так и записать; кроме того, через setCustomParam разработчик вправе передать буквально любые «ключ-значение», расширяя объём собираемой информации до бесконечности.

• Атрибуция: трекер фиксирует диплинки, откуда пользователь попал в приложение, вычисляет источник установки и хранит сведения о предустановках, в том числе от сторонних партнёров.
Чтобы эта махина работала без сбоев, ей требуются соответствующие права. Manifest выстроен как каталог желаний особо ненасытного приложения. Разрешения INTERNET, ACCESS_NETWORK_STATE и ACCESS_WIFI_STATE — лишь базис.

Далее идут:

• ACCESS_FINE_LOCATION и ACCESS_COARSE_LOCATION для точной и приблизительной геолокации,

• CAMERA и RECORD_AUDIO для доступа к камере и микрофону,

• BLUETOOTH* для полного управления беспроводными соединениями,

• READ_CONTACTS и WRITE_CONTACTS для полного обращения с контактами,

• READ_PHONE_NUMBERS для чтения номера устройства,

• целый набор *_STORAGE и READ_MEDIA_* для доступа к файлам и медиаконтенту,

• GET_ACCOUNTS / MANAGE_ACCOUNTS / USE_CREDENTIALS для манипуляций с учётными записями,

• POST_NOTIFICATIONS для пушей,

• REQUEST_INSTALL_PACKAGES для установки сторонних APK,

• SYSTEM_ALERT_WINDOW для отображения поверх всех окон,

• WAKE_LOCK и DISABLE_KEYGUARD для управления энергией и блокировкой,

• FOREGROUND_SERVICE и, что особенно тревожно, foregroundServiceType="microphone|camera|location|mediaProjection|mediaPlayback|dataSync". Последний флаг означает, что приложение может в фоне записывать звук, видео, перемещения и даже делать захват экрана, выдавая пользователю лишь формальное уведомление о «фоновой работе».

Архитектура компонентов выстроена так, чтобы закрепиться намертво. BroadcastReceiver BootCompletedReceiver реагирует на полную загрузку системы и автоматически пробуждает приложение. Для постоянных задач используются Foreground Service SystemForegroundService и CallServiceImpl. Первый получает доступ к микрофону, камере, GPS и синхронизации данных, второй дополнительно умеет захватывать экран. Служба ContactsSyncService регистрируется как адаптер синхронизации контактов, что позволяет регулярно выкачивать адресную книгу. LinkInterceptorActivity перехватывает HTTP/HTTPS-ссылки, относящиеся к собственным доменам, что не только упрощает диплинки, но и даёт возможность анализировать или модифицировать трафик внутри экосистемы «Макса».

Отдельного внимания заслуживает возможность захвата экрана через mediaProjection. Раз сервис объявлен в манифесте, значит, код внутри CallServiceImpl или соседних классов способен инициировать захват изображения дисплея при любом удобном случае. Комбинация с микрофоном создаёт предпосылки для тихой записи звонков и видеочатов, а флаг mediaPlayback намекает на возможность выводить собственный аудиопоток поверх других приложений.

Попытка ручного «расковыривания» обфусцированных классов e0 и f1 показывает только верхушку айсберга. e0 формирует частичные пакеты, логирует промежуточные статусы (createAndStorePartialPacket: start / writeResult=…), следит за буфером и вызывает сетевую отправку при наличии соединения. f1 управляет структурой пакета: добавляет новые элементы, сбрасывает буфер при успешной доставке, пересобирает пакеты при ошибках. Логика доставки абстрагирована, но внутри фигурирует MyTrackerConfig.OkHttpClientProvider — значит, транспорт построен на OkHttp, поддерживающем прокси, кастомные интерцепторы, собственные TrustManager-ы и гибкие таймауты. Если разработчики захотят обойти проверку TLS-сертификатов или подменить трафик, у них есть все необходимые крючки.

При этом прямого патчинга системы или эксплуатации root-прав манифест не демонстрирует. Нет ни WRITE_SECURE_SETTINGS, ни MOUNT_UNMOUNT_FILESYSTEMS, ни BIND_DEVICE_ADMIN, ни упоминаний о su-бинарях. Но необходимость в эксплойтах исчезает, когда пользователь добровольно выдаёт столь щедрый набор разрешений: приложение получает тотальный доступ к датчикам и данным через штатные API. А службы гарантируют непрерывность слежки: устройство может спать, экран — тухнуть, а «Макс» будет тихо стримить координаты, аудио и видео на свои серверы.

Поверх системной слежки приложение внимательно записывает сам контент мессенджера. В protobuf-структурах ru.ok.tamtam.nano обнаружены поля lastInput, lastInputEditMessageId, lastInputMedia и lastInputReplyMessageId — это история последних действий в поле ввода, включая черновики и ссылки на медиа. Таким образом, даже неотправленные сообщения, удалённые до публикации, способны навсегда остаться в бэкэнде.

Нельзя оставить без внимания и возможность установки сторонних APK. REQUEST_INSTALL_PACKAGES сам по себе не страшен, пока пользователь не подтвердит установку, но в связке с SYSTEM_ALERT_WINDOW и навязчивыми уведомлениями можно организовать «социальную» атаку: показать окно поверх текущего приложения, подсунуть «обязательное обновление» и убедить пользователя нажать «Установить». Как только жертва согласится, «Макс» расширит свои полномочия ещё одним модулем, потенциально обходящим ограничения магазина.

Обобщая результаты, можно констатировать: «Макс» — это не просто мессенджер, а многокомпонентная платформа с весьма интересными функциями. Код закрыт обфускацией, структура пакетов тщательно оберегается, а разрешения позволяют действовать почти без ограничений. Формально пользователь сам соглашается на эти условия, устанавливая приложение и выдавая права, но реальное соотношение предоставляемых функций и выгружаемых данных выглядит катастрофически неравным.

На практике любой обладатель «Макса» носит в кармане сенсор, который фиксирует его перемещения, общение, покупки и даже мимолётные мысли, не предназначенные для отправки. Технически это реализовано легальными средствами Android, без эксплойтов и root-хака, но масштаб остаётся пугающим: достаточно один раз запустить мессенджер, и он уже прописывается в автозапуск, постоянно держит руку на микрофоне, камере и GPS и умеет самостоятельно обновляться сторонними модулями.»



SECURITYLAB.RU



Подробнее: htt ps://ww w.securitylab.ru/blog/personal/paragraph/356059.php

[Гость]

"Папа накручивает голоса на выборах, сын - в AppStore. Как-то "внезапно" выяснилось, что разработчики нацмессенджера Max накручивают ему отзывы в магазинах приложений. При этом платят крутильщикам очень даже конкурентные деньги, по 16 рублей (для биржи комментариев QCommen это сейчас самый высокий ценник за такую задачу). Бюджет выделили в пределах нескольких миллионов рублей - сейчас у Max 255 тысяч оценок, что в 20 с лишним раз больше, чем у Google Meet.

Но только на расхваливании своего продукта Владимир Кириенко из VK не остановился. Параллельно он еще и "лепит дизлайки" конкурентам - Telegram и WhatsApp. Все, как папа учил. Те в долгу не остаются - иначе откуда под страницами Max негативные отзывы? )

Такая активность нужна VK и семейству Кириенко, чтобы продавить превращение своего коммерческого мессенджера в "национальный мессенджер". Официально Max до сих пор этого статуса не имеет. Вот и собирают отзывы ботов, подшивают в "папочки" и несут начальству, чтобы доказать, что ну очень всем нравится этот шпион-вирус-нацпредатель-инструмент для мошенников."


@n

[Гость]