Разбор APK мессенджера MAX показал сразу несколько модулей, связанных с аналитикой, фоновыми задачами и передачей служебной информации. Автор исследования утверждает, что обнаружил их в коде приложения с помощью JADX, то есть без доступа к серверам и без вмешательства в работу сервиса.

Сам по себе статический анализ не доказывает злоупотребления. Но он хорошо показывает, какие функции уже заложены в приложение и какие данные оно теоретически может собирать или передавать.

Что произошло

В опубликованном разборе речь идёт о публично доступном APK-файле. Исследователь перечисляет пакеты и классы, среди которых есть com.my.tracker, ru.ok.messages.analytics, ru.ok.tracer.upload, ru.trace_flow.dps.internal и ru.ok.tamtam.*.

По его версии, в коде заметны модули для массовой аналитики, ежедневной проверки разрешений, фоновой загрузки служебных данных и запуска компонентов до старта самого приложения. Отдельно упоминаются LoggerInitializer, SessionSenderUnexpectedException и классы, связанные с событиями чатов.

Для читателя здесь важен не набор названий, а сам подход. Когда в приложении много аналитики и фоновых workers, оно может собирать больше технических сигналов, чем кажется по интерфейсу. Похожую логику мы уже видели в других разборках мобильных сервисов — например, в материале про утечку данных у Novo Nordisk речь тоже шла о том, как внутренние процессы и ошибки в обращении с данными создают лишние риски.

Как это сделано

Исследователь не ломал защиту и не перехватывал трафик. Он взял APK, открыл его в JADX и прошёлся по классам и строкам кода.

Такой метод полезен для первичной оценки. Он показывает структуру приложения, имена библиотек, фоновые задачи, провайдеры автозапуска и место, где разработчики включили сбор телеметрии. Если в коде есть DailyAnalyticsWorker, SampleUploadWorker или DpsInitProvider, это уже повод присмотреться к тому, как именно приложение работает в фоне.

В публикации отдельно подчёркивается наличие обфусцированных имён. Это нормально для Android-сборок: разработчики часто прячут внутреннюю логику через ProGuard и похожие инструменты. Но обфускация не мешает увидеть сам факт существования модулей и понять их назначение по контексту вызовов.

Здесь важна и терминология. Аналитика сама по себе не плоха: без неё сервисы не чинят ошибки и не измеряют нагрузку. Проблема начинается там, где сбор данных становится избыточным, а пользователь не понимает, что именно приложение отправляет наружу и зачем.

Кого это затрагивает и какие последствия

Если выводы автора верны, под риском оказываются пользователи, которые ставят приложение и дают ему широкий набор разрешений. Чем больше у мессенджера доступа к контактам, файлам, уведомлениям и устройству в целом, тем шире поле для сбора служебной информации.

Это не означает, что приложение обязательно нарушает закон или скрытно читает переписку. Но сама архитектура, описанная в разборе, повышает чувствительность к вопросам приватности. Для корпоративных пользователей и фрилансеров это особенно заметно: рабочий мессенджер часто хранит не только переписку, но и документы, ссылки, метаданные о проектах и клиентах.

Если вы уже привыкли проверять, какие права получает приложение, держите под рукой и другие базовые меры: обновления системы, отдельный пароль на устройство и контроль резервных копий. Для сравнения можно посмотреть наш разбор о том, как мини-приложения могут перехватывать фокус переписки — там тоже речь идёт не о громких взломах, а о тихих механизмах, которые меняют поведение интерфейса и повышают риск утечки внимания и данных.

Отдельная тема — фоновая передача диагностической информации. Даже если такие пакеты нужны для отладки, пользователю стоит понимать, что они могут работать без заметных признаков и регулярно отправлять технические сведения на внешние серверы.

Что сейчас делать читателю

Панику устраивать не нужно. Но проверить свои настройки и поведение приложения — разумный шаг, особенно если вы используете мессенджер для работы или храните в нём чувствительные данные.

Если приложение уже стоит на телефоне, начните с простого: посмотрите список разрешений, отключите лишние уведомления и проверьте, не просит ли сервис доступ к тем функциям, которые ему не нужны для обычной переписки. После этого оцените, есть ли у вас резервные копии и где они лежат.

Для тех, кто работает с конфиденциальной перепиской на личном устройстве, полезно подумать о шифровании трафика на уровне канала связи. Один из практичных вариантов — инструмент для защищённой передачи трафика на личных устройствах, если вам нужен дополнительный слой приватности поверх обычных настроек системы.

Практический чек-лист

  • Проверьте, какие разрешения выдали мессенджеру, и уберите лишние.
  • Откройте настройки батареи и посмотрите, не работает ли приложение слишком активно в фоне.
  • Обновите приложение из официального магазина и проверьте версию сборки.
  • Оцените, какие данные вы храните в переписке: документы, адреса, номера, коды.
  • Включите блокировку экрана и биометрию, если она доступна на устройстве.
  • Не храните в чате то, что не готовы показать третьим лицам.
  • Для рабочих задач разделяйте личные и служебные переписки хотя бы по устройствам или профилям.
  • Если приложение ведёт себя странно, проверьте сетевую активность и список фоновых процессов.
Поделиться: