În aplicaţia de mesagerie a statului, Max, au fost descoperite sute de vulnerabilităţi care permit citirea conversaţiilor

Participanţii la programul de identificare a „breşelor” din sistemele IT Bug Bounty au descoperit 213 vulnerabilităţi în aplicaţia de mesagerie Max, controlată de autorităţile ruse, scrie „Kommersant”, citându-l pe Alexei Batiuk, directorul tehnic pentru dezvoltarea sectorului public al companiei Positive Technologies.

„Practica a arătat că această metodă este destul de eficientă, deoarece hackerii albi şi cercetătorii cibernetici sunt interesaţi să caute vulnerabilităţi şi să primească bani pentru asta... În prezent, cercetătorii cibernetici au depus 213 rapoarte privind vulnerabilităţile din această aplicaţie de mesagerie [Max]”, — a declarat el la expoziţia internaţională „Svyaz-2026”.

Cel mai des, potrivit unuia dintre hackerii „albi”, în aplicaţia de mesagerie a statului se întâlneşte vulnerabilitatea IDOR — o categorie de erori prin care se obţine acces la datele altora prin înlocuirea identificatorilor în cererile către server.

După cum reiese din cuvintele interlocutorului, familiarizat cu verificările de securitate ale Max, un astfel de mecanism poate deschide calea către mesajele, chat-urile şi fişierele altor utilizatori. Pe pagina Bug Bounty de pe Standoff365, printre cele mai „valoroase” scenarii sunt menţionate „accesul la mesajele private ale unui anumit utilizator”, „accesul la întregul conţinut al utilizatorului Max” şi vulnerabilităţile serverului cu scurgerea datelor personale protejate, inclusiv cazurile legate de IDOR.

De asemenea, pe platformă se menţionează că verificarea vulnerabilităţilor serviciilor funcţionează din 1 iulie 2025, iar până la 10 aprilie 2026 au fost acceptate 288 de rapoarte privind vulnerabilităţile din cele 459 depuse.

Hackerilor albi li s-au plătit aproape 22 de milioane de ruble pentru munca depusă (cu o plată medie de 349.000 de ruble). Mesageria de stat este prezentă şi pe alte două platforme — Bi.Zone şi „Kiberpoligon”, pe care s-au plătit în total aproximativ 1,5 milioane de ruble.

Din partea sa, Max a declarat că încercările de a prezenta însăşi descoperirea vulnerabilităţilor ca o „senzaţie” şi un semn de lipsă de securitate denaturează sensul programului Bug Bounty, deoarece scopul acestor programe este tocmai căutarea controlată şi eliminarea rapidă a riscurilor potenţiale. Toate datele utilizatorilor Max sunt protejate în mod fiabil, afirmă serviciul de presă al aplicaţiei de mesagerie.