В российском государственном мессенджере Max специалисты по кибербезопасности обнаружили масштабные бреши в защите данных. По последним данным, в системе зафиксировано более 200 уязвимостей, которые ставят под угрозу конфиденциальность переписки и личных файлов пользователей. Несмотря на предыдущие заявления разработчиков о высокой степени защищенности платформы, выявленные ошибки позволяют третьим лицам получать доступ к чужим сообщениям и медиафайлам.

Технические аспекты и вектор атаки IDOR

Согласно экспертным оценкам, наиболее распространенным методом взлома стал вектор IDOR (Insecure Direct Object Reference). Данная техническая ошибка возникает, когда приложение предоставляет доступ к объектам базы данных на основе вводимых пользователем данных без надлежащей проверки полномочий.

  • Эксплуатация IDOR позволяет злоумышленникам подменять идентификатор объекта (ID) в запросе к серверу.
  • При успешной манипуляции система выдает личную информацию, принадлежащую другому аккаунту.
  • Уязвимость затрагивает как текстовые чаты, так и хранилища графических изображений.

Подобные инциденты часто связаны с недостатками в архитектуре API, которые не проводят повторную верификацию прав доступа при каждом обращении к серверу.

Реакция разработчиков и текущая ситуация

Обнаружение столь значительного количества багов стало неожиданностью для экспертного сообщества, так как ранее представители проекта Max полностью отрицали возможность несанкционированного доступа к данным пользователей. Ситуация осложняется тем, что данный мессенджер позиционируется как безопасная среда для государственного сектора и официальных коммуникаций.

Ранее в Max полностью отрицали возможность подобного взлома, настаивая на неуязвимости архитектуры приложения.

На текущий момент технические специалисты ведут работу по устранению выявленных недостатков. В Москве и других регионах, где внедряется данная платформа, эксперты рекомендуют пользователям проявлять осторожность при передаче чувствительной информации до выхода официального патча безопасности.

На фоне инцидента в ИТ-сообществе возобновились дискуссии о необходимости регулярного внешнего аудита государственных информационных систем. Дальнейшее развитие ситуации будет зависеть от скорости исправления ошибок и готовности разработчиков к открытому диалогу по вопросам информационной безопасности.