MAX — мессенджер от VK, представленный в марте 2025 года и ставший обязательным к предустановке на новых смартфонах и планшетах в России с 1 сентября 2025 года. За немногим больше года аудитория выросла с 35 млн пользователей осенью 2025-го до более чем 130 млн к августу 2026 года. Отдельно MAX интегрирован с Госуслугами и Госключом, хотя для входа на Госуслуги сам мессенджер не обязателен — остаются и другие способы авторизации.
Масштаб аудитории закономерно поднимает вопрос, что именно мессенджер знает о пользователе и как эти данные защищены. Общий разбор того, как устроена приватность в разных мессенджерах, мы уже делали в статье как защитить переписку в мессенджерах — здесь разберём MAX отдельно и предметно: шифрование, сбор данных, сравнение с Telegram и конкретные шаги защиты аккаунта.
Какое шифрование использует MAX — сквозное или только транспортное?
MAX по умолчанию не использует сквозное шифрование (E2EE) — применяется только транспортное шифрование TLS с поддержкой ГОСТ через CryptoPro, а значит сервер технически способен получить доступ к содержимому сообщений после расшифровки канала передачи. Разработчики заявляли о планах внедрить сквозное шифрование в будущем, но на момент выхода этой статьи оно не реализовано для обычной переписки.
Дополнительный риск создаёт локальное хранение: сообщения на устройстве хранятся в незашифрованной базе SQLite, поэтому при физическом доступе к разблокированному телефону переписку можно прочитать напрямую, без обращения к серверу. Это отдельная уязвимость, не связанная с типом шифрования канала, и именно поэтому код-пароль на вход в приложение (раздел ниже) — не опциональная, а обязательная мера защиты.
Какие данные собирает MAX и кому может их передать?
MAX собирает IP-адрес, список контактов, данные оператора связи, параметры сетевого окружения и статус VPN на устройстве. Требование локализации обязывает хранить эти данные на серверах в России, а закон «Яровой» (374-ФЗ) обязывает операторов связи и организаторов распространения информации хранить переписку до 6 месяцев и предоставлять её по официальному запросу уполномоченных органов.
Независимое подтверждение того, что сбор данных может различаться от аккаунта к аккаунту, даёт отчёт InterSecLab о выборочной слежке в MAX: исследователи обнаружили, что разработчик может дистанционно включать и отключать отдельные функции — в том числе сетевую диагностику и детект VPN — для конкретного аккаунта, без выпуска обновления приложения. Важный и честный нюанс этого отчёта: детект VPN срабатывает только для VPN, запущенного непосредственно на самом устройстве, а VPN, настроенный на уровне домашнего роутера, таким способом не обнаруживается.
Были ли у MAX реальные инциденты с безопасностью?
Да, за первые девять месяцев программы bug bounty независимые исследователи нашли в MAX 288 уязвимостей — это высокий показатель для мессенджера такого масштаба и сигнал, что поверхность атаки у приложения значительная. Среди находок был инцидент класса IDOR (небезопасные прямые ссылки на объекты), из-за которого при определённых условиях можно было получить доступ к чужим изображениям без авторизации; разработчики закрыли уязвимость после сообщения исследователей.
30 апреля 2026 года инфраструктурный провайдер Cloudflare кратковременно пометил домен max.ru как спайвер (spyware) — пометку сняли уже на следующий день. Разовая метка одного провайдера на один день — не то же самое, что формальное признание мессенджера вредоносным ПО, но сам факт показателен: автоматические системы классификации сочли поведение трафика MAX похожим на поведение слежки.
MAX и Telegram: что отличается в приватности
MAX и Telegram используют разную модель шифрования по умолчанию, и это главное отличие в приватности между мессенджерами — именно от него зависят остальные различия в таблице ниже.
| Параметр | MAX | Telegram |
|---|---|---|
| Сквозное шифрование по умолчанию | Нет (только транспортное TLS/ГОСТ) | Нет в обычных чатах, есть в «секретных чатах» |
| Сбор метаданных (IP, контакты, оператор) | Да, включая статус VPN на устройстве | Минимальный набор метаданных |
| Открытость кода клиента | Закрытый код | Частично открытый код клиентских приложений |
| Обязательность номера телефона | Да | Да |
| Локализация данных в РФ | Да, обязательна | Серверы вне юрисдикции РФ |
Для контраста полезно держать в голове и третий ориентир — Signal, который по умолчанию шифрует все чаты сквозным шифрованием и собирает минимум метаданных; подробное сравнение нескольких мессенджеров по приватности есть в статье защита переписки в мессенджерах.
Как включить облачный пароль (двухфакторную защиту) в MAX
Без облачного пароля аккаунт MAX можно угнать, перехватив всего один SMS-код, поэтому включить эту защиту стоит сразу после установки приложения, до того как аккаунт наполнится перепиской и контактами.
- Откройте в приложении раздел «Настройки» → «Приватность и безопасность» → «Облачный пароль».
- Задайте пароль, который не используется ни в одном другом вашем сервисе.
- Укажите e-mail для восстановления доступа на случай потери пароля — без него восстановить аккаунт будет сложнее.
После включения облачного пароля для входа с нового устройства одного SMS-кода уже недостаточно — потребуется ещё и пароль, который знаете только вы.
Как проверить активные сессии и защитить аккаунт MAX
Регулярная проверка активных сессий — второй по важности шаг защиты аккаунта сразу после облачного пароля: именно список сессий показывает, не вошёл ли кто-то посторонний в ваш аккаунт MAX с чужого устройства.
- Откройте список активных сессий в настройках приватности и завершите все устройства, которые вы не узнаёте.
- Включите код-пароль на вход в само приложение — это отдельная защита от прочтения переписки при физическом доступе к разблокированному телефону.
- Ограничьте видимость номера телефона и статуса «в сети» в настройках приватности для посторонних контактов.
- Проверьте список приложений, которым разрешён доступ к адресной книге, и отзовите лишние разрешения.
- Включите биометрическую разблокировку приложения (отпечаток или лицо), если это поддерживает устройство.
Подробный общий разбор того, как читать список сессий и чем опасен «чужой» вход, — в статье как проверить активные сеансы.
Нужен ли VPN, если вы пользуетесь MAX?
VPN закрывает сетевой уровень подключения — провайдер и публичный Wi-Fi не видят, что вы используете именно MAX, а ваш реальный IP-адрес скрыт от мессенджера на уровне соединения, — но VPN не отменяет то, что видит и хранит сама платформа MAX согласно её политике и 374-ФЗ.
Важно быть честными: VPN не скрывает от MAX сам факт переписки и не превращает транспортное шифрование в сквозное — приложение всё равно технически способно обработать содержимое сообщений на своей стороне. По данным отчёта InterSecLab, упомянутого выше, детект VPN на устройстве может применяться выборочно к отдельным аккаунтам, и именно VPN, запущенный на самом устройстве (а не на роутере), подпадает под такую проверку.
Если вы выбираете VPN именно для приватности сетевого уровня — проверки, что сервис действительно не ведёт логи, разобраны в статье как проверить no-logs VPN. Актуальные тарифы и условия подписки LiMP VPN — на странице тарифов LiMP.
