Безопасен ли MAX: что известно о данных и доступах

Короткий ответ: однозначного «да» или «нет» нет ни в одном открытом источнике. По своей политике конфиденциальности MAX собирает номер телефона, данные устройства, местоположение, адресную книгу (если вы дали доступ) и активность в приложении, хранит данные в России и может передавать их госорганам по законному требованию. О сквозном шифровании в документах MAX не сказано. Разумный шаг: оставить приложению только нужные разрешения.

Какие данные собирает MAX по его собственной политике

Главный документ: политика конфиденциальности на legal.max.ru, редакция от 25 сентября 2026 года. В пункте 2.1 перечислено:

• Данные аккаунта: имя, номер телефона, внутренний ID, а также никнейм и описание «о себе», если вы их заполнили.
• Данные устройства: IP-адрес, операционная система, браузер, местоположение, интернет-провайдер.
• Адресная книга: только если вы разрешили доступ к контактам.
• Активность: клики, переходы, подписки на каналы. По тексту политики, это используется и для персонализации рекламы.
• Cookie и данные Госуслуг при подтверждении аккаунта.

Содержание сообщений в перечне отдельно не названо. По пункту 5.2 данные обрабатываются автоматически, а сотрудники доступа к ним не имеют, кроме служебной необходимости.

Кому MAX может передавать данные

Получатели перечислены в пункте 3.2.2 политики:

• разработчики мини-приложений и ботов, только с вашего согласия; номер телефона лишь при отдельном согласии;
• операторы связи (Билайн, МТС, МегаФон, Т2) и партнёры сервиса;
• аналитические сервисы и рекламные системы;
• госорганы и суды по законному требованию: после правовой проверки и в минимально необходимом объёме.

Там же сказано, что данные граждан России хранятся на территории России, а за рубеж не передаются. Конкретных сроков хранения в политике нет.

Есть ли шифрование и читают ли переписку

Прямого ответа от MAX на этот вопрос нет. В политике слово «шифрование» не встречается, упомянуты только «технические и организационно-правовые меры» защиты. Заявлений о сквозном шифровании (когда ключи есть только у собеседников) в документах MAX, по оценке авторов SecurityLab, тоже нет, как и публичного описания протокола и независимого аудита.

Доказательств чтения переписки в открытых источниках нет, но и технических гарантий обратного MAX публично не даёт. Коды из СМС и пароли лучше не пересылать ни в одном мессенджере.

Что говорят закон, Минцифры и VK

MAX работает по закону № 156-ФЗ от 24 июня 2025 года «О создании многофункционального сервиса обмена информацией», национальным мессенджером его определило распоряжение правительства № 1880-р от 12 июля 2025 года. Закон требует, чтобы оператором было российское юрлицо, программа входила в реестр российского ПО, а средства защиты информации проходили оценку соответствия. Требований о шифровании переписки в тексте закона нет.

• Минцифры заявляло, что инфраструктура MAX находится в России.
• VK с 1 июля 2025 года платит за найденные уязвимости в MAX до 5 млн рублей (Standoff Bug Bounty, BI.ZONE Bug Bounty, BugBounty.ru).
• Пресс-служба MAX отрицала самовключение камеры на компьютере: камера работает, только когда пользователь сам начинает видеозвонок.

Что нашли независимые исследователи

Оценки расходятся. Обе работы основаны на анализе кода, а не на замере реальной передачи данных.

• Anti-Malware.ru, август 2025. Издание насчитало у MAX 63 разрешения против 71 у Telegram и 85 у WhatsApp Показ поверх окон, установка APK из чата и демонстрация экрана требуют отдельного подтверждения пользователя, а MyTracker автор назвал обычной маркетинговой аналитикой. Вывод: сбор данных для аналитики есть, фактов скрытой прослушки нет.
• Аудит на Хабре, июнь 2026. Автор с ником 3ntr0py разобрал код Android-версии. По его описанию, модуль MyTracker может получать список установленных приложений, в настройках есть режимы отслеживания геопозиции, часть модулей включается с сервера, а данные уходят на домены аналитики VK. Автор оговаривается, что не утверждает, будто эти возможности используются против пользователей. В посте приведён ответ пресс-службы: MAX запрашивает только те разрешения, которые необходимы для работы.

Какие разрешения отключить на Android

Путь: Настройки → Приложения → MAX → Разрешения (названия пунктов немного различаются у разных производителей).

1. Местоположение нужно, только чтобы отправить геопозицию. Поставьте «Запретить» или «Спрашивать каждый раз».
2. Контакты нужны, чтобы MAX показал знакомых из записной книжки. Если готовы искать людей по номеру сами, запретите.
3. Микрофон и камера нужны для звонков и голосовых. Выберите «Разрешить только во время использования приложения».
4. Фото и видео: в новых версиях Android можно открыть только выбранные файлы, а не всю галерею.
5. Специальный доступ: проверьте «Поверх других приложений» (мини-окно звонка) и «Установка неизвестных приложений» (нужна только для APK-файлов из чата).

Какие разрешения отключить на iPhone и в браузере

С 3 июня 2026 года MAX нет в App Store, установленное приложение работает. Разрешения: Настройки → MAX.

1. Геопозиция: «Никогда» или «Спросить в следующий раз».
2. Контакты: выключите, если не нужна подборка знакомых.
3. Фото: «Ограниченный доступ» открывает только отмеченные снимки.
4. Микрофон и камера: оставьте для звонков.

Веб-версия в браузере получает только те доступы, которые вы подтвердили в запросе сайта. Отозвать их можно в настройках сайта в браузере.

Настройки приватности внутри MAX

Часть рисков снимают настройки самого мессенджера. По справке help.max.ru, они собраны в разделе Настройки → Безопасность:

1. «Видеть мой номер». Выберите, кто видит ваш номер в профиле. Если поставить «Никто», номер не покажется и при звонке или сообщении тому, кого нет у вас в контактах.
2. «Поиск по номеру телефона». Вариант «Контакты» оставляет поиск только для тех, с кем вы есть друг у друга в телефонной книге.
3. Статус «в сети». Можно показывать его только контактам или никому. Тогда собеседники увидят «был(-а) недавно» или «был(-а) давно».
4. «Контент». Вариант «Безопасный» скрывает каналы с метками 16+ и 18+.
5. «Безопасный режим». Включает всё сразу: профиль скрыт из поиска, звонки только от контактов, приглашения в чаты только от тех, с кем вы уже общались. Ручная смена любой из этих настроек его отключает.

Время от времени проверяйте Настройки → Устройства: там видно, где открыт ваш профиль. Незнакомые или старые сеансы завершите кнопкой «Завершить все сессии, кроме текущей». Пароль для входа и действия при чужом входе разобраны в статье как защитить аккаунт MAX от взлома.

Частые вопросы