¿Usas los servicios del Estado a través de MAX? La aplicación puede ver, técnicamente, todo lo que haces en ella — incluso tus contraseñas.

Un grupo internacional de especialistas en seguridad analizó en detalle la versión de Android de MAX y descubrió que la aplicación es técnicamente capaz de ver y modificar los datos de los servicios que se ejecutan dentro de ella. El análisis realizado mostró la posibilidad de capturar sin ser detectado el contenido de las miniaplicaciones integradas, leer sus datos locales, ejecutar código JavaScript en ellas, controlar las conexiones de red y gestionar las credenciales de autorización. Al mismo tiempo, los autores subrayan por separado que durante las pruebas no encontraron evidencias de que MAX emplee esas capacidades para vigilancia u otras acciones maliciosas.

Los especialistas estudiaron las versiones rusa e internacional de MAX y verificaron 90 miniaplicaciones de los ámbitos de salud, servicios estatales, finanzas, comunicaciones, comercio, educación y turismo. Para el análisis se utilizaron cuentas de prueba y teléfonos Android bajo control de los investigadores. La compilación rusa requirió una configuración adicional: la aplicación tenía en cuenta la dirección IP, la ubicación, la presencia de VPN, la zona horaria y la información sobre la red móvil, y parte de los servidores no estaban accesibles fuera de Rusia.

Uno de los experimentos más ilustrativos se refería al contenido de la pantalla. Dado que las miniaplicaciones se muestran dentro de la ventana de MAX, la aplicación principal puede recurrir a funciones estándar de Android y obtener la imagen de su interfaz sin un permiso del sistema por separado. Mediante el mecanismo PixelCopy los investigadores lograron obtener una imagen en 31 de 35 intentos. En esos fotogramas podían aparecer consultas de búsqueda, el historial de acciones y el texto que el usuario aún estaba escribiendo en un formulario. Los autores de la investigación aclararon expresamente que no encontraron indicios de que MAX generase automáticamente esas capturas durante el uso habitual.

La causa está en la arquitectura de las miniaplicaciones. Un programa normal en Android obtiene su propio espacio aislado, mientras que el servicio integrado funciona dentro de MAX a través del componente web WebView. Para el sistema operativo, MAX y los servicios que se ejecutan en él permanecen de hecho como parte de una misma aplicación, por lo que Android no puede imponer entre ellos una barrera protectora equivalente a la que existe entre dos aplicaciones instaladas por separado.

Una situación similar surgió con el almacenamiento local. Los servicios comprobados transferían los valores que debían guardarse mediante un puente programático de MAX, y los investigadores observaron esos valores en texto claro dentro del proceso de la aplicación. Entre ellos había identificadores de dispositivos, claves de API y tokens de autorización. En consecuencia, la aplicación principal dispone técnicamente de la capacidad de leer y modificar datos que la miniaplicación considera propios.

MAX también puede ejecutar JavaScript dentro de los servicios integrados. Durante las pruebas los investigadores sí observaron ese comportamiento, pero los scripts detectados realizaban tareas habituales: añadían una función faltante para el intercambio de archivos, transmitían respuestas al puente programático y medían la velocidad de carga de páginas. El problema desde la perspectiva del modelo de seguridad es otro: el mismo mecanismo permite al propietario de la aplicación multifunción modificar la lógica de la página o acceder a los datos dentro de ella, y Android no ofrece al usuario un método separado para verificar tales intervenciones.

Otro nivel de control surge al transmitir datos por la red y al iniciar sesión en servicios. MAX se sitúa entre la miniaplicación y los sistemas externos, por lo que los investigadores comparan esa arquitectura con un ataque "hombre en el medio". La compilación rusa usa TLS con algoritmos criptográficos rusos GOST, y la plataforma participa en la transmisión de solicitudes de red y de parámetros de autorización de los servicios integrados. En una de las pruebas los especialistas vieron cómo los datos de acceso a un servicio estatal pasaban por el proceso de MAX antes de abrir el navegador del sistema.

El control sobre la autorización crea otro riesgo teórico. MAX genera parte de la información que la miniaplicación usa para identificar al usuario, y las solicitudes de permisos también pasan a través de la aplicación principal. Según los cálculos de los investigadores, en caso de un uso malintencionado de esta situación, el propietario de la plataforma podría formular una solicitud en nombre del usuario de modo que el servicio integrado no pudiera verificar por sí mismo si la acción fue realmente iniciada por una persona. No hay pruebas en el trabajo de que ese mecanismo se haya aplicado contra usuarios reales.

Los autores enfatizan que las capacidades descritas no deben considerarse una vulnerabilidad típica de MAX que baste cerrar con una actualización. Este problema surge de la propia arquitectura de las aplicaciones multifunción, ya que el propietario de la plataforma controla al mismo tiempo el entorno de ejecución, el almacenamiento, las conexiones de red, los permisos y la identificación de los servicios integrados. Las mismas limitaciones fundamentales pueden existir en otras plataformas que usan miniaplicaciones.

Además, los investigadores no afirman que MAX sea capaz de leer el contenido de aplicaciones independientes como Telegram, WhatsApp u otros programas instalados en el teléfono. El aislamiento del sistema de Android continúa separando a MAX del resto de las aplicaciones. Las conclusiones del trabajo se refieren principalmente a los servicios que funcionan directamente dentro de la propia plataforma.

La política de privacidad oficial de MAX indica que el servicio puede recibir la dirección IP, información sobre el dispositivo y el sistema operativo, la ubicación, datos del proveedor de Internet, información sobre la actividad dentro de la aplicación y, con el permiso del usuario, la libreta de direcciones. Al confirmar la cuenta, el servicio también puede obtener datos del Sistema Unificado de Identificación y Autenticación con el consentimiento del titular de la cuenta. La empresa declara que los datos personales de los usuarios rusos se procesan y almacenan en el territorio de Rusia.

La importancia de las características encontradas aumenta a medida que MAX se transforma de un mensajero en un punto único de acceso a otros servicios digitales. La ley federal n.º 156-FZ previó la creación de un servicio multifunción de intercambio de información con acceso a sistemas estatales, documentos digitales y firma electrónica. El gobierno luego designó al operador de ese servicio, que fue VK, la empresa que desarrolla MAX.

Los investigadores proponen cambiar la protección a nivel del propio sistema operativo móvil. Entre las medidas posibles mencionan el aislamiento separado de las miniaplicaciones, el registro de las intervenciones de la aplicación principal, advertencias al capturar el contenido de la interfaz y un canal seguro entre el servicio integrado y su servidor. Mientras no existan tales mecanismos, la seguridad de una miniaplicación depende en gran medida no solo de su propio desarrollador, sino también de hasta qué punto el usuario confía en la plataforma en la que se ejecuta el servicio.