В мессенджере Max нашли 213 уязвимостей — за них белые хакеры получили почти 22 млн рублей

Белые хакеры выявили 213 уязвимостей в национальном мессенджере Max в рамках программы Bug Bounty, запущенной 1 июля 2025 года, пишет «Коммерсантъ» со ссылкой на заявление технического директора Positive Technologies по развитию государственного сектора Алексея Батюка на международной выставке «Связь-2026».

Батюк отметил высокую эффективность этой программы, стимулирующей заинтересованность белых хакеров и киберисследователей в поиске уязвимостей в программном продукте с помощью солидного денежного вознаграждения.

Согласно информации на платформе Bug Bounty Standoff365 (входит в Positive Technologies) по поиску багов в мессенджере Max, на 10 апреля 2026 года всего было принято 288 отчётов об уязвимостях из 454 отправленных. Общая сумма выплат вознаграждений за найденные баги составила почти 22 млн руб. при средней выплате в 349 тыс. руб. Только за последние 90 дней было выплачено 9,5 млн руб. Также нацмессенджер представлен на двух других платформах — Bi.Zone и «Киберполигон», на которых сумма выплат составила около 1,5 млн руб.

По словам одного из белых хакеров, чаще всего найти уязвимость удаётся по вектору IDOR (Insecure Direct Object Reference, небезопасная прямая ссылка на объект), когда приложение или API используют пользовательские данные для прямого доступа к объектам без должной проверки прав доступа. С её помощью злоумышленник может получить несанкционированный доступ к чужим данным или действиям, подменяя идентификатор объекта (например, ID сообщения, чата или пользователя) в запросе к серверу.

В Центре безопасности Max сообщили, что по каждому отчёту проводится строгая проверка, а уязвимости устраняются в приоритетном порядке. «Платформу исследовали лучшие международные эксперты на конференции Zero Nights 2025, тогда же для привлечения специалистов было повышено вознаграждение за выявленную уязвимость», — подчеркнули в центре.

В свою очередь, в пресс-службе Max сообщили, что все данные пользователей мессенджера находятся под надёжной защитой. «Bug Bounty — мировой стандарт и признак зрелой безопасности: независимые “белые хакеры” за вознаграждение помогают находить и быстро устранять уязвимости до того, как ими воспользуются злоумышленники. Попытки подать сам факт обнаружения уязвимостей в рамках Bug Bounty как “сенсацию” и признак небезопасности продукта искажают смысл этих программ, которые как раз и создаются для контролируемого поиска и оперативного устранения потенциальных рисков», — заявили в пресс-службе.