Девять недель исследователи разбирали код и сетевой трафик сервиса: оказалось, сервер меняет уровень контроля под конкретный профиль индивидуально, на лету и без всяких предупреждений или обновлений приложения.
Сквозного шифрования в приложении нет вовсе, защита отсутствует даже в секретных чатах.
Вся переписка остается открытой для серверов компании, а таймер просто стирает текст с экрана. При каждом запуске платформа собирает отчет об окружении устройства.
Для каждого аккаунта система может удаленно включать персональные ограничения:
- блокировать отправку сообщений, если включен VPN;
- принудительно расшифровывать голосовые записи на сторонних серверах;
- постоянно собирать данные обо всех действиях пользователя в сети.
При этом запрет на отправку сообщений с VPN не срабатывает, если защищенный протокол настроен напрямую на домашнем роутере.
Адресная книга улетает на сервер целиком в открытом виде вместе с именами. В итоге база пополняется номерами людей, которые приложение в глаза не видели.
В коде нашли и скрытый трекер установленных на смартфон программ: функция пока не активна, а сами разработчики выводы исследователей не комментируют.
Что это значит
Не стоит вести там рабочую переписку и пересылать документы: приватные чаты не защищены сквозным шифрованием и читаются на сервере.
