Взлом отменяется. Хакер, обещавший уничтожить мессенджер MAX, признался в обмане

Пользователь хакерского форума DarkForums под ником CamelliaBtw, который накануне заявил о масштабном взломе российского мессенджера MAX, опубликовал опровержение собственных слов.

«Хочу уточнить, что мой предыдущий пост о базе данных был неверным — такой базы данных не существует. Наше дальнейшее расследование других потенциальных критических уязвимостей не дало результатов. Крупномасштабного взлома не было», — написал он, добавив, что продолжает с уважением и интересом следить за развитием мессенджера.

В обновлении к посту хакер признался, что был удивлён бурной реакцией в Telegram-каналах, и отметил, что часть про RCE «должна была сразу же выдать подделку».

В пресс-службе MAX назвали информацию о взломе недостоверной. «Информация из анонимного источника — очередной фейк», — сообщили ТАСС в компании. Там уточнили, что специалисты центра безопасности мессенджера провели проверку и подчеркнули, что платформа не использует зарубежные сервисы хранения данных, включая Amazon, — все данные хранятся исключительно на российских серверах. Кроме того, MAX не применяет метод хэширования паролей Bcrypt, упомянутый хакерами, а анализ логов не выявил подозрительной активности. Обращений в программу Bug Bounty по данному вопросу также не поступало.

В пресс-службе отдельно отметили, что опубликованные хакерами данные не имеют отношения к мессенджеру. «MAX не хранит данные в указанном формате, в мессенджере нет информации о локации, дате рождения, почте пользователя, ИНН, СНИЛС и так далее. Также в MAX нет username и «уровней аккаунта», поскольку мессенджер не маркирует пользователей по уровням», — пояснили в компании, заверив, что данные пользователей надёжно защищены.

14 января в Telegram-каналах начала распространяться информация о якобы полном взломе MAX. Анонимные хакеры утверждали, что похитили данные 15,4 миллиона аккаунтов, включая полные ФИО, имена пользователей и подтверждённые номера телефонов, а также смогли обойти шифрование. В качестве доказательства они опубликовали JSON-файл с данными, якобы принадлежащими депутату Госдумы Николаю Брыкину. Файл содержал персональную информацию, включая ИНН, СНИЛС, адрес регистрации, данные паспорта, а также метаданные об устройстве и активности в мессенджере — папки «Госдума VIII» и «Комитет по безопасности», членство в группах вроде «GOV-DUMA-MAIN» и «SECURITY-COMMITTEE-2026». Хакеры потребовали выкуп, угрожая в противном случае начать публикацию данных пользователей через 24 часа.