Rusko šmíruje, jak může. Desítky milionů lidí nutí používat aplikaci Max, která tajně pořizuje snímky obrazovky a sleduje platby

Přes 55 milionů registrací, povinná předinstalace na nových telefonech a forenzně prokázaná schopnost tajně snímat obsah obrazovky. To je MAX.

Zdroj fotografie: sovraskin / Creative Commons / CC BY-SA

V březnu 2025 spustila ruská technologická skupina VK aplikaci MAX. Na první pohled jde o messenger pro zprávy a hovory, ve skutečnosti se však postupně rozvíjí v takzvanou superaplikaci, která propojuje komunikaci, platby, miniaplikace, školní platformu Sferum a přístup k některým státním digitálním službám. Do poloviny listopadu 2025 podle zveřejněných údajů získala přes 55 milionů registrací a denně ji používalo 22,1 milionu lidí.

Za rychlým rozšířením ale nestojí jen zájem uživatelů. Od 1. září 2025 má být MAX povinně předinstalován na nových smartphonech a tabletech prodávaných v Rusku. Výzkumníci z University of Michigan v září 2026 publikovali studii, podle níž technická architektura aplikace umožňuje hostitelskému prostředí pořizovat snímky obrazovky miniaplikací, přistupovat k jejich úložišti, sledovat síťovou komunikaci a získávat přístup k citlivým údajům, a to bez viditelného upozornění uživatele. Při platbách se navíc platebnímu systému VK předávají telefonní čísla odesílatele i příjemce a hostitelská aplikace může získávat informace o transakcích prováděných uvnitř miniaplikací. Pro miliony Rusů se tak MAX stává součástí každodenního života, ze které může být stále obtížnější se vyvázat.

Jak přesně funguje tajné snímání obrazovky

Tým vedený Royou Ensafi z University of Michigan se nespoléhal pouze na teoretické úvahy. Výzkumníci analyzovali aplikaci MAX na Androidu pomocí nástroje Frida, přesměrovali síťový provoz přes kontrolovaný bod a rozebírali interní zprávy RPC. Následně otestovali dva způsoby, kterými může hostitelská aplikace MAX získat snímek obsahu zobrazeného uvnitř miniaplikace.

Spolehlivější výsledky přineslo rozhraní Android PixelCopy API. V testech poskytlo použitelný obraz miniaplikace ve 31 z 35 pokusů, tedy v 88,5 % případů. Podle studie k tomu nebylo zapotřebí zvláštní systémové oprávnění ani upozornění uživatele. Ten tak nemusí poznat, že byl obsah obrazovky zachycen.

Je však důležité rozlišovat mezi technickou možností a jejím skutečným využíváním. Studie prokázala, že aplikace takové operace dokáže provádět, nikoli že automaticky a plošně pořizuje snímky obrazovky všech uživatelů při běžném provozu. Nezávislá organizace RKS Global při 48hodinovém sledování aplikace v září 2025 nezaznamenala neoprávněný přístup ke kameře, mikrofonu, poloze ani kontaktům. Zároveň ale upozornila, že aplikace má technické předpoklady pro selektivní sběr a přenos dat.

Podle pozdějšího výzkumu InterSecLab a RKS z roku 2026 lze navíc dohledové a cenzurní funkce údajně aktivovat pro konkrétní účty. Taková možnost by znamenala, že aplikace nemusí vykazovat stejné chování u všech uživatelů. Samotná existence této technické možnosti však ještě nedokazuje, jak často nebo v jakém rozsahu ji provozovatel skutečně využívá.

Stát, který vám messenger nainstaluje sám

Rychlé rozšíření MAX nelze vysvětlit pouze marketingem. Významnou roli hrají také státní opatření, která podporují jeho instalaci a používání.

• 1. září 2025 – MAX se stává povinně předinstalovanou aplikací na nových zařízeních prodávaných v Rusku. Prodejci musí dodržovat příslušná pravidla, jinak jim mohou hrozit sankce.
• Podzim 2025 – školní platforma Sferum se integruje do MAX. VK v říjnu 2025 uvádí, že systém využívá přes 10 milionů pedagogů, žáků a rodičů a že byl zaveden ve všech ruských regionech. Na vysokých školách si vlastní chaty v MAX zřídilo 447 univerzit a jejich poboček.
• 15. května 2026 – podle uvedených informací vstupuje v platnost vládní rozhodnutí, které školám ukládá používat MAX při distanční výuce na základních a středních školách.

Ruské ministerstvo digitálního rozvoje v srpnu 2025 tvrdilo, že používání MAX je „zcela dobrovolné“. Současně ale připustilo, že školy a zaměstnavatelé mohou jeho používání upravit ve svých interních pravidlech nebo pracovních podmínkách. Podle téhož výkladu mají školy rodičům, kteří odmítnou elektronickou komunikaci, nabídnout také papírové záznamy, například v podobě třídního žurnálu a žákovského deníku.

Formálně tedy může jít o dobrovolnou službu. Pokud se ale aplikace stane běžným prostředkem komunikace se školou, zaměstnavatelem nebo státními institucemi, může být její odmítnutí v praxi podstatně obtížnější.

Superaplikace jako past na každodennost

MAX není jen chatovací aplikace s několika funkcemi navíc. Jeho uživatelská smlouva popisuje platformu, která se propojuje se státními informačními systémy a digitálními službami. Platební operace zajišťuje společnost označovaná jako „VK Platěžnyje rešenija“ a při transakcích se předávají telefonní čísla odesílatele i příjemce. VK při spuštění integrovala platební funkce pro klienty bank Alfa-Bank a VTB a avizovala další rozvoj obchodních a platebních služeb.

Výzkumníci z University of Michigan zjistili, že hostitelská aplikace MAX může mít přístup k informacím o síťové komunikaci uvnitř miniaplikací, včetně navštěvovaných adres URL, požadavků na zdroje a uložených autentizačních tokenů. Nejde tedy nutně o chybu, při níž data omylem uniknou ven, ale o důsledek způsobu, jakým je platforma navržena.

MAX totiž zprostředkovává komunikaci mezi uživatelem a službami, které spouští uvnitř aplikace. Čím více služeb se do něj přesune, tím větší množství potenciálně citlivých informací může procházet prostředím, nad nímž má kontrolu provozovatel platformy. Rozhodující proto není jen to, jaké funkce aplikace nabízí, ale také jaká data může shromažďovat, jak s nimi nakládá a kdo k nim může získat přístup.

Právě v tom spočívá jeden z hlavních rozdílů oproti běžným messengerům a zároveň důvod, proč bývá MAX srovnáván s čínským WeChatem. Obě aplikace propojují zprávy, platby a další služby do jednoho prostředí. V případě MAX však jeho rozšíření výrazně podporují státní opatření, včetně povinné předinstalace a zapojení do školní komunikace. Zatímco WeChat se rozvíjel postupně, MAX získal podle zveřejněných údajů 55 milionů registrací během několika měsíců, a to v prostředí, kde jeho zavádění usnadňovala legislativa.

Co říká Evropa a co z toho plyne

Rada EU v červenci 2026 zařadila VK a její dceřinou společnost Communication Platform LLC na sankční seznam kvůli jejich údajnému zapojení do zneužívajícího dohledu. V tiskové zprávě popsala MAX jako aplikaci vyvíjenou a spravovanou pod dohledem ruské Federální bezpečnostní služby (FSB) a uvedla, že byla využívána v souvislosti s represivními opatřeními vůči uživatelům.

Pro lidi mimo Rusko, včetně Čechů, kteří prostřednictvím MAX komunikují s ruskými kontakty, studenty nebo institucemi, z toho plyne především potřeba obezřetnosti. S citlivými informacemi sdílenými prostřednictvím této platformy je rozumné zacházet tak, jako by k nim za určitých okolností mohl získat přístup i provozovatel aplikace. To neznamená, že každá zpráva nebo každá transakce je automaticky sledována, ale že technická architektura může takový přístup umožňovat.

Výzkumníci z University of Michigan zároveň upozorňují, že problém se netýká výhradně MAX. Souvisí s obecnějším principem superaplikací, v nichž hostitelská aplikace zprostředkovává činnost dalších služeb a může tak získat rozsáhlý přehled o tom, co se v nich odehrává. V ruském případě se tyto technické možnosti kombinují s rozsáhlou rolí státu při zavádění a používání platformy.

Z běžného messengeru se tak v Rusku stává vstupní brána ke školní komunikaci, pracovním záležitostem, platbám a státním službám. Čím více oblastí každodenního života je na MAX navázáno, tím vyšší mohou být praktické náklady na jeho odmítnutí. Právě tato závislost může představovat závažnější problém než kterákoli jednotlivá sledovací funkce: aplikace totiž nemusí být jen nástrojem, který si člověk dobrovolně zvolí, ale postupně také prostředím, bez něhož se v běžném životě jen obtížně obejde.