Кратко о выводах исследования
Авторы исследования пришли к выводу, что магазин приложений может незаметно устанавливать мессенджер и собирать широкий набор данных о владельце устройства без явных уведомлений.
Тихая установка
По оценке исследователя, магазин способен инициировать «тихую» установку приложений: пользователь не видит запросов и уведомлений о добавлении нового ПО.
Определение местоположения
Магазин регулярно фиксирует геопозицию: помимо спутниковых данных, он использует информацию от сотовых вышек, данные сети и MAC‑адрес роутера. По мнению автора, такой набор данных позволяет достаточно точно определять местоположение даже при выключенном GPS.
Слежение за приложениями и активностью
Исследование указывает, что на сервер отправляется «полный слепок» устройства: какие VPN и банковские приложения установлены, какие защищённые мессенджеры или сторонние магазины используются. Этот список привязывается к аппаратному идентификатору и включает данные о частоте и длительности запуска приложений.
Наглое, ничем не оправданное слежение за активностью пользователя.
Доступ к галерее
Встроенный антивирусный SDK внутри магазина регулярно мониторит папки с фотографиями (DCIM и Pictures). По мнению исследователя, это похоже на применение готового решения без адаптации под мобильную платформу, что привело к нарушению практик проектирования безопасного ПО.
Можно ли убрать цифровой отпечаток?
Если выводы верны, отправленный «слепок» устройства уже привязан к аппаратному ID и не удаляется со стороны сервера, поэтому полностью устранить следы сбора данных не получится.
Как временно отключить магазин на Android
В исследовании рекомендовано подключить Android‑телефон по USB в режиме отладки и выполнить команды Android Debug Bridge в терминале:adb devicesadb shell pm disable‑user --user 0 ru.vk.store
После этого режим отладки следует отключить.
На iPhone упомянутый магазин отсутствует, но другие приложения всё ещё могут представлять угрозу, требующую отдельного анализа.
Контекст
С апреля 2024 года магазин должен предустанавливаться на продаваемые в РФ телефоны. Ранее правительством также было введено требование по предустановке указанного мессенджера.
