Max Messenger: Uma falsa violação de dados com consequências reais?

Explorando as consequências no mundo real de uma violação de segurança fabricada

Principais conclusões

• A violação do Max Messenger foi inicialmente reportada como um grande ciberataque, mas o hacker mais tarde retirou a alegação, ilustrando as consequências reais de ataques falsos.
• Max Messenger, desenvolvido pela VK para o mercado russo, pretende substituir aplicações de mensagens populares como o WhatsApp e o Telegram, que estão a ser bloqueadas pelo governo.
• A transição para aplicações de mensagens apoiadas pelo estado levanta questões de privacidade, uma vez que os dados pessoais podem ser partilhados com o governo russo e expõe os utilizadores a potenciais riscos de segurança.
• O incidente destaca como a desinformação e os falsos ciberataques podem minar a confiança e ter consequências significativas, mesmo quando não ocorre nenhuma violação real.

Quando constrói um substituto patrocinado pelo estado para um serviço de mensagens popular, pode estar a colocar as informações dos seus cidadãos em risco. Essa é a lição que os oficiais russos podem estar a tirar da recente violação do Max Messenger — ou, pelo menos, essa é a lição que eles teriam aprendido se o hacker não tivesse retirado a alegação.

O que é o Max Messenger e por que é importante?

Max Messenger (“Max”) é suposto ser uma “aplicação para tudo” produzida internamente por uma empresa de software russa, a VK. O software deve combinar pagamentos, chat de texto e chamadas de voz numa única aplicação, substituindo amplamente a funcionalidade de aplicações concorrentes como o WhatsApp e o Telegram. Estas aplicações estão a ser bloqueadas na Rússia devido a preocupações oficiais sobre o seu potencial para fraude e terrorismo.

Os detratores apontam que a transição dos cidadãos russos de aplicações de propriedade estrangeira para software produzido internamente limita a sua liberdade de escolha. Esta medida também coloca os dados pessoais nas mãos de um regime notoriamente opressivo. Além disso, as aplicações concebidas para serem alvo de espionagem são notoriamente propensas a riscos de segurança.

A desinformação mina uma aplicação intrusiva

Pesquisas independentes sugerem que Max partilha tudo desde listas de contactos até dados de geolocalização com a empresa-mãe VK. Além disso, os termos de serviço da aplicação afirmam claramente que esta informação pode ser partilhada com o governo russo.

No que diz respeito ao governo russo, Max é obrigatório. Desde 1 de setembro de 2025, todos os dispositivos eletrónicos na Rússia devem vir com o Max pré-instalado. Além disso, o governo está a começar a obrigar as agências do setor público de educação, habitação e administração local a utilizar a aplicação.

Em meados de janeiro de 2026, um atacante conhecido como CameliaBtw afirmou ter violado substancialmente o serviço de mensagens russo. Além de mais de 15 milhões de registos completos de utilizadores, o atacante também afirmou ter recuperado hashes de senhas, metadados de comunicação, ativos de infraestrutura e código-fonte.

Esta teria sido uma violação de enormes consequências — se fosse real. Pouco depois de afirmar ter violado a Max, o mesmo utilizador esclareceu que nunca tinha conseguido uma violação em grande escala ou descoberto quaisquer vulnerabilidades críticas.

Ataques cibernéticos falsos podem ser tão prejudiciais quanto os genuínos

Talvez sem surpresa, há um histórico de falsas alegações sobre grandes violações de dados. Por exemplo, um grupo de hackers russo chamado Mogilevich afirmou em 2024 ter penetrado em servidores pertencentes à Epic Games, exfiltrando 200 GB de dados. Os atacantes rapidamente voltaram atrás e admitiram que a sua violação era um estratagema destinado a aumentar o seu perfil, mas o dano já estava feito. Muitos utilizadores acreditaram na alegação dos atacantes à primeira vista e ou não perceberam ou ignoraram a retratação deles, causando danos reputacionais significativos ao seu alvo pretendido.

Da mesma forma, em 2024, o gigante do aluguer de automóveis EuroCar relatou que relatos convincentes de uma violação generalizada de dados foram provavelmente gerados pelo ChatGPT. No entanto, a afirmação dos atacantes convenceu muitos clientes, pois eles até se deram ao trabalho de criar registos e endereços de e-mail falsos. Mesmo que não ocorra uma violação de dados, os atacantes ainda podem beneficiar ao criar alegações falsas de uma violação de dados às custas de outra pessoa.

Alegações falsas de hacking podem afetar a adoção do Max Messenger

Tal como está, os utilizadores de internet russos já desconfiam um pouco do Max. A aplicação é amplamente percebida como defeituosa e insegura, com mais utilidade como ferramenta de repressão estatal do que como uma verdadeira “super-aplicação”. Até o Serviço Federal de Segurança da Rússia (FSB) inicialmente bloqueou a integração do Max com outros serviços governamentais, citando a necessidade de uma encriptação mais robusta.

E embora o governo esteja a pressionar intensamente os cidadãos russos a adotarem a aplicação Max, há uma diferença entre ter a aplicação Max no seu dispositivo e usá-la todos os dias. Eis uma possível falha de qualquer aplicação governamental obrigatória: Os cidadãos instalam a aplicação como demonstração de conformidade, mas continuam a usar outras aplicações que são mais convenientes e menos intrusivas.

Enquanto isso, há muitos intervenientes que estariam muito interessados em ver este fracasso acontecer. Os proprietários do Telegram e do WhatsApp, por exemplo — além da NATO e do governo ucraniano — ficariam todos felizes em ver o experimento Max falhar.

Podemos afirmar definitivamente que a desinformação espalhada por CameliaBtw foi uma tentativa deliberada de uma parte interessada para impedir a adoção do Max na Rússia? Absolutamente não. Podemos dizer que os cidadãos russos já estão céticos em relação ao Max e que estão preparados para acreditar em qualquer rumor prejudicial sobre a sua segurança, independentemente da sua veracidade? Absolutamente sim.

Por último, ficaremos surpreendidos se houver mais alegações de violação de dados sobre o Max Messenger no futuro, verdadeiras ou não?

A sua aplicação é vulnerável a desinformação sobre segurança da informação?

Se está a ler isto, provavelmente não está a desenvolver uma super aplicação intrusiva em nome de um governo repressivo (esperamos). Mas também pode estar a perguntar-se: "Se um atacante afirmar falsamente ter violado os meus sistemas críticos, como posso evitar que esta falsidade prejudique a minha reputação e o meu negócio?"

Aqui estão três sugestões:

1. Certifique-se de que já tem uma boa reputação
   Se ainda não foi comprometido, tente reforçar a sua segurança de forma a ser um alvo difícil para atacantes. Ter experienciado uma violação de dados no passado significa que os consumidores não terão dificuldade em acreditar em falsas alegações no futuro.
2. Se tiver uma violação de dados, seja transparente
   Certifique-se de que os seus protocolos de resposta a violações de dados estão bem afinados. Se tiver uma violação de dados, isso significa que pode responder rápida e transparentemente, preservando a confiança dos clientes. Mesmo que alguém espalhe um boato mais tarde, os clientes estarão mais abertos à sua refutação.
3. Invista em forense digital
   Se alguém afirmar falsamente que você foi comprometido, você quer ser capaz de responder com um rápido e decisivo "não". Muitos atacantes conseguem escapar tão limpos que o anúncio de violação é o primeiro indicador de comprometimento. Com as ferramentas certas, você poderá ter confiança ao dizer que ninguém nunca violou seus dados mais críticos.

Se tiver alguma dúvida ou preocupação sobre como proteger a sua organização contra ameaças de segurança de informação ou desinformação, não hesite em contactar os especialistas da Barracuda. Com a plataforma de cibersegurança da Barracuda, potenciada por IA e soluções que são fáceis de comprar, implementar e utilizar, a Barracuda pode proteger os seus dados de uma variedade de ameaças complexas e ajudá-lo a antecipar-se à desinformação. Agende uma demonstração e descubra como a Barracuda pode ajudá-lo a fortalecer a sua postura de segurança e a manter-se à frente das ciberameaças em evolução.