Нейросеть Яндекса, встроенная в проект Мах, оценила госмессенджер как потенциально шпионское приложение и рекомендовала воздержаться от установки на основной телефон. По данным исследователей, у мессенджера отсутствует сквозное шифрование, а данные пользователей могут направляться на внешние серверы, включая государственные органы; в перечне метаданных — IP‑адреса, время активности, контакты, тип устройства и браузера, данные провайдера и другие сведения.
Кроме того, нейросеть сообщила об обнаружении принудительного обновления вне магазинов приложений, а также системы анализа голосовых вызовов и уязвимости, позволяющей третьим лицам редактировать переписку на устройстве. Несмотря на опровержения со стороны разработчиков, такие находки вызывают вопросы к прозрачности системы; для Мах нейросеть рекомендовала воспользоваться для мессенджера отдельным телефоном — «максофоном».
Если госмессенджер всё же устанавливают на основной телефон, нейросеть советует использовать браузерную версию или запускать приложение в изолированной среде, а также запретить постоянный доступ к геолокации, контактам, микрофону и камере. В качестве альтернатив лучше выбрать мессенджеры со сквозным шифрованием — Signal, WhatsApp или Telegram.
В июне 2025 года президент подписал закон о создании суверенного мессенджера. Впоследствии власти заблокировали Telegram и WhatsApp и стали продвигать Мах. Мессенджер включили в школьные, студенческие и домашние чаты, переписки чиновников и сотрудников госкомпаний, а также интегрировали с сервисом Госуслуги.
Эксперты неоднократно называли Мах шпионской программой. Руководитель Обществза защиты интернета отмечал, что в политике конфиденциальности прямо указана передача данных по запросам к ФСБ, МВД, ФНС и Банку России. Исследователи, изучив APK‑файл, установили, что приложение отслеживает процессы на устройстве, собирает геолокацию, полный список установленных программ и может записывать звук, видео и вводимый текст. Также сообщается, что мессенджер может определить реальный IP‑адрес при включённом VPN и использует встроенный идентификатор устройства, который невозможно сбросить даже после удаления приложения.
