แอปเปิลดึง Max แอปแชทแห่งรัฐรัสเซียออกจาก App Store ตัดวงจรดาวน์โหลดใหม่และแจ้งเตือนสำหรับผู้ใช้ 20 ล้านคน

สถาปัตยกรรมของแอปนี้คือสิ่งที่สร้างความตื่นตระหนกให้กับผู้สนับสนุนด้านความเป็นส่วนตัวและนักวิจัยด้านความปลอดภัย ข้อกังวลหลักๆ มีดังนี้:

• ไม่มีการเข้ารหัสแบบ End-to-End: ต่างจาก WhatsApp หรือ Signal, Max ไม่ได้เสนอการเข้ารหัสแบบ end-to-end สำหรับข้อความ นั่นหมายความว่าการสื่อสารทั้งหมดไม่ได้ถูกเข้ารหัสในลักษณะที่มีเพียงผู้ส่งและผู้รับเท่านั้นที่อ่านได้ เนื้อหาข้อมูลสามารถเข้าถึงได้จากฝั่งเซิร์ฟเวอร์ นักสิทธิและผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์เตือนซ้ำแล้วซ้ำเล่าว่าสิ่งนี้ทำให้แอปกลายเป็นเครื่องมือสอดแนมของรัฐที่ทรงพลัง ข้อมูลทุกอย่างที่ส่งผ่านแอปนี้ล้วนอยู่ในมือของทางการรัสเซีย
• จัดเก็บข้อมูลในรัสเซียเท่านั้น: ข้อมูลผู้ใช้ทั้งหมดถูกเก็บบนเซิร์ฟเวอร์ภายในรัสเซียโดยเฉพาะ ซึ่งทำให้มันตกอยู่ภายใต้กฎหมายการสอดแนมภายในประเทศ เช่น ชุดกฎหมาย Yarovaya ที่กำหนดให้ผู้ให้บริการโทรคมนาคมและบริการส่งข้อความต้องส่งมอบเนื้อหา, ข้อมูลเมตา, และความสามารถในการถอดรหัสให้กับหน่วยความมั่นคง
• การเก็บรวบรวมข้อมูลจำนวนมหาศาล: การวิเคราะห์โค้ดอิสระได้บันทึกคุณสมบัติการสอดแนมอย่างกว้างขวางของแอป มีการพบว่ามันเก็บรวบรวมตำแหน่งพิกัด, รายชื่อผู้ติดต่อทั้งหมด, เนื้อหาในคลิปบอร์ด, รายชื่อแอปที่ติดตั้ง, และแบบร่างข้อความ และมันยังสามารถเปิดใช้งานกล้องถ่ายรูปเป็นประจำ ข้อมูลเหล่านี้ถูกส่งไปยังเซิร์ฟเวอร์ในรัสเซีย และมีรายงานว่าระบบเชื่อมต่อกับระบบ SORM (System for Operative Investigative Activities) ซึ่งเป็นระบบที่รัฐใช้ในการดักฟังและสอดแนมของหน่วยงานบังคับใช้กฎหมาย ผู้เชี่ยวชาญด้านไอทีคนหนึ่งกล่าวว่าแอปนี้คือ "สายลับโดยแท้จริง สายลับประจำตัวที่บอกได้ว่าคุณเคยไปที่ไหนมาแล้ว"
• การลงทะเบียนที่จำกัด: การเข้าถึงแอปถูกควบคุมตั้งแต่เริ่มต้น การสมัครใช้งานต้องใช้หมายเลขโทรศัพท์ของรัสเซียหรือเบลารุส ซึ่งเชื่อมโยงกับบัตรประจำตัวประชาชนที่ออกโดยรัฐ ทำให้ไม่มีความเป็นไปได้ในการไม่ระบุตัวตน

ป้าย 'สปายแวร์' กับการกลับลำอย่างรวดเร็ว

ข้อกังวลด้านความปลอดภัยได้ยกระดับขึ้นสู่การเป็นที่ประจักษ์แก่สาธารณะในอีกระดับเมื่อวันที่ 30 เมษายน 2026 เมื่อ Cloudflare Radar ซึ่งเป็นระบบจัดหมวดหมู่โดเมน ระบุว่าโดเมนของ Max (max.ru และ web.max.ru) มีป้าย "สปายแวร์" (spyware) การจัดประเภทนี้ทำให้เบราว์เซอร์และไฟร์วอลล์ขององค์กรที่ใช้ระบบกรองของ Cloudflare แสดงสถานะว่าไซต์ดังกล่าวไม่ปลอดภัย ในฐานะโดเมนที่มีส่วนร่วมในการเก็บรวบรวมข้อมูลที่ซ่อนอยู่และติดตามผู้ใช้

ผู้พัฒนา Max โต้กลับทันที โดยระบุว่าป้ายดังกล่าวเกิดจาก "การตีความส่วนหัวของคำขอไปยังบริการวิเคราะห์เว็บทั่วไปอย่างไม่ถูกต้อง" ไม่ใช่การวิเคราะห์โค้ดของแอป หนึ่งวันต่อมาในวันที่ 1 พฤษภาคม Cloudflare ได้ลบป้ายสปายแวร์ออก และจัดประเภททรัพยากรนั้นใหม่ว่าเป็นเพียงโปรแกรมส่งข้อความธรรมดา อย่างไรก็ตาม มีความสับสนเกิดขึ้นเมื่อรายงานหนึ่งระบุว่าคำเตือน "มัลแวร์" (malicious) ยังคงปรากฏอยู่ในรายงานผลการสแกนในอดีต แต่ไม่ใช่สถานะที่ใช้งานอยู่ และอีกแหล่งข่าวในภายหลังอ้างว่าการจัดประเภทสปายแวร์ได้ถูกนำกลับมาติดอีกครั้ง เหตุการณ์ทั้งหมดนี้ ตอกย้ำชื่อเสียงของแอปในฐานะความเสี่ยงด้านความปลอดภัยในสายตาของผู้ใช้และองค์กรต่างๆ

คำสั่งของมอสโกและการบีบเค้นคู่แข่งที่เข้ารหัส

การถอด Max ของแอปเปิลไม่ได้เกิดขึ้นในสุญญากาศ นี่คือความเคลื่อนไหวล่าสุดของการต่อสู้ที่มีเดิมพันสูงบนโครงสร้างพื้นฐานการสื่อสารภายในรัสเซีย ตั้งแต่วันที่ 1 กันยายน 2025 กฎหมายของรัสเซียมีผลบังคับใช้ โดยกำหนดให้ต้องติดตั้ง Max ไว้ล่วงหน้าในสมาร์ทโฟนและแท็บเล็ตใหม่ทั้งหมดที่วางขายในประเทศ คำสั่งนี้บังคับให้แอปนี้ไปอยู่ในอุปกรณ์ใหม่ของพลเมืองทุกคน

ในขณะเดียวกัน Roskomnadzor หน่วยงานกำกับดูแลด้านการสื่อสารของรัสเซีย ก็ได้ดำเนินการจำกัดความเร็วและปิดกั้นแพลตฟอร์มส่งข้อความต่างชาติที่เข้ารหัสซึ่งชาวรัสเซียใช้มานานหลายปีอย่างเป็นระบบ ข้อจำกัดของ WhatsApp และ Telegram บานปลายจนกระทั่ง WhatsApp ถูกปิดกั้นอย่างสมบูรณ์ในรัสเซียเมื่อต้นปี 2026 ซึ่งถูกตีความอย่างกว้างขวางว่าเป็นกลยุทธ์ที่จะผลักดันฐานผู้ใช้ทั้งหมดไปยังทางเลือกของรัฐที่ไม่มีการเข้ารหัส ในช่วงเวลาที่ Max ถูกถอดออกจาก App Store มันเป็นแอปที่มียอดดาวน์โหลดสูงสุดเป็นอันดับเก้าในรัสเซีย ส่วนอีกเก้าอันดับในสิบอันดับแรกเป็นบริการ VPN ซึ่งเป็นเครื่องมือที่ชาวรัสเซียใช้เพื่อหลีกเลี่ยงการเซ็นเซอร์ของรัฐ

เป้าหมายของมอสโกนั้นชัดเจน: สร้างระบบนิเวศการสื่อสารที่ควบคุมได้อย่างสมบูรณ์ ดังที่บทวิเคราะห์หนึ่งกล่าวไว้ แผนคือการแทนที่โปรแกรมส่งข้อความที่เข้ารหัสแบบ end-to-end ระดับโลก ด้วยระบบนิเวศภายในประเทศที่ทางการสามารถตรวจสอบได้อย่างเต็มที่ โดยมีซูเปอร์แอป Max และสถาปัตยกรรมของอินเทอร์เน็ตอธิปไตยเป็นศูนย์กลาง

การปิดตายอย่างเงียบๆ ที่ส่งสารชัดเจน

แอปเปิลไม่ได้แสดงความคิดเห็นว่าทำไมถึงลบแอปนี้ออกไป บริษัทอาจได้รับแรงจูงใจจากการละเมิดนโยบายความเป็นส่วนตัวและความปลอดภัย, น้ำหนักของหลักฐานจากการวิเคราะห์โค้ดอิสระ, การถูกระบุเป็นสปายแวร์ต่อสาธารณะโดย Cloudflare, หรือทั้งหมดรวมกัน สิ่งที่ชัดเจนคือการถอดแอปนี้มีผลกระทบเชิงปฏิบัติทันที: มันหยุดการยอมรับผู้ใช้ iPhone ใหม่ต่อ Max ภายในรัสเซีย และทำให้ฟีเจอร์หลักใช้การไม่ได้สำหรับฐานผู้ใช้เดิมจำนวนมหาศาล

การปิดตายครั้งนี้เป็นการกระทำเดียวที่ตัดผ่านเสียงรบกวนทั้งหมด ผู้เฝ้าประตูแพลตฟอร์มโลกรายหนึ่งปฏิเสธที่จะโฮสต์สิ่งที่นักวิจารณ์อธิบายว่าเป็นระบบสอดแนมที่รัฐให้การสนับสนุน แม้จะเผชิญหน้ากับคำสั่งอันเด็ดเดี่ยวจากเครมลินก็ตาม