МАХ взломан — 15,4 млн пользователей слиты, включая пароли и токены

В сеть утек огромный массив данных государственного мессенджера МАХ — 15,4 миллиона пользователей. В слитой базе находятся ФИО, никнеймы, номера телефонов, сессионные токены, пароли в открытом виде, метаданные и даже исходный код бэкенда, включая модуль шифрования. Общий объём утечки — около 142 ГБ. По предварительной информации, вход нашли через критическую RCE-уязвимость в обработке медиафайлов, которая не была исправлена ещё с бета-версии 2025 года.

В качестве доказательства хакер показал запись из базы, связанную с одним из депутатов Госдумы — данные реальные и свежие. Это подтверждает масштаб утечки. Пароли и токены позволяют войти в аккаунты без дополнительных проверок, а исходники дают возможность найти новые дыры. Многие пользователи уже получили фишинговые сообщения с просьбой «подтвердить аккаунт» или «сменить пароль срочно» — это классика после таких сливов.

Официального заявления от разработчиков МАХ (VK) или Минцифры пока нет. Но в Telegram-каналах и даркнете дамп активно распространяется. Если у вас есть аккаунт в МАХ — срочно смените пароль, включите двухфакторку (если доступна) и проверьте активные сессии. Это одна из самых крупных утечек госсервиса в России за последние годы.