Mentre fino al 20 settembre milioni di russi sono chiamati alle urne per eleggere la nuova Duma, il Cremlino ha già portato un altro pezzo della vita dei cittadini dentro un sistema sotto il suo controllo: lo smartphone. Da mesi Mosca spinge infatti Max, la super-app russa destinata a sostituire Telegram e WhatsApp, fino a renderla di fatto indispensabile per una parte crescente della popolazione. E ora il Guardian rivela quanto possa essere potente l’arma digitale costruita attorno a quell’applicazione: Max può catturare schermate senza che l’utente lo sappia, leggere e modificare i dati delle mini-app ospitate al suo interno, intercettarne il traffico, iniettare codice e persino arrivare a impersonare l’utente.
La coincidenza con il voto è soltanto temporale, e non ci sono prove che Max sia stato utilizzato per controllare o manipolare le elezioni. Ma il quadro che emerge è quello di un Paese nel quale il governo sta progressivamente spingendo milioni di persone verso un’infrastruttura digitale controllata da società strettamente legate allo Stato. E il Guardian spiega per la prima volta che cosa quella infrastruttura può potenzialmente vedere e fare.
Russi al voto per la Duma
Le urne russe si sono aperte il 18 settembre e resteranno aperte per tre giorni, fino a domenica 20 settembre. Si eleggono i 450 deputati della Duma di Stato, nella prima elezione parlamentare nazionale dall’inizio dell’invasione dell’Ucraina nel febbraio 2022. Vladimir Putin ha presentato il voto come una prova del sostegno popolare alla guerra e come una dimostrazione di unità nazionale.
La storia di Max è legata a questo scenario. Perché mentre i cittadini vengono chiamati a esprimere il proprio voto, il governo russo ha costruito negli ultimi mesi un sistema nel quale una singola applicazione può diventare il punto di accesso a una parte enorme della loro vita digitale.
Max, la super-app che Mosca ha spinto fino a renderla inevitabile
Max è un prodotto di VKontakte, società profondamente intrecciata con lo Stato russo. L’app non è soltanto un servizio di messaggistica: funziona come una sorta di contenitore nel quale sono ospitate numerose mini-app, comprese applicazioni bancarie e servizi governativi. È il modello della “super-app” già sperimentato in Cina con WeChat.
Il problema, secondo i ricercatori, è proprio questa architettura. Max non si limita a mettere in comunicazione l’utente con una singola applicazione: diventa l’intermediario che controlla l’ambiente nel quale funzionano tutte le mini-app.
E in Russia l’adozione non è stata lasciata soltanto alle scelte individuali. Il Guardian ha raccolto testimonianze di insegnanti, dipendenti pubblici e studenti sottoposti a pressioni per passare a Max. In alcune università, per esempio, agli studenti è stato chiesto di utilizzare un QR code generato attraverso l’app per accedere agli edifici o ai dormitori. In una scuola di Mosca, gli insegnanti sarebbero stati informati che comunicazioni con i genitori, compiti e altre attività sarebbero passati da Max.
Nel frattempo Telegram e WhatsApp sono stati sottoposti a restrizioni in Russia, contribuendo a rendere le alternative sempre più difficili da utilizzare. Max è così diventata quest’estate l’applicazione di messaggistica più utilizzata nel Paese.
Cosa può fare Max
Un gruppo di ricercatori dell’Università del Michigan, dell’Università di Calgary, della Georgia Tech e dell’Indian Institute of Technology di Delhi ha analizzato la versione russa di Max e ha documentato una serie di capacità che, secondo gli autori, derivano direttamente dall’architettura della super-app.
La prima è forse la più inquietante: Max può catturare schermate delle mini-app senza che l’utente ne sia informato. Ma non è tutto. L’app può accedere ai dati conservati localmente dalle mini-app, può leggerli e modificarli. Può inoltre iniettare codice JavaScript all’interno delle applicazioni che ospita, intervenire sul loro traffico di rete e controllare il contesto di autenticazione. Quest’ultima capacità può consentire, secondo i ricercatori, di impersonare silenziosamente l’utente nei servizi collegati. Lo studio ha esaminato 90 mini-app.
Che cosa significa tutto ciò? Semplice: se dentro Max ci sono messaggi, pagamenti, servizi bancari o applicazioni pubbliche, il contenitore che li ospita dispone tecnicamente di un livello di accesso enorme a ciò che accade al suo interno.
Perché Max è legata alla strategia russa
Roya Ensafi, docente di informatica all’Università del Michigan e membro del gruppo di ricerca, ha definito Max una sorta di “backdoor” dell’intero ecosistema delle mini-app. Secondo Ensafi, si tratta di un modello che potrebbe essere replicato da altri governi autoritari.
Se, infatti, una popolazione viene progressivamente spinta a utilizzare la stessa piattaforma per comunicare, accedere ai servizi pubblici, effettuare pagamenti e utilizzare altre applicazioni, il limite tra app di messaggistica e infrastruttura digitale della vita quotidiana diventa sempre più sottile.
E se in Russia non ci sono prove certe che il governo russo stia già utilizzando sistematicamente queste funzioni per sorvegliare ogni utente, l’analisi su Max desta comunque non pochi dubbi. Non siamo più soltanto davanti al sospetto che un’applicazione legata allo Stato russo possa essere invasiva. I ricercatori hanno individuato e testato concretamente le capacità che rendono possibile quella sorveglianza.
Così, mentre la Russia va alle urne, Max continua a occupare spazio nella vita quotidiana di milioni di cittadini. Il voto dura tre giorni. La nuova infrastruttura digitale, invece, è destinata a restare.