Як протистояти стеженню в російському месенджері Max і забороні VPN на окупованих територіях

З 1 вересня Росія посилила контроль за інтернет-простором на своїй території та на тимчасово окупованих територіях України. Серед заходів — штрафи за доступ до «екстремістських» матеріалів через VPN. Також російський уряд ухвалив рішення зробити державний месенджер Max і магазин застосунків RuStore обов’язковими для попереднього встановлення на всі мобільні телефони та планшети, куплені в країні з 1 вересня 2025 року.

Паралельно з цим Росія почала частково обмежувати дзвінки в телеграмі й вотсапі, звинувативши ці іноземні платформи у відмові надавати правоохоронцям інформацію у справах про шахрайство та тероризм. Натомість держава спонукає добровільно встановлювати свій застосунок, який є потенційним інструментом контролю за громадянами.

— Олександре, Павле, з 1 вересня в Росії почали діятинові заборони, зокрема на використання VPN. Зокрема заборонений доступ до «екстремістських» матеріалів через VPN. Як може бути реалізоване відстеження цієї заборони на наших окупованих територіях?

Олександр Глущенко: Росія активно крокує досуверенного інтернету. Вони реалізують якраз ту схему, яка дуже схожа на іранську, коли все, що не дозволене — заборонене. Тому вони впроваджують обмеження, щоб користувачі не мали доступу до вільних новин. Це робиться і шляхом заборони VPN, і з допомогою уповільнення роботи ютубу, блокування передачі даних через вотсап і телеграм на базі протоколів STUN, коли повідомлення ще проходять, а аудіо та відео — вже ні. Відстежити наявність VPN спецслужби можуть завдяки обладнанню ТСПУ/СОРМ, яке встановлене на майданчиках операторів зв’язку, через яке проходить весь трафік інтернет-провайдерів. Сам провайдер ці коробки ніяк не контролює і не має до них доступу, доступ мають лише ФСБ та Роскомнадзор.

Олександр Глущенко

— Якщо користувач застосовує VPN на своєму телефоні або має кілька VPN, спецслужби можуть відстежити, на які сайти заходить людина?

Олександр Глущенко: Ні, куди він ходить через VPN, вони відстежити не можуть. Це ніби труба в трубі. Роскомнадзор фіксує підключення до сервера, фіксує протоколи передачі даних, але не бачить маршрутизацію всередині сесій. Повірте, щоб бути винним у Росії — достатньо під час інтернет-підключення мати активність через VPN.

Павло Бєлоусов, експерт із цифрової безпеки в Nadiyno.org:

— Важливо розуміти, що є два типи VPN у Росії. Деякі з них не заборонені. Для того, щоб VPN, у розумінні росіян, працював легально, він має блокувати сайти, які вони забороняють. Наприклад, є деякі «дозволені» VPN, але вони не відкриють «екстремістські» сайти, які блокують у Росії, а в усьому іншому працюватиме як звичайний VPN. Спецслужби зафіксують спробу зайти на такі ресурси. Це може стати приводом для штрафу.

— Якщо користувач встановлює сервіси VPN, заборонені в Росії, чи є це приводом, щоб до нього прийшли спецслужби? Тобто чи можуть люди на наших окупованих територіях користуватися «нормальними» VPN, які не блокують сайти?

Павло Бєлоусов: Можна обрати складніші підходи. Тому що користувач може встановити VPN, які заборонені за IP-адресами й дозволені у Росії — і користуватиметься то одним, то другим. Для того, щоб зменшити ризики, потрібно використовувати VPN, які маскують свою роботу та використовують більш загальні протоколи, які важко відрізнити від іншого трафіку. Тобто це «прокачані» VPN із можливістю маскування, обфускації трафіку тощо. Але не всі про це знають, і слід звертатися до спеціалістів, які можуть порадити сервіс, який, умовно кажучи, працює сьогодні. Бо ситуація постійно змінюється: нині один сервіс працює, завтра ні, один протокол доступний, інший ні. Тому користувачу, який хоче більше свободи та безпеки, необхідно розібратись у цих нюансах. Бо Роскомнадзор буде ускладнювати можливості доступу до інформації. І простого рішення, на жаль, немає. Маємо визнати, що вони в технологіях теж непогано розбираються.

Олександр Глущенко: Якщо у користувача усе підключене через VPN, то це видно провайдеру. І це патерн, який зафіксують і за яким користувач потрапляє до групи ризику. Тому VPN-сервісів має бути декілька з різними протоколами, щоб мати гарантію підключення, бо Роскомнадзор не сидить на місці й перебуває у постійному пошуку, як заблокувати. Час від часу потрібно відвідувати якісь ресурси напряму або ж у користувача повинні бути пристрої, які ходять напряму в «рунет» без VPN. Це робиться для того, щоб ваш трафік як користувача був міксований і в «логах» відображалися сотні або тисячі серверів, на які ви ходили — й уже серед них десь губилося підключення до одного з VPN-сервісів.

Павло Бєлоусов

Павло Бєлоусов: Прогноз погоди або інші подібні сайти не треба дивитися через VPN. А показати неприховану активність на легальні російські ресурси. Наприклад, є така функція як Split tunneling, яка дозволяє підключатися до певних ресурсів напряму, а інші — пропускати через VPN.

Олександр Глущенко: Ще треба розуміти, що з 1 вересня на всі пристрої, які продають у Росії, повинні бути встановлені месенджер Max і російський магазин застосунків RuStore. І якщо у вас на пристрої були встановлені додатки, які оновлювались автоматично, то в певний час вони можуть почати оновлюватися через RuStore. І користувач навіть не побачить підміну. Месенджер Max — це троянський кінь. Бо жоден інший застосунок не просить стільки доступів і дозволів до пристрою та даних. Він вимагає права суперадміна, доступ до фото, до відео, до оперативної пам’яті, до кеша, до додатків, до камери, до мікрофона. Він хоче моніторити всі процеси, він просить дозвіл самостійно встановлювати й видаляти додатки.

Це додаток, який хоче повністю контролювати ваш телефон, ваш трафік, зливати інформацію про всі додатки, які встановлені на телефоні, мати доступ до ваших додатків, доступ до оперативної пам’яті, щоб отримати за вас смс чи підтвердження, моніторити фото, відео, аудіо. І це велика проблема. Бо якщо хтось перебуває у зоні ризику й у нього має бути цей месенджер, то він має стояти на окремому пристрої, де не буде жодної чутливої інформації. Навіть пропозиції встановити «обрізану» версію від «ентузіастів», які обіцяють, що це просто месенджер і вся активність від держави видалена або обрізана, — я б теж відкидав.

— Він діє як вірус?

Павло Бєлоусов: Так сказати не можна. Бо він не є шкідливим програмним забезпеченням як таким. Месенджер просто має доступ до всієї інформації, яка дозволяє максимально профілювати користувачів. Наприклад, він бачить, що на пристрої є десять VPN або встановлена військова мапа «Кропива». Розуміючи, які додатки є на смартфоні, дуже легко зрозуміти, чим користувач займається. Тому я би радив якомога довше відкладати встановлення цього месенджера.

Не слід вірити в те, що месенджер Max захищений від шахрайства, бо вже є випадки, коли через нього видурювали в людей 400 тисяч рублів. Це просто привід, щоб спонукати до нього підключатися. Росія каже, що цей месенджер працює там, де немає зв’язку. Але це теж неправда. Не слід вестися на це.

Рано чи пізно в Росії змусять усіх на нього перейти — й до цього треба підготуватися. Потрібен окремий телефон, але не зовсім порожній, а з додатками, погодою, іграми, якоюсь активністю. Якщо не буде альтернатив, із нього можна буде отримувати сповіщення про «держпослуги» (довідки абощо). Але не вести через нього приватних листувань і розмов, які характеризують проукраїнську позицію. Паралельно слід використовувати інший телефон із месенджерами (наприклад, вотсап) поки це можливо.

Рано чи пізно у Росії заблокують і ці альтернативи. Тому потрібно заздалегідь домовитися зі своїми близькими, які перебувають на підконтрольній Україні території, що на випадок, якщо повідомлення не приходять три дні, використовувати повідомлення електронною поштою. До блокування поштових протоколів вони дійдуть не так швидко.

Також потрібно встановитибраузер Ceno, завдяки якому незалежні медіа можна читати на окупованих територіях без VPN. В умовах блокування він працюватиме, і там точно будуть інструкції, як обходити обмеження.

— Поки поштові сервіси не заблоковані, наскільки безпечними є листи поштою (наприклад, gmail)? Їхній зміст мають змогу переглядати спецслужби чи ні?

Павло Бєлоусов: Якщо це не російські сервіси, то це доволі безпечний канал. Але не має бути mail.ru, rambler.ru, яндекс.ру тощо. Жодне програмне забезпечення, розроблене росіянами, використовувати не можна. Хай це буде древній Yahoo чи gmail. Вони не викликають якоїсь підозри. За рік, може, вони й до цього дійдуть, але тоді ми придумаємо іншу рекомендацію. А поки пошта — доволі непогана альтернатива для підтримання зв’язку.

Але важливо, щоб цей поштовий запис був захищений не лише паролем, а й двофакторною аутентифікацією. Це якщо «товариш майор» знає ваш пароль «ВКонтакті» — використає його і для входу в пошту.

Олександр Глущенко: Слід використовувати поштові сервіси з шифруванням. Але разом із тим я б, напевне, дуже не рекомендував би використовувати у Росії чи на окупованих територіях Proton Mail із наскрізним шифруванням. Так історично склалося, що якщо у вас Proton Mail, то, скоріше за все, ви щось ховаєте). Хай ліпше щось буде непримітне: Gmail, Hotmail, Yahoo, Outlook.

— Чи безпечний наразі відеозв’язок у Meet чи Zoom?

Павло Бєлоусов: Безпечний. Але слід пам’ятати, що налаштування безпеки мають бути обов’язковими. Наприклад, не можна обмінюватися посиланням у месенджері Max або в інших доступних для спецслужб застосунках. Бо несподівано «товариш майор» приєднається під якимось іменем «Google notes» і буде сидіти й слухати розмову. А користувач сприйме його як додатковий сервіс гуглу. Це та сама історія, що й про дітей, які під час ковіду навчалися в онлайні й за посиланнями приходили інші користувачі та вмикали порно. Посилання мають бути поширені безпечним шляхом, до розмови нікого не додавати, всіх блокувати, а ще краще — встановити пароль до розмови.

Олександр Глущенко: Наразі працюють сервіси Google Meet, ФБ-месенджер. Але теж слід розуміти, що коли ви волієте використовувати голос та відео — краще це робити через VPN. Коли саме Google Meet або Facebook Messenger у Росії будуть уповільнювати — питання часу.

— Чи можна без наслідків видалити зі смартфона месенджер Max? Чи він усе одно впливатиме на пристрій, якщо колись на ньому був?

Олександр Глущенко: Логіка вендора для додатків у заводській прошивці така, що видалити більшість із них не можна. Система вам цього не дасть зробити. І навіть якщо ви це зможете зробити, в наступному оновленні ці додатки знову будуть інстальовані.

Павло Бєлоусов: Теоретично можна його дещо обмежити, але потрібен спеціаліст. За великим рахунком, не має значення, видалити чи обмежити роботу. Мах збирає і передає дані через інтернет. Якщо він збиратиме дані, але не зможе їх передати, то це буде знята загроза. Але це непросте рішення.

Я вже бачив цінники на смартфони, в яких немає Мах або RuStore. Рітейлерів зобов’язали маркувати їх як браковані. Це теж маніпуляція. Тому що це навіть кращий пристрій, бо не містить загроз російських додатків. Але для пересічного громадянина маркування на ціннику «бракований товар» свідчить про те, що купувати його не можна.

— Може, такі смартфони будуть дешевші?

Олександр Глущенко: Буде лише дорожче. Через те, що офіційно вони не зможуть продавати телефони без Мах і RuStore. Наприклад, iPhone забороняє ставити сторонні додатки на ринках, де це не дозволено і немає домовленостей між Apple і регулятором, наприклад.

— То виходить, iPhone — найбільш безпечний телефон у Росії та на наших окупованих територіях?

Олександр Глущенко: Так, протоколи Apple забороняють установлювати альтернативні магазини додатків у телефон із коробки.

Павло Бєлоусов: Але слід зважати на те, що в Європі на iPhone є альтернативні магазини застосунків. Тобто технічно це можливо. Тому, можливо, колись і Apple погодиться на цей RuStore. Слід зважати, що ми говоримо лише про те, що є сьогодні. Завтра все може змінитися.

— Історія з російським месенджером схожа на китайський WeChat. Скажіть, у Китаї на iPhone його можна встановити?

Павло Бєлоусов: Там є набір правил для застосунків. Адаптуватися під заборони виробника можна. Питання в грошах.

Олександр Глущенко: WeChat — це міжнародна версія Weixin. В iPhone немає цих додатків у заводській прошивці, але їх можна поставити як із китайського акаунту для AppStore, так і з міжнародного. Всередині Китаю додаток працює згідно з законами Китаю.

Але між Росією та Китаєм є різниця. В Китаї користувачам нецікавий іноземний інтернет, у них немає доступу без VPN до багатьох міжнародних сервісів. У Китаї створені місцеві альтернативи, які доволі непогано себе почувають із доступом до майже 1 мільярда користувачів.

WeChat/Weixin — це супердодаток, усередині якого користувач отримує доступ до спілкування, платіжної системи, соціальних рейтингів, замовлення продуктів, сервісів таксі, ігор, музики тощо.

Тому в Китаї партія про громадянина знає майже все, якщо не все. А у Росії цей процес тільки на стартовому етапі, де потрібно побороти або заборонити платформи та сервіси, які не контролює ФСБ.

— Як уникнути встановлення Мах? Чи будуть спецслужби відстежувати обов’язковість встановлення месенджера?

Павло Бєлоусов: Люди можуть завжди казати, що мають старий телефон, не вистачає пам’яті, все забито, не вміє, не працює, стара операційна система тощо. Тобто можна буде говорити якісь нісенітниці — й вони не зможуть покарати за невстановлення. Ніхто не робитиме бенчмарк твого телефону, чи він там дійсно підтримує цей месенджер, чи не підтримує. Тобто по суті це спрямовано, скоріше, для добровільного встановлення для тих, які поведуться на те, що це більш зручна річ. Непрямим примусом може бути можливість через Мах отримати довідки чи інші держпослуги.

— Підсумую про Мах. Він збирає інформацію про пристрої, які на смартфоні, геолокацію, додатки. Що він ще може робити, окрім як передавати спецслужбам інформацію?

Павло Бєлоусов: Мах може підмінити повідомлення, перехопити смс. Також вони рекомендували сервісам відправляти код від двофакторної аутентифікації у Мах.

Месенджер Мах можна встановити лише через RuStore?

Павло Бєлоусов: Ні, можна на комп’ютери його встановити.

Олександр Глущенко: RuStore для російських спецслужб потрібен, щоб користувачі встановлювали додатки з потрібним для спецслужб функціоналом і отримали потрібні оновлення. Навіть якщо додаток встановлено з Playmarket, то при наступних оновленнях він може викачатися й оновитися з RuStore, а там уже «товариш майор». І завдання розробникам — максимальна кількість доступних платформ.

— Роскомнагляд обмежував дзвінки у телеграмі й вотсапі. Чи працює в Росії та на окупованих територіях Signal?

Павло Бєлоусов: Signal у них заблокований на початку року, але в мене є кілька людей із Росії та на окупованих територіях, з якими я спілкуюся в Signal. У когось він працює, а в когось — ні. Все залежить від провайдера. Також він працює через VPN.

Олександр Глущенко: Мій контакт із Росії казав, що в їхньому регіоні Viber не працює. Telegram глючить. Signal не працює без VPN або додаткових налаштувань. Архітектура інтернет-мереж у Росії складна, тому залежно від регіону можуть бути тимчасові відмінності.

— Чому блокується можливість дзвінків у телеграмі, якщо сам телеграм пов’язаний із Росією?

Павло Бєлоусов: Телеграм — другий за популярністю месенджер у Росії (згідно з данимиMediascope, у липні 2025 року вотсап охоплював 97,3 мільйона користувачів у Росії, а телеграм — 90,8 мільйона користувачів. Третім за популярністю месенджером у липні був VK Messenger — 17,9 мільйона користувачів, — «ДМ»). Якщо створювати перепони лише у вотсапі, тоді всі перейдуть у другий за популярністю месенджер — телеграм. А Росії це не потрібно. З Дуровим вони то співпрацюють, то не співпрацюють. А якщо в тебе є свій ФСБешний месенджер, то вже нікому не потрібно щось обіцяти.

Олександр Глущенко: Історія російських блокувань — це історія переляків кремлівських старців. Спочатку вони дізналися про інтернет, потім дізналися про те, що через мережу активні та свідомі громадяни координуються, потім дізналися про месенджери й сервіси. І почали «віджимати» платформи на користь держави та блокувати альтернативи.

Останній переляк був, коли воєнний злочинець Пригожин пішов рейдом на Москву. Вся координація, всі комунікації йшли через телеграм. І спроби впровадити Мах, а альтернативи знищити або також контролювати — це намагання для внутрішнього ринку, контроль за людьми. Розповіді про боротьбу з кібершахраями, дніпровськими офісами чи іншими інтернет-героями — казки.

— Ви згадували, що інструкції, як обходити ці обмеження, є у браузері Сеno. А де ще людям на окупованих територіях дізнаватися про актуальні протоколи безпеки, якщо ситуація може змінюватися ледь не щодня чи щотижня?

Павло Бєлоусов: На гарячій лінії Nadiyno.org ми консультуємо людей із тимчасово окупованих територій і медіа, які працюють для них. За минулий тиждень я роздавав багато інструкцій таким медіа. також ми надаємо безоплатні консультації з цифрової безпеки користувачам.

Олександр Глущенко: Через браузер Ceno на ТОТ доступні цифрові копії 15 українських медіа, які заборонені у Росії. Якщо користувач заходить на сайт «Детектор медіа» через будь-який браузер — він отримує плашку, що сайт заборонений або зо до нього немає доступу. А якщо зайти через Ceno, то ви будете бачити копію, отримувати оновлення, читати новини. Єдиний мінус — це відсутність інтерактиву, оскільки це копія, тому писати коментарі не вийде. Зате в умовах «суверенного інтернету», коли буде доступ тільки до дозволених Кремлем сайтів, — через Ceno користувач буде отримувати доступ до 15 новинних порталів.

А поки «чебурнет» не настав, то всі користувачі, які користуються Ceno в Україні, — автоматично діляться даними з українцями на ТОТ і допомагають їм отримати доступ до вільних і чесних новин й не жити в парадигмі «русского міра».

На тимчасово окупованих територіях України Росія проводить деукраїнізацію. І це для України — одна з головних проблем і завдання, яке потрібно розв’язати.

У Маріуполі, наприклад, усі українські мурали замальовано, скрізь розвішане російське ганчір’я, зносять пам’ятники, повертають СРСР й інші атрибути концтабору.

З 2022 року відбувається деукраїнізація інформаційного простору. Ефірні передавачі для телебачення і радіо окупанти захопили ще у 2022 році. За військами одразу в наступному ешелоні їхали інженери, які на вежах КРРТ вимикали Т2 від «Зеонбуду» та налаштовували ретрансляцію пакетів РТРС1 і РТРС2.

Супутникове телебачення було єдиним гарантованим способом мати доступ до українського контенту, українського дискурсу. Спроби глушити сигнал ні до чого не призвели, тому росіяни винайшли ноу-хау — супутникова платформа «Русскій мір».

Якщо у 2023—24 роках супутникову антену й тюнер установлювали всім охочим, то наразі на всій території ТОТ і навіть у Криму триває кампанія заміни антен, так званого «горинича», які давали змогу приймати сигнал із супутників Hot Bird — Astra — Amos, на обладнання для прийому «Русского міра» з супутника «Експрес АТ-1» у позиції 56 градусів східної довготи.

Наприклад, у Херсонській області місцевий окупаційний керівник Сальдо випустив указ про заборону антен розміром більш як 90 см і використання кількох конвекторів. Якщо раніше перегляд цього пакету був добровільним, то зараз у всіх районах окупованих територій складені списки населених пунктів, у яких проводять насильницьку деукраїнізацію, проводять опис дворів і будинків, де встановлені антени, й насильно повертають їх на 56 градус, видаючи супутниковий приймач для прийому «Русского міра».

Навіть якщо власник антени спробує її переналаштувати на інший супутник, прийом буде неможливий, тому що для прийому російських супутників використовують конвертори з круговою діаграмою направленості.

Тому — порада: не віддавати інсталяторам старі конвертори, не віддавати власний тюнер. Якщо це власний будинок, то можна встановити антену з одним конвертором для прийому HotBird або Astra, щоб її не можна було ідентифікувати й помітити. І дивитися українські телеканали.

Ми зі свого боку в етері супутникового телеканалу eQtv розповідаємо глядачам, як обходити інтернет-блокування, мати доступ до вільного інтернету в країнах з авторитарними режимами та готуємо на сайті телеканалу eQtv відеотеку тематичного контенту з кібербезпеки, цифрової грамотності та протистояння шатдаунам, яка буде доступна на тимчасово окупованих територіях.