Встроенная в Мах нейросеть «Алиса» считает госмессенджер шпионским приложением и советует не устанавливать его на телефон. Нейросеть отметила, что у госмессенджера отсутствует сквозное шифрование (E2EE), а данные пользователей отправляются на серверы госкомпании. Мессенджер собирает IP‑адреса, время активности, контакты, тип устройства и другие метаданные. Эти данные могут передаваться третьим лицам, включая государственные органы.
Также «Алиса» указала на наличие в Мах принудительного обновления вне магазинов приложений, систему анализа голосовых вызовов и уязвимость, позволяющую посторонним редактировать переписку на устройстве. Несмотря на опровержения со стороны разработчиков, такие находки вызывают вопросы к прозрачности системы. В связи с этим «Алиса» порекомендовала использовать для Мах отдельный телефон — «максофон».
Если всё же нужно установить госмессенджер на основной телефон, Алиса рекомендовала использовать браузерную версию или запускать его в изолированном окружении устройства, а также запретить приложению постоянный доступ к геолокации, контактам, микрофону и камере. Дополнительно было рекомендовано рассмотреть альтернативы с сквозным шифрованием: Signal, WhatsApp или Telegram.
Владимир Путин подписал закон о создании «суверенного мессенджера» в июне 2025 года. После этого госрегуляторы заблокировали Telegram и WhatsApp и стали использовать административный ресурс для продвижения Мах. В госмессенджер перевели школьные, студенческие и служебные чаты, переписку чиновников и сотрудников госкомпаний, а также интегрировали его с сервисом «Госуслуги».
Различные эксперты называют Мах шпионской программой. Глава общественной организации по защите интернета отмечал, что в политике конфиденциальности прямо прописана передача данных по запросу в ФСБ, МВД, ФНС и Банка России. Исследователи, изучив APK‑файл приложения, обнаружили, что оно отслеживает процессы на устройстве, собирает геолокацию, полный список установленных программ и может записывать звук, видео и вводимый текст. Кроме того, мессенджер умеет определять реальный IP‑адрес при включённом VPN и использует встроенный идентификатор устройства, который невозможно сбросить даже после удаления приложения.
