Встроенная в Мах нейросеть Яндекс.Алиса считает госмессенджер шпионским приложением и не рекомендует устанавливать его на телефон. По безопасности Мах‑Алиса отметила, что у госмессенджера отсутствует сквозное шифрование, а данные пользователей могут передаваться государственным органам. Мессенджер собирает IP‑адреса, время активности, контакты, тип устройства и браузера, информацию о провайдере и другие метаданные.
Также Алиса напомнила, что в Мах нашли принудительное обновление в обход магазинов приложений, систему анализа голосовых вызовов и уязвимость, позволяющую третьим лицам редактировать переписку на устройстве пользователя. Хотя разработчики опровергают обвинения, такие находки вызывают вопросы к прозрачности системы. Алиса рекомендовала использовать для Мах отдельный телефон — максофон.
Если всё же необходимо установить госмессенджер на основной телефон, нейросеть посоветовала использовать браузерную версию или запускать его в изолированном пространстве на смартфоне, а также запретить приложению постоянный доступ к геолокации, контактам, микрофону и камере. Помимо этого Алиса рекомендовала перейти на мессенджеры со сквозным шифрованием данных — Signal, WhatsApp или Telegram.
В июне 2025 года был принят закон о создании суверенного мессенджера. В результате власти продвигали Мах, заблокировав Telegram и WhatsApp, и стали использовать административный ресурс для продвижения своего сервиса. В госмессенджер перевели школьные, студенческие и служебные чаты, переписку чиновников и сотрудников госкомпаний, а также интегрировали его с сервисом Госуслуги.
Эксперты неоднократно называли Мах шпионской программой. Представитель Общества защиты интернета указал, что в политике конфиденциальности прямо указана передача данных по запросу в ФСБ, МВД, ФНС и Банке России. Аналитики нашли, что приложение отслеживает процессы на устройстве, собирает геолокацию, полный список установленных программ и может записывать звук, видео и вводимый текст. Кроме того, мессенджер может определять реальный IP‑адрес при включенном VPN и использовать уникальный идентификатор устройства, который нельзя сбросить даже после удаления приложения.
