Rusya’da Telegram’ın yerini almaya zorlanan Max adlı mesajlaşma/süper uygulama, yalnızca bir sohbet aracı değil; devletle iç içe geçmiş bir platform gücü olarak yeniden tartışılıyor. The Guardian’ın 18 Eylül 2026 haberinde aktardığı ve arXiv’de yayımlanan “Don’t Trust the Super-App: A Case Study of Russia’s Max” (2609.11814) çalışmasına göre araştırmacılar, Max’in mini-uygulama (mini-app) katmanında kullanıcı ekranını sessizce yakalama, yerel depolamayı okuma/değiştirme, JavaScript enjekte etme, ağ trafiğini aracılık etme ve kimlik doğrulama jetonlarını kontrol etme yetenekleri taşıdığını belgeledi.

Teknik bulguların özeti şöyle: Android’in PixelCopy API’si üzerinden mini-app ekran görüntüleri alınabiliyor; testlerde başarı oranı yaklaşık yüzde 88,5 (35 denemeden 31’i). Bu yakalamalar, yazılan şifrelerin göründüğü anları da kapsayabiliyor. Rus yapımında trafiğin GOST TLS vekili üzerinden yönlendirildiği belirtiliyor. Araştırmacılar Max’in vahşi ortamda bu yakalamaları rutin olarak yaptığını kanıtlamadı; fakat yeteneğin varlığı, “güvenilir süper uygulama” anlatısını yerle bir ediyor.

Süper uygulama, süper gözetim asimetri

Süper uygulamalar, sohbetten ödemeye, devlet hizmetlerinden mini-oyunlara kadar yaşamı tek arayüzde toplar. Bu birleşme kullanıcıya “kolaylık” diye satılırken, aslında tek bir özel-kamusal aracıya derin erişim verir. Max örneğinde mini-app’ler ayrı uygulamalar gibi görünse de host uygulamanın güvenlik sınırları içinde çalışır; host isterse ekranı, depolamayı ve jetonları görebilir. Bu, “üçüncü taraf uygulama güvenli” vaadinin yapısal olarak nasıl boşaltılabileceğini gösterir — ama bu satırlar bir istismar tarifi değil; platform mimarisinin güç dengesizliğine dair bir uyarıdır.

Meduza ve diğer bağımsız kaynaklar daha önce Max’in dinleme ve gözetim bileşenlerine dair tersine mühendislik notları da yayımlamıştı. Guardian haberinin çerçevesi net: Mesele tek bir API çağrısı değil, vatandaşın dijital yaşamını tek kanala sıkıştıran devlet bağlantılı bir ekosistemdir. Zorunlu geçiş politikalarıyla birleşince “tercih” ortadan kalkar; mahremiyet, ürün ayarı olmaktan çıkar, siyasi bir risk alanına dönüşür.

Halk için ders: tek kapıya tıkılmak

Dijital haklar açısından Max vakası, “güvenli uygulama” checklist’lerinin ötesinde bir sınıf ve iktidar meselesidir. Kimlik, ödeme, haberleşme ve kamu hizmetleri aynı uygulamada birleştiğinde, platform operatörü —ve ona bağlı kurumlar— vatandaşın günlük hareketini tek noktadan görebilir. Araştırmacıların “rutin yakalama kanıtı yok” demesi rahatlatıcı değildir; yeteneğin varlığı, denetimsiz kullanılabileceği bir mimariyi zaten ilan eder.

Savunma tarafında halk için somut hatırlatmalar: Kritik kimlik bilgilerini süper uygulama mini-app’lerinde yazmamak; mümkün olan yerlerde ayrı, açık kaynaklı veya bağımsız istemciler kullanmak; zorunlu geçiş politikalarına karşı sendika, meslek örgütü ve dijital hak gruplarının kolektif itirazını büyütmek. CyberNews olarak bu haberi, “nasıl yapılır” değil, “kim kime ne kadar erişebilir” sorusuyla aktarıyoruz: Max, kolaylık ambalajında paketlenmiş bir gözetim potansiyeli taşıyor.

Kaynaklar: The Guardian, “How Russia use mobile super-app Max to spy on its citizens” (18 Eylül 2026); arXiv 2609.11814, “Don’t Trust the Super-App: A Case Study of Russia’s Max”; Meduza arka plan raporları.