Встроенная в Мах нейросеть Яндекса «Алиса» считает госмессенджер шпионским приложением и не рекомендует устанавливать его на телефон. Нейросеть указала, что у госмессенджера отсутствует сквозное шифрование (E2TT), а данные пользователей могут отправляться на серверы госкомпаний. Мессенджер может собирать IP‑адреса, время активности, контакты, тип устройства и браузера, данные провайдера и другие метаданные, которые могут передаваться третьим лицам, включая государственные органы.
Также Мах нейросеть напомнила об обнаруженной системе принудительного обновления, обход магазинов приложений, нейросеть для анализа голосовых вызовов и уязвимость, с помощью которой третьи лица могут редактировать переписку на устройстве пользователя. Хотя разработчики опровергают некоторые обвинения, такие находки вызывают вопросы к прозрачности системы. В связи с этим нейросеть рекомендовала использовать для Мах отдельный телефон — «максофон».
Если госмессенджер необходимо установить на основной телефон, то нейросеть посоветовала применять браузерную версию или запускать его в изолированном пространстве на смартфоне, а также запретить приложению постоянный доступ к геолокации, контактам, микрофону и камере. Помимо этого, «Алиса» рекомендовала вместо Мах перейти на один из мессенджеров со сквозным шифрованием данных — Signal, WhatsApp или Telegram.
В июне 2025 года Путин подписал закон о создании «суверенного мессенджера». После этого российские власти заблокировали Telegram и WhatsApp и стали использовать административный ресурс для продвижения Мах. В госмессенджер перевели школьные, студенческие и домовые чаты, переписку чиновников и сотрудников госкомпаний, а также интегрировали его с сервисом «Госуслуги».
Различные эксперты называли Мах шпионской программой. Глава организации по защите интернета Михаил Климарёв указывал, что в политике конфиденциальности прямо прописана передача данных по запросу в ФСБ, МВД, ФНС и Банке России. Исследователи на GitHub, проанализировав APK‑файл приложения, обнаружили, что оно отслеживает процессы на устройстве, собирает геолокацию, полный список установленных программ и даже может записывать звук, видео и вводимый текст. Кроме того, мессенджер умеет определять реальный IP‑адрес при включенном VPN и использует встроенный идентификатор устройства, который невозможно сбросить даже после удаления приложения.
