MAX e a Marcação Spyware no Cloudflare: O Que Significa e Quais as Implicações

MAX e a Marcação Spyware no Cloudflare: O Que Significa e Quais as Implicações

Em 30 de abril, surgiu a notícia de que a Cloudflare, uma empresa global de TI e operadora de uma grande infraestrutura de internet, classificou o domínio do mensageiro nacional MAX como Spyware (software espião). Antes de sorrir e pensar "eu avisei", vamos analisar objetivamente o que está acontecendo.

Neste artigo, vamos discutir: quem é a Cloudflare, por que ela atribui essas marcações, o que significa "spyware", em que critérios a Cloudflare baseia suas decisões e quais as consequências que essa marcação pode ter.

O Que é a Cloudflare

A Cloudflare é uma empresa americana de infraestrutura de internet. Foi fundada em 2009 e lançada publicamente em 2010. Os fundadores da empresa são Matthew Prince, Michelle Zatlyn e Lee Holloway. A ideia original do projeto foi descrita como um firewall na nuvem: um sistema que ajuda sites e aplicativos a se protegerem contra tráfego malicioso e, ao mesmo tempo, a funcionarem mais rapidamente.

Hoje, a Cloudflare é um dos maiores players em infraestrutura de internet, processando cerca de 20% de todo o tráfego de internet global. Isso significa que um em cada cinco pedidos na internet passa por seus equipamentos. A Cloudflare possui centenas de data centers em dezenas de países, o que permite atender rapidamente usuários de diferentes regiões.

Esta NÃO é "apenas mais um site com verificação de domínios", mas uma empresa que vê um enorme volume de tráfego de internet e atende um grande número de sites, aplicativos, redes corporativas e solicitações DNS. É por isso que suas opiniões são ouvidas por reguladores governamentais e corporações.

Quais Funções a Cloudflare Desempenha

Simplificando, a Cloudflare é um serviço que ajuda sites e aplicativos a funcionar de forma mais rápida, estável e segura.

• Proteção contra ataques DDoS. Um ataque DDoS é uma situação em que um grande número de solicitações é enviado simultaneamente a um site ou aplicativo. Muitas vezes, isso não é feito por pessoas reais, mas por bots. O servidor pode não suportar essa carga e parar de abrir. A Cloudflare assume esse fluxo, filtra as solicitações suspeitas e permite que usuários normais passem.
• Aceleração do carregamento de sites e aplicativos via CDN. CDN é uma Rede de Distribuição de Conteúdo. Simplificando, é uma rede de servidores em diferentes países e cidades onde cópias de imagens, vídeos, arquivos, scripts e outros elementos do site podem ser armazenados. O usuário os recebe não de um único servidor distante, mas do ponto Cloudflare mais próximo. Portanto, o site ou aplicativo pode abrir mais rapidamente.
• Serviço DNS público 1.1.1.1. DNS é o "livro de endereços da internet". Quando um usuário digita o endereço de um site, como example.ru, o DNS ajuda o dispositivo a entender qual servidor precisa ser contatado. A Cloudflare fornece seu serviço DNS público 1.1.1.1, que é usado para pesquisar esses endereços de forma rápida e relativamente privada.
• Web Application Firewall, ou WAF. Firewall é uma "firewall", ou seja, um filtro de proteção. E o Web Application Firewall é um filtro especificamente para sites, aplicativos e APIs. Ele verifica solicitações HTTP. Uma solicitação HTTP é uma solicitação normal de um navegador ou aplicativo ao servidor: abrir uma página, obter um perfil, enviar um formulário, carregar uma mensagem. Por exemplo, uma solicitação normal pode ser assim:
  • GET /profile?id=123 E a suspeita é assim:
  • GET /profile?id=1%20OR%201=1-- A segunda opção se assemelha a uma tentativa de injeção SQL: o invasor passa no parâmetro URL não um identificador de perfil normal, mas um fragmento da condição SQL. Se o aplicativo inserir esse parâmetro de forma insegura em uma consulta SQL, essa construção poderá alterar a lógica de acesso ao banco de dados. O WAF pode reconhecer o padrão característico do ataque e bloquear a solicitação antes mesmo de chegar ao servidor do aplicativo.
• Bot Protection - proteção contra bots. Bots podem iterar automaticamente senhas, criar contas em massa, analisar preços, copiar conteúdo, enviar spam ou sobrecarregar o aplicativo com solicitações. A Cloudflare analisa esse comportamento e pode restringir, desacelerar ou bloquear atividades suspeitas.
• Filtragem de tráfego malicioso. A Cloudflare pode filtrar solicitações que se assemelham a ataques, varredura de vulnerabilidades, phishing, scripts maliciosos ou tentativas de obter acesso não autorizado. Para um usuário normal, isso é imperceptível: ele simplesmente abre o site, e o tráfego suspeito não chega ao servidor.
• Soluções de segurança corporativa, incluindo Zero Trust. Zero Trust é uma abordagem de "não confiar em ninguém automaticamente". Mesmo que um funcionário esteja dentro da rede corporativa, seu acesso aos serviços ainda é verificado: quem ele é, de qual dispositivo ele está entrando, ele tem o direito de abrir um determinado recurso. A Cloudflare possui essas ferramentas para empresas: elas ajudam a proteger funcionários, sistemas internos, aplicativos de trabalho e tráfego de internet corporativo.

O Que é o Cloudflare Gateway

Gateway é um filtro de internet corporativo da Cloudflare. Ele fica não em frente ao site, mas em frente ao usuário da empresa. Por exemplo, um funcionário abre um site ou aplicativo, e o Gateway verifica: é possível ir para lá?

• Funcionário → Cloudflare Gateway → site / aplicativo

A empresa pode configurar regras:

• bloquear malware: sites que tentam infectar seu computador com um vírus.
• bloquear phishing: páginas falsas que roubam senhas.
• bloquear spyware: programas que coletam secretamente dados do usuário (geolocalização, lista de contatos, dados de outros aplicativos) e os transmitem sem consentimento explícito.
• permitir serviços de trabalho.
• registrar (gravar em um "diário") solicitações suspeitas.

Se um funcionário abrir um domínio que a Cloudflare atribui à categoria Spyware, o Gateway pode bloquear o acesso ou exibir um aviso.

É para esses produtos que a Cloudflare mantém a classificação de domínios. Ela precisa de uma lista: quais domínios pertencem a mensageiros, quais a redes sociais, quais a publicidade, quais a phishing, quais a malware.

Que Tipo de Registro a Cloudflare Mantém

Cloudflare mantém seu próprio sistema de categorização de domínios - Domain Categorization. Você pode visualizar as categorias de um domínio específico através do Cloudflare Radar (https://radar.cloudflare.com/ru-ru/domains/domain/example.ru)

As categorias são divididas em dois tipos principais:

• Content categories - são categorias temáticas comuns. Por exemplo: mensageiros, redes sociais, notícias, publicidade, entretenimento, jogos, finanças, educação, conteúdo adulto.
• Security categories - são categorias relacionadas a riscos e ameaças. Por exemplo:
  • Malware - sites relacionados a malware;
  • Phishing - domínios de phishing que podem roubar logins, senhas ou dados de pagamento;
  • Spyware - domínios relacionados a software espião;
  • Command and Control / Botnet - domínios aos quais dispositivos infectados acessam;
  • Compromised Domain - um domínio legítimo que foi hackeado e usado para atividades maliciosas;
  • DNS Tunneling - transferência suspeita de dados via solicitações DNS.

Os domínios são categorizados pelo Cloudforce One - a unidade de inteligência de ameaças da Cloudflare, ou seja, uma equipe/plataforma para análise de ameaças cibernéticas.

O Que é Spyware

Spyware é software espião. Em um sentido amplo, esses são programas ou componentes que podem coletar informações sobre o usuário sem transparência suficiente ou sem consentimento claro.

Pode ser:

• Coleta de dados do dispositivo - por exemplo, informações sobre o modelo do telefone, sistema operacional, configurações de rede, endereço IP, identificadores do dispositivo ou outros parâmetros técnicos.
• Rastreamento da atividade do usuário - se o aplicativo ou domínios associados a ele transferirem dados sobre as ações do usuário com mais frequência ou mais amplamente do que o necessário para o funcionamento do serviço.
• Transferência de telemetria para servidores de terceiros - a telemetria em si nem sempre é perigosa: muitos aplicativos coletam dados técnicos sobre falhas e desempenho. Surgem perguntas se essa transferência é opaca, excessiva ou vai para domínios suspeitos.
• Acesso a informações confidenciais - por exemplo, a contatos, arquivos, geolocalização, dados do dispositivo ou outras informações que não são obviamente necessárias para a função principal do aplicativo.
• Atividade de rede oculta - se, por meio de solicitações DNS ou filtros corporativos como o Gateway, acessos a servidores suspeitos forem registrados, não diretamente relacionados ao trabalho do mensageiro, por exemplo, bate-papos, chamadas ou autorização.
• Solicitações DNS anormais - DNS é um serviço que traduz endereços de sites compreensíveis em endereços IP de servidores. Suspeitas podem surgir se o aplicativo acessar regularmente domínios estranhos, recém-criados ou já notados em ameaças.
• Comportamento semelhante à observação ou vigilância - por exemplo, quando o aplicativo coleta mais dados do que o usuário espera, faz isso sem uma explicação clara ou transmite informações de forma que seu propósito seja difícil de verificar.

Mas é importante: quando a Cloudflare atribui a categoria Spyware a um domínio, isso nem sempre significa que todo o aplicativo já foi comprovadamente espião.

Em Que Critérios a Cloudflare Pode Atribuir Essa Marcação

A Cloudflare não divulga totalmente todos os algoritmos de classificação. Isso é normal para empresas de segurança cibernética: se as regras forem reveladas em detalhes, os invasores poderão contorná-las.

Mas, a partir da documentação da Cloudflare, fica claro que diferentes fontes e sinais podem ser usados ​​para avaliar domínios: dados internos, aprendizado de máquina, bancos de ameaças comerciais, dados abertos sobre ameaças cibernéticas, reputação do domínio, idade do domínio, conexão com infraestrutura suspeita.

Em palavras simples, coisas como estas podem parecer suspeitas:

• o domínio está associado a arquivos ou scripts maliciosos;
• o domínio está envolvido na transferência suspeita de dados;
• o domínio aparece em bancos de dados de ameaças cibernéticas;
• o domínio está associado a uma infraestrutura que já foi notada em ataques;
• o aplicativo ou site acessa domínios de terceiros suspeitos;
• o comportamento das solicitações se assemelha à coleta de dados, servidor de comando ou telemetria oculta;
• o domínio recebe sinais negativos de várias fontes independentes.

Mas isso não significa necessariamente que tudo aconteceu exatamente dessa forma no caso do MAX. Nas publicações sobre o MAX, a posição do serviço de imprensa do mensageiro já é fornecida: eles falam sobre uma classificação errônea e uma interpretação incorreta das solicitações de análise da web.

Ou seja, agora há o próprio fato da marcação da Cloudflare e há uma explicação do serviço. É muito cedo para tirar uma conclusão técnica final sem uma auditoria independente.

O Que Pode Acontecer com o MAX Após Essa Marcação

A marcação da Cloudflare em si não significa a remoção automática do aplicativo da App Store ou do Google Play. Também não significa que o certificado TLS - uma credencial digital do domínio, que confirma a autenticidade do site ou servidor e permite o estabelecimento de uma conexão HTTPS segura - será necessariamente revogado.

Primeiro, as redes corporativas podem começar a bloquear o domínio. Se a empresa usar o Cloudflare Gateway e configurar a regra "bloquear Spyware", o acesso a max.ru pode ser restrito.

Em segundo lugar, o serviço pode ter um risco de reputação. Para usuários e especialistas em segurança da informação, a marcação da Cloudflare é um motivo para olhar mais de perto o aplicativo, seus domínios, certificados, solicitações de rede e política de processamento de dados.

Em terceiro lugar, são possíveis verificações adicionais das lojas de aplicativos. Apple e Google podem verificar os aplicativos quanto à conformidade com os requisitos de segurança e privacidade. A Apple escreve diretamente que os aplicativos passam por revisão, e a App Store deve permanecer um lugar seguro para os usuários.

Em quarto lugar, os centros de certificação que emitem certificados TLS podem prestar atenção. Se eles virem motivos para verificação, eles podem solicitar explicações ou realizar sua própria avaliação.

Em quinto lugar, a atenção pode aumentar em torno do serviço por pesquisadores de segurança, jornalistas, reguladores e usuários (embora, aparentemente, onde mais).

Exemplo Telega: Por Que a História com o MAX Começou a Ser Comparada Exatamente com Ela

A comparação com Telega não surgiu por acaso. Telega - um cliente alternativo do Telegram - também recebeu a marcação Spyware da Cloudflare. Estávamos falando sobre os domínios de trabalho do projeto, incluindo telega.me e api.telega.info. De acordo com relatos da mídia, isso aconteceu em 9 de abril de 2026. No mesmo dia, Telega desapareceu da App Store, enquanto o aplicativo permaneceu disponível no Google Play e RuStore.

De acordo com a Meduza, com referência a "Cuidado, notícias", após a marcação da Cloudflare, o certificado TLS - uma credencial digital do domínio, que é necessária para uma conexão HTTPS segura - também foi revogado da Telega. Presumivelmente, isso pode ter sido um dos fatores para a remoção do aplicativo da App Store.

Alguns dias depois, os desenvolvedores da Telega disseram que a Cloudflare removeu a classificação Spyware dos domínios do projeto, incluindo telega.me, api.telega.info e telega.info. No entanto, isso não garantiu o retorno à App Store imediatamente. Uma etapa separada começou em 17 de abril de 2026: os usuários do iPhone começaram a relatar que o iOS marcava a Telega já instalada como um aplicativo potencialmente malicioso, bloqueava o lançamento e oferecia removê-lo.

Esta história é importante como um exemplo de uma possível cadeia:

• Marcação Cloudflare → atenção aos domínios → problemas com certificados → perguntas da Apple → remoção ou bloqueio do aplicativo

Mas isso não significa que o mesmo acontecerá com o MAX. O MAX, de acordo com relatos da mídia no momento da publicação, possui um certificado TLS válido, e o aplicativo está atualmente disponível na App Store e no Google Play.

O Que Isso Significa para os Usuários

O principal é não confundir três coisas diferentes.

Primeiro: o Cloudflare Radar pode realmente mostrar o domínio na categoria Spyware. Este é um sinal sério, porque a Cloudflare é um grande player em segurança de internet.

Segundo: essa marcação não é uma decisão legal e não prova automaticamente que o aplicativo está espionando os usuários.

Terceiro: mesmo que isso não seja prova, é um motivo para perguntas adicionais. Especialmente quando se trata de um mensageiro - um serviço ao qual os usuários confiam em correspondência, contatos, chamadas, arquivos e, às vezes, comunicações de trabalho.

Conclusão

A história com o MAX e a Cloudflare não é uma sentença, mas também não é uma coisa pequena que pode ser totalmente ignorada.

A Cloudflare é uma empresa de infraestrutura grande e influente. Sua rede opera em centenas de cidades, protege uma parte significativa da web e é usada por muitas empresas para filtrar ameaças. Portanto, a marcação Spyware no Cloudflare Radar é um sinal de reputação e técnico notável.

Mas é importante manter a precisão. A Cloudflare não emitiu uma decisão judicial, não proibiu o MAX e não provou publicamente que o aplicativo é software espião. Ela classificou o domínio max.ru em seu sistema como Spyware. Isso pode levar a bloqueios em redes corporativas, verificações adicionais, perguntas sobre certificados e atenção das lojas de aplicativos. Mas, por si só, isso ainda não significa a remoção automática do aplicativo ou o reconhecimento oficial de que ele é malicioso.