INCY удалили из App Store России: пятый Xray-клиент пропал с витрины

INCY удалили из App Store для российских учётных записей: бесплатный клиент на Xray-core больше нельзя скачать по российскому Apple ID, хотя в других регионах он остался. Это пятый клиент такого класса, о снятии которого пишет Anti-Malware.ru. Для ИБ-команд главный риск не в самой пропаже, а в том, откуда сотрудники теперь возьмут замену.

Коротко

• 26 октября 2026 года Anti-Malware.ru сообщил: INCY нельзя скачать с российской учётной записи App Store. В других регионах клиент доступен.
• Команда INCY объявила об удалении в своём сообществе и «работает над несколькими вариантами». Сроков и деталей нет.
• INCY — бесплатный клиент на Xray-core без собственного VPN-сервиса: серверы и подписки пользователь добавляет сам.
• До него с российской витрины пропали v2RayTun, Streisand, V2Box и Happ. Письмо Apple со ссылкой на Роскомнадзор публиковали только в случае v2RayTun.
• Заголовок того же материала про root в Tailscale SSH текстом не подтверждён: ни CVE, ни версий, ни описания там нет.

Почему INCY удалили из App Store?

Причину никто не назвал. 26 октября 2026 года Anti-Malware.ru написал, что INCY пропал из российского App Store, но остался доступен с аккаунтов других регионов. Скачать клиент по российскому Apple ID сейчас нельзя — ни впервые, ни повторно, после переустановки или переезда на новый iPhone.

Об удалении сообщила сама команда INCY «в своём сообществе»; на какой площадке и когда, издание не уточняет. Разработчики заявили, что «работают над несколькими вариантами решения проблемы». Сколько этих вариантов и в чём они состоят, не сказано. Издание прямо пишет: что именно готовится и когда приложение может вернуться, пока не уточняется.

Пользователям предложили подумать о смене региона учётной записи Apple и следить за новыми объявлениями. О последствиях такого шага в сообщении ничего нет. Нет в нём и причины удаления, письма Apple, упоминания Роскомнадзора применительно к INCY, номера версии и идентификатора приложения. Имён спикеров тоже нет.

Региональное снятие и удаление из магазина целиком — разные события. По одному факту снятия нельзя понять, кто за ним стоит: Apple, сам разработчик или требование регулятора.

Контекст при этом есть. INCY — пятый клиент такого класса, который называет Anti-Malware.ru: до него российскую витрину App Store покинули v2RayTun, Streisand, V2Box и Happ. Это примеры из статьи, а не полный список.

Документ с объяснением известен только по одному случаю: разработчики v2RayTun публиковали письмо Apple со ссылкой на требование Роскомнадзора. По INCY такого документа нет, заявлений Apple или Роскомнадзора тоже. Переносить основание из истории v2RayTun на остальных нельзя: похожая картина не доказывает одинаковую причину.

Anti-Malware.ru подытоживает происходящее фразой «География аккаунта снова решает, какие кнопки вам разрешено нажимать». Это оценка редакции, а не позиция одной из сторон.

INCY — свой VPN или только клиент на Xray-core?

Только клиент. INCY — бесплатная оболочка над Xray-core, открытым прокси-ядром проекта Project X. Собственного VPN-сервиса у INCY нет: пользователь сам добавляет конфигурации или подписки на сторонние серверы.

Xray-core поддерживает несколько протоколов, среди них VLESS, VMess, Trojan и Shadowsocks. Клиент только исполняет конфигурацию, а адрес сервера, учётные данные и правила маршрутизации приходят извне. Отсюда два вывода.

• Удаление INCY из магазина не выключает никакой конкретный VPN-сервис. У клиента нет собственной инфраструктуры, которую можно было бы отключить вместе с приложением.
• Доверять приходится не столько приложению, сколько подписке. Владелец сервера видит метаданные трафика, а при неудачной настройке — и больше. Клиент от проверенной команды не делает безопасным сервер, конфиг которого прислали в чате.

Для компании вывод простой: личный Xray-клиент с чужой подпиской — это туннель, о котором ИБ не знает, а не корпоративный VPN.

Установленный INCY перестанет работать после удаления из магазина?

По имеющимся данным — нет: источник говорит только о витрине. Распространение, обновление и работа установленного ПО — три разных механизма, и снятие с региональной витрины бьёт по первым двум.

• Установка. По российскому Apple ID приложение скачать нельзя — и, по всей видимости, не получится восстановить его через историю покупок.
• Обновления. Источник об этом прямо не пишет, но без записи в витрине штатный канал обновлений для российских аккаунтов фактически пропадает. Устаревший клиент со временем копит неисправленные ошибки — и в самом приложении, и во встроенной версии Xray-core.
• Работа. Об отзыве или блокировке установленных копий в сообщении ничего нет.

Проблемы начинаются после сброса телефона, замены устройства или удаления приложения ради свободного места. Вернуть клиент штатным путём уже не получится.

Смена региона, которую предлагает команда, — не нейтральная кнопка. Перед переходом Apple требует разобраться с активными подписками и остатком средств на счёте. Для нового региона может понадобиться местный способ оплаты, а часть покупок и контента становится недоступной.

На корпоративных устройствах это отдельная история. Если сотрудник переводит рабочий Apple ID в другую страну, ломаются купленные через него подписки и приложения, а ИБ узнаёт об этом последней. Пошаговых инструкций мы намеренно не даём: смена региона — решение пользователя, а не мера безопасности.

Почему неофициальная сборка опаснее пропажи клиента

Потому что место официального клиента занимают чужие сборки. Когда легитимное приложение нельзя скачать штатно, люди идут к зеркалам, файлообменникам и Telegram-каналам с «подписанным IPA». Там лучше всего расходятся трояны-перепаковки и поддельные установщики.

На iPhone файл .ipa не установить с сайта так же просто, как APK на Android. Нужна действующая подпись Apple и поддерживаемый способ распространения. Альтернативные маркетплейсы iOS Apple открыла лишь в отдельных юрисдикциях, прежде всего в ЕС по требованиям DMA, и для России это не выход.

Поэтому обходные схемы обычно опираются на чужой сертификат разработчика или конфигурационный профиль. Пользователь фактически даёт постороннему право ставить код на свой телефон. Если это MDM-профиль, посторонний получает ещё и право управлять устройством.

Второй риск — сами конфиги. Подписка Xray содержит адреса серверов, идентификаторы пользователя, пароли или токены. При переезде на новый клиент их пересылают в открытых чатах и вставляют в первое попавшееся приложение. Утёкшая подписка даёт доступ к чужому туннелю и показывает, через какой сервер ходит сотрудник.

Что проверить ИБ-команде на этой неделе

Начните с инвентаря, а не с запретов. Когда мы проводим аудит безопасности сети, на рабочих телефонах и ноутбуках регулярно находятся личные прокси-клиенты с подписками, о которых не знает никто, кроме владельца. История с INCY — хороший повод их посчитать.

1. Инвентарь. Выгрузите через MDM список приложений на управляемых iOS-устройствах. Ищите INCY, v2RayTun, Streisand, V2Box, Happ и похожие клиенты. Для каждой находки запишите версию, bundle identifier и способ установки: из App Store, через профиль или неизвестным путём.
2. Профили и сертификаты. Проверьте установленные конфигурационные профили и доверенные сертификаты разработчиков. Неизвестный enterprise-сертификат или посторонний MDM-профиль на рабочем устройстве — повод для разбора инцидента, а не для заметки в тикете.
3. Сеть: куда идут сессии. Ищите долгоживущие исходящие TLS-сессии с корпоративных устройств и офисного Wi-Fi к одиночным адресам у хостинг-провайдеров, которые не совпадают с известными бизнес-сервисами.
4. Сеть: на что смотреть. Часть транспортов Xray маскируется под обычный HTTPS к легитимным доменам, поэтому фильтр по SNI мало что даёт. Смотрите на объём трафика, длительность сессий и адрес назначения.
5. Политика. Решите, разрешены ли личные туннели на рабочих устройствах, и если да, то какие и на каких условиях. Если нет — дайте сотрудникам штатный корпоративный доступ, иначе запрет просто уйдёт в тень.
6. Люди. Предупредите сотрудников: не ставить IPA из каналов и зеркал, не принимать чужие профили, не пересылать подписки в чатах. Короткий инструктаж в духе обучения сотрудников ИБ сейчас полезнее нового регламента.

Есть ли в новости уязвимость Tailscale SSH?

Нет. У материала Anti-Malware.ru заголовок «В Tailscale SSH нашли способ добраться до root через редирект сокетов», но в тексте нет ни слова про Tailscale, SSH или сокеты. Нет CVE, оценки CVSS, класса ошибки, предусловий и уязвимых версий: тело статьи целиком посвящено INCY.

Похоже на техническую ошибку публикации: заголовок взят от одной новости, а текст — от другой. Материала, чтобы описывать технику из заголовка, нет — и мы этого не делаем.

Если у вас развёрнут Tailscale SSH, не запускайте аварийное расследование только по этому заголовку. Чтобы принимать решения, нужен бюллетень Tailscale или другой первоисточник с идентификатором уязвимости. Плановое обновление клиентов и ревизия политик SSH-доступа и так лишними не будут.

Частые вопросы

INCY удалили по всему миру или только для России?

Только для российской витрины App Store. С аккаунтов других регионов приложение, по данным Anti-Malware.ru, по-прежнему доступно.

Можно ли заново скачать INCY на новом устройстве с российским Apple ID?

Нет. Повторная загрузка с российской учётной записи сейчас невозможна, в том числе после сброса или замены телефона.

Команда INCY назвала срок возврата?

Нет. Разработчики сообщили только, что работают над несколькими вариантами решения, без деталей и дат.

Письмо Apple про Роскомнадзор относится к INCY?

Нет. Такое письмо публиковали разработчики v2RayTun. По INCY документа, заявления Apple или Роскомнадзора в источнике нет.

У INCY есть собственный VPN-сервис?

Нет. INCY — бесплатный клиент на Xray-core: пользователь сам добавляет конфигурации или подписки на сторонние серверы.

В новости есть уязвимость Tailscale SSH?

Нет. Про Tailscale говорит только заголовок, а в тексте нет ни описания, ни CVE, ни версий. Чтобы принимать решения, нужен официальный бюллетень Tailscale.

Снятие клиента с витрины не показывает, какие туннели и сервисы уже торчат из вашей сети наружу. Это видно на пентесте внешнего периметра, который проводит SecurityLab.pro, — по модели атакующего, а не по чек-листу.