Вопрос "кто шпионит" в данном аспекте риторический. Шпионят ВСЕ, увы это так. Любая самая безобидная программка может втихую заниматься сбором данных. Защититься от этого практически невозможно. Всё зависит от устойчивости самой ОС, т.е. отсутствие "дыр" в коде - как непреднамеренных (ошибки разработки), так и специально заложенных при разработке ОС. Исходных файлов ОС компутеров и телефонов в открытом доступе нет и не ожидается (да и если вдруг появится что-то, анализ их весьма затруднителен). В исходном посте от Rumlin есть ссылочка на "исследование". Вот она :
https://github.com/ZolManStaff/MAX-deep-analysis-of-the-messenger?utm_source=telegram&utm_medium=social&utm_campaign=na-fone-nastojchivog
Там сплошь и рядом "возможно" , "скорее всего", "по видимому" и т.п. На первый взгляд авторы просто посмотрели файлы MAXa, взяли оттуда списки функций, методов, библиотек и сделали выводы. Несколько раз в статье встретились утверждения типа " применён метод GETчто-то, и в случае применения метода SETчто-то возможны деструктивные действия" (передаю смысл, не цитирую дословно). Однако упоминания о применении метода SETчто-то не приводится. По поводу обфускации кода (кстати, в статье об этом говорится много раз), то понятно, что реверс/дизассемблирование зачастую выдаёт трудно понимаемый исходник и вряд ли там имело место преднамеренное запутывание исходного кода.
В общем, по моему дилетантскому мнению проблема несколько раздута. Напомню - ШПИОНЯТ ВСЕ. И, к примеру, простейший клавиатурный шпион можно сделать даже не имея особых навыков в программировании и не зная особенностей ОС.