Аннотация

Настоящая монография посвящена научно-методическому анализу проблемы обнаружения шпионского программного обеспечения на мобильных устройствах в контексте хищений денежных средств с банковских счетов. Обосновывается положение о смещении предмета диагностики с защиты частной жизни на защиту имущественных интересов. Систематизируются методические подходы к решению вопроса о том, как проверить телефон на слежку, описываются уровни документирования результатов исследования и их процессуальное значение. Эмпирическую базу составляют пять кейсов. Работа адресована исследователям в области информационной безопасности, практикующим специалистам и потерпевшим.

Ключевые слова: шпионское программное обеспечение, банковский троян, компьютерно-техническая экспертиза, хищение денежных средств, цифровые следы, социальная инженерия, мобильная криминалистика.

Введение

Проблематика обнаружения вредоносного программного обеспечения на мобильных устройствах традиционно рассматривалась в парадигме защиты частной жизни. Однако статистические данные Банка России за 2025 год свидетельствуют о смещении акцента: объём похищенных со счетов граждан средств достиг 29,3 млрд рублей, количество несанкционированных операций выросло на 31,2%, средняя сумма одной операции составила 18,6 тыс. рублей. Банки предотвратили 134,2 млн мошеннических операций на 13,9 трлн рублей, однако возврат средств физическим лицам не превышает 5,9%, а для юридических лиц стремится к нулю.

В этих условиях вопрос о том, как проверить телефон на слежку, приобретает не бытовое, а научно-прикладное значение. Без документально подтверждённого факта компрометации потерпевший лишён процессуальных оснований для оспаривания банковской операции. Банк рассматривает подтверждённую кодом операцию как совершённую клиентом; задача потерпевшего — доказать обратное.

Цель настоящей работы — систематизировать методические подходы к диагностике финансово-ориентированного шпионского ПО и определить процессуальное значение результатов исследования. Задачи: классифицировать категории вредоносного ПО, описать методику профессиональной диагностики, обосновать уровни документирования, проиллюстрировать выводы эмпирическими кейсами.

Методологическую основу составляют системный анализ, сравнительно-правовой метод и обобщение практики сопровождения инцидентов.

Глава 1. Теоретические основания: классификация угроз

1.1. Категории вредоносного ПО в контексте финансовых хищений

Прежде чем рассматривать вопрос о том, как проверить на шпионские программы конкретное устройство, необходимо определить предмет исследования. В контексте хищений денежных средств вредоносное ПО подразделяется на четыре категории.

Банковские трояны (семейства Cerberus, Anatsa, Sharkbot, Gustuff) маскируются под легитимные приложения и запрашивают разрешение на использование специальных возможностей (Accessibility), что позволяет им читать содержимое экрана и инициировать действия от имени пользователя. Согласно данным Банка России, заражение вредоносным кодом является наиболее распространённым методом несанкционированных операций с мобильного устройства.

Программы удалённого доступа (RAT) обеспечивают полный контроль над устройством. Злоумышленник получает возможность самостоятельно инициировать переводы и оформлять кредитные обязательства. Схема типична: жертву убеждают установить «приложение для удалённой помощи» под предлогом защиты от мошенников.

SMS-перехватчики перенаправляют копии входящих сообщений третьим лицам, обеспечивая доступ к кодам подтверждения. Отдельного внимания заслуживает практика маркировки перехваченных сообщений как прочитанных, что снижает вероятность обнаружения.

Stalkerware — программы родительского контроля и «супружеского» надзора. Сами по себе они не крадут денежные средства, однако могут выступать первой ступенью компрометации: получив доступ к устройству, злоумышленник доустанавливает финансово-ориентированные модули.

1.2. Границы предмета

Вопрос о том, как проверить есть ли слежка на телефоне, не тождественен задаче обнаружения программ родительского контроля. Последние не ориентированы на хищение средств, но создают условия для сбора информации, необходимой для последующей атаки: переписки с банком, фотографий документов, сведений о доходах. Данное обстоятельство обосновывает целесообразность комплексной проверки, охватывающей весь спектр потенциально опасного ПО.

Глава 2. Методические границы самостоятельной диагностики

2.1. Процедуры, доступные без специального оборудования

Ответ на вопрос как проверить телефон на слежку андроид бесплатно ограничен несколькими процедурами, доступными без специального оборудования.

Анализ перечня установленных приложений. Незнакомые приложения, особенно маскирующиеся под системные утилиты («System Manager», «Phone Health», «Device Service»), являются красным флагом.

Исследование выданных разрешений. Приложение, чей функционал не соответствует запрашиваемым разрешениям (калькулятор, запрашивающий доступ к микрофону; фонарик, требующий геолокацию), — повод для беспокойства.

Проверка администраторов устройства. На Android: Настройки > Безопасность > Приложения администратора устройства. Мониторинговое ПО нередко регистрируется в этом качестве для затруднения удаления.

Индикаторы доступа к микрофону и камере. На iPhone — зелёная точка при использовании камеры, оранжевая при микрофоне. На Android 12 и выше — аналогичные индикаторы в строке состояния.

Проверка переадресации вызовов. Набор кода ##002# отменяет активную переадресацию; код *#21# позволяет проверить, включена ли безусловная переадресация.

Анализ фонового трафика. Приложение, которым вы редко пользуетесь, но которое постоянно передаёт данные в фоне, требует проверки.

2.2. Специфика iOS

Вопрос о том, как проверить айфон на наличие шпионских программ, имеет ограниченный ответ в части самостоятельной диагностики. Архитектура iOS использует модель песочницы, что ограничивает возможности установки вредоносного ПО из сторонних источников. Однако профили управления (MDM) и программы класса stalkerware представляют реальную угрозу. Проверка осуществляется через Настройки > Основные > VPN и управление устройством; профили, которые вы не устанавливали, подлежат удалению.

2.3. Почему самостоятельной проверки недостаточно

Научный подход требует разграничения диагностики и доказывания. Самостоятельная проверка отвечает на вопрос «есть ли повод для беспокойства», но не на вопрос «был ли факт несанкционированного доступа».

Более того, попытка устранения обнаруженных объектов — удаление приложений, сброс к заводским настройкам — приводит к уничтожению цифровых следов, что делает последующее доказывание невозможным. Таким образом, вопрос о том, как проверить телефон на наличие шпионских программ с сохранением доказательственной базы, корректно решается лишь в режиме фиксации, а не устранения.

Глава 3. Профессиональная методика диагностики

3.1. Этапы исследования

Профессиональная проверка включает последовательность этапов, каждый из которых имеет значение для процессуальной состоятельности результата.

Фиксация исходного состояния. Фотографируется устройство, фиксируются модель, IMEI, версия операционной системы, перечень установленных приложений. При работе с предприятием составляется акт приёма-передачи.

Изоляция. Устройство помещается в экранирующий пакет либо переводится в режим полёта с отключением Wi-Fi и Bluetooth. Цель — исключить удалённое уничтожение следов.

Снятие образа. При наличии root-прав снимается полный образ файловой системы; при отсутствии — логический дамп. Для каждого файла рассчитываются хеш-суммы (MD5, SHA-256), что обеспечивает целостность доказательственной базы.

Анализ автозагрузки и системных журналов. Исследуются logcat, журналы установки пакетов, записи о предоставлении разрешений. Устанавливается хронология событий.

Анализ сетевых соединений. Выявляются обращения к известным серверам управления (C2), сопоставление с базами индикаторов компрометации.

Сопоставление хеш-сумм. Хеш-суммы APK-файлов сверяются с базами сигнатур вредоносного ПО.

Анализ следов эксплуатации уязвимостей. Проверяются отладочные журналы, следы установки сертификатов, записи о предоставлении специальных разрешений.

Формулирование выводов. Устанавливается наличие (или отсутствие) признаков компрометации, а при наличии — причинно-следственная связь с фактом хищения.

3.2. Решение вопроса как проверить телефон на прослушивание и слежку в процессуальном контексте

Именно на профессиональном уровне решается вопрос как проверить телефон на прослушивание и слежку с результатом, пригодным для предъявления банку, страховщику или суду. Ключевым элементом методики является установление причинно-следственной связи между активностью вредоносного ПО и фактом списания средств: констатация наличия трояна недостаточна, необходимо соотнесение временных меток его активности с моментом совершения оспариваемой операции.

Возвращаясь к вопросу о том, как проверить телефон на слежку в научно-прикладном контексте, следует заключить: корректная постановка задачи предполагает не разовое действие, а выбор уровня документирования, соответствующего стадии спора.

3.3. Инструментарий

Перечень используемых инструментов фиксируется в заключении. Неуказание средств создаёт основания для оспаривания выводов. Применяются средства анализа APK (jadx, apktool), динамического анализа (Frida), сетевые анализаторы, базы сигнатур, платформы криминалистического анализа мобильных устройств.

Глава 4. Документальное оформление результатов

4.1. Уровни документирования

Научно обоснованный подход предполагает дифференциацию уровней документирования в зависимости от стадии спора.

Предварительный анализ (5 000 рублей). Устанавливает наличие или отсутствие признаков компрометации. Служит основанием для решения о дальнейших шагах. Доказательственной силы не имеет.

Краткая справка (15 000 рублей). Документ на 2–4 страницах с перечнем обнаруженных объектов и выводом о потенциальной связи с несанкционированным доступом. Прилагается к заявлению в банк или обращению в полицию как вспомогательный материал.

Развёрнутое заключение (25 000 рублей). Технический отчёт на 10–20 страниц, включающий методику, инструментарий, распечатки журналов, анализ временных меток и вывод о причинно-следственной связи. Является основным документом для досудебной претензии и страховой выплаты.

Экспертиза по запросу суда или следствия (от 50 000 рублей). Проводится по правилам судебной компьютерно-технической экспертизы, эксперт предупреждается об ответственности по статье 307 УК РФ. Выступает судебным доказательством.

4.2. Выбор уровня в зависимости от стадии спора

Вопрос о том, проверка на шпионское по какого уровня необходима в конкретном случае, решается в зависимости от предполагаемого использования результата. Для внутреннего решения достаточно предварительного анализа; для спора с банком — развёрнутого заключения; для суда — экспертизы.

Глава 5. Правовое значение результатов исследования

5.1. Уголовно-правовая квалификация

Хищение средств с банковского счёта с использованием вредоносного ПО квалифицируется по пункту «г» части 3 статьи 158 УК РФ (кража с банковского счёта) либо по части 3 статьи 159.6 УК РФ (мошенничество в сфере компьютерной информации). Сопутствующие составы — статья 272 УК РФ (неправомерный доступ к компьютерной информации) и статья 273 УК РФ (использование вредоносных программ).

5.2. Гражданско-правовой аспект

В гражданско-правовом споре с банком заключение выполняет функцию опровержения презумпции надлежащего распоряжения средствами клиентом. Банковская практика исходит из того, что операция, подтверждённая кодом из SMS, совершена клиентом. Задача потерпевшего — доказать, что код был перехвачен вредоносным ПО. Без заключения решение этой задачи невозможно.

Для предприятий значение имеет дополнительный аспект: корпоративный счёт обслуживается на основании договора, и банк рассматривает операции как совершённые уполномоченными лицами. Единственный способ переломить эту позицию — доказать, что операция инициирована вредоносным ПО, получившим доступ к устройству сотрудника.

Глава 6. Эмпирические кейсы

Кейс 1. SMS-перехватчик, маскировавшийся под обновление безопасности

Гражданка К. установила APK-файл, полученный по ссылке в SMS. Списание — 187 000 рублей. Банк отказал, сославшись на подтверждение кодами. Предварительный анализ (5 000 рублей) выявил приложение с доступом к SMS и уведомлениям; развёрнутое заключение (25 000 рублей) установило пересылку сообщений на внешний номер с временными метками, совпавшими со списаниями. Банк возместил ущерб; возбуждено уголовное дело по пункту «г» части 3 статьи 158 УК РФ.

Кейс 2. Кредит, оформленный под удалённым управлением

Гражданин П. под руководством позвонившего установил приложение удалённой помощи. Оформлен кредит на 400 000 рублей. Краткая справка (15 000 рублей) подтвердила нахождение устройства под удалённым управлением в момент оформления; развёрнутое заключение (25 000 рублей) установило отсутствие волеизъявления. Суд признал кредит недействительным, запись в бюро кредитных историй скорректирована.

Кейс 3. Хищение с корпоративного счёта

Сотрудник ООО «Р.» использовал личный смартфон для доступа к корпоративному онлайн-банку. После установки приложения от «контрагента» выведены 2 300 000 рублей. Развёрнутое заключение (25 000 рублей) установило наличие трояна и корреляцию временных меток перехвата с платежами. Возбуждено уголовное дело; 800 000 рублей возвращены в рамках обеспечительных мер.

Кейс 4. Подмена реквизитов

ООО «Т.» оплатило услуги по реквизитам, полученным по электронной почте. Платёж на 1 100 000 рублей ушёл третьему лицу. Заключение (25 000 рублей) подтвердило наличие ПО, модифицирующего буфер обмена. Часть средств заблокирована; разбирательство продолжается.

Кейс 5. «Оптимизатор батареи»

Гражданин С. установил приложение из стороннего магазина. Списания — 95 000 рублей. Развёрнутое заключение (25 000 рублей) установило несоответствие заявленного функционала фактическим разрешениям и пересылку SMS, начавшуюся за неделю до первого списания. Банк возместил ущерб.

Глава 7. Организационные выводы для предприятий

Предприятию целесообразно утвердить регламент реагирования на инциденты, связанные с компрометацией мобильных устройств. Регламент должен предусматривать запрет на самостоятельную очистку устройства сотрудником, порядок изоляции и передачи устройства специалисту, порядок взаимодействия с IT-службой для проверки смежных систем, порядок уведомления страховщика.

Вопрос о том, как проверить телефон на слежку в корпоративном контексте решается не разовыми действиями, а наличием утверждённой процедуры. Инцидент с корпоративным счётом развивается стремительно, и цена промедления измеряется миллионами: пока принимается решение, следы исчезают.

Глава 8. Дополнительные замечания по смежным устройствам

Вопрос о том, как проверить компьютер на шпионские программы, выходит за рамки настоящей работы, однако принципиальный подход сохраняется: фиксация состояния, изоляция, снятие образа, анализ автозагрузки и сетевых соединений. Аналогичным образом решается вопрос как проверить ноутбук на наличие шпионских программ — с той разницей, что спектр возможных вредоносных объектов шире, а последствия компрометации могут включать доступ к корпоративным системам.

Заключение

Проверка смартфона на шпионское ПО в научно-прикладном контексте представляет собой не техническую процедуру, а элемент системы защиты имущественных интересов. Вопрос о том, как проверить телефон на слежку, корректно решается лишь при условии выбора уровня документирования, соответствующего стадии спора, и соблюдения последовательности: фиксация устройства — предварительный анализ — краткая справка — развёрнутое заключение — экспертиза. Нарушение последовательности, в частности самостоятельная очистка устройства, делает доказывание невозможным.

Стоимость услуг (от 5 000 до 50 000 рублей) несопоставима с размером ущерба, который может быть предотвращён или возмещён. Для предприятий наличие регламента и договора с профильным специалистом является элементом правовой защиты; для физических лиц — условием сохранения процессуальной позиции в споре с банком.

Перспективным направлением дальнейших исследований представляется разработка автоматизированных методов выявления индикаторов компрометации на устройствах Android без получения root-доступа, а также формализация требований к заключениям, предназначенным для представления в кредитные организации.

Приложение. Термины и определения

Шпионское ПО — программное обеспечение, скрытно собирающее информацию об устройстве и пользователе и передающее её третьим лицам.

Банковский троян — вредоносное ПО, ориентированное на хищение средств через банковские приложения и перехват кодов подтверждения.

RAT (Remote Access Trojan) — программа удалённого доступа, предоставляющая злоумышленнику контроль над устройством.

SMS-перехватчик — программа, перенаправляющая входящие сообщения третьим лицам.

Специальные возможности (Accessibility) — механизм операционной системы, позволяющий приложению читать экран и совершать действия от имени пользователя.

Stalkerware — программа слежки, устанавливаемая без согласия владельца устройства.

C2 (Command and Control) — сервер управления, через который вредоносное ПО получает команды и передаёт данные.

Компьютерно-техническая экспертиза — процессуальное исследование, проводимое по правилам судебной экспертизы.

Настоящая монография носит научно-методический характер и не заменяет индивидуальную консультацию специалиста по конкретному инциденту. Приведённые цены являются ориентировочными и уточняются при заключении договора.