Настоящий документ представляет собой деловое руководство, посвящённое вопросам выявления вредоносного программного обеспечения на мобильных устройствах, которое используется как инструмент хищения денежных средств с банковских счетов и оформления мошеннических кредитных обязательств. В отличие от бытовых сценариев несанкционированного наблюдения, основное внимание уделено финансовым троянам, бэкдорам и вредоносному ПО удалённого доступа. Приводятся актуальные статистические данные, описываются механизмы компрометации, предлагается градация экспертных услуг с указанием стоимости и процессуального значения. Представлены пять практических кейсов. Материал предназначен для руководителей предприятий, сотрудников служб безопасности, а также физических лиц, заинтересованных в защите своих финансовых активов.

Ключевые слова: банковский троян, шпионское ПО, мобильная экспертиза, хищение денежных средств, кредитное мошенничество, Accessibility Services, судебная экспертиза, корпоративная безопасность.

1. Предмет, актуальность и целевая аудитория

1.1. Предмет руководства

В деловой среде проблема «шпионского ПО на телефоне» часто воспринимается как вопрос личной гигиены или бытовых конфликтов. Это представление устарело и опасно. Современное вредоносное ПО для мобильных устройств, ориентированное на извлечение прибыли, не ставит целью чтение личных сообщений. Его цель — доступ к банковским счетам, платёжным системам и кредитным инструментам.

По данным Министерства внутренних дел России, во второй половине 2025 года на долю банковского трояна Mamont приходилось 38,7% мобильных заражений, а на долю вредоносной версии NFCGate — 52,4%. Только за первые десять месяцев 2025 года ущерб от вредоносных версий NFCGate в России превысил 1,6 млрд рублей. Число жертв Mamont, по оценкам «Лаборатории Касперского», приближается к одному миллиону, увеличившись за год в 36 раз.

Для предприятий риск многократно возрастает. Корпоративные устройства используются для подтверждения операций по расчётному счёту через SMS-банкинг и push-уведомления. Компрометация одного телефона сотрудника, имеющего доступ к системе дистанционного банковского обслуживания, может привести к хищению средств в масштабах, несопоставимых с потерями физического лица. Кредитное мошенничество, оформленное на сотрудника, создаёт репутационные и правовые риски для работодателя.

1.2. Целевая аудитория

Руководство предназначено для двух категорий пользователей.

Физические лица, столкнувшиеся с подозрением на компрометацию личного устройства или уже понёсшие финансовые потери. Для них важны практические шаги: как проверить устройство, что делать при обнаружении вредоносного ПО, как выстроить взаимодействие с банком и правоохранительными органами.

Представители предприятий — руководители, сотрудники служб безопасности, главные бухгалтеры, — чьи корпоративные устройства используются для подтверждения финансовых операций. Для них критичны вопросы организационного характера: как выстроить политику безопасности, как действовать при инциденте, как минимизировать риски.

2. Механизмы компрометации и хищения

2.1. Векторы проникновения вредоносного ПО

Понимание того, как вредоносное ПО попадает на устройство, необходимо для оценки рисков.

Боковая загрузка APK-файлов. Пользователю предлагается установить приложение «для обновления банковского сервиса», «для просмотра фото» или «для получения выплаты». Файл с расширением. apk передаётся через мессенджер или скачивается с фишинговой страницы. Mamont распространялся именно так — в мессенджерах под видом фотографий или видео, при этом в названии файла фигурировало расширение. apk.

Smishing (SMS-фишинг). Злоумышленники рассылают SMS с ссылками на поддельные страницы, имитирующие официальные ресурсы.

Поддельные магазины приложений. Создаются копии страниц официальных магазинов, на которых размещаются вредоносные установщики. Исследованный образец RatOn маскировался под TikTok.

Предустановленные бэкдоры. Наиболее тревожная тенденция — интеграция вредоносного кода непосредственно в прошивку устройства. Бэкдор Triada распространяется в прошивках новых Android-устройств, подделок под популярные модели. Количество пользователей, атакованных этим вредоносом в России в 2025 году, выросло в пять раз по сравнению с 2024 годом и исчисляется сотнями тысяч.

2.2. Технические механизмы, обеспечивающие хищение

После установки финансовый троян стремится получить разрешение на доступ к службам специальных возможностей (Accessibility Services). Этот компонент Android изначально предназначен для помощи пользователям с ограниченными возможностями, однако при предоставлении доступа стороннему приложению оно получает возможность читать содержимое экрана, имитировать нажатия, перехватывать вводимые символы и управлять другими приложениями.

Типовой функциональный арсенал банковского трояна включает следующие возможности.

Перехват SMS и push-уведомлений. Mamont после активации запрашивает разрешение на установку себя в качестве SMS-приложения по умолчанию. Это даёт возможность перехватывать входящие SMS, отправлять сообщения с устройства и манипулировать уведомлениями банка, включая перенаправление кодов подтверждения. Троян также умеет выгружать архив всех SMS с устройства.

Overlay-атаки. RatOn обладает функционалом выставления overlay-окон — всплывающих окон, перекрывающих экран телефона. Для сокрытия своих действий злоумышленники используют чёрное overlay-окно, закрывающее пользовательский экран.

Удалённое управление устройством. RatOn делает снимок экрана каждые 50 мс и передаёт потоковое изображение злоумышленникам. Поддерживаются команды свайпа, касания, нажатия кнопок «назад», «меню недавних приложений», блокировки и разблокировки устройства. Троян также умеет запускать банковские приложения, вводить ПИН-код, увеличивать лимиты операций и выполнять автоматические переводы на заранее подготовленные счета.

Подмена данных в буфере обмена. RatOn перехватывает содержимое буфера обмена и может подменять данные — например, номер счёта, на который жертва переводит деньги.

2.3. Финансовые последствия

Прямой ущерб не ограничивается единовременным списанием. Вредоносное ПО позволяет злоумышленникам получить доступ к персональным данным, достаточным для оформления кредитов и займов на имя жертвы. Средства выводятся на счета, контролируемые злоумышленниками, а жертва узнаёт о существовании кредитного обязательства спустя месяцы.

Для предприятий дополнительным риском является компрометация учётных данных сотрудников, имеющих доступ к системам дистанционного банковского обслуживания. В этом случае хищение может быть совершено в крупных размерах до того, как служба безопасности успеет отреагировать.

3. Кейсы из экспертной практики

Примечание: кейсы составлены на основе типичных сценариев, наблюдаемых в экспертной практике, с изменением идентифицирующих деталей.

Кейс 1. Хищение с расчётного счёта организации через компрометацию телефона главного бухгалтера

Обстоятельства. ООО «Северная логистика» обнаружило списание 1 870 000 рублей с расчётного счёта в течение 48 часов. Операции проводились через систему дистанционного банковского обслуживания с подтверждением SMS-кодами, поступавшими на телефон главного бухгалтера. Бухгалтер утверждала, что не инициировала переводы и не передавала коды третьим лицам. Банк отказал в возврате средств, указав на «ненадлежащее хранение аутентификационных данных клиентом».

Исследование. Предварительный анализ (5 000 руб.) выявил на устройстве Android приложение с разрешением Accessibility Services, замаскированное под «оптимизатор батареи». Краткая справка (15 000 руб.) зафиксировала перехват SMS-сообщений и передачу данных на IP-адрес, расположенный за пределами Российской Федерации. Развёрнутое заключение (25 000 руб.) установило, что троян семейства Mamont был установлен за 11 дней до хищения через APK-файл, полученный в мессенджере под видом «обновления корпоративного портала».

Результат. Заключение было приложено к претензии банку и к заявлению в полицию. Банк в ходе разбирательства признал, что SMS-коды были скомпрометированы не по вине клиента, и возместил 70% суммы. Остаток взыскан в порядке гражданского судопроизводства.

Деловой вывод. Для предприятий критически важно, чтобы устройство, используемое для подтверждения операций по расчётному счёту, проходило регулярную проверку. Компрометация произошла за 11 дней до хищения — своевременная проверка позволила бы предотвратить потери.

Кейс 2. Оформление кредита на физическое лицо после заражения через «обновление банковского приложения»

Обстоятельства. Гражданин К. получил в мессенджере сообщение от «службы поддержки банка» с предложением обновить приложение для «повышения безопасности». Перейдя по ссылке, он скачал APK-файл. Через два месяца при проверке кредитной истории обнаружил кредит на 450 000 рублей, оформленный в другом банке. Средства были выведены на счёт, открытый на его имя, но им не контролируемый.

Исследование. Предварительный анализ (5 000 руб.) подтвердил наличие подозрительного приложения с доступом к SMS и уведомлениям. Развёрнутое заключение (25 000 руб.) показало, что троян перехватывал SMS от банков, включая коды подтверждения, и перенаправлял их на сервер злоумышленников. Вредоносное ПО также получало доступ к списку контактов и, вероятно, использовалось для подачи заявки на кредит от имени К. с подтверждением через перехваченные SMS.

Результат. Заключение легло в основу заявления в полицию и иска к банку, выдавшему кредит, о признании договора недействительным. Суд назначил судебную экспертизу, которая подтвердила выводы досудебного исследования. Кредитный договор был признан недействительным, запись в кредитной истории аннулирована.

Деловой вывод. Кредитное мошенничество может быть выявлено только при проверке кредитной истории. Если обнаружен кредит, который не оформлялся, — это прямой сигнал о компрометации устройства и необходимости экспертизы.

Кейс 3. Предустановленный бэкдор на новом смартфоне, приобретённом через маркетплейс

Обстоятельства. Сотрудник IT-отдела предприятия приобрёл новый смартфон популярного бренда через неофициальный маркетплейс по цене на 30% ниже рыночной. Устройство использовалось для корпоративной почты и мессенджеров, но не для банковских операций. Через три недели с корпоративной карты, привязанной к аккаунту сотрудника, были списаны 120 000 рублей через мобильный банк, приложение которого на этом устройстве не устанавливалось.

Исследование. Предварительный анализ (5 000 руб.) не выявил сторонних приложений, однако развёрнутое заключение (25 000 руб.) с анализом системных разделов показало наличие вредоносного кода, интегрированного в прошивку. Код перехватывал SMS и отправлял данные на командный сервер. Банковское приложение, установленное на другом устройстве, не было скомпрометировано напрямую, однако перехваченные SMS с кодами подтверждения, поступавшие на заражённый телефон, позволили злоумышленникам войти в мобильный банк.

Результат. Устройство было возвращено продавцу с требованием возврата стоимости. Банк, получив заключение эксперта, признал операцию мошеннической и вернул средства. Инцидент инициировал проверку всех корпоративных устройств, приобретённых через неофициальные каналы.

Деловой вывод. Приобретение устройств через неофициальные каналы создаёт риск предустановленного вредоносного ПО, которое не обнаруживается стандартными антивирусными средствами. Для предприятий рекомендуется закупка только у авторизованных продавцов с последующей проверкой устройств, используемых для доступа к финансовым системам.

Кейс 4. Хищение средств с использованием overlay-атаки на клиента банка

Обстоятельства. Гражданка М. обнаружила списание 89 000 рублей со счёта после того, как в течение недели пользовалась смартфоном «как обычно». Единственным необычным обстоятельством было приложение для «скидок в супермаркете», установленное из стороннего источника по ссылке из SMS-рассылки.

Исследование. Краткая справка (15 000 руб.) зафиксировала наличие приложения с разрешением на отображение поверх других окон и Accessibility Services. Развёрнутое заключение (25 000 руб.) установило, что при запуске банковского приложения троян отображал поддельный экран ввода логина и пароля, а также экран подтверждения перевода, который жертва воспринимала как часть легитимного интерфейса. Введённые данные передавались на сервер, после чего злоумышленники самостоятельно инициировали перевод.

Результат. Банк после предъявления заключения признал, что клиент стал жертвой вредоносного ПО, и компенсировал полную сумму. Материалы переданы в полицию для установления лиц, распространявших троян.

Деловой вывод. Overlay-атаки особенно опасны тем, что жертва не подозревает о происходящем: она видит привычный интерфейс и вводит данные, которые немедленно перехватываются. Единственный способ защиты — не устанавливать приложения из непроверенных источников.

Кейс 5. Попытка оформления кредита через компрометацию аккаунта государственных услуг

Обстоятельства. Гражданин С. получил уведомление о том, что на его имя подан запрос на кредит в микрофинансовой организации. Он не подавал заявку. Выяснилось, что за неделю до этого он устанавливал на телефон приложение «для записи к врачу» из стороннего источника.

Исследование. Предварительный анализ (5 000 руб.) выявил приложение с подозрительными разрешениями, включая доступ к SMS и Accessibility. Развёрнутое заключение (25 000 руб.) показало, что троян перехватывал SMS с кодами подтверждения от портала государственных услуг и от банков. Используя эти коды, злоумышленники восстановили доступ к учётной записи С. на портале, получили доступ к его персональным данным и попытались оформить кредит. Заявка была отклонена микрофинансовой организацией по внутренним критериям скоринга, однако факт попытки подтверждён.

Результат. Заключение использовано для обращения в Роскомнадзор и в полицию. Учётная запись С. на портале была защищена дополнительными мерами аутентификации. Микрофинансовая организация, получив материалы, аннулировала заявку и подтвердила, что она была подана с устройства, не принадлежащего С.

Деловой вывод. Компрометация аккаунта на портале государственных услуг открывает злоумышленникам доступ к персональным данным, достаточным для подачи заявок на кредиты. Регулярная проверка кредитной истории и подключение уведомлений о запросах на кредит позволяют выявить такие попытки на ранней стадии.

4. Алгоритм проверки устройства

4.1. Первичная самостоятельная диагностика

Данный этап не заменяет экспертное исследование, но позволяет оценить необходимость дальнейших действий.

Шаг 1. Проверьте список приложений с доступом к Accessibility Services. Перейдите в настройки устройства: «Настройки» → «Специальные возможности» → «Службы специальных возможностей». Если в списке есть незнакомое приложение с включённым доступом — это серьёзный повод для беспокойства. Специалисты F6 рекомендуют проверять, какие программы подключены к Android Accessibility.

Шаг 2. Проверьте приложения с разрешением на отображение поверх других окон. «Настройки» → «Приложения» → «Специальный доступ» → «Поверх других приложений». Незнакомые приложения в этом списке могут быть связаны с overlay-атаками.

Шаг 3. Проверьте, какое приложение назначено SMS-приложением по умолчанию. Mamont запрашивает именно это разрешение для перехвата сообщений. Не назначайте приложения SMS-по умолчанию без веской необходимости.

Шаг 4. Проверьте приложения, имеющие доступ к NFC, и платёжную систему по умолчанию. Вредоносные версии NFCGate используют доступ к NFC для хищения средств.

Шаг 5. Обратите внимание на косвенные признаки. Быстрый разряд аккумулятора, перегрев в простое, повышенный расход мобильного трафика в ночное время, спонтанные перезагрузки, странные SMS или уведомления.

Шаг 6. Проверьте кредитную историю. Запросите отчёт в бюро кредитных историй. Наличие кредитов или заявок, которые вы не оформляли, — прямое указание на компрометацию персональных данных.

Важное предупреждение. Если вы обнаружили что-то подозрительное, не удаляйте приложение и не выполняйте сброс до заводских настроек до консультации с экспертом. Удаление вредоносного ПО уничтожает цифровые следы, которые могут быть критичны для установления способа хищения и возврата средств через банк или суд.

4.2. Действия при подтверждённом или предполагаемом хищении

Шаг 1. Изолируйте устройство от сетей. Включите авиарежим. Это предотвращает дальнейшую передачу данных и команд от сервера злоумышленников.

Шаг 2. Зафиксируйте факт хищения в банке. Подайте заявление о несогласии с операцией, запросите выписку. Чем раньше банк уведомлён, тем выше вероятность приостановки вывода средств.

Шаг 3. Обратитесь в правоохранительные органы. Заявление о хищении подаётся в полицию. Если сумма значительна или речь идёт о кредитном мошенничестве, материалы проверки могут стать основанием для назначения судебной экспертизы.

Шаг 4. Уведомьте кредитные организации. Если есть основания полагать, что персональные данные или коды подтверждения могли быть использованы для оформления кредитов, запросите кредитную историю и уведомьте банки о компрометации.

Шаг 5. Обратитесь за экспертным исследованием. Уровень услуги определяется ситуацией (см. раздел 5).

4.3. Действия для предприятий

При инциденте с устройством сотрудника, имеющего доступ к системе дистанционного банковского обслуживания:

• Немедленно изолируйте устройство от корпоративных сетей.
• Зафиксируйте состояние устройства до любых действий по «очистке».
• Назначьте ответственное лицо, координирующее взаимодействие с экспертами, банком и правоохранительными органами.
• Проведите проверку всех устройств, использовавшихся для доступа к финансовым системам, на предмет аналогичной компрометации.

Профилактические меры:

• Политика запрета установки приложений из неизвестных источников на корпоративные устройства, используемые для дистанционного банковского обслуживания.
• Регулярный аудит устройств сотрудников, имеющих доступ к финансовым системам, — не реже раза в квартал.
• Использование MDM-решений (Mobile Device Management) для контроля за установкой приложений и разрешениями.
• Обучение сотрудников распознаванию фишинговых сообщений и пониманию рисков боковой загрузки приложений.

5. Градация экспертных услуг

5.1. Предварительный анализ — 5 000 рублей

Содержание. Визуальный осмотр устройства; проверка установленных приложений и выданных разрешений (Accessibility Services, отображение поверх других окон, доступ к SMS, доступ к NFC); анализ списка администраторов устройства; проверка наличия подозрительных профилей конфигурации (для iOS); базовая проверка системных настроек на предмет аномалий.

Результат. Устное или письменное (в свободной форме) заключение о наличии или отсутствии признаков компрометации. Не является процессуальным документом.

Кому подходит. Физическим лицам, заметившим необычную активность устройства и желающим оценить необходимость дальнейших действий. Предприятиям — для быстрой проверки устройства сотрудника после инцидента.

Ограничения. Не может использоваться как доказательство в суде. Не выявляет предустановленные бэкдоры и некоторые трояны с динамической загрузкой.

5.2. Краткая справка по результатам исследования — 15 000 рублей

Содержание. Документ, фиксирующий результаты проверки: перечень обнаруженных подозрительных объектов (приложений, разрешений, профилей), описание выявленных аномалий, предварительная атрибуция вредоносного ПО (по возможности). Справка содержит подпись исполнителя.

Результат. Письменный документ с описательной частью. Может использоваться для внутреннего документооборота, обращения в банк с заявлением о перехвате средств или для предварительной оценки перспектив судебного разбирательства.

Кому подходит. Физическим лицам, готовящим претензию банку; предприятиям — для фиксации факта инцидента во внутренних документах.

5.3. Развёрнутое заключение — 25 000 рублей

Содержание. Полноценное исследование с описанием методики, перечнем использованных инструментов, анализом системных журналов, сетевой активности (при наличии технической возможности), восстановлением удалённых артефактов в пределах доступного. Заключение оформляется с учётом требований, предъявляемых к экспертным документам.

Результат. Документ, содержащий исследовательскую часть, выводы и подпись эксперта. Может быть представлен в суд общей юрисдикции или арбитражный суд как письменное доказательство.

Кому подходит. Физическим лицам и организациям, планирующим судебное разбирательство с банком или иным лицом, ответственным за утечку, но пока без назначения судебной экспертизы.

5.4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Содержание. Заключение эксперта, оформленное в соответствии с процессуальными требованиями, для использования в уголовном или гражданском процессе по факту хищения денежных средств. Включает создание образа памяти устройства (при технической возможности), низкоуровневый анализ, поиск скрытых процессов, анализ подключений к командным серверам, восстановление удалённых журналов и файлов, подготовку документа, отвечающего требованиям, предъявляемым к заключениям судебной экспертизы.

Результат. Заключение эксперта, обладающее повышенной доказательственной силой. Эксперт предупреждается об ответственности за дачу заведомо ложного заключения.

Кому подходит. Потерпевшим по уголовным делам о мошенничестве, истцам по гражданским искам к банкам, организациям, инициирующим служебные расследования с перспективой передачи материалов в правоохранительные органы.

6. Профилактика

6.1. Для физических лиц

Установка приложений только из официальных магазинов (Google Play, App Store, RuStore). Боковая загрузка APK — основной канал распространения банковских троянов. Если приложение предлагают установить по ссылке из SMS или мессенджера — это почти наверняка вредоносное ПО.

Регулярная проверка разрешений Accessibility Services. Если в списке есть незнакомое приложение с доступом к специальным возможностям — это красный флаг.

Контроль приложения, назначенного SMS-приложением по умолчанию. Mamont эксплуатирует именно это разрешение.

Проверка устройства после покупки с рук или через неофициальный маркетплейс. Предустановленные бэкдоры выявляются только специализированными средствами.

Использование отдельного устройства для подтверждения банковских операций, если суммы на счетах значительны.

Регулярная проверка кредитной истории — не реже раза в год, а при подозрении на компрометацию — немедленно.

6.2. Для предприятий

Политика запрета установки приложений из неизвестных источников на корпоративные устройства, используемые для дистанционного банковского обслуживания.

Регулярный аудит устройств сотрудников, имеющих доступ к финансовым системам. Проверка разрешений Accessibility Services и списка установленных приложений — не реже раза в квартал.

При инциденте — немедленная фиксация состояния устройства до любых действий по «очистке».

Обучение сотрудников распознаванию фишинговых сообщений и пониманию рисков боковой загрузки приложений.

Закупка устройств только у авторизованных продавцов с последующей проверкой устройств, используемых для доступа к финансовым системам.

7. Заключение

Банковский троян на смартфоне — не абстрактная угроза, а работающий инструмент хищения. Статистика последних лет демонстрирует устойчивый рост: ущерб от NFCGate в России превысил 1,6 млрд рублей за десять месяцев 2025 года , число жертв Mamont приближается к одному миллиону , а на долю этих двух семейств приходится более 90% мобильных заражений.

В отличие от программ бытовой слежки, ущерб здесь измеряется списанными со счетов суммами, оформленными кредитами и аннулированными кредитными историями. Своевременное экспертное исследование устройства позволяет не только установить факт компрометации, но и создать доказательную базу для возврата средств — через банк, суд или следственные органы.

Выбор уровня услуги определяется ситуацией. Для первичной оценки достаточно предварительного анализа (5 000 руб.). Для претензии банку — краткой справки (15 000 руб.). Для судебной перспективы необходимо развёрнутое заключение (25 000 руб.). В случае уже совершённого хищения, особенно если речь идёт о значительных суммах или кредитном мошенничестве, экспертиза по запросу суда или следствия (от 50 000 руб.) обеспечивает процессуально значимый результат, который может лечь в основу судебного решения.