Эта монография написана не для того, чтобы пугать. Она написана для того, чтобы вы перестали думать, что шпионское ПО на телефоне — это про «муж следит за женой». Это давно не так. Сегодня на подпольном рынке продаются готовые комплекты, которые за 1400 долларов в месяц превращают чужой смартфон в инструмент кражи денег с банковских счетов. Не переписку читать — деньги воровать. И если вы физическое лицо, которое однажды обнаружит, что с его счёта ушли средства «по подтверждённому коду», или предприятие, чей бухгалтер кликнул не ту ссылку, — эта работа для вас. С кейсами. С ценами. С конкретикой. И да, с провокациями. Потому что пришло время перестать делать вид, что проблема вас не касается.

1. Введение: хватит кивать на ревность

Давайте сразу расставим точки. Бытовые истории про «установил программу, чтобы следить за супругой» — это детский сад по сравнению с тем, что происходит на рынке коммерческого spyware последние два года.

В июне 2026 года исследователи iVerify обнаружили платформу Octagon. Русскоязычный продавец под ником AndroidKitKat продаёт её по подписке — 1400 долларов в месяц. Что получает покупатель? Панель управления для Windows и приложение для Android, которое после установки позволяет оператору видеть экран жертвы, нажимать кнопки, вводить текст, перехватывать SMS с кодами подтверждения и накладывать фальшивые окна поверх настоящих банковских приложений. Это не «слежка». Это удалённое управление чужими деньгами.

А связка CraxsRAT и NFCGate, которую F6 зафиксировала в России? К марту 2025 года — свыше 180 тысяч заражённых устройств. Ущерб за январь–февраль — почти 200 миллионов рублей. Механизм простой до неприличия: вы устанавливаете файл, замаскированный под «Фотографии.apk». Приложение просит приложить карту к телефону и ввести ПИН-код — якобы для проверки. Данные уходят преступникам. Деньги снимаются в банкомате.

Вот это — реальная угроза. А не ревнивый супруг.

Почему эта монография провокационна? Потому что она говорит неприятную вещь: если вы потеряли деньги через банковское приложение на телефоне, и банк вам отказал со словами «операция подтверждена корректным кодом», — вы, скорее всего, останетесь виноватым. Если не докажете обратное. А доказать можно только одним способом: технической экспертизой устройства. И да, это стоит денег. Как и всё в этой жизни, что связано с защитой ваших собственных средств.

2. Как именно крадут деньги: три механизма, которые должен знать каждый

2.1. Перехват кодов подтверждения — и банк вам не поверит

Схема, которая ломает всю вашу защиту. Банк отправляет SMS с кодом. Вы его не видите. Видит злоумышленник. Octagon перехватывает входящие SMS и пересылает их оператору. ZeroDayRAT читает SMS, включая OTP-коды, что позволяет обходить двухфакторную аутентификацию и захватывать аккаунты.

Дальше — перевод. Банк видит: устройство ваше, IP ваш, код подтверждения введён корректно. Всё чисто. Вы приходите в банк: «Я ничего не переводил». Вам отвечают: «Операция подтверждена». И формально банк прав. А теперь провокационный вопрос: вы правда думаете, что банк будет разбираться, кто именно нажал кнопку на вашем телефоне в 3:17 ночи? Или ему проще списать убыток на вас?

Конфликт интересов очевиден: банк защищает себя, а не вас. Пока вы не предоставите документ, подтверждающий, что устройство было скомпрометировано, вы — сторона, которая «нарушила условия договора».

2.2. Overlay-атаки: вы вводите пароль не туда

Технология overlay — это когда поверх настоящего окна банковского приложения появляется поддельное. Вы думаете, что вводите пароль в приложение банка. На самом деле — в форму, которую контролирует преступник.

Octagon делает это с Trust Wallet, Binance, MEXC, MetaMask. Готовые шаблоны. Покупатель может добавить свои. ZeroDayRAT использует overlay для кражи учётных данных из Google Pay, Apple Pay, PayPal.

Ключевой момент: для этого не нужны уязвимости в Android. Нужно разрешение на «специальные возможности», которое вы сами выдаёте при установке. Приложение выглядит безобидно. Работает в фоне. Пока вы не откроете банковское приложение — и не введёте данные в поддельное окно. И вот здесь провокация: сколько раз вы, не глядя, нажимали «Разрешить» при установке очередного фонарика или сканера QR-кодов? Вот то-то и оно.

2.3. NFC-считывание карты: самый прямой способ

Связка CraxsRAT + NFCGate — это не «взлом». Это ограбление через ваш собственный телефон.

NFCGate изначально — легитимное приложение, сделанное студентами в 2015 году для отладки NFC-протоколов. Преступники превратили его в инструмент считывания карт. Схема: CraxsRAT (троян) проникает на устройство под видом полезной программы. Устанавливает NFCGate в фоне. Вас просят приложить карту и ввести ПИН-код. Данные уходят.

В отличие от фишинга, здесь не нужно вам звонить и уговаривать. Достаточно одного неосторожного клика. Дальше — автоматика. И самое неприятное: вы даже не поймёте, что что-то не так, пока не увидите списание.

3. Почему предприятия рискуют больше, чем думают

Бухгалтер с доступом к ДБО. Смартфон на Android. Ему приходит в WhatsApp файл «Акт сверки.pdf.apk». Он открывает. Через три недели с расчётного счёта организации уходят 420 тысяч рублей тремя транзакциями. Банк отказывает: коды подтверждения приходили на телефон бухгалтера, операции подтверждены.

Знакомая картина? Это не гипотетика. Это кейс из практики, который мы разберём ниже.

Проблема предприятий в том, что они смотрят на кибербезопасность как на «защиту периметра». Фаерволы, антивирусы, DLP. А деньги уходят через личный телефон сотрудника, который никаким периметром не защищён. И банк в этом случае видит легитимную операцию: устройство клиента, корректный код, знакомая сессия.

Вот где конфликт: предприятие считает, что банк должен был заметить аномалию. Банк считает, что предприятие должно было обеспечить безопасность устройства сотрудника. Прав тот, у кого есть документ. А теперь провокация для бизнеса: вы готовы объяснить своему партнёру или учредителю, почему 420 тысяч ушли, потому что вы сэкономили 25 тысяч на проверке телефона бухгалтера?

4. Методика проверки: четыре уровня — четыре честных цены

Мы не обещаем «полную защиту». Мы обещаем установить факт компрометации и зафиксировать его так, чтобы вы могли использовать это в споре с банком, страховой или судом.

Уровень 1. Предварительный анализ — 5 000 рублей

Что делаем: смотрим разрешения. Кто имеет доступ к специальным возможностям? Кто читает SMS? Откуда установлены приложения? Есть ли неизвестные профили администрирования?

Что получаете: устное заключение. Есть ли явные красные флаги. Стоит ли копать глубже.

Честное ограничение: если вредонос уже удалён или маскируется под системную службу — этот уровень его не увидит. Octagon умеет работать так, что Google Play Защита говорит «всё чисто».

Уровень 2. Краткая справка — 15 000 рублей

Что делаем: всё из первого уровня плюс анализ сетевых соединений. Ищем характерные артефакты: WardAccessibilityService, OctagonBridge, соединения по TCP-порту 4444. Проверяем запущенные процессы.

Что получаете: документ на 1–3 страницы. Можно приложить к заявлению в банк. Можно использовать во внутреннем расследовании на предприятии.

Когда имеет смысл: если вы уже потеряли деньги и хотите создать письменную историю для банка, но пока не готовы к полноценной экспертизе.

Уровень 3. Развёрнутое заключение — 25 000 рублей

Что делаем: снимаем образ памяти. Анализируем системные журналы. Восстанавливаем историю разрешений: когда и какое приложение получило доступ к Accessibility, SMS, уведомлениям. Ищем «спящие» компоненты. Сверяем с базами индикаторов компрометации по Octagon, ZeroDayRAT, CraxsRAT.

Что получаете: заключение на 5–15 страниц с подписью специалиста. Это уже документ, который можно предъявить в досудебном споре. Он фиксирует: устройство было скомпрометировано, механизм — такой-то, временные рамки — такие-то.

Почему это работает: банк отказывает на основании «операция подтверждена устройством клиента». Вы предоставляете документ: устройство клиента было под контролем третьей стороны. Это меняет юридическую картину. И да, это стоит 25 тысяч. Дешевле, чем 87 тысяч, которые вы уже потеряли.

Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Что делаем: полный образ памяти с восстановлением удалённых данных. Хронология: когда установлено, какие действия выполнялись, была ли передача данных за пределы устройства. Анализ финансовых артефактов. Заключение по вопросам, поставленным судом или следствием. При необходимости — участие в заседании.

Когда нужно: уголовное дело по факту хищения. Гражданский иск к банку. Страховой спор, где сумма покрытия зависит от того, была ли это «халатность» или «целевая атака».

5. Пять кейсов. Без прикрас.

Кейс 1. «Я спал. Деньги ушли в 3:17»

Кто: гражданин Н., 42 года.
Что случилось: списание 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал: операция подтверждена корректным OTP-кодом с устройства клиента.

Что нашли (уровень 3): за 11 дней до инцидента установлено приложение «Обновление системы безопасности». Запросило Accessibility и SMS. В файловой системе — WardAccessibilityService и OctagonBridge. Соединения по порту 4444. В локальной базе — overlay-шаблоны для банковского приложения.

Результат: заключение в банк. Банк пересмотрел решение, вернул деньги. Материалы ушли в полицию.

Суть конфликта: без экспертизы Н. был виноват. С экспертизой — стал потерпевшим. Разница — 25 тысяч рублей и технический документ. Провокационный вопрос: а сколько стоит ваша репутация в глазах банка? Очевидно, дешевле 25 тысяч, если вы не готовы их потратить.

Кейс 2. «Кредит на 300 тысяч, который я не брала»

Кто: гражданка К., 35 лет.
Что случилось: в кредитной истории — заявка на потребительский кредит. Банк одобрил, но заблокировал выдачу. К. не подавала.

Что нашли (уровень 2): приложение «Фоторедактор» с доступом к SMS и уведомлениям. Сетевые соединения с инфраструктурой ZeroDayRAT. В журнале SMS — следы пересылки сообщений от банка на неизвестный номер. За неделю до заявки — переход по ссылке «обновление приложения банка».

Результат: краткая справка в банк. Кредитную заявку аннулировали. Кредитную историю скорректировали.

Почему это важно: шпионское ПО используется не только для кражи с существующего счёта. Оно позволяет оформить новый кредит на ваше имя. И если банк не заблокирует — вы будете должны деньги, которые никогда не видели. И вот здесь провокация: вы всё ещё думаете, что «меня это не коснётся»?

Кейс 3. «Бухгалтер открыл PDF»

Кто: ООО «А.», малое предприятие.
Что случилось: 420 000 рублей ушли с расчётного счёта тремя транзакциями. Банк отказал: коды подтверждения приходили на телефон бухгалтера, операции подтверждены.

Что нашли (уровень 3): на смартфоне бухгалтера (Android 14) за три недели до инцидента установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon. Соединения по порту 4444. Журнал уведомлений показал перехват OTP. Overlay-шаблоны включали интерфейс ДБО, которым пользовалась организация.

Результат: заключение в банк и страховую. Банк возместил 70%. Страховая покрыла остаток по полису киберстрахования. Устройство заменено.

Что должен вынести бизнес: проверка личных телефонов сотрудников с доступом к деньгам — это не паранойя. Это дешевле, чем 420 тысяч. И значительно дешевле, чем судебный процесс, который вы, скорее всего, проиграете без технического заключения.

Кейс 4. «Адрес совпадал. Первые и последние символы»

Кто: гражданин М., 29 лет, владелец Trust Wallet.
Что случилось: переводил 0,45 ETH на биржевой адрес. Скопировал. Визуально проверил: первые и последние символы совпадают. Отправил. Деньги ушли на чужой адрес.

Что нашли (уровень 3): компонент мониторинга буфера обмена. В логах — записи подмены clipboard при копировании Ethereum-адресов. Артефакты ZeroDayRAT. Приложение-носитель «Менеджер файлов» установлено за 5 дней до инцидента из Telegram.

Результат: заключение зафиксировало механизм. Деньги не вернуть — блокчейн необратим. Документ использован для заявления в полицию и информирования биржи.

Урок: визуальная проверка адреса криптокошелька не работает. Clipboard-инъекция меняет середину строки, оставляя края нетронутыми. И да, это обидно. Но ещё обиднее — потерять деньги и даже не понять, как это произошло.

Кейс 5. «Проверка карты на безопасность»

Кто: гражданка С., 58 лет.
Что случилось: списание 95 000 рублей с карты, которую она не теряла. За два дня до этого — звонок «из банка»: «Давайте проверим карту на безопасность. Установите приложение, приложите карту, введите ПИН-код».

Что нашли (уровень 3): восстановленные из дампа следы CraxsRAT и модифицированного NFCGate. Журналы NFC-активности: считывание данных карты в момент, указанный С., передача на внешний сервер. Приложение мимикрировало под системное.

Результат: банк признал операцию мошеннической. Деньги вернули. Материалы в полицию.

Почему это самый опасный сценарий: жертва не подозревает о компрометации. Приложение работает в фоне. «Проверка карты» выглядит как забота банка. А на деле — считывание данных для снятия наличных. И провокация: вы всё ещё верите, что «сотрудник банка» на том конце провода действительно хочет вам помочь?

6. Что вы можете проверить сами. Прямо сейчас.

Не замена экспертизе. Но способ понять, нужна ли она.

Откройте настройки → Специальные возможности. Любое приложение, которое вы не устанавливали специально для управления телефоном (TalkBack, Voice Access) и которое имеет там доступ — красный флаг. Octagon и CraxsRAT работают именно так.

Настройки → Приложения → Специальный доступ → SMS. Кто читает ваши сообщения? Банковские приложения не должны запрашивать это разрешение. Мессенджеры — тоже.

Вспомните: вы устанавливали что-то из WhatsApp или Telegram? «Фото.apk», «Видео.apk», «Обновление.apk», «Акт.pdf.apk»? Если да — устройство под подозрением. Именно так распространяются CraxsRAT и NFCGate.

Наберите ##002#. Это отменяет переадресацию вызовов. Если звонки перенаправлялись на незнакомый номер, а вы этого не настраивали — возможно, устройство уже под контролем.

Проверьте, не появились ли неизвестные профили администрирования. Настройки → Безопасность → Администрирование устройства.

7. Конфликт, который нужно принять

Банки не на вашей стороне. Не потому что злые. Потому что их защита построена на презумпции: «операция подтверждена корректным кодом с устройства клиента — значит, клиент». Это дешевле, чем расследовать каждый случай.

Страховые компании тоже не на вашей стороне. Пока вы не докажете, что это была целевая атака, а не ваша неосторожность.

Суд — не на вашей стороне, пока у вас нет документа. Без технической экспертизы устройства вы просто говорите «я не делал». А банк говорит «код был корректный».

Техническое заключение меняет расстановку сил. Оно превращает вас из «клиента, который не уследил» в «потерпевшего от целевой атаки». Это разные юридические категории. И разные финансовые последствия. И да, это стоит денег. Но провокация в другом: вы готовы заплатить 25 тысяч сейчас, чтобы вернуть 87? Или предпочитаете сэкономить и потерять всё?

8. Заключение

Шпионское ПО на телефоне — это не «муж следит за женой». Это рынок. Octagon продаётся за 1400 долларов в месяц. ZeroDayRAT распространяется через Telegram. CraxsRAT и NFCGate заразили свыше 180 тысяч устройств в России, ущерб — почти 200 миллионов рублей за два месяца.

Вы можете сколько угодно надеяться, что вас это не коснётся. Или можете проверить устройство. И вот здесь последняя провокация: те, кто говорит «у меня нечего скрывать» и «меня не касается», — обычно именно те, кто потом пишет заявления в полицию с круглыми глазами. Не будьте как они.

Цены честные. Без «звоните, договоримся».

• 5 000 рублей — предварительный анализ. Понять, есть ли проблема.
• 15 000 рублей — краткая справка. Документ для банка или работодателя.
• 25 000 рублей — развёрнутое заключение. Доказательство для досудебного спора.
• От 50 000 рублей — экспертиза по запросу суда или следствия. Процессуальный документ по факту хищения.

Если вы потеряли деньги через банковское приложение и банк вам отказал — у вас есть выбор. Смириться. Или проверить телефон и вернуться в банк с документом.

Мы делаем второе. А вы?

Услуги оказываются в соответствии с описанной градацией. Стоимость экспертизы по запросу суда или следствия определяется сложностью дела, количеством поставленных вопросов, необходимостью восстановления удалённых данных и срочностью.