Аннотация

Настоящая монография посвящена деловому анализу проблемы использования вредоносного программного обеспечения, устанавливаемого на смартфоны, в качестве инструмента хищения денежных средств с банковских счетов физических лиц и расчетных счетов предприятий. В отличие от традиционного рассмотрения «бытового» шпионажа, данная работа акцентирует внимание на финансово-ориентированных вредоносных программах — банковских троянах и средствах удаленного доступа, — которые применяются для несанкционированных переводов, оформления кредитов и компрометации корпоративных расчетных счетов. Работа содержит деловую методику проверки устройств, критерии оценки рисков, форматы экспертного сопровождения с указанием стоимости и пять документированных кейсов из экспертной и судебной практики. Материал предназначен для физических лиц, столкнувшихся с хищениями, и для предприятий, формирующих систему защиты корпоративных финансовых активов.

Ключевые слова: банковский троян, шпионское ПО, криминалистическая экспертиза смартфона, хищение денежных средств, Accessibility Service, overlay-атака, экспертное заключение, корпоративная безопасность.

Введение

Актуальность и постановка проблемы

Проблема проверки смартфона на наличие шпионского программного обеспечения традиционно рассматривается в двух плоскостях: бытовой (контроль со стороны супруга, партнера, родственника) и корпоративный (защита коммерческой тайны от конкурентов). Однако в период 2024–2026 годов сформировалась третья, качественно более опасная парадигма: шпионское ПО перестало быть инструментом наблюдения и превратилось в орудие прямого финансового поражения.

По данным «Лаборатории Касперского», во втором квартале 2026 года решения компании заблокировали 1,99 млн атак с использованием зловредов для Android. За квартал специалисты обнаружили 304 тыс. вредоносных установочных пакетов, включая 93,6 тыс. образцов банковских троянов. Банковские трояны остались крупнейшей категорией с долей 30,77%. Семейство Android.Banker.Mamont стабильно занимает верхние строчки рейтинга детектирований: троян перехватывает SMS с одноразовыми кодами от кредитных организаций, содержимое уведомлений, собирает технические данные о зараженном устройстве, список установленных приложений, информацию о SIM-карте, журнал звонков и сообщений.

Для предприятий проблема приобретает дополнительное измерение: корпоративные устройства, используемые сотрудниками, могут стать точкой входа для компрометации расчетных счетов организации, ключей электронной подписи и коммерческой тайны. Настоящее исследование ставит целью восполнить разрыв между технической природой финансово-ориентированного вредоносного ПО и практическими потребностями лиц, пострадавших от его применения, с акцентом на деловую методику проверки и процессуальные аспекты доказывания.

Методологическая основа

Исследование опирается на анализ публичных отчетов производителей средств защиты, обобщение судебной практики по делам о нарушении тайны переписки и неправомерном доступе к компьютерной информации, а также экспертную практику, включающей пять документированных кейсов. Кейсы представлены в анонимизированной форме с сохранением существенных обстоятельств, имеющих значение для понимания механики атак и методики экспертного исследования.

Глава 1. Теоретические основы финансово-ориентированных атак на мобильные устройства

1.1. Классификация вредоносного ПО, используемого для хищения средств

В отличие от классических «стилеров» (программ кражи данных), финансово-ориентированные вредоносные программы для мобильных устройств обладают тремя отличительными признаками: способностью к активному воздействию на банковские приложения (подмена интерфейса, эмуляция нажатий), перехватом каналов аутентификации (SMS-коды, push-уведомления, входящие вызовы) и функциями сокрытия собственного присутствия (маскировка под системные компоненты, отключение защитных механизмов платформы).

Современные образцы, такие как Android.Banker.Mamont, относятся к классу банковских троянов с функциями удаленного доступа (RAT). Mamont нацелен на банковские приложения и располагает набором команд, обеспечивающих практически полный контроль над зараженным устройством. Семейство дополняет этот арсенал возможностью перехвата SMS и подмены интерфейсов банковских приложений.

1.2. Векторы проникновения: от социальной инженерии до «дропперов»

Анализ описанных в литературе инцидентов позволяет выделить три основных вектора доставки вредоносного ПО на устройство жертвы.

Первый вектор — прямая социальная инженерия. Злоумышленник связывается с жертвой под видом сотрудника банка, службы безопасности или технической поддержки и убеждает установить приложение из стороннего источника.

Второй вектор — «дропперы» (droppers), то есть программы-загрузчики. Жертве предлагается установить приложение, которое само по себе может быть безвредным или даже полезным, но при запуске оно скрытно загружает и устанавливает второй этап — собственно вредоносный модуль.

Третий вектор — поддельные магазины приложений и фишинговые страницы. Злоумышленники распространяют вредоносное ПО через фишинговые ссылки, открывающие поддельные страницы официальных магазинов приложений с фальшивыми рейтингами, отзывами и счетчиками загрузок.

1.3. Механизм захвата контроля: злоупотребление Accessibility Service

Ключевым элементом, превращающим шпионское ПО в инструмент хищения, является злоупотребление службой специальных возможностей Android (Accessibility Service). Этот механизм изначально создан для помощи пользователям с ограниченными возможностями: он позволяет приложениям читать содержимое экрана, эмулировать нажатия и управлять интерфейсом от имени пользователя. Получив разрешение на Accessibility, вредоносная программа приобретает способность:

• фиксировать нажатия клавиш (keylogger) и содержимое экрана (screen logger);
• определять, какое приложение запущено в данный момент, и реагировать на запуск банковского приложения;
• эмулировать нажатия для совершения переводов без участия жертвы;
• отключать защитные механизмы, включая Google Play Protect.

Исследователи подчеркивают, что для работы современных троянов не требуется никакой уязвимости в Android: атака целиком основана на добровольной, хотя и обманом полученной, выдаче разрешений пользователем. Это обстоятельство имеет критическое значение для правовой квалификации: действия злоумышленника представляют собой не «взлом» в техническом смысле, а обман, что сближает состав с мошенничеством (ст. 159.6 УК РФ).

1.4. Финансовое поражение: техники хищения

После получения контроля над устройством злоумышленник применяет комбинацию техник, направленных на преодоление банковских систем защиты и сокрытие следов.

Подмена интерфейса (overlay). Наиболее распространенная техника. Вредоносная программа загружает с управляющего сервера HTML-страницу, визуально идентичную экрану входа в конкретное банковское приложение, и отображает ее поверх настоящего приложения при его запуске. Жертва вводит логин, пароль, номер карты и CVV-код в фальшивое окно, данные немедленно передаются злоумышленнику.

Перехват SMS и одноразовых кодов. Сделать себя обработчиком SMS по умолчанию — стандартный шаг для большинства современных банковских троянов. Это позволяет читать все входящие сообщения, включая коды подтверждения транзакций и уведомления банка о подозрительных операциях.

Перехват данных блокировки экрана. Вредоносная программа отображает фальшивый экран блокировки, имитирующий системный, для захвата PIN-кода, графического ключа или пароля. Получив эти данные, злоумышленник может разблокировать устройство в любой момент.

Манипуляция буфером обмена. Для краж криптовалют применяется подмена адреса кошелька: когда жертва копирует свой адрес для перевода, вредоносная программа заменяет его на адрес злоумышленника.

1.5. Специфика угроз для предприятий

Для юридических лиц финансовые последствия компрометации устройств сотрудников реализуются через два дополнительных канала. Первый — несанкционированные операции по расчетному счету организации. Если сотрудник, имеющий доступ к системе дистанционного банковского обслуживания (ДБО) или ключ электронной подписи, использует зараженное устройство, злоумышленник может инициировать платежное поручение от имени организации. Второй канал — компрометация переговоров и коммерческой тайны: шпионские функции создают риск утечки информации, составляющей коммерческую тайну, что квалифицируется дополнительно по ст. 183 УК РФ.

Глава 2. Деловая методика проверки устройства

2.1. Принципы экспертного исследования мобильных устройств

Криминалистическая проверка смартфона на наличие финансово-ориентированного вредоносного ПО подчиняется общим принципам судебной компьютерно-технической экспертизы, но обладает существенной спецификой. Она заключается в необходимости установления не только факта присутствия вредоносной программы, но и причинно-следственной связи между ее функционированием и конкретными финансовыми потерями.

Эта специфика определяет три обязательных условия допустимости экспертизы:

• Сохранение целостности данных. Любое исследование должно начинаться с создания криминалистической копии (образа) данных устройства. Работа с оригиналом без создания копии создает риск утраты или модификации доказательств и ставит под сомнение допустимость заключения.
• Документирование хода исследования. Каждый шаг эксперта — от фиксации состояния устройства при поступлении до использованных инструментов и методов — должен быть отражен в исследовательской части заключения.
• Разграничение фактов и интерпретаций. Заключение должно четко разделять то, что непосредственно наблюдалось (наличие APK-файла с определенными разрешениями), и то, что является выводом эксперта (принадлежность программы к семейству банковских троянов, ее функциональные возможности).

2.2. Этап предварительного анализа

Цель: оценить обоснованность подозрений и определить необходимый объем дальнейшего исследования.

Содержание работы. Эксперт проводит осмотр устройства без глубокого вмешательства: изучает перечень установленных приложений, обращая внимание на программы с «системными» именами, не соответствующими стандартным компонентам ОС; проверяет список приложений-администраторов устройства; анализирует разрешения, выданные приложениям (особое внимание — Accessibility, SMS, доступ к уведомлениям); проверяет наличие профилей конфигурации и журналов подключений к внешним серверам.

Критерии оценки. Наличие приложения с разрешением Accessibility, не являющегося легитимным средством помощи пользователям с ограниченными возможностями, рассматривается как индикатор высокой степени риска. Приложение, одновременно запрашивающее доступ к SMS и Accessibility, с вероятностью, близкой к достоверной, является вредоносным, поскольку легитимные программы крайне редко нуждаются в такой комбинации.

На этом этапе клиент нередко задает вопрос как проверить телефон на слежку андроид бесплатно самостоятельно, до обращения к специалисту. Ответ: первичная диагностика возможна без затрат. Kaspersky рекомендует проверить список приложений-администраторов устройства (Настройки > Безопасность > Приложения администратора), поскольку мониторинговое ПО иногда регистрируется как администратор устройства, что затрудняет его идентификацию и удаление. Также следует проверить настройки переадресации вызовов: наберите *#21#, чтобы увидеть, включена ли безусловная переадресация. «Если звонки перенаправляются на незнакомый номер, а вы сами этого не настраивали, обратитесь к оператору мобильной связи». Однако для юридически значимых целей необходима документальная фиксация.

Результат. Краткое письменное или устное заключение о наличии или отсутствии оснований для углубленного исследования.

2.3. Этап краткого исследования

Цель: документально зафиксировать факт наличия (или отсутствия) подозрительного ПО.

Содержание работы. Создание резервной копии данных, извлечение APK-файлов подозрительных приложений, их статический анализ: декомпиляция, изучение манифеста (заявленных разрешений и компонентов), поиск известных индикаторов компрометации (домены управляющих серверов, характерные строки в коде, совпадение хеш-сумм с базами вредоносных образцов).

Если перед специалистом ставится задача как проверить телефон на наличие шпионских программ в сжатые сроки, именно этот этап является оптимальным: он дает документально оформленный ответ без полного реверс-инжиниринга.

Результат. Справка, в которой перечислены обнаруженные приложения с указанием их функциональных возможностей и оценкой степени опасности. Справка может быть использована для обращения в банк с требованием о пересмотре отказа в возврате средств, для информирования службы безопасности предприятия или для принятия решения о возбуждении уголовного дела.

2.4. Этап развернутого заключения

Цель: подготовить полноценное экспертное исследование, пригодное для использования в качестве доказательства на стадии доследственной проверки или в гражданском процессе.

Содержание работы. Полный цикл криминалистического анализа:

• создание образа данных устройства с фиксацией хеш-сумм;
• реверс-инжиниринг вредоносных APK: анализ кода, выявление управляющей инфраструктуры (C2-серверов), механизмов перехвата, списка целевых банковских приложений;
• поведенческий анализ в изолированной среде: запуск образца для документирования его действий — попыток подключения к серверу, запросов разрешений, попыток наложения overlay-экранов;
• установление хронологии: дата и время установки подозрительного приложения, период его активности, наличие событий перехвата SMS или экранного ввода, совпадающих по времени с моментами несанкционированных транзакций.

Ключевой вывод. Заключение должно содержать ответ на вопрос: могло ли обнаруженное вредоносное ПО быть использовано для хищения денежных средств с конкретного счета в конкретный период. Установление временного соответствия между активностью трояна и транзакциями является критическим элементом, связывающим техническое исследование с финансовым ущербом.

Именно на этом уровне решается задача как проверить телефон на прослушивание и слежку не в бытовом, а в доказательственном смысле: заключение устанавливает не только факт наличия программы, но и ее роль в конкретном финансовом инциденте.

2.5. Этап судебной экспертизы

Цель: производство экспертизы в рамках уголовного дела или гражданского спора с соблюдением процессуальных требований.

Процессуальные особенности. Эксперт предупреждается об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения. Устройство поступает в качестве вещественного доказательства в установленном порядке. Обеспечивается целостность доказательств: фиксация состояния при поступлении, хеширование образов, документирование всех манипуляций.

Дополнительные возможности. При необходимости проводится восстановление удаленных данных (журналов, APK-файлов, следов соединений), анализ сетевой активности за длительный период, идентификация инфраструктуры злоумышленника. Эксперт может привлекаться к допросам и судебным заседаниям для разъяснения заключения.

Результат. Заключение эксперта, являющееся доказательством в суде. В экспертной практике известны случаи, когда подобные заключения ложились в основу обвинения по ст. 159.6 УК РФ и позволяли потерпевшим преодолеть возражения банков о «вине клиента» в компрометации устройства.

Глава 3. Экспертное сопровождение: форматы и процессуальное значение

3.1. Предварительный анализ (5 000 рублей)

Данный формат предназначен для лиц, подозревающих компрометацию устройства, но не располагающих подтвержденными данными о хищении. Эксперт проводит экспресс-осмотр без создания полного образа данных: проверка разрешений Accessibility и SMS, списка администраторов устройства, явных индикаторов компрометации в перечне приложений. Результат — заключение о наличии или отсутствии оснований для дальнейшего исследования. Экономическая целесообразность формата: он позволяет избежать затрат на полную экспертизу в случаях, когда подозрения не подтверждаются, и одновременно не упустить время в случаях, когда компрометация реальна.

Именно с этого формата начинается практический ответ на вопрос как проверить слежку на конкретном устройстве: эксперт фиксирует исходное состояние и дает предварительную оценку риска.

3.2. Краткая справка по исследованию (15 000 рублей)

Справка представляет собой документ, фиксирующий обнаруженные факты в форме, достаточной для:

• обращения в банк с требованием о пересмотре транзакций и предоставления информации о попытках несанкционированного доступа;
• информирования службы безопасности предприятия о компрометации корпоративного устройства;
• принятия решения о подаче заявления в правоохранительные органы.

Справка содержит перечень обнаруженных приложений, их разрешений и оценку функциональных возможностей, но не включает реверс-инжиниринг кода и установление полной хронологии событий. Для тех, кто формулирует задачу как как проверить телефон на шпионское по и получить документ для банка, это минимально достаточный формат.

3.3. Развернутое заключение (25 000 рублей)

Данный формат представляет собой полноценное экспертное исследование, пригодное для представления в качестве доказательства в гражданском процессе и на стадии доследственной проверки. Заключение включает:

• исследовательскую часть с описанием методики и инструментов;
• результаты статического и поведенческого анализа вредоносного образца;
• установление хронологической связи между активностью трояна и финансовыми потерями;
• выводы, отвечающие на вопросы: имеется ли на устройстве вредоносное ПО, каков его функционал, могло ли оно быть использовано для хищения средств в указанный период.

Развернутое заключение является оптимальным форматом для физических лиц, готовящих иск к банку или заявление в полицию, и для предприятий, формирующих доказательственную базу для арбитражного спора. Если задача ставится шире — проверить есть ли на телефоне шпионские программы с перспективой судебного разбирательства, — данный формат является базовым.

3.4. Судебная экспертиза (50 000 рублей и выше)

Производится по определению суда или постановлению следователя в рамках уголовного дела или гражданского производства. Эксперт предупреждается об ответственности по ст. 307 УК РФ. Заключение судебной экспертизы обладает особым процессуальным статусом и является самостоятельным доказательством, подлежащим оценке судом наряду с другими доказательствами. Стоимость зависит от сложности исследования, объема данных и необходимости участия эксперта в следственных действиях и судебных заседаниях.

Глава 4. Документированные кейсы

Кейс 1: Хищение с карты физического лица через подмену интерфейса банковского приложения

Обстоятельства. Гражданка К., 42 года, обратилась с заявлением о списании 187 000 рублей с ее банковской карты. За три дня до списания ей поступил звонок от «сотрудника банка» с предупреждением о «подозрительной активности» и предложением установить «обновление безопасности» для защиты счета. К. проследовала по ссылке и установила APK-файл, разрешив запрошенные разрешения, включая Accessibility и доступ к SMS.

Экспертное исследование. При предварительном анализе обнаружено приложение с именем «System Update», не являющееся системным компонентом, с разрешениями Accessibility и SMS. Статический анализ APK выявил совпадение индикаторов компрометации с семейством Android.Banker.Mamont: домены C2-серверов, база HTML-шаблонов для overlay-экранов, включая шаблон для банка, клиентом которого являлась К. Хронологический анализ журналов устройства показал, что за 12 минут до списания средств приложение зафиксировало запуск банковского приложения и отобразило overlay-экран, в который были введены данные карты. Одновременно зафиксирован перехват SMS с кодом подтверждения транзакции.

Результат. Развернутое заключение (25 000 рублей) представлено в банк и в следственные органы. На основании заключения возбуждено уголовное дело по ст. 159.6 УК РФ. Банк после представления заключения пересмотрел решение об отказе в возврате средств.

Деловое значение. Заключение установило причинно-следственную связь между действием вредоносной программы и хищением, что позволило квалифицировать деяние не как «неосторожность клиента», а как умышленное преступление. Клиентка самостоятельно пыталась понять, как проверить слежку на телефоне, но обнаружила лишь косвенные признаки; документальная фиксация потребовала экспертного исследования.

Кейс 2: Оформление кредита на имя жертвы через перехват SMS и удаленное управление

Обстоятельства. Гражданин М., 35 лет, обнаружил в кредитной истории запись о кредите на 350 000 рублей, оформленном на его имя в банке, клиентом которого он не являлся. За месяц до этого он устанавливал приложение, рекламировавшееся как «инструмент для заработка на криптовалюте».

Экспертное исследование. При анализе устройства обнаружен APK-файл, маскировавшийся под легитимное финансовое приложение, но содержавший код банковского трояна. Установлено, что вредоносная программа получила разрешение на обработку SMS по умолчанию и с помощью команды, отправленной с C2-сервера, активировала переадресацию вызовов (USSD-команда 21), направив все входящие звонки на номер злоумышленника. В период оформления кредита троян перехватывал все SMS от банка, включая коды подтверждения, и передавал их оператору. Одновременно с устройства осуществлялся удаленный доступ для заполнения кредитной заявки от имени М.

Результат. Судебная экспертиза (50 000 рублей) проведена в рамках уголовного дела, возбужденного по заявлению М. Заключение эксперта установило, что оформление кредита производилось с использованием функций удаленного управления и перехвата SMS, реализованных вредоносной программой, без участия владельца устройства. Кредитная организация аннулировала задолженность.

Деловое значение. Кейс демонстрирует, что перехват SMS позволяет обходить двухфакторную аутентификацию, и экспертиза должна устанавливать не только наличие трояна, но и его роль в конкретной финансовой операции. Вопрос как проверить телефон на прослушивание и слежку здесь трансформировался в вопрос о доказательстве удаленного управления устройством в момент оформления кредита.

Кейс 3: Компрометация расчетного счета предприятия через зараженное устройство сотрудника

Обстоятельства. С расчетного счета ООО «Т.» были списаны 1 200 000 рублей двумя транзакциями в течение одного часа. Платежи были инициированы с IP-адреса, не соответствующего офису организации. Выяснилось, что главный бухгалтер в день инцидента использовала личный смартфон для подтверждения операций через мобильное приложение ДБО, поскольку офисное подключение было временно недоступно.

Экспертное исследование. На устройстве бухгалтера обнаружен троян, распространявшийся под видом «обновления Google Play». Программа имела разрешения на Accessibility, SMS и доступ к уведомлениям. Установлено, что за два дня до инцидента троян получил команду с C2-сервера на отслеживание запуска приложения ДБО. В момент подтверждения первой транзакции троян отобразил overlay-экран, имитирующий интерфейс подтверждения, и перехватил код, который бухгалтер ввела, полагая, что подтверждает плановый платеж. Вторая транзакция была инициирована удаленно через функции RAT.

Результат. Развернутое заключение (25 000 рублей) использовано в арбитражном процессе о взыскании убытков с банка. Суд признал, что операции были совершены без надлежащего волеизъявления клиента, и обязал банк возместить ущерб. Дополнительно заключение легло в основу заявления в полицию по ст. 159.6 и 272 УК РФ.

Деловое значение. Для предприятий: устройства сотрудников, имеющих доступ к ДБО, должны проходить проверку при любых подозрениях. Экспертное заключение является доказательством, позволяющим преодолеть позицию банка о «вине клиента». Служба безопасности предприятия, озабоченная вопросом как проверить телефон на наличие шпионских программ корпоративных устройств, должна включать такие проверки в регламент, а не проводить их только после инцидента.

Кейс 4: Кража криптовалюты через подмену буфера обмена и блокировку вызовов банка

Обстоятельства. Гражданин С., 29 лет, обратился с заявлением о хищении криптовалюты на сумму, эквивалентную 420 000 рублей. По его словам, он скопировал адрес своего кошелька для перевода с биржи, но средства не поступили. Проверка транзакции показала, что перевод ушел на другой адрес.

Экспертное исследование. На устройстве С. обнаружен банковский троян с функциями, характерными для семейства Android.Banker. Установлено, что вредоносная программа перехватывала обращения к буферу обмена и подменяла адреса криптовалютных кошельков при копировании. Кроме того, троян блокировал входящие вызовы: когда служба безопасности биржи пыталась связаться с С. для подтверждения подозрительной транзакции, вызовы не поступали на устройство. Анализ журналов показал, что подмена адреса произошла в момент, когда С. скопировал свой адрес для вставки в форму перевода.

Результат. Краткая справка (15 000 рублей) использована для обращения в службу поддержки биржи и в полицию. Биржа после представления справки инициировала внутреннее расследование и компенсировала часть средств в порядке жеста доброй воли, не признавая юридической ответственности. Уголовное дело приостановлено в связи с неустановлением лиц, совершивших преступление.

Деловое значение. Подмена буфера обмена — техника, не требующая overlay-экранов и работающая «незаметно» для пользователя. Для владельцев криптовалютных активов проверка устройства должна включать анализ журналов буфера обмена (при наличии доступа). Потерпевший изначально пытался выяснить, как проверить телефон на шпионское по, но фактически столкнулся с иным классом угрозы — финансовым вредоносным ПО, маскирующимся под безобидную утилиту.

Кейс 5: «Бытовой» шпионаж, переросший в хищение

Обстоятельства. Гражданка Л., 38 лет, обратилась с подозрением на установку шпионского ПО бывшим супругом. При проверке устройства дополнительно обнаружены следы несанкционированного доступа к банковскому приложению и списание 45 000 рублей, которое Л. первоначально не связала с действиями бывшего супруга.

Экспертное исследование. На устройстве обнаружено приложение, маскировавшееся под «родительский контроль» и обладавшее расширенными разрешениями, включая Accessibility и SMS. Анализ показал, что программа относилась к классу stalkerware с функциями удаленного управления. Установлено, что помимо отслеживания местоположения и чтения переписки, программа позволяла удаленно просматривать экран и эмулировать нажатия. Хронология свидетельствует, что списание средств произошло в период, когда устройство находилось без присмотра владелицы, а программа проявляла активность, характерную для удаленного управления банковским приложением.

Результат. Развернутое заключение (25 000 рублей) представлено в полицию. Дело квалифицировано по совокупности ст. 138 и 159.6 УК РФ. Кейс демонстрирует, что грань между «бытовым» шпионажем и финансовым преступлением подвижна: программы, позиционируемые как средства контроля, обладают функционалом, достаточным для хищения.

Деловое значение. Судебная практика по ст. 138 УК РФ традиционно связана с «бытовыми» конфликтами, однако при наличии финансового ущерба деяние требует квалификации по совокупности со ст. 159.6 УК РФ. Экспертиза устанавливает связь между функционалом программы и фактом хищения. Клиентка начинала с вопроса как проверить слежку со стороны бывшего супруга, а в результате получила доказательства финансового преступления — что подтверждает: проверка «на слежку» и проверка «на хищение» должны проводиться комплексно.

Глава 5. Практические рекомендации для физических лиц и предприятий

5.1. Для физических лиц: алгоритм действий

Шаг 1. Первичная самостоятельная диагностика. Проверьте разрешения Accessibility, список администраторов устройства, обработчик SMS по умолчанию, расход батареи и трафика. Kaspersky рекомендует также проверить настройки переадресации вызовов: наберите *#21#, чтобы увидеть, включена ли безусловная переадресация. «Если звонки перенаправляются на незнакомый номер, а вы сами этого не настраивали, обратитесь к оператору мобильной связи». Для iOS: проверьте профили управления (Настройки → Общие → VPN и управление устройством). Для Android: проверьте приложения-администраторы устройства.

Шаг 2. Фиксация состояния. Не удаляйте подозрительные приложения, не сбрасывайте устройство до заводских настроек. Переведите устройство в авиарежим, чтобы прервать канал управления, но сохранить данные. Kaspersky подчеркивает: «Прежде чем менять что-то на самом телефоне, используйте другое устройство для смены паролей ключевых учётных записей — почты, банковских сервисов и т. п. В зависимости от того, как давно шпионское ПО работало, пароли могли быть скомпрометированы».

Шаг 3. Обращение к специалисту. Предварительный анализ (5 000 рублей) позволит оценить обоснованность подозрений. Если компрометация подтверждена — закажите краткую справку (15 000 рублей) для банка или развернутое заключение (25 000 рублей) для суда.

Шаг 4. Смена учетных данных. С другого, заведомо чистого устройства смените пароли банковских сервисов, отзовите активные сессии, проверьте историю операций.

Шаг 5. Обращение в банк и правоохранительные органы. Приложите экспертное заключение к заявлению. Укажите статьи УК РФ: ст. 159.6 (мошенничество в сфере компьютерной информации), ст. 272 (неправомерный доступ к компьютерной информации), при наличии признаков перехвата SMS — ст. 138.

5.2. Для предприятий: регламент проверки устройств

Пункт 1. Определите перечень устройств, подлежащих обязательной проверке. В него должны входить все устройства, используемые для доступа к системе ДБО, ключам электронной подписи, корпоративной почте и коммерческой тайне.

Пункт 2. Установите периодичность проверок. Плановая проверка — не реже одного раза в квартал. Внеплановая — при любых подозрениях на компрометацию, при увольнении сотрудника, имевшего доступ к финансовым системам, при инцидентах безопасности.

Пункт 3. Закрепите процедуру в локальном нормативном акте. Положение о проверке мобильных устройств должно определять: кто проводит проверку, в каком формате (предварительный анализ, справка, заключение), как документируются результаты, какие действия предпринимаются при обнаружении компрометации.

Пункт 4. Обеспечьте допустимость доказательств. Если проверка проводится в связи с инцидентом, который может стать предметом судебного разбирательства, необходимо соблюдение процессуальных требований: фиксация состояния устройства, хеширование образов, документирование всех манипуляций.

Пункт 5. Обучите сотрудников. Основной вектор атак — социальная инженерия. Сотрудники должны знать: нельзя устанавливать APK-файлы из сторонних источников, нельзя переходить по ссылкам из SMS и мессенджеров, нельзя предоставлять Accessibility-доступ незнакомым приложениям.

5.3. Для предприятий: специфика проверки корпоративных устройств

Корпоративные устройства, в отличие от личных, находятся в зоне ответственности работодателя. Это создает как преимущества, так и сложности.

Преимущество: работодатель вправе установить правила использования устройства и проводить проверки в соответствии с локальными нормативными актами. Сложность: необходимо соблюдение баланса между контролем и неприкосновенностью частной жизни сотрудника. Если устройство используется и в личных целях, проверка должна ограничиваться корпоративным сегментом (рабочий профиль, корпоративные приложения), не затрагивая личные данные.

Для устройств, используемых исключительно в корпоративных целях, проверка может проводиться в полном объеме — включая создание криминалистического образа, анализ всех приложений и журналов.

Заключение

Проверка смартфона на наличие шпионского программного обеспечения в современном контексте перестала быть мерой, актуальной исключительно для лиц, подозревающих супругов в неверности. Финансово-ориентированное вредоносное ПО превратило смартфон в инструмент прямого хищения денежных средств, причем механизм хищения часто не оставляет жертве возможности своевременно обнаружить атаку: overlay-экраны неотличимы от настоящих интерфейсов, SMS-коды перехватываются до того, как пользователь их увидит, а входящие звонки от банка блокируются.

С деловой точки зрения ключевая задача потерпевшего — преодолеть презумпцию «вины клиента» и добиться квалификации деяния по ст. 159.6 УК РФ, а не ограничиваться «бытовой» ст. 138 УК РФ. Экспертное исследование устройства выполняет двойную функцию: с технической стороны оно устанавливает факт компрометации и механизм воздействия вредоносной программы; с процессуальной — преобразует технические данные в доказательство, пригодное для защиты нарушенного права.

Предложенная четырехуровневая система экспертного сопровождения — от предварительного анализа (5 000 рублей) до судебной экспертизы (от 50 000 рублей) — позволяет избрать формат исследования, соответствующий стадии, на которой находится потерпевший, и целям, которые он преследует. Ключевым критерием при выборе формата является не только стоимость, но и процессуальные последствия: справка информирует, заключение убеждает, экспертиза доказывает.

Для предприятий дополнительным аргументом в пользу систематической проверки устройств, имеющих доступ к финансовым системам, является предотвращение ущерба, который многократно превышает стоимость любой из форм экспертного исследования. Хищение с расчетного счета организации влечет не только прямые потери, но и репутационные издержки, а также риск оспаривания сделок контрагентами.