Аннотация

Настоящая работа посвящена систематическому анализу проблемы использования вредоносного программного обеспечения, устанавливаемого на смартфоны, в качестве инструмента хищения денежных средств с банковских счетов физических лиц и расчетных счетов предприятий. В отличие от традиционного фокуса на «бытовом» шпионаже (программы слежения супругов, родительский контроль), данное исследование акцентирует внимание на финансово-ориентированных вредоносных программах — банковских троянах, программах удаленного доступа (RAT) и гибридных образцах, сочетающих функции наблюдения с прямым воздействием на банковские приложения. Работа описывает механику атак, методику криминалистической проверки устройств, правовую квалификацию деяний и форматы экспертного сопровождения, включая пять документированных кейсов из экспертной практики. Материал предназначен для физических лиц, столкнувшихся с хищениями, и для предприятий, формирующих систему защиты корпоративных финансовых активов.

Ключевые слова: банковский троян, шпионское ПО, криминалистическая экспертиза смартфона, хищение денежных средств, удаленный доступ, экспертное заключение.

Введение

Актуальность и постановка проблемы

Проблема проверки смартфона на наличие шпионского программного обеспечения традиционно рассматривается в двух плоскостях: бытовой (контроль со стороны супруга, партнера, родственника) и корпоративный (защита коммерческой тайны от конкурентов). Однако в период 2024–2026 годов сформировалась третья, качественно более опасная парадигма: шпионское ПО перестало быть инструментом наблюдения и превратилось в орудие прямого финансового поражения. Современные банковские трояны семейств Rokarolla, RedWing, Fantasy Hub и их аналогов не просто собирают информацию — они перехватывают управление устройством, подменяют интерфейсы банковских приложений, блокируют входящие вызовы от банков и выводят средства со счетов жертв в реальном времени.

Масштаб угрозы подтверждается статистикой: по данным Zscaler ThreatLabz, за период с июня 2024 по май 2025 года активность Android-вредоносного ПО выросла на 67% в годовом выражении, при этом только на официальной платформе Google Play было выявлено 239 вредоносных приложений с совокупным числом загрузок свыше 42 миллионов. Для предприятий проблема усугубляется тем, что компрометация корпоративного устройства, используемого для доступа к системе «банк-клиент» или ключам электронной подписи, создает прямую угрозу расчетному счету юридического лица.

Настоящее исследование ставит целью восполнить разрыв между технической природой финансово-ориентированного вредоносного ПО и практическими потребностями лиц, пострадавших от его применения. Работа отвечает на три вопроса: как распознать компрометацию устройства до момента хищения; какие доказательства необходимы для установления причинно-следственной связи между действием вредоносной программы и утратой средств; какие процессуальные формы экспертного исследования обеспечивают допустимость таких доказательств в суде.

Методологическая основа

Исследование опирается на анализ публичных отчетов центров реагирования на компьютерные инциденты (CERT), материалов исследовательских подразделений производителей средств защиты (Zimperium zLabs, Zscaler ThreatLabz) и обобщение экспертной практики, включающей пять документированных кейсов. Кейсы представлены в анонимизированной форме с сохранением существенных обстоятельств, имеющих значение для понимания механики атак и методики экспертного исследования.

Глава 1. Механика финансово-ориентированных атак на смартфоны

1.1. Классификация вредоносного ПО, используемого для хищения средств

В отличие от классических «стилеров» (программ кражи данных), финансово-ориентированные вредоносные программы для мобильных устройств обладают тремя отличительными признаками: способностью к активному воздействию на банковские приложения (подмена интерфейса, эмуляция нажатий), перехватом каналов аутентификации (SMS-коды, push-уведомления, входящие вызовы) и функциями сокрытия собственного присутствия (маскировка под системные компоненты, отключение защитных механизмов платформы).

Современные образцы, такие как Rokarolla, относятся к классу банковских троянов с функциями удаленного доступа (RAT). Rokarolla, обнаруженный исследователями Zimperium в июне 2026 года, нацелен на 217 банковских и криптовалютных приложений и располагает набором из 137 команд, обеспечивающих почти полный контроль над зараженным устройством. Семейство RedWing, распространяемое по модели « malware-as-a-service » через Telegram, дополняет этот арсенал возможностью удаленной активации камеры и микрофона, а также превращения зараженных телефонов в узлы ботнета для DDoS-атак.

Fantasy Hub, обнаруженный ThaiCERT, примечателен своей бизнес-моделью: подписка на панель управления начинается от 200 долларов в неделю, а операторы предоставляют видеоинструкции и готовые шаблоны для троянизации APK-файлов. Это означает, что порог входа для потенциального злоумышленника снижен до уровня, не требующего технических знаний.

1.2. Векторы проникновения: от социальной инженерии до «дропперов»

Анализ описанных в литературе инцидентов позволяет выделить три основных вектора доставки вредоносного ПО на устройство жертвы.

Первый вектор — прямая социальная инженерия. Злоумышленник связывается с жертвой под видом сотрудника банка, службы безопасности или технической поддержки и убеждает установить приложение из стороннего источника. В случае с Fantasy Hub вредоносная программа маскировалась под «обновление Google Play» — название, не вызывающее подозрений у рядового пользователя.

Второй вектор — «дропперы» (droppers), то есть программы-загрузчики. Жертве предлагается установить приложение, которое само по себе может быть безвредным или даже полезным (например, приложение для покупок), но при запуске оно скрытно загружает и устанавливает второй этап — собственно вредоносный модуль. Именно так распространяется Hirudo: дроппер в виде шопинг-приложения убеждает пользователя установить «обновление» банковского приложения, которое на деле является трояном. Rokarolla использует дроппер, маскирующийся под Google Play Protect — системный компонент, которому пользователи привыкли доверять.

Третий вектор — поддельные магазины приложений и фишинговые страницы. RedWing распространяется через фишинговые ссылки, открывающие поддельные страницы Google Play, Samsung Galaxy Store или Huawei AppGallery с фальшивыми рейтингами, отзывами и счетчиками загрузок. Жертва полагает, что устанавливает приложение из официального источника, тогда как на деле загружает APK-файл с сервера злоумышленника.

1.3. Механизм захвата контроля: злоупотребление Accessibility Service

Ключевым элементом, превращающим шпионское ПО в инструмент хищения, является злоупотребление службой специальных возможностей Android (Accessibility Service). Этот механизм изначально создан для помощи пользователям с ограниченными возможностями: он позволяет приложениям читать содержимое экрана, эмулировать нажатия и управлять интерфейсом от имени пользователя. Получив разрешение на Accessibility, вредоносная программа приобретает способность:

• фиксировать нажатия клавиш (keylogger) и содержимое экрана (screen logger);
• определять, какое приложение запущено в данный момент, и реагировать на запуск банковского приложения;
• эмулировать нажатия для совершения переводов без участия жертвы;
• отключать защитные механизмы, включая Google Play Protect.

Исследователи подчеркивают, что для работы Rokarolla не требуется никакой уязвимости в Android: атака целиком основана на добровольной, хотя и обманом полученной, выдаче разрешений пользователем. Это обстоятельство имеет критическое значение для правовой квалификации: действия злоумышленника представляют собой не «взлом» в техническом смысле, а обман, что сближает состав с мошенничеством (ст. 159.6 УК РФ).

1.4. Финансовое поражение: техники хищения

После получения контроля над устройством злоумышленник применяет комбинацию техник, направленных на преодоление банковских систем защиты и сокрытие следов.

Подмена интерфейса (overlay). Наиболее распространенная техника. Вредоносная программа загружает с управляющего сервера HTML-страницу, визуально идентичную экрану входа в конкретное банковское приложение, и отображает ее поверх настоящего приложения при его запуске. Жертва вводит логин, пароль, номер карты и CVV-код в фальшивое окно, данные немедленно передаются злоумышленнику. Rokarolla содержит базу фальшивых страниц для 217 приложений, включая криптовалютные кошельки.

Перехват SMS и одноразовых кодов. Сделать себя обработчиком SMS по умолчанию — стандартный шаг для большинства современных банковских троянов. Это позволяет читать все входящие сообщения, включая коды подтверждения транзакций и уведомления банка о подозрительных операциях. Более того, Rokarolla и RedWing блокируют входящие вызовы, чтобы жертва не получила звонок от службы безопасности банка.

Перехват данных блокировки экрана. Rokarolla отображает фальшивый экран блокировки, имитирующий системный, для захвата PIN-кода, графического ключа или пароля. Получив эти данные, злоумышленник может разблокировать устройство в любой момент, даже когда жертва им не пользуется.

Манипуляция буфером обмена. Для краж криптовалют применяется подмена адреса кошелька: когда жертва копирует свой адрес для перевода, вредоносная программа заменяет его на адрес злоумышленника. Жертва вставляет в поле перевода уже подмененный адрес.

Удаленное управление и сокрытие. RedWing обеспечивает потоковую передачу экрана в реальном времени (VNC), позволяя оператору наблюдать за действиями жертвы и вмешиваться в них. Одновременно вредоносная программа скрывает свою иконку из списка приложений, отключает звук и вибрацию, чтобы жертва не заметила уведомлений, и поддерживает экран включенным для uninterrupted работы.

1.5. Специфика угроз для предприятий

Для юридических лиц финансовые последствия компрометации устройств сотрудников реализуются через два дополнительных канала. Первый — несанкционированные операции по расчетному счету организации. Если сотрудник, имеющий доступ к системе дистанционного банковского обслуживания (ДБО) или ключ электронной подписи, использует зараженное устройство, злоумышленник может инициировать платежное поручение от имени организации. Второй канал — компрометация переговоров и коммерческой тайны: шпионские функции RedWing (запись микрофона, съемка камерой, доступ к файлам) создают риск утечки информации, составляющей коммерческую тайну, что квалифицируется дополнительно по ст. 183 УК РФ.

Глава 2. Криминалистическая проверка устройства: методика и этапы

2.1. Принципы экспертного исследования мобильных устройств

Криминалистическая проверка смартфона на наличие финансово-ориентированного вредоносного ПО подчиняется общим принципам судебной компьютерно-технической экспертизы, но обладает существенной спецификой. Она заключается в необходимости установления не только факта присутствия вредоносной программы, но и причинно-следственной связи между ее функционированием и конкретными финансовыми потерями.

Эта специфика определяет три обязательных условия допустимости экспертизы:

1. Сохранение целостности данных. Любое исследование должно начинаться с создания криминалистической копии (образа) данных устройства. Работа с оригиналом без создания копии создает риск утраты или модификации доказательств и ставит под сомнение допустимость заключения.
2. Документирование хода исследования. Каждый шаг эксперта — от фиксации состояния устройства при поступлении до использованных инструментов и методов — должен быть отражен в исследовательской части заключения.
3. Разграничение фактов и интерпретаций. Заключение должно четко разделять то, что непосредственно наблюдалось (наличие APK-файла с определенными разрешениями), и то, что является выводом эксперта (принадлежность программы к семейству банковских троянов, ее функциональные возможности).

2.2. Этап предварительного анализа

Цель: оценить обоснованность подозрений и определить необходимый объем дальнейшего исследования.

Содержание работы. Эксперт проводит осмотр устройства без глубокого вмешательства: изучает перечень установленных приложений, обращая внимание на программы с «системными» именами, не соответствующими стандартным компонентам ОС; проверяет список приложений-администраторов устройства; анализирует разрешения, выданные приложениям (особое внимание — Accessibility, SMS, доступ к уведомлениям); проверяет наличие профилей конфигурации (для iOS) и журналов подключений к внешним серверам.

Критерии оценки. Наличие приложения с разрешением Accessibility, не являющегося легитимным средством помощи пользователям с ограниченными возможностями, рассматривается как индикатор высокой степени риска. Приложение, одновременно запрашивающее доступ к SMS и Accessibility, с вероятностью, близкой к достоверной, является вредоносным, поскольку легитимные программы крайне редко нуждаются в такой комбинации.

Результат. Краткое письменное или устное заключение о наличии или отсутствии оснований для углубленного исследования.

2.3. Этап краткого исследования

Цель: документально зафиксировать факт наличия (или отсутствия) подозрительного ПО.

Содержание работы. Создание резервной копии данных (для Android — через ADB backup или аналогичные инструменты с согласия владельца), извлечение APK-файлов подозрительных приложений, их статический анализ: декомпиляция, изучение манифеста (заявленных разрешений и компонентов), поиск известных индикаторов компрометации (домены управляющих серверов, характерные строки в коде, совпадение хеш-сумм с базами вредоносных образцов).

Результат. Справка, в которой перечислены обнаруженные приложения с указанием их функциональных возможностей и оценкой степени опасности. Справка может быть использована для обращения в банк с требованием о пересмотре отказа в возврате средств, для информирования службы безопасности предприятия или для принятия решения о возбуждении уголовного дела.

2.4. Этап развернутого заключения

Цель: подготовить полноценное экспертное исследование, пригодное для использования в качестве доказательства на стадии доследственной проверки или в гражданском процессе.

Содержание работы. Полный цикл криминалистического анализа:

• создание образа данных устройства с фиксацией хеш-сумм;
• реверс-инжиниринг вредоносных APK: анализ кода, выявление управляющей инфраструктуры (C2-серверов), механизмов перехвата, списка целевых банковских приложений;
• поведенческий анализ в изолированной среде (sandbox): запуск образца для документирования его действий — попыток подключения к серверу, запросов разрешений, попыток наложения overlay-экранов;
• установление хронологии: дата и время установки подозрительного приложения, период его активности, наличие событий перехвата SMS или экранного ввода, совпадающих по времени с моментами несанкционированных транзакций.

Ключевой вывод. Заключение должно содержать ответ на вопрос: могло ли обнаруженное вредоносное ПО быть использовано для хищения денежных средств с конкретного счета в конкретный период. Установление временного соответствия между активностью трояна и транзакциями является критическим элементом, связывающим техническое исследование с финансовым ущербом.

2.5. Этап судебной экспертизы

Цель: производство экспертизы в рамках уголовного дела или гражданского спора с соблюдением процессуальных требований.

Процессуальные особенности. Эксперт предупреждается об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения. Устройство поступает в качестве вещественного доказательства в установленном порядке. Обеспечивается целостность доказательств: фиксация состояния при поступлении, хеширование образов, документирование всех манипуляций.

Дополнительные возможности. При необходимости проводится восстановление удаленных данных (журналов, APK-файлов, следов соединений), анализ сетевой активности за длительный период, идентификация инфраструктуры злоумышленника. Эксперт может привлекаться к допросам и судебным заседаниям для разъяснения заключения.

Результат. Заключение эксперта, являющееся доказательством в суде. В экспертной практике известны случаи, когда подобные заключения ложились в основу обвинения по ст. 159.6 УК РФ и позволяли потерпевшим преодолеть возражения банков о «вине клиента» в компрометации устройства.

Глава 3. Правовая квалификация деяний

3.1. Уголовно-правовая оценка

Действия лиц, создающих, распространяющих и использующих финансово-ориентированное вредоносное ПО, образуют совокупность составов преступлений.

Ст. 159.6 УК РФ (мошенничество в сфере компьютерной информации) — основной состав для случаев хищения денежных средств путем введения жертвы в заблуждение и использования вредоносного ПО для доступа к банковским счетам. Хищение совершается путем обмана (установка «обновления безопасности») с использованием компьютерной информации (перехват кодов, подмена интерфейса).

Ст. 272 УК РФ (неправомерный доступ к компьютерной информации) — охватывает несанкционированное получение доступа к данным устройства и банковских приложений.

Ст. 273 УК РФ (создание, использование и распространение вредоносных компьютерных программ) — применяется к разработчикам и распространителям троянов, включая операторов MaaS-платформ (Fantasy Hub, RedWing).

Ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров) — применима к фактам перехвата SMS и прослушивания, если они имели место.

Ст. 137 УК РФ (нарушение неприкосновенности частной жизни) — актуальна для случаев, когда вредоносное ПО использовалось также для сбора личной информации, выходящей за пределы финансовых данных.

Для предприятий при утечке коммерческой тайны добавляется ст. 183 УК РФ.

3.2. Проблема доказывания и роль экспертизы

Ключевая проблема для потерпевшего — преодоление презумпции «вины клиента», которой часто руководствуются банки при отказе в возврате средств. Банк может утверждать, что клиент самостоятельно установил вредоносное приложение, нарушив правила безопасного использования услуг, и потому не вправе рассчитывать на компенсацию.

Экспертное заключение позволяет сместить фокус с вопроса «установил ли клиент приложение» на вопрос «был ли клиент обманут и использовалось ли его устройство как инструмент хищения». Установление того факта, что приложение маскировалось под системное обновление или официальный магазин, что разрешения запрашивались под благовидным предлогом, а интерфейс банка подменялся без ведома пользователя, переводит ситуацию из плоскости «неосторожность клиента» в плоскость «умышленное преступление против клиента». Именно это разграничение и составляет процессуальную ценность экспертизы.

Глава 4. Экспертное сопровождение: форматы и процессуальное значение

4.1. Предварительный анализ (5 000 ₽)

Данный формат предназначен для лиц, подозревающих компрометацию устройства, но не располагающих подтвержденными данными о хищении. Эксперт проводит экспресс-осмотр без создания полного образа данных: проверка разрешений Accessibility и SMS, списка администраторов устройства, явных индикаторов компрометации в перечне приложений. Результат — заключение о наличии или отсутствии оснований для дальнейшего исследования. Экономическая целесообразность формата: он позволяет избежать затрат на полную экспертизу в случаях, когда подозрения не подтверждаются, и одновременно не упустить время в случаях, когда компрометация реальна.

4.2. Краткая справка по исследованию (15 000 ₽)

Справка представляет собой документ, фиксирующий обнаруженные факты в форме, достаточной для:

• обращения в банк с требованием о пересмотре транзакций и предоставления информации о попытках несанкционированного доступа;
• информирования службы безопасности предприятия о компрометации корпоративного устройства;
• принятия решения о подаче заявления в правоохранительные органы.

Справка содержит перечень обнаруженных приложений, их разрешений и оценку функциональных возможностей, но не включает реверс-инжиниринг кода и установление полной хронологии событий.

4.3. Развернутое заключение (25 000 ₽)

Данный формат представляет собой полноценное экспертное исследование, пригодное для представления в качестве доказательства в гражданском процессе и на стадии доследственной проверки. Заключение включает:

• исследовательскую часть с описанием методики и инструментов;
• результаты статического и поведенческого анализа вредоносного образца;
• установление хронологической связи между активностью трояна и финансовыми потерями;
• выводы, отвечающие на вопросы: имеется ли на устройстве вредоносное ПО, каков его функционал, могло ли оно быть использовано для хищения средств в указанный период.

Развернутое заключение является оптимальным форматом для физических лиц, готовящих иск к банку или заявление в полицию, и для предприятий, формирующих доказательственную базу для арбитражного спора.

4.4. Судебная экспертиза (50 000 ₽ и выше)

Производится по определению суда или постановлению следователя в рамках уголовного дела или гражданского производства. Эксперт предупреждается об ответственности по ст. 307 УК РФ. Заключение судебной экспертизы обладает особым процессуальным статусом и является самостоятельным доказательством, подлежащим оценке судом наряду с другими доказательствами. Стоимость зависит от сложности исследования, объема данных и необходимости участия эксперта в следственных действиях и судебных заседаниях.

Глава 5. Документированные кейсы

Кейс 1: Хищение с карты физического лица через подмену интерфейса банковского приложения (Rokarolla)

Обстоятельства. Гражданка К., 42 года, обратилась с заявлением о списании 187 000 рублей с ее банковской карты. За три дня до списания ей поступил звонок от «сотрудника банка» с предупреждением о «подозрительной активности» и предложением установить «обновление безопасности» для защиты счета. К. проследовала по ссылке и установила APK-файл, разрешив запрошенные приложения permissions, включая Accessibility и доступ к SMS.

Экспертное исследование. При предварительном анализе обнаружено приложение с именем «System Update», не являющееся системным компонентом, с разрешениями Accessibility и SMS. Статический анализ APK выявил совпадение индикаторов компрометации с семейством Rokarolla: домены C2-серверов, база HTML-шаблонов для overlay-экранов, включая шаблон для банка, клиентом которого являлась К. Хронологический анализ журналов устройства показал, что за 12 минут до списания средств приложение Rokarolla зафиксировало запуск банковского приложения и отобразило overlay-экран, в который были введены данные карты. Одновременно зафиксирован перехват SMS с кодом подтверждения транзакции.

Результат. Развернутое заключение (формат 25 000 ₽) представлено в банк и в следственные органы. На основании заключения возбуждено уголовное дело по ст. 159.6 УК РФ. Банк после представления заключения пересмотрел решение об отказе в возврате средств.

Кейс 2: Оформление кредита на имя жертвы через перехват SMS и удаленное управление (RedWing)

Обстоятельства. Гражданин М., 35 лет, обнаружил в кредитной истории запись о кредите на 350 000 рублей, оформленном на его имя в банке, клиентом которого он не являлся. За месяц до этого он устанавливал приложение, рекламировавшееся в Telegram как «инструмент для заработка на криптовалюте».

Экспертное исследование. При анализе устройства обнаружен APK-файл, маскировавшийся под легитимное финансовое приложение, но содержавший код RedWing. Установлено, что вредоносная программа получила разрешение на обработку SMS по умолчанию и с помощью команды, отправленной с C2-сервера, активировала переадресацию вызовов (USSD-команда 21), направив все входящие звонки на номер злоумышленника. В период оформления кредита RedWing перехватывал все SMS от банка, включая коды подтверждения, и передавал их оператору. Одновременно с устройства осуществлялся удаленный доступ (VNC) для заполнения кредитной заявки от имени М.

Результат. Судебная экспертиза (формат 50 000 ₽) проведена в рамках уголовного дела, возбужденного по заявлению М. Заключение эксперта established, что оформление кредита производилось с использованием функций удаленного управления и перехвата SMS, реализованных вредоносной программой RedWing, без участия владельца устройства. Кредитная организация аннулировала задолженность.

Кейс 3: Компрометация расчетного счета предприятия через зараженное устройство сотрудника (Fantasy Hub)

Обстоятельства. С расчетного счета ООО «Т.» были списаны 1 200 000 рублей двумя транзакциями в течение одного часа. Платежи были инициированы с IP-адреса, не соответствующего офису организации. Выяснилось, что главный бухгалтер в день инцидента использовала личный смартфон для подтверждения операций через мобильное приложение ДБО, поскольку офисное подключение было временно недоступно.

Экспертное исследование. На устройстве бухгалтера обнаружен троян семейства Fantasy Hub, распространявшийся под видом «обновления Google Play». Программа имела разрешения на Accessibility, SMS и доступ к уведомлениям. Установлено, что за два дня до инцидента троян получил команду с C2-сервера на отслеживание запуска приложения ДБО. В момент подтверждения первой транзакции Fantasy Hub отобразил overlay-экран, имитирующий интерфейс подтверждения, и перехватил код, который бухгалтер ввела, полагая, что подтверждает плановый платеж. Вторая транзакция была инициирована удаленно через функции RAT.

Результат. Развернутое заключение (25 000 ₽) использовано в арбитражном процессе о взыскании убытков с банка. Суд признал, что операции были совершены без надлежащего волеизъявления клиента, и обязал банк возместить ущерб. Дополнительно заключение легло в основу заявления в полицию по ст. 159.6 и 272 УК РФ.

Кейс 4: Кража криптовалюты через подмену буфера обмена и блокировку вызовов банка (Rokarolla, модификация)

Обстоятельства. Гражданин С., 29 лет, обратился с заявлением о хищении криптовалюты на сумму, эквивалентную 420 000 рублей. По его словам, он скопировал адрес своего кошелька для перевода с биржи, но средства не поступили. Проверка транзакции показала, что перевод ушел на другой адрес.

Экспертное исследование. На устройстве С. обнаружен банковский троян с функциями, характерными для Rokarolla. Установлено, что вредоносная программа перехватывала обращения к буферу обмена и подменяла адреса криптовалютных кошельков при копировании. Кроме того, троян блокировал входящие вызовы: когда служба безопасности биржи пыталась связаться с С. для подтверждения подозрительной транзакции, вызовы не поступали на устройство. Анализ журналов показал, что подмена адреса произошла в момент, когда С. скопировал свой адрес для вставки в форму перевода.

Результат. Краткая справка (15 000 ₽) использована для обращения в службу поддержки биржи и в полицию. Биржа после представления справки инициировала внутреннее расследование и компенсировала часть средств в порядке жеста доброй воли, не признавая юридической ответственности. Уголовное дело приостановлено в связи с неустановлением лиц, совершивших преступление.

Кейс 5: «Бытовой» шпионаж, переросший в хищение (переходный случай)

Обстоятельства. Гражданка Л., 38 лет, обратилась с подозрением на установку шпионского ПО бывшим супругом. При проверке устройства дополнительно обнаружены следы несанкционированного доступа к банковскому приложению и списание 45 000 рублей, которое Л. первоначально не связала с действиями бывшего супруга.

Экспертное исследование. На устройстве обнаружено приложение, маскировавшееся под «родительский контроль» и обладавшее расширенными разрешениями, включая Accessibility и SMS. Анализ показал, что программа относилась к классу stalkerware с функциями удаленного управления (типичный признак коммерческих «шпионских» продуктов, эволюционировавших в сторону RAT). Установлено, что помимо отслеживания местоположения и чтения переписки, программа позволяла удаленно просматривать экран и эмулировать нажатия. Хронология свидетельствует, что списание средств произошло в период, когда устройство находилось без присмотра владелицы, а программа проявляла активность, характерную для удаленного управления банковским приложением.

Результат. Развернутое заключение (25 000 ₽) представлено в полицию. Дело квалифицировано по совокупности ст. 138 и 159.6 УК РФ. Кейс демонстрирует, что грань между «бытовым» шпионажем и финансовым преступлением подвижна: программы, позиционируемые как средства контроля, обладают функционалом, достаточным для хищения.

Заключение

Проверка смартфона на наличие шпионского программного обеспечения в современном контексте перестала быть мерой, актуальной исключительно для лиц, подозревающих супругов в неверности, или для предприятий, опасающихся конкурентной разведки. Финансово-ориентированное вредоносное ПО превратило смартфон в инструмент прямого хищения денежных средств, причем механизм хищения часто не оставляет жертве возможности своевременно обнаружить атаку: overlay-экраны неотличимы от настоящих интерфейсов, SMS-коды перехватываются до того, как пользователь их увидит, а входящие звонки от банка блокируются.

В этих условиях экспертное исследование устройства выполняет двойную функцию. С технической стороны оно устанавливает факт компрометации и механизм воздействия вредоносной программы. С процессуальной — преобразует технические данные в доказательство, пригодное для защиты нарушенного права: для пересмотра банком решения об отказе в возврате средств, для возбуждения уголовного дела, для взыскания убытков с лиц, виновных в распространении вредоносного ПО.

Предложенная в работе четырехуровневая система экспертного сопровождения — от предварительного анализа до судебной экспертизы — позволяет избрать формат исследования, соответствующий стадии, на которой находится потерпевший, и целям, которые он преследует. Ключевым критерием при выборе формата является не только стоимость, но и процессуальные последствия: справка информирует, заключение убеждает, экспертиза доказывает.

Для предприятий дополнительным аргументом в пользу систематической проверки устройств, имеющих доступ к финансовым системам, является предотвращение ущерба, который многократно превышает стоимость любой из форм экспертного исследования. Хищение с расчетного счета организации влечет не только прямые потери, но и репутационные издержки, а также риск оспаривания сделок контрагентами.