Настоящее деловое издание посвящено практическим и правовым вопросам проверки смартфона на наличие шпионского программного обеспечения, используемого в качестве инструмента хищения денежных средств с расчётных счетов, несанкционированного оформления кредитов и вывода средств из банков. Работа адресована физическим лицам и предприятиям. Деловой стиль изложения обеспечивает прикладную ценность: читатель получает алгоритмы действий, критерии принятия решений и требования к документированию результатов. Отдельное внимание уделяется вопросам: как проверить слежку на устройстве, как проверить телефон на слежку доступными средствами, как проверить на шпионские программы и в каких случаях необходимо проверить телефон на прослушку и слежку с привлечением эксперта. Рассматриваются форматы экспертных услуг и их доказательственное значение. Приводятся пять кейсов, иллюстрирующих типовые сценарии финансового ущерба.

Ключевые слова: шпионское ПО, банковский троян, экспертиза, хищение денежных средств, как проверить слежку, документирование, доказательственная база.

Введение

Деловая постановка вопроса

Смартфон в современном деловом обороте выполняет функции, имеющие прямое финансовое значение: он является средством подтверждения банковских операций, хранилищем персональных данных и инструментом доступа к финансовым сервисам. Компрометация устройства шпионским программным обеспечением создаёт условия для хищения денежных средств, оформления кредитов на чужое имя и вывода средств из банков.

Перед физическим лицом или предприятием, столкнувшимся с подозрением на компрометацию, встаёт практический вопрос: как проверить слежку и при этом не уничтожить доказательства, необходимые для возврата средств. Настоящее руководство отвечает на этот вопрос последовательно, по уровням глубины проверки.

Целевая аудитория и задачи

Физические лица: владельцы смартфонов, столкнувшиеся с необъяснимыми списаниями, оформлением кредитов или подозрением на слежку.

Предприятия: организации, чьи сотрудники используют смартфоны для доступа к корпоративным финансам.

Задачи издания:

• Описать механизмы конвертации функций шпионского ПО в финансовый ущерб.
• Предложить алгоритм первичной диагностики (как проверить телефон на слежку).
• Обозначить границы самостоятельной проверки (как проверить на шпионские программы).
• Определить ситуации, когда необходимо проверить телефон на прослушку и слежку с экспертом.
• Систематизировать форматы экспертных услуг и их доказательственное значение.
• Проанализировать пять кейсов из практики.

Глава 1. Деловые основания: как шпионское ПО приводит к финансовому ущербу

1.1. Функциональная карта угрозы

Для построения алгоритма проверки необходимо понимать, какие функции вредоносного ПО создают финансовый риск.

Современные банковские трояны, такие как Mirax, используют Accessibility Service для удалённого взаимодействия с экраном и инициирования несанкционированных транзакций с устройств самих жертв. TaxiSpy сочетает функции банковского трояна с полноценным RAT: перехват SMS и OTP, мониторинг банковских приложений, удалённое выполнение команд.

1.2. Векторы инфицирования

Социальная инженерия под видом банка. Злоумышленник убеждает установить «обновление безопасности» или «приложение для защиты карты».

Вредоносная реклама и дропперы. Mirax распространяется через рекламу в стриминговых приложениях с низким рейтингом: пользователь кликает, попадает на внешний дроппер, устанавливает APK.

Ссылки в мессенджерах. Файлы APK, замаскированные под видео или документы.

Физический доступ. Установка stalkerware без ведома владельца при наличии доступа к разблокированному устройству.

1.3. Деловой принцип проверки

Проверка не должна начинаться с предположения «шпионское ПО точно есть». Корректная последовательность:

• Оценка вероятности на основе косвенных признаков и контекста.
• Первичная диагностика доступными средствами.
• Принятие решения о необходимости углублённого исследования.
• Фиксация результатов в форме, соответствующей цели.

Глава 2. Алгоритм первичной диагностики: как проверить телефон на слежку

2.1. Когда проводить первичную диагностику

Первичная диагностика целесообразна, если:

• появились необъяснимые списания или уведомления о кредитных продуктах;
• поступали звонки «из банка» с просьбой установить приложение;
• был переход по подозрительной ссылке в мессенджере;
• устройство находилось в руках третьих лиц без контроля владельца;
• наблюдаются аномалии энергопотребления или трафика.

2.2. Последовательность действий (чек-лист)

Отвечая на вопрос, как проверить телефон на слежку, рекомендуется следующий порядок действий.

Шаг 1. Зафиксируйте исходное состояние. Дата, время, модель, версия ОС, IMEI. Скриншоты экрана «О телефоне». Это подтвердит, что проверка проводилась на данном устройстве в данное время.

Шаг 2. Проверьте список приложений, включая системные. На Android: Настройки → Приложения → Показать системные. Ищите приложения с подозрительными названиями («System Update», «Служба безопасности»), а также приложения, которых вы не устанавливали. Вредоносное ПО может скрывать иконку, поэтому список установленных приложений важнее визуального осмотра рабочего стола.

Шаг 3. Проверьте специальные возможности (Accessibility). Настройки → Специальные возможности → Установленные приложения. Легитимные приложения в этом разделе — средства для людей с ограниченными возможностями. Если в списке есть «обновление системы», «калькулятор» или приложение с незнакомым названием — это красный флаг. Банковские трояны требуют именно это разрешение.

Шаг 4. Проверьте администраторов устройства. Настройки → Безопасность → Администраторы устройства. Неизвестные приложения с этим статусом могут блокировать удаление и управлять устройством.

Шаг 5. Проверьте доступ к уведомлениям. Настройки → Уведомления → Доступ к уведомлениям. Приложения с этим доступом могут читать push-сообщения банковских приложений.

Шаг 6. Проверьте сертификаты и VPN-профили. Настройки → Безопасность → Шифрование и учётные данные → Доверенные сертификаты → Пользовательские. Неизвестный сертификат может означать перехват трафика.

Шаг 7. Проверьте переадресацию вызовов. Наберите ##002#. Если переадресация включена — это может быть признаком компрометации.

2.3. Границы самостоятельной диагностики

Отвечая на вопрос, как проверить на шпионские программы, важно обозначить границы. Установка антивируса полезна, но недостаточна: многие профессиональные шпионские программы используют методы глубокой маскировки (руткиты, буткиты), которые не обнаруживаются стандартными антивирусами.

Кроме того, результат проверки антивирусом не является доказательством в процессуальном смысле. Для суда и следствия необходимы юридически значимые доказательства, полученные с соблюдением процессуальных норм.

2.4. Что делать при обнаружении индикаторов

Не удаляйте приложение сразу, если планируете обращаться в банк или правоохранительные органы. Удаление уничтожит следы. Зафиксируйте название пакета, сделайте скриншоты.

Изолируйте устройство от сети (авиарежим) при подозрении на активное удалённое управление.

Не сбрасывайте устройство до консультации с экспертом, если сумма ущерба значительна.

2.5. Резюме: как проверить слежку правильно

Итак, как проверить слежку? Ответ зависит от цели:

• если цель — понять, есть ли проблема: первичная диагностика по чек-листу (п. 2.2);
• если цель — оспорить операцию в банке: краткая справка по исследованию;
• если цель — суд или следствие: судебная экспертиза.

Ключевое правило: не уничтожайте доказательства до проверки. Вопрос о том, как проверить слежку, не навредив себе, лучше решать вместе со специалистом.

Глава 3. Когда необходимо проверить телефон на прослушку и слежку с экспертом

3.1. Ситуации, требующие профессионального исследования

Проверить телефон на прослушку и слежку с привлечением специалиста необходимо, если:

• установлены необъяснимые списания или оформлены кредитные продукты без согласия лица;
• планируется обращение в банк с требованием о возврате средств;
• планируется обращение в правоохранительные органы;
• предстоит судебное разбирательство;
• устройство использовалось для доступа к корпоративным финансам.

В этих случаях самостоятельные действия (удаление приложений, сброс настроек) могут уничтожить доказательства. Экспертиза обеспечивает создание образа устройства с хэшированием, документирование цепочки хранения и выводы, оформленные в соответствии с процессуальными требованиями.

3.2. Методология экспертного исследования

Профессиональное исследование включает:

• физическую изоляцию устройства (Faraday bag) для предотвращения удалённой очистки;
• создание посекторной копии с хэш-суммами (SHA-256);
• документирование цепочки хранения;
• сигнатурный поиск, анализ автозагрузки, анализ оперативной памяти;
• динамический анализ в изолированной среде;
• сетевой анализ (выявление соединений с C2-серверами);
• корреляцию активности ПО с финансовыми операциями.

3.3. Требования к экспертному заключению

Заключение должно содержать:

• сведения о квалификации эксперта;
• описание методики и инструментов;
• хэш-суммы исследованных образов;
• описание цепочки хранения;
• категорические выводы по каждому вопросу.

Нарушение этих требований влечёт недопустимость доказательства (ст. 75 УПК РФ).

3.4. Резюме: как проверить слежку с экспертом

Если вы приняли решение проверить телефон на прослушку и слежку с привлечением специалиста, порядок действий следующий:

• Не сбрасывайте устройство и не удаляйте приложения.
• Изолируйте устройство от сети.
• Передайте устройство эксперту (или обеспечьте выезд эксперта).
• Определите цель исследования и перечень вопросов.
• Получите заключение в формате, соответствующем стадии правового конфликта.

Глава 4. Форматы экспертных услуг и их доказательственное значение

4.1. Соответствие формата стадии конфликта

4.2. Рекомендации по выбору формата

Если факт хищения установлен и сумма значительна: развёрнутое заключение (25 000 ₽) или судебная экспертиза (от 50 000 ₽).

Если цель — оспорить операцию в банке в досудебном порядке: краткая справка (15 000 ₽).

Если дело уже в суде или следствии: экспертиза назначается процессуально.

4.3. Для предприятий

Предприятиям рекомендуется включить в политику информационной безопасности:

• запрет sideload на устройствах с доступом к корпоративным финансам;
• обязательный аудит устройств с доступом к онлайн-банку;
• регламент действий при инциденте: изоляция, сохранение доказательств, привлечение эксперта до сброса.

Глава 5. Пять кейсов

Кейс 1. Mirax: «Сервисы Google Play» и удалённое управление

Пользователь скачивает приложение из рекламы в стриминговом сервисе. Приложение изображает «Сервисы Google Play», требует Accessibility Service. После согласия оператор получает возможность перехватывать SMS и OTP, кейлоггировать, разблокировать устройство и управлять экраном удалённо. Group-IB зафиксировала тысячи заражённых устройств; оценочные потери — миллионы долларов.

Деловой урок. «Сервисы Google Play» — это не приложение. Если что-то требует Accessibility Service и называет себя системным сервисом — это красный флаг.

Кейс 2. TaxiSpy: банковский троян с RAT-функционалом

TaxiSpy сочетает функции банковского трояна с полноценным RAT: перехват SMS и OTP, мониторинг банковских приложений, overlay-атаки на российские банковские приложения, удалённое выполнение команд и потоковую передачу экрана.

Деловой урок. Разрешение Accessibility Service — критический индикатор. Если приложение, не являющееся средством доступности, запрашивает его, это требует объяснения.

Кейс 3. Оформление кредита через ссылку в Telegram

Жительница Бурятии получила в Telegram файл от знакомой. После открытия утратила доступ к телефону. Мошенники оформили кредит на 508 тыс. рублей. Суд признал кредитный договор недействительным.

Деловой урок. Ссылки в мессенджерах от знакомых контактов — вектор, не вызывающий подозрений. Компрометация аккаунта знакомого может использоваться для распространения вредоносного файла.

Кейс 4. Приложение-справочник и 90 тысяч

Мужчина скачал приложение — справочник глубины прудов. На следующий день телефон перестал реагировать. Аферисты оформили кредиты почти на 90 тыс. рублей.

Деловой урок. Приложения с безобидной заявленной функциональностью могут содержать вредоносную нагрузку. Потеря контроля над устройством — критический индикатор.

Кейс 5. Stalkerware и утечка данных клиентов

В 2026 году опубликованы данные более 500 тысяч клиентов приложений для слежки: адреса электронной почты, информация о платежах, типы карт и последние четыре цифры номеров.

Деловой урок. Stalkerware — продукт, создаваемый людьми, думающими о продажах, а не о безопасности. Данные, которые он собирает, утекают. Человек, который «просто хотел узнать, с кем переписывается жена», в итоге сливает в открытый доступ свои данные и данные жены.

Заключение

Основные деловые выводы

• Шпионское ПО — это не «слежка», а инструмент доступа к финансам. Функции перехвата SMS, Accessibility и RAT конвертируются в возможность хищения.
• Как проверить слежку — вопрос, требующий учёта цели. Первичная диагностика выявляет грубые случаи, но не даёт гарантии и не создаёт доказательств.
• Как проверить на шпионские программы — границы самостоятельной проверки. Антивирус полезен, но недостаточен; его результат не является процессуальным доказательством.
• Проверить телефон на прослушку и слежку с экспертом необходимо, если на кону возврат средств, суд или следствие. Экспертиза обеспечивает доказательственную базу.
• Формат результата должен соответствовать стадии конфликта: предварительный анализ (5 000 ₽), краткая справка (15 000 ₽), развёрнутое заключение (25 000 ₽), экспертиза (от 50 000 ₽).
• Предприятиям необходима проактивная позиция: локальные акты, запрет sideload, аудит устройств с доступом к финансам, регламент действий при инциденте.

Деловое послесловие

Вопрос «как проверить слежку» не имеет универсального ответа. Но есть правило, которое действует всегда: не уничтожайте доказательства до проверки. Удаление приложений, сброс настроек и установка «чистильщиков» могут стоить вам возможности вернуть средства. Если на кону деньги — проверку лучше проводить со специалистом.