От автора. Конфликт, который придётся признать

Начнём с тезиса, который многим не понравится. Ваш смартфон — это не средство связи. Это банковский сейф, который вы носите в кармане и который при этом подключён к интернету, управляется приложениями неизвестного происхождения и доверчиво выполняет команды любого, кто сумел вас убедить нажать «установить».

Мы пишем эту работу с элементами конфликтности не ради эпатажа. Просто тема требует честности, а честность в ней неприятна. Обычно о проверке телефона на шпионское ПО говорят в двух регистрах: паническом («за мной следят!») и наукообразном («существует ряд признаков, которые могут свидетельствовать…»). Первый парализует волю, второй усыпляет бдительность. Нам нужен третий регистр — рабочий и жёсткий.

И вот главный конфликт, который мы будем разбирать всю монографию. Банк не вернёт вам деньги только потому, что вы пришли и сказали: «У меня, наверное, был вирус». Банк посмотрит на код подтверждения из SMS, увидит, что операция подтверждена, и разведёт руками: «Вы сами подтвердили перевод». Формально он будет прав. Ваша задача — не спорить словами, а положить на стол документ, из которого следует: код перехватило вредоносное ПО, а не вы его ввели. Вот об этом документе, о том, как его получить и почему он стоит от 5 000 до 50 000 рублей, — вся эта работа.

Ещё один конфликтный тезис, который придётся принять. В большинстве случаев жертва сама устанавливает вредоносное ПО. Сама нажимает «установить». Сама выдаёт разрешения. Сама вводит коды. Это не оправдывает мошенников — они преступники, и им место в колонии. Но это объясняет, почему банк отказывает: с его точки зрения, вы действовали добровольно. Ваша задача — доказать, что «добровольность» была обманом, а не осознанным решением. Без технического заключения это невозможно. Совсем невозможно.

Часть I. Шпион — уже не ревнивец. Шпион — бандит

1.1. Что изменилось, пока вы не смотрели

Лет десять назад проверка телефона на шпионское ПО была почти исключительно бытовой историей. Программы родительского контроля, «супружеские» приложения вроде mSpy и FlexiSPY, корпоративный надзор. Человек подозревал партнёра, шёл к специалисту, получал ответ «да, стоит программа слежки» — и решал свои семейные или кадровые вопросы.

Сейчас картина другая, и она жёстче. Статистика Банка России за 2025 год: объём похищенных со счетов граждан средств достиг 29,3 млрд рублей, количество несанкционированных операций выросло на 31,2%. Ключевым инструментом в руках злоумышленников стало не «шпионское ПО» в бытовом смысле, а вредоносное программное обеспечение, замаскированное под легитимные приложения. Центральный банк прямо указывает: злоумышленники, используя социальную инженерию, убеждали граждан не просто перевести деньги, а скачать вредоносное ПО либо перейти на фишинговый ресурс.

Переведём на человеческий язык. Раньше мошенник звонил и говорил: «Продиктуйте код из SMS». Человек диктовал — и терял деньги. Теперь мошенник говорит: «Установите приложение, чтобы защитить счёт» — и человек устанавливает. Программа сама читает SMS, сама нажимает кнопки в банковском приложении, сама переводит деньги. Человек может даже не смотреть на экран. Утром он обнаруживает пустой счёт и кредит на своё имя.

Вот это и есть смена парадигмы. Шпионское ПО перестало быть инструментом ревнивца и стало инструментом бандита. Если вы всё ещё думаете, что проверка телефона на шпионское ПО — это про семейные дрязги, вы сильно отстали. Это про ваши деньги. И про деньги вашей компании.

1.2. Конфликт первый: предприятие рискует больше, чем частное лицо

Частное лицо теряет свои деньги. Больно, но понятно. Предприятие теряет деньги, которые ему не принадлежат: оборотные средства, кредитные линии, зарплатные фонды. И здесь вступает жёсткая банковская логика.

Банк России отмечает: кредитные организации возвращают физическим лицам лишь около 5,9% похищенных средств. Из 100 рублей, украденных у гражданина, банк вернёт примерно 6. Остальное — убыток гражданина. Для юридических лиц этот показатель зачастую стремится к нулю. Почему? Банк рассуждает так: корпоративный счёт — счёт организации, доступ имеют уполномоченные лица, платёж прошёл с подтверждением — значит, уполномоченное лицо действовало в рамках полномочий. Спор с контрагентом, ошибка сотрудника, мошенничество — внутренние проблемы организации, а не банка.

Если смартфон сотрудника, через который он заходил в корпоративный онлайн-банк, был заражён вредоносным ПО, — это единственный аргумент, который может переломить ситуацию. Но работает он только при наличии документа. Не слов. Не объяснений. Документа с методикой, перечнем артефактов и выводом о причинно-следственной связи.

1.3. Конфликт второй: вы не жертва, пока не доказали это

По умолчанию вы считаетесь не жертвой, а человеком, который сам подтвердил операцию. Это презумпция, заложенная в банковских правилах и практике платёжных систем. Пока вы её не опровергли — вы проиграли. Словами опровергнуть невозможно. Нужен документ.

Именно поэтому услуга «проверить телефон на шпионское ПО» — не любопытство и не паранойя. Это инструмент защиты имущественных интересов. Предварительный анализ — 5 000 рублей. Списание, которое вы оспариваете, — от 50 000 до нескольких миллионов. Арифметика очевидная.

Часть II. Что именно сидит в вашем телефоне

2.1. Банковские трояны — главная угроза

«Шпионское ПО» — не что-то одно. Это целый класс программ, и у каждой свои повадки. Самая опасная категория — банковские трояны. Семейства Cerberus, Anatsa, Sharkbot, Gustuff и их родня. Маскируются под что угодно: «обновление безопасности», «проверка счетов», «приложение банка», «госуслуги». После установки запрашивают разрешение на специальные возможности (Accessibility) — и здесь начинается ад.

Это разрешение позволяет программе читать экран и нажимать кнопки от вашего имени. Понимаете масштаб? Вы открываете банковское приложение проверить баланс. Троян читает экран, видит баланс, видит кнопки и сам нажимает «перевести». Вы не успеваете моргнуть. Код подтверждения из SMS троян перехватывает и вводит автоматически. Банк видит: операция подтверждена кодом. Всё чисто. Вы — должны.

Банк России прямо указывает: наиболее распространённый метод несанкционированных операций с мобильного устройства — именно заражение вредоносным кодом. Не «человек сам перевёл», а «код сделал это за него». Разница принципиальная — но только если вы можете её доказать.

2.2. RAT — тотальный контроль, или «служба безопасности» у вас в телефоне

Программы удалённого доступа (RAT, Remote Access Trojan) — когда злоумышленник получает полный контроль над экраном. Схема до боли проста. Звонит «сотрудник службы безопасности банка»: «Зафиксирована попытка несанкционированного перевода. Чтобы отменить, установите приложение удалённой помощи — я помогу». Человек устанавливает. С этого момента мошенник видит экран, управляет пальцами, заходит в банковское приложение и сам переводит деньги или оформляет кредит.

Цинизм в том, что жертва думает, будто ей помогают. Сидит, смотрит, как «сотрудник банка» что-то делает на её экране, и верит, что это «защита». А он в это время оформляет кредит на её имя и выводит средства. Обнаруживается через неделю, когда приходит уведомление о первом платеже. И ключевой вопрос: как доказать, что в момент оформления кредита устройство было под удалённым управлением? Ответ — только через анализ журналов сессий. Самостоятельно это сделать невозможно.

2.3. SMS-перехватчики — тихая смерть

SMS-перехватчики не светятся. Сидят в системе и перенаправляют копии входящих SMS на номер злоумышленника. Вы не замечаете: телефон работает, SMS приходят, банк присылает уведомления. Только копии уходят ещё и на чужой номер. Когда мошенник решает снять деньги, он уже знает все коды.

Отдельная подлость: некоторые перехватчики помечают перехваченные SMS как прочитанные, чтобы вы не обратили внимания на код, который якобы уже видели. Смотрите в телефон — новых сообщений нет. А деньги ушли. И вы даже не понимаете, в какой момент.

2.4. «Супружеские» шпионы — не приговор, но звоночек

Про те самые «супружеские» и «родительские» программы. mSpy, FlexiSPY и аналоги. Сами по себе они не крадут деньги — функционал другой: переписка, геолокация, прослушивание. Но есть два нюанса, которые упускают.

Первый: если злоумышленник получил доступ к вашей учётной записи такой программы (или установил её сам), он собирает информацию для последующей атаки: переписку с банком, фото документов, сведения о доходах. Это разведка перед ограблением.

Второй: легальная программа слежки часто становится первой ступенью. Получив доступ к устройству, злоумышленник доустанавливает финансово-ориентированные модули. Обнаружили «супружеский» шпион — не расслабляйтесь. Проверьте, не сидит ли рядом что-то посерьёзнее.

2.5. Фишинговые клоны — приманка

Фишинговые приложения — клоны банковских клиентов и госсервисов вне официальных магазинов. Схема: присылают ссылку, вы устанавливаете «приложение банка», вводите реквизиты — они уходят злоумышленнику. Часто комбинируется с банковским трояном: клон — приманка, троян — инструмент хищения.

Часть III. Как это происходит на практике

3.1. Социальная инженерия — дверь, которую вы открываете сами

Главный канал проникновения — вы сами. Точнее, доверчивость. Злоумышленник представляется сотрудником банка, полиции, оператора связи, госуслуг. Цель одна: убедить совершить действие. Перейти по ссылке. Установить приложение. Сообщить код. Предоставить удалённый доступ. Банк России фиксирует рост таких атак и прямо связывает их с заражением устройств вредоносным ПО.

Конфликтный момент, который многим не понравится. В большинстве случаев жертва сама устанавливает вредоносное ПО. Сама нажимает «установить». Сама выдаёт разрешения. Сама вводит коды. Это не оправдывает мошенников — им место в колонии. Но это объясняет, почему банк отказывает: с его точки зрения, вы действовали добровольно. Ваша задача — доказать, что «добровольность» была обманом, а не осознанным решением. Без технического заключения — невозможно.

3.2. Четыре типовых сценария хищения

Сценарий А. Прямой перевод. Троян или RAT инициирует перевод с использованием перехваченных кодов. Жертва обнаруживает списание постфактум. Самый распространённый вариант.

Сценарий Б. Оформление кредита. Злоумышленник, получив доступ к банковскому приложению, оформляет кредит на имя жертвы и выводит средства на подконтрольные счета. Обнаружение — при первом платеже или обращении в банк. Самый болезненный: мало того что украли, так ещё и долг повесили.

Сценарий В. Подмена реквизитов. При оплате услуг или переводе знакомому вредоносное ПО подменяет номер счёта получателя на экране, сохраняя видимость корректной операции. Вы видите правильные реквизиты, а уходит платёж на чужой счёт. Особенно опасно для предприятий.

Сценарий Г. Компрометация корпоративного счёта. Скомпрометированный смартфон сотрудника используется для входа в корпоративный онлайн-банк; злоумышленник инициирует платежи контрагентам, реквизиты которых подменены. Для компании — потеря миллионов.

Часть IV. Признаки: как понять, что телефон уже не ваш

4.1. Косвенные признаки — присмотритесь

Не всякое «странное поведение» означает заражение. Но совокупность симптомов должна насторожить.

Батарея разряжается быстрее обычного. Трояны, работающие в фоне и передающие данные на сервер управления, потребляют энергию. Телефон, который раньше держал сутки, теперь еле дотягивает до вечера — звоночек.

Нагрев корпуса в режиме ожидания. Характерно для RAT-программ, поддерживающих постоянное соединение. Лежит на столе, вы им не пользуетесь, а он тёплый — ненормально.

Появление незнакомых приложений. Маскируются под «System Update», «Wi-Fi Service», «Security Patch». Не устанавливали — не верьте названию.

SMS от банка, которые вы не читали, помечены как прочитанные. Троян с доступом к уведомлениям помечает сообщения прочитанными, чтобы вы не заметили код. Заметить сложно, но если заподозрили — проверяйте журнал сообщений, а не только уведомления.

Странные звонки или сообщения от контактов с просьбой перейти по ссылке. Признак компрометации аккаунта мессенджера через украденные учётные данные. Ваш знакомый не просит вас перейти по ссылке — это делает злоумышленник от его имени.

Внезапное снижение лимита на переводы или блокировка карты банком. Антифрод-система зафиксировала подозрительную активность, инициированную не вами. Иногда банк спасает деньги. Но сам факт должен насторожить.

4.2. Прямые признаки — проверьте настройки

Специальные возможности (Accessibility). Зайдите в настройки, посмотрите, какие приложения имеют это разрешение. Если там что-то, что вы не устанавливали и что не является системным, — красный флаг. Именно через специальные возможности работают банковские трояны.

Администраторы устройства. Проверьте список приложений с правами администратора. Незнакомые названия — повод для беспокойства.

Установленные сертификаты и VPN-профили. Если кто-то добавил сертификат без вашего ведома — это может быть инструментом перехвата трафика.

Приложения с правами на чтение SMS и доступ к уведомлениям. Мессенджеры и банковские клиенты — понятно. «Фонарик» или «оптимизатор батареи» с таким разрешением — ненормально.

4.3. Признаки для предприятий — смотрите шире

Список дополняется. Обращения сотрудников с жалобами на списания с личных карт, используемых в рабочих целях. Аномалии в журналах доступа к корпоративным системам с мобильных устройств. Появление в корпоративной сети устройств, обращающихся к неизвестным доменам. Инциденты с подменой реквизитов в платёжных документах.

И главное: если сотрудник с доступом к корпоративному счёту сообщил о подозрительной активности на телефоне, — это не его личная проблема. Это инцидент безопасности компании.

Часть V. Проверка: что можно самому и почему этого недостаточно

5.1. Самостоятельная проверка — только для предварительного ответа

Можно залезть в настройки, посмотреть список приложений, проверить разрешения. Это даст предварительный ответ: есть ли что-то явно подозрительное. И только.

Почему недостаточно? Три причины.

Первая: вы не эксперт. То, что кажется подозрительным, может быть системным компонентом. То, что выглядит безобидно, может быть хорошо замаскированным трояном.

Вторая: самостоятельная проверка не является доказательством. Ни для банка, ни для суда. Банк не примет скриншот из настроек. Суд не примет объяснения. Нужен документ, оформленный по правилам.

Третья, самая опасная: при попытке «почистить» телефон вы уничтожаете следы. Удалили «подозрительное приложение» — экземпляр вредоносного ПО, который можно было исследовать, исчез. Сбросили телефон к заводским настройкам — доказательств нет. Вы своими руками уничтожили то, что могло вернуть деньги.

5.2. Что делает профессионал

Профессиональная диагностика — не «посмотреть в настройки». Это процедура.

Фиксация исходного состояния. Фотографируется устройство, фиксируются модель, IMEI, версия ОС, перечень приложений. Составляется акт приёма-передачи (при работе с предприятием).

Изоляция. Устройство в экранирующий пакет либо в режим полёта с отключением Wi-Fi и Bluetooth. Цель — исключить удалённое уничтожение следов. Пока телефон в сети, преступник может дать команду на самоуничтожение ПО.

Снятие образа. При наличии root-прав — полный образ файловой системы; при отсутствии — логический дамп. Для каждого файла рассчитываются хеш-суммы (MD5, SHA-256), что обеспечивает целостность доказательственной базы. Как опечатывание вещественного доказательства — только в цифровом виде.

Анализ автозагрузки и системных журналов. Исследуются logcat, журналы установки пакетов, записи о предоставлении разрешений. Устанавливается хронология: что и когда установлено, какие разрешения выданы, когда началась подозрительная активность.

Анализ сетевых соединений. Выявляются обращения к известным серверам управления (C2), сопоставление с базами индикаторов компрометации. Если телефон стучится на сервер, известный как командный центр ботнета, — это не «подозрение», это факт.

Сопоставление хеш-сумм. Хеш-суммы APK-файлов сверяются с базами сигнатур вредоносного ПО (VirusTotal, внутренние базы). Совпадение — прямой признак.

Анализ следов эксплуатации уязвимостей. Проверяются отладочные журналы, следы установки сертификатов, записи о предоставлении специальных разрешений.

Формулирование выводов. Устанавливается наличие (или отсутствие) признаков компрометации, а при наличии — причинно-следственная связь с фактом хищения. Последнее — самое важное. Мало сказать «на телефоне был вирус». Нужно сказать: «вирус установлен тогда-то, перехватывал SMS тогда-то, списание произошло тогда-то — связь прямая».

5.3. Инструментарий — для процессуальной состоятельности

Перечень инструментов фиксируется в заключении. Не формальность. Если эксперт не указал, чем работал, — заключение можно оспорить. Применяются средства анализа APK (jadx, apktool), динамического анализа (Frida), сетевые анализаторы, базы сигнатур, платформы криминалистического анализа мобильных устройств (Magnet AXIOM, Cellebrite — при наличии оснащения).

Часть VI. Документ, который решает всё: уровни заключений и их цена

Самое практичное. Люди спрашивают: «Сколько стоит проверить телефон?» Ответ зависит от того, что вы собираетесь делать с результатом. Просто узнать — одна цена. Предъявить банку — другая. Пойти в суд — третья.

6.1. Предварительный анализ — 5 000 рублей

Проводится в присутствии владельца, занимает минимальное время. Цель — ответить: есть ли в устройстве признаки компрометации в принципе. Результат — краткое устное заключение или служебная записка.

Достаточно, чтобы принять решение о дальнейших шагах. Подозреваете заражение, но не уверены? За 5 000 рублей получите ответ: да или нет. Если да — идёте дальше. Если нет — выдохнули. Но для банка или суда этого недостаточно. Как прийти к врачу с «доктор, что-то болит»: он скажет «похоже на то-то», но лечение назначит после анализов.

6.2. Краткая справка — 15 000 рублей

Документ на 2–4 страницах. Перечень обнаруженных подозрительных объектов (приложений, разрешений, сертификатов), описание функционала, вывод о потенциальной связи с несанкционированным доступом к финансовой информации.

Прилагается к заявлению в банк или обращению в полицию как вспомогательный материал. Банки рассматривают такие справки неохотно — но они фиксируют дату и факт обращения, что важно для сроков и последующей эскалации. Не готовы платить за полное заключение, но хотите «застолбить» факт — ваш вариант.

6.3. Развёрнутое заключение — 25 000 рублей

Основной документ. Полноценный технический отчёт на 10–20 страниц. Включает описание объекта (модель, IMEI, версия ОС), методику со ссылками на инструменты, скриншоты и распечатки журналов с вредоносными артефактами, анализ временных меток, позволяющий соотнести активность ПО с моментом списания, и вывод о причинно-следственной связи между обнаруженным ПО и фактом хищения.

Это то, что вы кладёте на стол банку вместе с досудебной претензией. Прикладываете к заявлению в полицию. Предъявляете страховой компании, если у предприятия застрахованы киберриски. Без этого документа спор с банком — разговор слепого с глухим.

6.4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Назначается в рамках уголовного или гражданского процесса. Отличается тем, что эксперт предупреждается об ответственности по статье 307 УК РФ (за заведомо ложное заключение), а исследование проводится по правилам судебной компьютерно-технической экспертизы.

Заключение оформляется с соблюдением процессуальных требований и может быть оспорено только путём назначения повторной или дополнительной экспертизы. Именно этот документ становится решающим аргументом в споре о том, действовал ли владелец счёта добровольно или стал жертвой вредоносного ПО. Если дело дошло до суда — нужен этот уровень.

6.5. Сводная таблица

Часть VII. Предприятиям: алгоритм, который спасает миллионы

7.1. Регламент, который должен быть до инцидента

Предприятию нужен утверждённый регламент реагирования. Ключевые положения:

При обнаружении подозрительной финансовой операции, инициированной с мобильного устройства сотрудника, устройство не выключается и не передаётся сотруднику «на проверку» до прибытия специалиста. Сотрудник уведомляется о необходимости сохранить устройство в неизменном состоянии. Ответственное лицо фиксирует время обнаружения инцидента и перечень известных обстоятельств.

Почему критично? Цена промедления измеряется миллионами. Пока вы решаете «что делать», следы исчезают: злоумышленник даёт команду на самоуничтожение, сотрудник в панике сбрасывает телефон, приложения удаляются. Доказывать нечего.

7.2. Личные устройства сотрудников — деликатный момент

Если инцидент связан с личным смартфоном сотрудника, предприятие сталкивается с ограничениями: согласие сотрудника на исследование устройства требуется в обязательном порядке. Нельзя просто взять и забрать телефон. Рекомендуется заранее включать в трудовые договоры или политики информационной безопасности положение о порядке взаимодействия при инцидентах, связанных с личными устройствами, используемыми в рабочих целях (BYOD).

7.3. IT-служба — не забудьте про смежные системы

IT-служба должна быть привлечена к проверке смежных систем: не скомпрометированы ли учётные данные других сотрудников, не зафиксированы ли аномальные входы в корпоративные системы, не распространилась ли атака. Часто заражение одного телефона — верхушка айсберга.

7.4. Страхование киберрисков

При наличии полиса киберстрахования заключение о наличии вредоносного ПО — основание для страховой выплаты. Страховщики требуют документ, подтверждающий факт противоправных действий третьих лиц; развёрнутое заключение или экспертиза удовлетворяют требованию.

Часть VIII. Кейсы: как это выглядит в реальности

Кейс 1. «Обновление безопасности» за 187 000 рублей

Что случилось. Гражданка К., 54 года, получила SMS от имени оператора связи: «Обновите настройки безопасности, перейдите по ссылке». Перешла. Установила APK-файл. Через сутки обнаружила списание 187 000 рублей двумя операциями. Банк отказал: «Операции подтверждены кодами из SMS».

Что нашли. При предварительном анализе (5 000 ₽) обнаружили приложение «System Security Update» — не системное, с разрешением на специальные возможности и доступ к SMS. При снятии логического дампа установили: приложение пересылало входящие SMS на номер, зарегистрированный в другом регионе. Временные метки пересылки совпали с временем списаний.

Чем закончилось. Оформили развёрнутое заключение (25 000 ₽). Банк пересмотрел решение и возместил 187 000 рублей. Материал направлен в полицию, возбуждено уголовное дело по статье 158 УК РФ.

Мораль. Ключевым доказательством стала временная корреляция между пересылкой SMS и списаниями. Самостоятельно такую корреляцию не установить — нужен анализ журналов.

Кейс 2. Кредит на 400 000 рублей, оформленный «службой безопасности»

Что случилось. Гражданин П., 38 лет, получил звонок от «службы безопасности банка»: «Отменим ошибочный перевод». Под руководством звонящего установил приложение удалённой помощи. Через неделю узнал: на его имя оформлен кредит на 400 000 рублей, средства выведены на счёт третьего лица.

Что нашли. Предварительный анализ (5 000 ₽) выявил приложение удалённого доступа и журналы сессий, датированные временем оформления кредита. Краткая справка (15 000 ₽) подтвердила: в момент оформления кредита устройство находилось под удалённым управлением.

Чем закончилось. Банк сначала отказал, указывая на «добровольное» оформление. После представления развёрнутого заключения (25 000 ₽) и обращения в суд кредит признан недействительным, запись в бюро кредитных историй скорректирована.

Мораль. Для споров об оформлении кредита критически важно установить, что в момент оформления устройство было под удалённым управлением. Журналы сессий — главный свидетель.

Кейс 3. 2 300 000 рублей с корпоративного счёта через телефон сотрудника

Что случилось. Сотрудник ООО «Р.» использовал личный смартфон для доступа к корпоративному онлайн-банку. Установил приложение, полученное по ссылке от «контрагента». С корпоративного счёта вывели 2 300 000 рублей на счета подставных лиц.

Что нашли. По заказу предприятия провели предварительный анализ (5 000 ₽), затем развёрнутое заключение (25 000 ₽). Установили банковский троян, перехватывавший коды подтверждения. Временные метки перехвата совпали с временем проведения платежей. Дополнительно выяснили: троян доустановили через приложение-клон, полученное от «контрагента».

Чем закончилось. Заключение представлено в полицию, возбуждено уголовное дело. Банк, сначала отказавший в возврате, после представления заключения инициировал внутреннее расследование. Часть средств (800 000 рублей) возвращена в рамках обеспечительных мер по уголовному делу.

Мораль. Для предприятия ключевое — оперативность. Сотрудник не сбрасывал телефон, что позволило восстановить хронологию. Если бы сбросил — денег было бы не вернуть.

Кейс 4. Подмена реквизитов на 1 100 000 рублей

Что случилось. ООО «Т.» оплачивало услуги контрагента. Реквизиты получили по электронной почте. После перевода выяснилось: счёт принадлежит третьему лицу. При проверке смартфона сотрудника, готовившего платёж, обнаружили вредоносное ПО, подменявшее содержимое буфера обмена и отображавшее подменённые реквизиты на экране.

Что нашли. Развёрнутое заключение (25 000 ₽) подтвердило наличие ПО, перехватывающего буфер обмена и модифицирующего отображаемые данные. Установили корреляцию между активностью ПО и временем подготовки платежа.

Чем закончилось. Материалы переданы в полицию, банк получателя уведомлён о мошеннической операции. Часть средств заблокирована. Судебное разбирательство продолжается, заключение используется как доказательство.

Мораль. Подмена реквизитов — распространённый сценарий. Для подтверждения нужен анализ не только банковского приложения, но и почтовых клиентов и мессенджеров, использовавшихся при обмене реквизитами.

Кейс 5. «Оптимизатор батареи», который стоил 95 000 рублей

Что случилось. Гражданин С., 29 лет, установил приложение «Battery Optimizer» из стороннего магазина. Через месяц обнаружил списания на общую сумму 95 000 рублей. Банк отказал: «Операции подтверждены кодами».

Что нашли. Предварительный анализ (5 000 ₽) выявил приложение с правами на чтение SMS и доступ к уведомлениям, не соответствующими заявленному функционалу. Краткая справка (15 000 ₽) подтвердила пересылку SMS на внешний номер. Развёрнутое заключение (25 000 ₽) установило: пересылка началась за неделю до первого списания.

Чем закончилось. Банк после представления развёрнутого заключения возместил 95 000 рублей. Материал направлен в полицию.

Мораль. Маскировка под утилиты — распространённый приём. Для выявления нужен анализ соответствия заявленного функционала фактическим разрешениям. «Оптимизатор батареи», читающий SMS, — не оптимизатор.

Часть IX. Ошибки, которые стоят вам денег

Пройдёмся по больному. По тому, что люди делают в панике и что лишает их шансов вернуть деньги.

Ошибка 1. Сброс устройства к заводским настройкам. Уничтожает все следы. Восстановление доказательств невозможно. Вы своими руками уничтожили улики.

Ошибка 2. Удаление «подозрительного приложения» вручную. Уничтожает экземпляр вредоносного ПО, который можно было исследовать. Эксперту нечего изучать — вы всё удалили.

Ошибка 3. Обращение в банк до проведения исследования. Банк фиксирует отказ. Последующее представление заключения воспринимается как попытка «задним числом» объяснить собственные действия. Сначала — исследование, потом — банк.

Ошибка 4. Отсутствие фиксации времени обнаружения инцидента. Затрудняет корреляцию с временем списаний. «Я обнаружил это где-то на прошлой неделе» — не аргумент. Нужна точная дата и время.

Ошибка 5. Передача устройства сотруднику «на проверку». Сотрудник может удалить приложения или сбросить настройки. Устройство — вещественное доказательство, а не игрушка.

Ошибка 6. Игнорирование смежных систем. Исследование только банковского приложения не даёт полной картины. Почта, мессенджеры, буфер обмена — всё может быть заражено.

Ошибка 7. Паника и спешка. «Срочно всё почистить!» — худшее, что можно сделать. Сначала фиксация, потом лечение. Как с местом преступления: сначала полиция, потом уборка.

Часть X. Взаимодействие с банком, полицией и страховщиком

10.1. Банк

Заявление о несогласии с операцией подаётся в порядке, установленном договором банковского обслуживания. К заявлению прилагаются выписка по счёту и заключение (справка). Сроки рассмотрения — по внутренним правилам банка, но не более установленных законодательством о национальной платёжной системе. При отказе спор переносится в суд, где заключение становится ключевым доказательством.

10.2. Полиция

Заявление о преступлении подаётся в территориальный орган внутренних дел. К заявлению прилагается заключение с описанием артефактов и выводом о наличии признаков вредоносного ПО. Наличие документа существенно повышает вероятность возбуждения уголовного дела и назначения судебной экспертизы. Без документа заявление рискует остаться «материалом проверки» без движения.

10.3. Страховщик

При киберстраховании уведомление направляется в порядке, установленном полисом. Заключение подтверждает факт инцидента и его причину.

10.4. Последовательность

Рекомендуемая последовательность: фиксация устройства — предварительный анализ — краткая справка — заявление в банк и полицию — развёрнутое заключение — при необходимости экспертиза по запросу суда или следствия. Нарушение последовательности (например, сброс устройства до исследования) может сделать получение доказательств невозможным.

Часть XI. Правовая квалификация: что грозит преступнику и что нужно вам

Хищение денежных средств с банковского счёта с использованием вредоносного ПО квалифицируется по статье 158 УК РФ (кража), а при наличии признака использования электронных средств платежа — по статье 159.3 УК РФ (мошенничество с использованием электронных средств платежа) либо по статье 159.6 УК РФ (мошенничество в сфере компьютерной информации). Неправомерный доступ к компьютерной информации, повлёкший уничтожение, блокирование или модификацию информации, — статья 272 УК РФ. Создание, распространение или использование вредоносных компьютерных программ — статья 273 УК РФ.

Но для потерпевшего практическое значение имеет не столько квалификация, сколько распределение бремени доказывания. В гражданско-правовом споре с банком о возврате списанных средств ключевой вопрос: действовал ли клиент добровольно и осознанно либо стал жертвой противоправных действий третьих лиц. Банковская практика исходит из презумпции надлежащего исполнения обязательств кредитной организацией: если операция подтверждена кодом из SMS или push-уведомлением, банк считает распоряжение клиента надлежащим. Задача потерпевшего — опровергнуть эту презумпцию, доказав, что подтверждение было перехвачено вредоносным ПО, а не дано самим клиентом.

Часть XII. Экономика вопроса: почему 25 000 рублей дешевле, чем 187 000

Посчитаем. Средний ущерб от одного инцидента для физического лица — от 50 до 300 тысяч рублей. При оформлении кредита на имя потерпевшего — до нескольких миллионов. Банк возвращает около 5,9% похищенного: из 100 рублей вы вернёте 6. Остальное — убыток.

Альтернатива. Развёрнутое заключение за 25 000 рублей. Помогло вернуть 187 000 — вы в плюсе на 162 000. Не помогло — потеряли 25 000, но хотя бы знаете, что сделали всё возможное. Для предприятия арифметика жёстче: заключение за 25 000 против потери 2 300 000 — соотношение 1 к 92. Не считая судебных издержек, простоев и репутационных потерь.

Конфликтный вывод: экономить на диагностике — как экономить на страховке. Пока ничего не случилось — кажется, деньги выброшены. Когда случилось — понимаете, что это была единственная разумная трата.

Заключение. Телефон не виноват — виноваты те, кто его не проверил

Подведём итог. Шпионское ПО сегодня — не инструмент ревнивого супруга. Это промышленный инструмент финансового мошенничества. Банк России фиксирует рост хищений, и значительная часть начинается с того, что жертва (или сотрудник предприятия) устанавливает на смартфон программу, которая, по замыслу злоумышленника, должна либо «защитить» его, либо «предоставить удалённую помощь». Когда деньги уже списаны, единственный способ вернуть их (или хотя бы создать юридическую основу для иска) — документально зафиксированный факт наличия вредоносного ПО на устройстве.

Своевременная диагностика стоит несопоставимо дешевле потерянных средств и судебных издержек. Предварительный анализ — 5 000 рублей. Краткая справка — 15 000. Развёрнутое заключение — 25 000. Экспертиза по запросу суда — от 50 000. Это не расходы. Это инвестиция в возврат ваших денег.

Если есть основания подозревать, что ваш смартфон или телефон сотрудника используется как канал для хищения денег, — начинайте с предварительного анализа. Минимальные затраты, которые позволяют определить, есть ли предмет для серьёзного разбирательства.

И последнее, конфликтное. Не надейтесь на авось. Не думайте, что «меня это не коснётся». Не верьте, что «банк сам разберётся». Банк не разберётся — у банка другие интересы. Разбираться придётся вам. И единственный ваш союзник в этом разбирательстве — документ, подтверждающий, что ваш телефон был оружием, а не сообщником. Точнее — что оружием он стал против вашей воли, а сообщником его сделали те, кто должен сидеть.

Предприятиям стоит запомнить: инцидент с корпоративным счётом развивается стремительно, и цена промедления измеряется миллионами. Регламент реагирования, утверждённый заранее, и договор с профильным специалистом — не роскошь, а элемент базовой финансовой гигиены.

Телефон не виноват. Виноваты те, кто его не проверил.

Приложение. Термины и определения

Шпионское ПО — программное обеспечение, скрытно собирающее информацию об устройстве и пользователе и передающее её третьим лицам.

Банковский троян — вредоносное ПО, ориентированное на хищение средств через банковские приложения и перехват кодов подтверждения.

RAT (Remote Access Trojan) — программа удалённого доступа, предоставляющая злоумышленнику контроль над устройством.

SMS-перехватчик — программа, перенаправляющая входящие сообщения третьим лицам.

Специальные возможности (Accessibility) — механизм операционной системы, позволяющий приложению читать экран и совершать действия от имени пользователя; часто используется вредоносным ПО.

Администратор устройства — привилегированная роль, позволяющая управлять устройством; используется вредоносным ПО для закрепления в системе.

C2 (Command and Control) — сервер управления, через который вредоносное ПО получает команды и передаёт данные.

Компьютерно-техническая экспертиза — процессуальное исследование, проводимое по правилам судебной экспертизы.

Индикатор компрометации — признак, указывающий на наличие вредоносной активности (домен, хеш, запись в журнале).

Настоящая монография носит практический характер и не заменяет индивидуальную консультацию специалиста по конкретному инциденту. Приведённые цены и сроки являются ориентировочными и уточняются при заключении договора.