Введение

Настоящий материал подготовлен для двух категорий читателей: физических лиц, обеспокоенных сохранностью своих денежных средств на банковских счетах, и представителей предприятий, чьи сотрудники имеют доступ к расчётным счетам и корпоративным системам дистанционного банковского обслуживания.

Предмет рассмотрения — вредоносное программное обеспечение (ВПО), устанавливаемое на смартфоны и используемое как инструмент хищения денежных средств, оформления кредитов и вывода активов. Вопросы «бытовой» слежки (супружеский контроль, родительский мониторинг) намеренно вынесены за рамки: они имеют иную правовую природу и не являются предметом настоящего документа.

Цель — дать читателю системное понимание: как технически происходит хищение с использованием шпионского ПО; как это квалифицируется по законодательству РФ; какие доказательства необходимы для защиты нарушенных прав; какова роль специалиста и эксперта в доказывании.

Часть I. Почему стандартные методы не работают

1.1. Ограниченность антивирусных сканеров

Большинство пользователей, задаваясь вопросом как проверить на шпионские программы, рассчитывают на антивирусный сканер. Однако современное шпионское ПО для хищения денег не живёт в файлах в привычном смысле. Оно функционирует через:

• разрешения (доступ к SMS, уведомлениям, геолокации, микрофону);
• Accessibility Services — легитимную функцию Android, позволяющую приложению читать экран и нажимать кнопки за пользователя;
• административные права устройства (Device Admin), не позволяющие удалить приложение обычным способом;
• системные закладки в прошивке, переживающие сброс до заводских настроек.

Антивирус видит подписанное приложение от зарегистрированной компании — и не реагирует. Формально это не вирус. Формально это инструмент, который используется против владельца устройства.

1.2. Что означает «проверить телефон на прослушку и слежку» на практике

Фраза проверить телефон на прослушку и слежку на профессиональном уровне означает комплекс процедур:

• анализ списка установленных приложений на предмет известных семейств шпионского ПО (по базам индикаторов компрометации);
• аудит разрешений: какие приложения имеют доступ к SMS, уведомлениям, Accessibility, Device Admin, геолокации, микрофону, камере;
• анализ активных сетевых соединений: куда устройство передаёт данные в фоне;
• проверка наличия root-прав, кастомных сертификатов, MDM-профилей;
• проверка системных настроек на предмет признаков вмешательства;
• анализ логов (глубина зависит от модели устройства и наличия root/джейлбрейка);
• сравнение образа системы с эталонным (для выявления закладок в прошивке).

Именно этот комплекс стоит за вопросом как проверить телефон на слежку. Это не «нажать кнопку», а последовательный анализ.

1.3. Закладки в прошивке

Отдельная категория — закладки, установленные не пользователем, а пришедшие вместе с устройством:

• телефоны, купленные с рук или привезённые из-за границы;
• устройства, «настроенные» знакомым или мастером сервиса;
• корпоративные телефоны с MDM-профилем;
• телефоны, побывавшие в ремонте (замена платы).

Такие закладки не удаляются сбросом настроек, не видны в списке приложений (или маскируются под системные компоненты) и подписаны системным ключом. Антивирус их не обнаруживает. Именно поэтому как проверить слежку — это вопрос форензики, а не антивируса.

Часть II. Пять кейсов из практики

Кейс 1. Перехват SMS через «определитель номера»: 380 000 ₽

Фабула. Потерпевшая (54 года, бухгалтер) установила приложение-определитель номера из стороннего магазина. Приложение запросило доступ к SMS «для улучшения базы». Через две недели аккаунт WhatsApp её сына был угнан (код восстановления перехвачен приложением). С аккаунта сына поступило сообщение с просьбой о переводе 380 000 ₽. Потерпевшая перевела. Через месяц приложение начало перехватывать банковские коды подтверждения.

Квалификация. Ст. 159.3 УК РФ (мошенничество с использованием электронных средств платежа). Ст. 272 УК РФ (неправомерный доступ к компьютерной информации). Ст. 273 УК РФ (использование вредоносных программ).

Доказательственная база. Предварительный анализ (5 000 ₽) выявил приложение с правами на SMS. Краткая справка (15 000 ₽) зафиксировала факт перехвата с временными метками. Развёрнутое заключение (25 000 ₽) установило причинно-следственную связь между перехватом кода и переводом.

Результат. Уголовное дело возбуждено. Деньги не возвращены (злоумышленники не установлены), но заключение позволило преодолеть отказ в возбуждении дела.

Кейс 2. Корпоративное хищение через «обновление 1С»: 2 300 000 ₽

Фабула. Главный бухгалтер предприятия получила письмо «от ФНС» с просьбой установить «обновление для 1С». Установлен APK-файл с Accessibility-правами. Через три недели с расчётного счёта предприятия ушли три платежа (890 000, 780 000, 630 000 ₽) на фирмы-однодневки. Платежи подтверждены валидными кодами из SMS, которые пришли на телефон бухгалтера, но она их не вводила — ВПО сделало это автоматически.

Квалификация. Ст. 159.3 УК РФ (с квалифицирующим признаком «с причинением крупного ущерба»). Ст. 272, 273 УК РФ.

Доказательственная база. Экспертиза по запросу следствия (50 000 ₽). Восстановлена хронология: установка, получение разрешений, перехват SMS, автоматический ввод кодов. Установлены IP-адреса и домены злоумышленников.

Результат. Заключение легло в основу обвинения. Часть денег возвращена через гражданский иск к банку (доказано, что клиент не давал согласия и стал жертвой ВПО).

Кейс 3. Кредит на 700 000 ₽, оформленный ночью

Фабула. Потерпевший (38 лет) дал телефон сыну-подростку. Сын установил «взломанную» игру с форума, которая запросила Accessibility-права «для геймпада». Ночью, пока телефон лежал на зарядке, удалённый оператор через ВПО открыл банковское приложение, подал заявку на кредит 700 000 ₽, подтвердил кодом из SMS (перехваченным) и перевёл деньги на подконтрольный счёт.

Квалификация. Ст. 159.3 УК РФ. Дополнительно — ст. 272, 273 УК РФ.

Доказательственная база. Развёрнутое заключение (25 000 ₽) для банка и полиции. Установлено: в момент оформления кредита владелец не взаимодействовал с устройством (экран выключен, приложение работало в фоне), ВПО имеет признаки удалённого управления.

Результат. Банк закрыл кредит как мошеннический после представления заключения. Уголовное дело в производстве.

Кейс 4. Корпоративный шпионаж под видом «оптимизации батареи»

Фабула. На телефонах трёх сотрудников отдела продаж установлено приложение «Battery Saver Pro» — «специалистом» подрядной организации, «настраивавшей корпоративную почту». Приложение читало документы в папке загрузок и пересылало на внешний сервер. Через два месяца конкурент выиграл тендер с использованием внутренней документации предприятия.

Квалификация. Ст. 272 УК РФ (неправомерный доступ). Ст. 183 УК РФ (незаконное получение коммерческой тайны). Ст. 273 УК РФ (если приложение признано вредоносным).

Доказательственная база. Экспертиза для службы безопасности (50 000 ₽). Приложение не фигурировало в антивирусных базах (подписано валидным сертификатом), но поведенческий анализ выявил исходящие соединения на подозрительные IP.

Результат. Материалы переданы в правоохранительные органы. Готовится гражданский иск о возмещении ущерба.

Кейс 5. Хищение через подменённый MP3-файл

Фабула. Потерпевшая (29 лет) скачала MP3 с пиратского сайта. Файл оказался APK с подменённым расширением. Приложение получило доступ к уведомлениям и платёжным данным (через уязвимость NFC-сервиса). С карты начали уходить небольшие платежи (990, 1490, 2990 ₽) за «подписки». Блокировка карты не помогла — после перевыпуска платежи возобновились.

Квалификация. Ст. 159.3 УК РФ. Ст. 272, 273 УК РФ.

Доказательственная база. Предварительный анализ (5 000 ₽) выявил приложение-маскировщик. Краткая справка (15 000 ₽) — для возврата средств от сервисов подписок (часть возвращена).

Результат. Частичный возврат средств. Уголовное дело не возбуждалось (сумма небольшая, злоумышленники не установлены).

Часть III. Методика проверки: пошаговый алгоритм

3.1. Аудит разрешений

Настройки → Приложения → Специальный доступ. Проверить:

• Доступ к SMS — какие приложения имеют? Фонарик, сканер QR, «очистка памяти» — не должны.
• Доступ к уведомлениям — какие приложения имеют? Мессенджеры — да. «Оптимизаторы батареи» — нет.
• Accessibility (Специальные возможности) — самый опасный переключатель. Приложение с этим правом может выполнять любые действия на экране.
• Device Admin — позволяет блокировать экран, стирать данные, менять пароли.
• Геолокация — постоянный доступ в фоне должен быть обоснован.

Это первый ответ на вопрос как проверить слежку: аудит разрешений выявляет приложения с избыточными правами.

3.2. Анализ сетевых соединений

Проверить: исходящие соединения в фоне, IP-адреса и домены, VPN-профили, кастомные сертификаты в доверенных корневых. Если «безобидное» приложение соединяется с сервером в другой стране каждые 15 минут — это не оптимизация батареи.

Это второй ответ на вопрос как проверить слежку: анализ трафика выявляет инфраструктуру злоумышленника.

3.3. Проверка системных настроек

• Включена ли отладка по USB?
• Разрешена ли установка из неизвестных источников?
• Есть ли MDM-профиль?
• Есть ли root-права?
• Есть ли подозрительные сертификаты?

Это третий ответ на вопрос как проверить слежку: системные настройки показывают, имел ли кто-то доступ к устройству.

3.4. Анализ поведения устройства

• Батарея садится быстрее без изменения сценариев использования?
• Трафик вырос без объяснимой причины?
• Экран реагирует на касания, которых не было?
• SMS с кодами приходят, когда ничего не запрашивалось?
• Уведомления от банка «пропали» или приходят с задержкой?

Это четвёртый ответ на вопрос как проверить слежку: поведенческие признаки указывают на возможное наличие ВПО.

3.5. Форензический анализ

На уровне, достаточном для суда, как проверить слежку без специалиста невозможно. Требуется анализ логов, сравнение с эталоном, идентификация инфраструктуры злоумышленника, восстановление хронологии. Это работа специалиста, результат которой — заключение.

3.6. Чек-лист для самостоятельной проверки

1. Проверить разрешения (SMS, уведомления, Accessibility, Device Admin).
2. Проверить список устройств в Google-аккаунте и Apple ID.
3. Включить двухфакторную аутентификацию через аутентификатор, а не SMS.
4. Не устанавливать APK из сторонних источников.
5. Не давать телефон детям, если на нём банковские приложения (или использовать гостевой профиль).
6. При подозрении — не сбрасывать устройство, обратиться к специалисту.

Это пятый ответ на вопрос как проверить слежку: не сбрасывайте телефон — сброс уничтожает доказательства.

Часть IV. Предприятия: специфика и регламент

Для предприятий вопрос как проверить телефон на прослушку и слежку стоит острее: частное лицо теряет свои деньги, предприятие — чужие, и эти потери не решаются блокировкой карты.

Типовая схема: сотрудник устанавливает «оптимизатор» или поддельный «корпоративный мессенджер» по письму «от IT-отдела». Приложение получает доступ к корпоративной почте, ждёт письма с реквизитами для оплаты, подменяет номер счёта или создаёт правило пересылки. Бухгалтерия переводит деньги по «обновлённым реквизитам». Банк корпоративные платежи не возвращает, поскольку формально клиент подписал платёжное поручение.

В этом случае экспертиза по запросу суда (50 000 ₽ и выше) — необходимость. Без заключения, подтверждающего наличие ВПО, его доступ к почте, модификацию писем и неосведомлённость сотрудника, суд не встанет на сторону предприятия.

Регламент для предприятия:

1. Инвентаризация устройств, имеющих доступ к деньгам и коммерческой тайне.
2. Проверка таких устройств раз в квартал: минимум — предварительный анализ (5 000 ₽ за устройство), для бухгалтерии и руководства — развёрнутое заключение (25 000 ₽).
3. Запрет установки приложений из сторонних источников на устройствах с доступом к ДБО (технически — через MDM, организационно — приказом).
4. Обучение сотрудников распознаванию фишинговых писем.
5. План реакции: при хищении — немедленная фиксация состояния устройств.

Как проверить на шпионские программы на предприятии — это, прежде всего, регламент, а не разовая акция.

Часть V. Правовой контур

5.1. Квалификация

Деяния, связанные с использованием шпионского ПО для хищения, квалифицируются по совокупности статей: ст. 158 (кража), ст. 159 (мошенничество), ст. 159.3 (мошенничество с использованием электронных средств платежа), ст. 159.6 (мошенничество в сфере компьютерной информации), ст. 272 (неправомерный доступ к компьютерной информации), ст. 273 (создание, использование и распространение вредоносных программ).

5.2. Ключевой правовой тезис

Наличие на устройстве потерпевшего вредоносного ПО, установленного без его ведома, исключает добровольность волеизъявления при совершении банковской операции. Следовательно, операция, подтверждённая кодом из SMS, перехваченным ВПО, не может считаться совершённой клиентом. Это — основание для оспаривания операции и пересмотра ответственности.

5.3. Доказывание

В гражданском процессе (ст. 56 ГПК РФ, ст. 65 АПК РФ) клиент должен доказать: наличие ВПО; его связь с операцией; отсутствие своей воли. В уголовном процессе (ст. 73 УПК РФ) подлежат доказыванию событие преступления, виновность, характер и размер вреда. Заключение специалиста/эксперта — доказательство (ст. 74 УПК РФ).

5.4. Ошибки, которые стоят денег

1. Сброс устройства до заводских настроек — уничтожение доказательств.
2. Удаление приложения — уничтожение следов.
3. Установка «чистящих» программ — модификация состояния устройства.
4. Обращение к «мастеру», который «посмотрит и почистит» — утрата контроля над доказательствами.
5. Ожидание — логи перезаписываются, следы исчезают.

Правило: при подозрении на ВПО — изолировать устройство (отключить сеть, не выключать), не сбрасывать, не удалять приложения, зафиксировать состояние, обратиться к специалисту.

Часть VI. Услуги и их правовое значение

Комментарий к ценообразованию. Стоимость экспертизы «50 000 и выше» обусловлена процессуальными требованиями: заключение эксперта должно отвечать требованиям ст. 204 УПК РФ (или ст. 86 ГПК РФ/АПК РФ), включать ответы на поставленные вопросы, быть проверяемым. Качественный документ дешевле стоить не может.

Часть VII. Рекомендации

7.1. Физическим лицам

1. Проверить разрешения приложений (SMS, уведомления, Accessibility, Device Admin).
2. Не устанавливать APK из сторонних источников.
3. Использовать аутентификаторы вместо SMS-кодов.
4. При подозрении — не сбрасывать устройство, обратиться к специалисту.
5. При хищении — фиксировать состояние, обращаться в банк с заключением, в полицию — с заявлением.

7.2. Предприятиям

1. Инвентаризация устройств, имеющих доступ к деньгам и тайне.
2. Периодическая проверка (предварительный анализ — минимум; для бухгалтерии — развёрнутое заключение).
3. Запрет сторонних источников установки на устройствах с доступом к ДБО.
4. Обучение сотрудников.
5. План реакции: фиксация — анализ — обращение.

7.3. Правовая позиция при споре с банком

• Ссылаться на ст. 9 ФЗ «О национальной платёжной системе», ст. 856 ГК РФ.
• Представлять заключение специалиста как доказательство отсутствия воли.
• Требовать логи банка и оператора связи (через суд).
• При отказе — иск в суд с требованием о признании операции недействительной и возмещении ущерба.

Заключение

Шпионское ПО на смартфоне — не «бытовая» проблема и не «вирус», который поймает антивирус. Это инструмент хищения, работающий через легальные механизмы (разрешения, Accessibility, SMS), и требующий форензического анализа для доказывания.

Правовая защита потерпевшего строится на трёх элементах: фиксация факта ВПО; установление причинно-следственной связи; доказывание отсутствия воли. Без заключения специалиста/эксперта эти элементы не работают.

Мы оказываем услуги, которые закрывают именно эту потребность: от предварительного анализа (5 000 ₽) до экспертизы для суда (от 50 000 ₽).

Услуги оказываются по предварительной записи. Предварительный анализ — 5 000 ₽. Краткая справка — 15 000 ₽. Развёрнутое заключение — 25 000 ₽. Экспертиза по запросу суда — от 50 000 ₽.