Назначение документа. Настоящее методическое руководство предназначено для физических лиц и представителей предприятий, столкнувшихся с необходимостью проверки мобильного устройства на наличие шпионского программного обеспечения в контексте финансовых потерь: хищения средств с расчётного счёта, несанкционированного оформления кредита, вывода денег со счетов банка. Руководство описывает порядок действий, методы диагностики, форматы оформления результатов и процессуальные аспекты. Материал структурирован по шагам и может использоваться как практическая инструкция.

Область применения. Методика применима к устройствам на платформах Android и iOS. Она охватывает как бытовые ситуации (компрометация личного телефона), так и корпоративные (компрометация устройства сотрудника, имеющего доступ к финансовым системам предприятия).

Терминология. Под шпионским ПО в настоящем руководстве понимается программное обеспечение, осуществляющее несанкционированный сбор, перехват и передачу информации с устройства без осведомлённого согласия владельца. В финансовом контексте ключевыми функциями такого ПО являются: перехват SMS-сообщений (включая коды подтверждения банковских операций), доступ к уведомлениям банковских приложений, регистрация нажатий клавиш, чтение содержимого экрана, удалённое управление устройством, наложение поддельных интерфейсов.

Раздел 1. Почему это важно: шпионское ПО как финансовый инструмент

1.1. Смена парадигмы

Традиционное представление о шпионских программах связано с бытовой слежкой: супруг устанавливает приложение на телефон супруги, родители контролируют ребёнка. Однако в современной практике шпионское ПО всё чаще выступает как инструмент подготовительного этапа финансового преступления. Схема типична: вредоносная программа внедряется на устройство, получает доступ к SMS и банковским приложениям, после чего злоумышленник инициирует перевод средств, оформляет кредит или опустошает счёт.

1.2. Как это работает на практике

Финансовое хищение через шпионское ПО реализуется через несколько взаимосвязанных механизмов:

• Перехват SMS-кодов подтверждения. Банковские операции подтверждаются одноразовыми кодами. Программа, имеющая разрешение на чтение SMS, транслирует эти сообщения злоумышленнику в реальном времени.
• Злоупотребление Accessibility Service (Android). Эта служба позволяет приложению читать содержимое экрана, имитировать нажатия и перехватывать вводимые символы. Шпионские программы запрашивают это разрешение под видом системного обновления или оптимизации.
• Наложение фальшивых интерфейсов (overlay). Поверх легитимного банковского приложения отображается поддельный экран, имитирующий форму ввода реквизитов. Данные поступают злоумышленнику.
• Удалённое управление (RAT). Наиболее продвинутые образцы обеспечивают полный контроль над устройством: трансляцию экрана, удалённые нажатия, установку модулей.
• Перехват уведомлений. Даже если SMS не перехватываются, уведомления банковских приложений могут раскрывать баланс, суммы операций и иную чувствительную информацию.

1.3. Специфика для предприятий

Для юридических лиц компрометация устройства сотрудника создаёт угрозы, выходящие за пределы прямых потерь: утечка коммерческой тайны, компрометация учётных данных корпоративных систем, несанкционированный доступ к системам дистанционного банковского обслуживания (СДБО), репутационные риски. В условиях распространения практики BYOD (использование личных устройств в рабочих целях) граница между личным и корпоративным телефоном размывается, что создаёт дополнительные уязвимости.

Раздел 2. Признаки компрометации: что должно насторожить

2.1. Признаки на уровне производительности

Шпионское ПО работает в фоновом режиме, что отражается на ресурсопотреблении. К диагностически значимым признакам относятся:

• ускоренный разряд аккумулятора без изменения паттерна использования;
• перегрев корпуса в состоянии простоя;
• замедление работы приложений и операционной системы;
• самопроизвольные перезагрузки.

Важное примечание. Эти признаки не являются специфичными: они могут быть вызваны устаревшей операционной системой, фоновыми обновлениями или аппаратными проблемами. Их диагностическая ценность возрастает в совокупности с иными индикаторами.

2.2. Признаки на уровне сетевой активности

Шпионское ПО передаёт данные на командные серверы (C2). Это проявляется в повышенном расходе мобильного трафика, не коррелирующем с активностью пользователя.

Как проверить на Android: «Настройки» → «Сеть и Интернет» → «Использование данных» → анализ приложений с аномальным фоновым трафиком.

Как проверить на iOS: «Настройки» → «Сотовые данные» → анализ расхода по приложениям.

Особое внимание — приложениям, которые ранее не демонстрировали сетевой активности, но внезапно начали передавать значительные объёмы данных.

2.3. Признаки на уровне разрешений и датчиков

Современные операционные системы обеспечивают прозрачность доступа к камере, микрофону и геолокации.

iOS: цветные индикаторы в строке состояния — зелёная точка (камера), оранжевая (микрофон). Появление индикатора в момент, когда пользователь не инициировал использование функции, — серьёзный сигнал.

Android 12 и выше: Панель конфиденциальности отображает, какие приложения обращались к камере, микрофону и геолокации за последние 24 часа.

Анализ разрешений. Проверьте список установленных приложений и их разрешения. Несоответствия должны настораживать: калькулятор, запрашивающий доступ к микрофону; фонарик, требующий геолокацию; простая игра с разрешением на чтение SMS.

2.4. Признаки на уровне приложений

Шпионское ПО часто маскируется под системные компоненты: «System Service», «Device Manager», «Sync Update». Проверьте полный список установленных приложений, включая системные. Особое внимание — разделу «Приложения администратора устройства» (Device Admin Apps) на Android: вредоносное ПО регистрируется в этом качестве для затруднения удаления.

2.5. Признаки на уровне банковских коммуникаций

Наиболее специфичный для финансового контекста признак — аномалия в поступлении SMS-кодов подтверждения. Насторожить должны:

• вы инициируете операцию, но не получаете код;
• вы получаете код без инициирования операции;
• вы обнаруживаете списание, которое не подтверждали;
• уведомления банка исчезают из списка сообщений;
• неожиданно активирована переадресация вызовов или SMS.

Проверка переадресации: USSD-команда ##002# отменяет все переадресации. Если после ввода команды система сообщает, что переадресация была активна, — это прямой индикатор компрометации.

Раздел 3. Порядок действий при подозрении на компрометацию

Шаг 1. Не паниковать и не уничтожать следы

Категорически не рекомендуется сбрасывать устройство к заводским настройкам и удалять подозрительные приложения до проведения исследования. Это уничтожит следы, критичные для экспертизы и последующего возврата средств.

Шаг 2. Изолировать устройство от сети

Включите режим полёта или поместите телефон в экранирующий пакет (Faraday bag). Это предотвратит удалённое стирание данных злоумышленником и блокирует канал эксфильтрации.

Шаг 3. Зафиксировать исходное состояние

Сделайте скриншоты:

• экранов с подозрительными приложениями;
• списка разрешений;
• уведомлений банка;
• списка операций;
• раздела «Приложения администратора устройства».

Шаг 4. Сменить пароли с чистого устройства

С другого, заведомо чистого устройства смените пароли к банковским, почтовым и иным критичным аккаунтам. Включите двухфакторную аутентификацию, предпочтительно не через SMS, а через приложение-аутентификатор или аппаратный токен.

Шаг 5. Обратиться в банк

Заявление о мошеннической операции подаётся незамедлительно. Банк запросит документы, подтверждающие, что операция совершена не владельцем. Техническое исследование устройства предоставляет такие доказательства.

Шаг 6. Провести техническое исследование

Выбор формата исследования определяется ситуацией:

• предварительный анализ — для определения наличия оснований для дальнейших действий;
• краткая справка — для обращения в банк или внутреннего разбирательства;
• развёрнутое заключение — для представления в качестве письменного доказательства;
• судебная экспертиза — при возбуждении уголовного дела или рассмотрении гражданского иска.

Шаг 7. Обратиться в правоохранительные органы

При значительном ущербе (как правило, превышающем 10 000 рублей для квалификации по статье 158 УК РФ) подаётся заявление о хищении. Развёрнутое заключение или судебная экспертиза становятся доказательственной базой.

Шаг 8. Для предприятий — уведомить службу безопасности

Уведомите службу безопасности, а при необходимости — контрагентов и страховщиков о компрометации канала связи. Инициируйте проверку иных устройств, имеющих доступ к финансовым системам.

Раздел 4. Методы технической проверки: четыре уровня глубины

4.1. Предварительный анализ

Что делается: визуальный осмотр устройства, проверка списка приложений и разрешений, анализ журналов событий, выявление признаков root-доступа или джейлбрейка (которые часто используются для скрытой установки шпионского ПО).

Что позволяет установить: есть ли основания для более глубокого исследования.

Ограничения: не является доказательством в суде, служит ориентиром для заказчика.

Стоимость: 5 000 рублей.

4.2. Краткая справка по результатам исследования

Что делается: документальное описание обнаруженных артефактов и их интерпретация в сжатой форме. Указываются конкретные приложения, разрешения, сетевые соединения или следы в файловой системе.

Что позволяет установить: факт наличия шпионского ПО или подозрительной активности с указанием конкретных индикаторов.

Где применяется: внутреннее разбирательство на предприятии, обращение в банк с заявлением о мошенничестве, принятие решения об обращении в полицию.

Стоимость: 15 000 рублей.

4.3. Развёрнутое заключение

Что делается: полноценный технический отчёт с описанием методологии, перечнем использованных инструментов, фотофиксацией экранов и таблицами индикаторов компрометации.

Что позволяет установить: наличие шпионского ПО, его функциональные возможности, период активности, следы взаимодействия с командными серверами.

Где применяется: представление в качестве письменного доказательства в гражданском процессе, при досудебном урегулировании спора, в качестве приложения к заявлению в полицию. Особенно востребовано предприятиями для документального подтверждения факта компрометации для страховых компаний, контрагентов или регулирующих органов.

Стоимость: 25 000 рублей.

4.4. Экспертиза по запросу суда или следствия

Что делается: битовое копирование памяти устройства с использованием специализированных аппаратно-программных комплексов, что обеспечивает неизменность исходных данных и допустимость их в суде. Анализируются файловая система, журналы событий, сетевые соединения, следы установки и удаления приложений.

Что позволяет установить: полная картина компрометации, включая восстановленные удалённые артефакты, временные метки, корреляцию с внешними источниками данных (логи банка, детализация оператора связи).

Процессуальный статус: эксперт предупреждается об ответственности по статье 307 УК РФ. Заключение приобретает статус доказательства.

Стоимость: от 50 000 рублей.

4.5. Инструментальная база

На уровне предварительного анализа и краткой справки используются встроенные средства операционной системы (журналы событий, менеджеры разрешений, панели конфиденциальности) и специализированные приложения безопасности. На уровне развёрнутого заключения и судебной экспертизы применяются криминалистические инструменты: комплексы для извлечения логических и физических дампов памяти, средства анализа файловых систем, сетевого трафика и артефактов операционной системы.

Примечание по платформам. На iOS сторонние приложения имеют ограниченный доступ к системным процессам, что снижает эффективность автоматизированного сканирования; на Android возможности шире. Это учитывается при планировании исследования.

Раздел 5. Что именно ищут эксперты

5.1. Перехват SMS

Шпионское ПО, нацеленное на кражу денег, в первую очередь стремится получить доступ к входящим SMS — именно туда приходят коды подтверждения банковских операций. Экспертиза выявляет приложения с разрешением на чтение SMS, которые не являются стандартными мессенджерами или банковскими клиентами.

5.2. Accessibility Service

На Android это разрешение позволяет приложению читать содержимое экрана и имитировать нажатия. Злоумышленники используют его для перехвата паролей и управления банковскими приложениями. Наличие такого разрешения у нетипичного приложения — серьёзный красный флаг.

5.3. Сетевые соединения

Анализ журналов сети позволяет выявить подключения к известным командным серверам (C2) или подозрительным доменам, не связанным с легитимными сервисами.

5.4. Скрытые и замаскированные приложения

Некоторые шпионские программы маскируются под системные компоненты или вообще не отображаются в списке установленных приложений (что возможно при наличии root-доступа).

5.5. Следы удалённых приложений

Даже если шпионское ПО было удалено, в файловой системе и журналах могут сохраниться следы его установки и функционирования.

5.6. Корреляция с внешними данными

Эффективность экспертизы возрастает при сопоставлении данных из устройства с информацией от третьих лиц: банковские логи (IP-адреса, время запросов на подтверждение), детализация соединений оператора связи (факт перехвата SMS, маршрутизация сообщений). Это создаёт доказательственную базу причинно-следственной связи между наличием шпионского ПО и фактом хищения.

Раздел 6. Процессуальные аспекты: как использовать результаты

6.1. Разграничение заключения специалиста и судебной экспертизы

Российское процессуальное законодательство различает заключение специалиста (внесудебное исследование) и заключение эксперта (результат судебной экспертизы, назначенной судом или следователем). Заключение специалиста, полученное стороной вне рамок судебного разбирательства, не является экспертным заключением в смысле статей 55 и 79 ГПК РФ, однако может быть признано письменным доказательством и подлежит оценке в совокупности с другими доказательствами.

Практический вывод. Развёрнутое заключение, подготовленное до обращения в суд, имеет ценность как документ, обосновывающий позицию стороны и подтверждающий факт компрометации для банка или страховой компании. Если дело доходит до суда и назначается судебная экспертиза, именно её результаты приобретают статус экспертного доказательства. Внесудебное заключение сохраняет значение письменного доказательства и может использоваться для постановки вопросов перед судебным экспертом.

6.2. Типовые вопросы для судебной экспертизы

При назначении экспертизы по факту хищения перед экспертом ставятся вопросы:

1. Имеются ли на устройстве признаки установки и функционирования программ, обладающих функциями несанкционированного сбора и передачи информации?
2. Если да, то какие именно функции реализует обнаруженное ПО (перехват SMS, keylogging, удалённое управление, доступ к банковским приложениям)?
3. Имеются ли следы удалённого доступа к устройству с внешних серверов?
4. Могли ли обнаруженные программы обеспечить перехват кодов подтверждения банковских операций в период, соответствующий времени хищения?

6.3. Значение для возврата средств

Практика взаимодействия с банками показывает, что кредитные организации часто отказывают в возврате средств, ссылаясь на то, что операции были подтверждены корректными SMS-кодами. Экспертиза, подтверждающая наличие шпионского ПО, перехватывавшего эти SMS, изменяет правовую картину: она свидетельствует о том, что подтверждение было получено не от владельца счёта, а злоумышленником. Это создаёт основания для пересмотра решения банка и является существенным аргументом в судебном споре. Аналогичным образом экспертиза используется в отношениях со страховыми компаниями и при оспаривании кредитных обязательств, оформленных мошенническим путём.

Раздел 7. Эмпирические кейсы

Кейс 1. Перехват SMS-кодов через приложение под видом обновления безопасности

Обстоятельства. Гражданин Н., 42 года, обнаружил списание 87 000 рублей со своего банковского счёта. Операция была подтверждена SMS-кодом, который, по утверждению Н., он не запрашивал и не получал. За неделю до инцидента Н. получил SMS с предложением обновить «систему безопасности банка» и перешёл по ссылке, после чего установил приложение, запросившее разрешения на чтение SMS и доступ к специальным возможностям.

Исследование. Предварительный анализ выявил приложение с именем «Security Update», зарегистрированное как администратор устройства. Приложение имело разрешения на чтение SMS, доступ к уведомлениям и Accessibility Service. Журнал сетевой активности показал соединения с IP-адресом, зарегистрированным в юрисдикции, не связанной с банком. Краткая справка подтвердила наличие индикаторов компрометации. Развёрнутое заключение установило временную корреляцию между активацией приложения и моментом хищения.

Результат. Заключение представлено в банк. После внутреннего разбирательства банк признал операцию мошеннической и восстановил средства. Уголовное дело возбуждено по признакам кражи.

Методический вывод. Фишинговые ссылки под видом обновлений безопасности — распространённый вектор. Ключевой индикатор: приложение запрашивает разрешения, не соответствующие его заявленной функции.

Кейс 2. Оформление кредита через удалённое управление устройством

Обстоятельства. Гражданка С., 35 лет, получила уведомление о задолженности по кредиту, который она не оформляла. Сумма кредита — 250 000 рублей. Банк утверждал, что заявка подана с её устройства и подтверждена корректными кодами. С. отрицала подачу заявки.

Исследование. Судебная экспертиза, назначенная в рамках гражданского дела, установила наличие на устройстве вредоносной программы семейства RAT (Remote Access Trojan), обеспечивающей удалённое управление. Программа имела функции трансляции экрана и удалённого ввода. Анализ временных меток показал, что в момент подачи кредитной заявки устройство находилось в заблокированном состоянии, а все действия выполнялись удалённо. Битовое копирование памяти подтвердило наличие следов соединения с командным сервером в указанный период.

Результат. Суд признал кредитный договор недействительным, указав, что волеизъявление заёмщика отсутствовало. Банк обязан аннулировать задолженность. Материалы экспертизы переданы в правоохранительные органы.

Методический вывод. Временные метки и корреляция состояния устройства с моментом операции — критически важные доказательства. Битовое копирование обязательно для судебной перспективы.

Кейс 3. Компрометация корпоративного устройства и хищение средств предприятия

Обстоятельства. Сотрудник ООО «Т.» (торговая компания) получил на рабочий смартфон фишинговое сообщение якобы от контрагента с вложением в виде PDF-файла. Файл при открытии инициировал установку вредоносного приложения. Через две недели со счёта предприятия похищены 1,2 млн рублей посредством системы дистанционного банковского обслуживания. Доступ к СДБО осуществлялся с устройства сотрудника.

Исследование. Развёрнутое заключение, подготовленное по заказу предприятия, установило: наличие на устройстве шпионского ПО, маскирующегося под системную службу; перехват SMS и уведомлений, включая коды подтверждения операций СДБО; передачу данных на внешний сервер. Корреляция с логами банка показала, что IP-адрес, с которого инициировались мошеннические операции, совпадает с адресом командного сервера, зафиксированным в трафике устройства.

Результат. Заключение использовано предприятием для обращения в полицию и в банк. Банк признал операцию несанкционированной и инициировал процедуру возврата. Параллельно предприятие внедрило регламент обязательной проверки мобильных устройств сотрудников, имеющих доступ к финансовым системам.

Методический вывод. Для предприятий критична корреляция устройства с логами СДБО. Фишинговые вложения в корпоративной переписке — типичный вектор. Профилактический регламент дешевле инцидента.

Кейс 4. Поддельное приложение «Госуслуги» как инструмент хищения

Обстоятельства. Гражданин К., 58 лет, получил звонок от лица, представившегося сотрудником «Госуслуг», с предупреждением о попытке несанкционированного оформления кредита. Для «защиты» предложено установить приложение «Госуслуги Верификация» по ссылке. После установки и предоставления разрешений К. обнаружил списание 45 000 рублей и попытку оформления кредита на 300 000 рублей.

Исследование. Анализ устройства выявил приложение, не являющееся официальным клиентом «Госуслуг», с разрешениями на чтение SMS, доступ к Accessibility Service и доступ к списку установленных приложений. Приложение содержало код, характерный для банковских троянов, и осуществляло перехват SMS-кодов. Доменное имя, с которым взаимодействовало приложение, зарегистрировано за несколько дней до инцидента и не имело отношения к государственным сервисам.

Результат. Краткая справка представлена в банк для оспаривания операций. Банк вернул похищенные средства. По факту мошенничества возбуждено уголовное дело. К. рекомендована проверка кредитной истории и установление самозапрета на кредиты через официальный канал «Госуслуг».

Методический вывод. Социальная инженерия под видом государственных сервисов — растущий вектор. Проверка доменного имени и соответствия официальному приложению — базовый шаг диагностики.

Кейс 5. Бытовое сталкерство с финансовыми последствиями

Обстоятельства. Гражданка М., 29 лет, обратилась с заявлением о том, что бывший супруг, имевший доступ к её телефону до развода, установил программу слежки. Помимо отслеживания местоположения и переписки, М. обнаружила списание 15 000 рублей, которые, как выяснилось, были переведены на счёт, контролируемый бывшим супругом. Он утверждал, что перевод был «добровольным».

Исследование. Судебная экспертиза установила наличие коммерческого приложения-сталкера, обеспечивающего мониторинг местоположения, переписки и журнала вызовов. Приложение также имело функцию перехвата уведомлений, включая уведомления банковских приложений. Анализ журналов банка показал, что операция инициирована в период, когда устройство находилось без присмотра владелицы, а подтверждение поступило и было автоматически обработано вредоносным ПО.

Результат. Суд квалифицировал действия как кражу с использованием вредоносного программного обеспечения. Гражданский иск о возмещении ущерба удовлетворён.

Методический вывод. Дело иллюстрирует пересечение бытового сталкерства и финансового преступления: программа, установленная для слежки, использована как инструмент хищения. Разграничение мотивов не меняет технической картины — исследование проводится по той же методике.

Раздел 8. Профилактика: как снизить риск

8.1. Для физических лиц

• Устанавливайте приложения исключительно из официальных магазинов (Google Play, App Store).
• Регулярно обновляйте операционную систему и приложения.
• Критически оценивайте запросы разрешений: приложение, запрашивающее доступ, не соответствующий его функции, — красный флаг.
• Периодически проверяйте список приложений и административных прав.
• Используйте двухфакторную аутентификацию, предпочтительно не через SMS, а через приложение-аутентификатор или аппаратный токен.
• Не переходите по ссылкам из неожиданных SMS и сообщений, даже если они выглядят как уведомления банка или госсервиса.
• Проверяйте активные переадресации (USSD ##002#).

8.2. Для предприятий

• Разработайте и внедрите политику мобильной безопасности, включающую обязательную проверку устройств, имеющих доступ к финансовым системам.
• Ограничьте круг устройств, с которых возможен доступ к СДБО.
• Внедрите процедуру обязательной проверки при приёме на работу и периодически — для действующих сотрудников с финансовыми полномочиями.
• Обучайте сотрудников распознаванию фишинга.
• Разделяйте личные и корпоративные устройства там, где это возможно (MDM-решения).
• Имейте регламент действий при инциденте: изоляция устройства, фиксация состояния, привлечение эксперта, уведомление банка и правоохранительных органов.

Раздел 9. Форматы услуг и экономическая целесообразность

Практика показывает, что стоимость исследования находится в обратной зависимости от потенциального ущерба. Ориентировочная раскладка:

Экономическое обоснование. Сопоставление стоимости исследования с потенциальными потерями (хищение средств, необоснованные кредитные обязательства, репутационный ущерб) свидетельствует об экономической целесообразности профилактических и пост-инцидентных проверок. Для предприятий затраты на экспертизу несопоставимы с рисками компрометации корпоративных финансов. Для физических лиц предварительный анализ стоимостью 5 000 рублей может предотвратить потери, измеряемые сотнями тысяч рублей.

Раздел 10. Резюме: алгоритм действий в сжатом виде

1. Заподозрили компрометацию — не сбрасывайте устройство, не удаляйте приложения.
2. Изолируйте устройство — режим полёта или экранирующий пакет.
3. Зафиксируйте состояние — скриншоты приложений, разрешений, уведомлений, операций.
4. Смените пароли — с чистого устройства, включите 2FA.
5. Обратитесь в банк — заявление о мошеннической операции.
6. Проведите исследование — предварительный анализ (5 000 ₽) → краткая справка (15 000 ₽) → развёрнутое заключение (25 000 ₽) → судебная экспертиза (от 50 000 ₽).
7. Обратитесь в полицию — при значительном ущербе.
8. Для предприятий — уведомите службу безопасности, проверьте иные устройства, внедрите регламент.

Заключение

Шпионское программное обеспечение на мобильном устройстве перестало быть инструментом исключительно бытовой слежки. В современных условиях оно выступает полноценным инструментом финансового преступления: перехват кодов подтверждения, доступ к банковским приложениям, удалённое управление устройством и наложение фальшивых интерфейсов позволяют злоумышленнику похищать средства со счетов, оформлять кредиты и выводить капитал. Для физических лиц это означает прямую угрозу сбережениям, для предприятий — риск компрометации корпоративных финансов и деловой информации.

Своевременная техническая проверка устройства выполняет две функции: превентивную (выявление компрометации до наступления финансовых последствий) и доказательственную (создание базы для возврата средств, страховых выплат или судебного разбирательства). Выбор формата исследования — от предварительного анализа до судебной экспертизы — определяется конкретной ситуацией и требованиями инстанции, в которую предстоит обратиться.

Настоящее методическое руководство может использоваться как практическая инструкция как физическими лицами, так и представителями предприятий. Соблюдение описанного алгоритма позволяет минимизировать потери и создать доказательственную базу для защиты финансовых интересов.