Аннотация

Настоящая монография посвящена правовым и методическим аспектам выявления вредоносного программного обеспечения на смартфонах, используемого в качестве инструмента хищения денежных средств с банковских счетов. В отличие от традиционного рассмотрения «бытового» шпионажа, данная работа акцентирует внимание на финансово-ориентированных вредоносных программах — банковских троянах и средствах удаленного доступа, — которые применяются для несанкционированных переводов, оформления кредитов и компрометации корпоративных расчетных счетов. Работа содержит правовую квалификацию деяний, методику проверки устройств, форматы экспертного сопровождения с указанием стоимости и пять документированных кейсов из экспертной и судебной практики. Материал предназначен для физических лиц, столкнувшихся с хищениями, и для предприятий, формирующих систему защиты корпоративных финансовых активов.

Ключевые слова: банковский троян, шпионское ПО, криминалистическая экспертиза смартфона, хищение денежных средств, ст. 159.6 УК РФ, ст. 138 УК РФ, экспертное заключение, корпоративная безопасность.

Введение

Актуальность проблемы

Проблема проверки смартфона на наличие шпионского программного обеспечения традиционно рассматривается в двух плоскостях: бытовой (контроль со стороны супруга, партнера, родственника) и корпоративный (защита коммерческой тайны от конкурентов). Однако в период 2024–2026 годов сформировалась третья, качественно более опасная парадигма: шпионское ПО перестало быть инструментом наблюдения и превратилось в орудие прямого финансового поражения.

По данным Dr.Web, в первом квартале 2026 года банковские трояны стали самыми распространенными Android-угрозами. Семейство Android.Banker.Mamont стабильно занимает верхние строчки рейтинга детектирований: троян перехватывает SMS с одноразовыми кодами от кредитных организаций, содержимое уведомлений, собирает технические данные о зараженном устройстве, список установленных приложений, информацию о SIM-карте, журнал звонков и сообщений. Иными словами, жертва может не подозревать, что ее устройство превращено в инструмент: злоумышленник видит экран, перехватывает одноразовые пароли и оформляет кредиты от имени владельца.

Для предприятий проблема приобретает дополнительное измерение: корпоративные устройства, используемые сотрудниками, могут стать точкой входа для компрометации расчетных счетов организации, ключей электронной подписи и коммерческой тайны. Настоящее исследование ставит целью восполнить разрыв между технической природой финансово-ориентированного вредоносного ПО и практическими потребностями лиц, пострадавших от его применения, с акцентом на правовую квалификацию и процессуальные аспекты доказывания.

Методологическая основа

Исследование опирается на анализ публичных отчетов производителей средств защиты, обобщение судебной практики по делам о нарушении тайны переписки и неправомерном доступе к компьютерной информации, а также экспертную практику, включающей пять документированных кейсов. Кейсы представлены в анонимизированной форме с сохранением существенных обстоятельств, имеющих значение для понимания механики атак и методики экспертного исследования.

Глава 1. Правовая природа деяний: от «бытовой слежки» до хищения

1.1. Разграничение составов: ст. 138 УК РФ и ст. 159.6 УК РФ

Ключевая правовая проблема, с которой сталкивается потерпевший, заключается в правильной квалификации деяния. Российское уголовное законодательство различает два принципиально разных посягательства, которые на практике могут пересекаться.

Ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений) традиционно применяется к «бытовому» шпионажу. Анализ судебной практики показывает, что большинство приговоров по данной статье связаны с доступом к переписке на почве ревности или личных неприязненных отношений. Так, Виноградовский районный суд Архангельской области признал виновным 69-летнего жителя по ч. 1 ст. 272 УК РФ и ч. 1 ст. 138 УК РФ: мужчина на почве ревности воспользовался мобильным телефоном супруги без ее разрешения, скопировал переписку путем фотографирования и распространил фотоматериалы. Наказание — штраф 30 тысяч рублей и компенсация морального вреда 10 тысяч рублей. Аналогичный случай: житель Сарапула на почве ревности получил доступ к телефону знакомой и был осужден по ч. 1 ст. 138 УК РФ.

Принципиальное отличие финансово-ориентированного деяния состоит в том, что шпионское ПО выступает не средством удовлетворения любопытства, а инструментом хищения. В этом случае применяется ст. 159.6 УК РФ (мошенничество в сфере компьютерной информации) в совокупности со ст. 272 УК РФ (неправомерный доступ к компьютерной информации) и, при наличии признаков создания или распространения вредоносных программ, ст. 273 УК РФ.

Для предприятий при утечке коммерческой тайны дополнительно применяется ст. 183 УК РФ.

1.2. Проблема «вины клиента» и роль экспертизы в ее преодолении

Ключевая процессуальная проблема для потерпевшего — презумпция «вины клиента», которой часто руководствуются банки при отказе в возврате средств. Банк может утверждать, что клиент самостоятельно установил вредоносное приложение, нарушив правила безопасного использования услуг, и потому не вправе рассчитывать на компенсацию.

Экспертное заключение позволяет сместить фокус с вопроса «установил ли клиент приложение» на вопрос «был ли клиент обманут и использовалось ли его устройство как инструмент хищения». Установление того факта, что приложение маскировалось под системное обновление или официальный магазин, что разрешения запрашивались под благовидным предлогом, а интерфейс банка подменялся без ведома пользователя, переводит ситуацию из плоскости «неосторожность клиента» в плоскость «умышленное преступление против клиента». Именно это разграничение и составляет процессуальную ценность экспертизы.

1.3. Механика атак: почему пользователь «добровольно» отдает контроль

Современные банковские трояны не эксплуатируют уязвимости операционной системы. Они основаны на добровольной, хотя и обманом полученной, выдаче разрешений. Ключевым элементом является злоупотребление службой специальных возможностей Android (Accessibility Service). Этот механизм, изначально созданный для помощи пользователям с ограниченными возможностями, позволяет приложению читать содержимое экрана, эмулировать нажатия и управлять интерфейсом от имени пользователя.

Mamont, по данным Dr.Web, перехватывает SMS с одноразовыми кодами и содержимое уведомлений. После получения разрешения Accessibility вредоносная программа приобретает способность определять, какое приложение запущено, и реагировать на запуск банковского приложения наложением фальшивого окна (overlay), в которое жертва вводит данные карты. Для правовой квалификации это означает: действия злоумышленника представляют собой не «взлом» в техническом смысле, а обман, что сближает состав с мошенничеством (ст. 159.6 УК РФ).

1.4. Специфика угроз для предприятий

Для юридических лиц финансовые последствия компрометации устройств сотрудников реализуются через два дополнительных канала. Первый — несанкционированные операции по расчетному счету организации. Если сотрудник, имеющий доступ к системе дистанционного банковского обслуживания (ДБО) или ключ электронной подписи, использует зараженное устройство, злоумышленник может инициировать платежное поручение от имени организации. Второй канал — компрометация переговоров и коммерческой тайны: шпионские функции создают риск утечки информации, составляющей коммерческую тайну.

Глава 2. Методика проверки устройства: правовые и технические аспекты

2.1. Принципы экспертного исследования мобильных устройств

Криминалистическая проверка смартфона на наличие финансово-ориентированного вредоносного ПО подчиняется общим принципам судебной компьютерно-технической экспертизы, но обладает существенной спецификой. Она заключается в необходимости установления не только факта присутствия вредоносной программы, но и причинно-следственной связи между ее функционированием и конкретными финансовыми потерями.

Эта специфика определяет три обязательных условия допустимости экспертизы:

1. Сохранение целостности данных. Любое исследование должно начинаться с создания криминалистической копии (образа) данных устройства. Работа с оригиналом без создания копии создает риск утраты или модификации доказательств и ставит под сомнение допустимость заключения.
2. Документирование хода исследования. Каждый шаг эксперта — от фиксации состояния устройства при поступлении до использованных инструментов и методов — должен быть отражен в исследовательской части заключения.
3. Разграничение фактов и интерпретаций. Заключение должно четко разделять то, что непосредственно наблюдалось (наличие APK-файла с определенными разрешениями), и то, что является выводом эксперта (принадлежность программы к семейству банковских троянов, ее функциональные возможности).

2.2. Этап предварительного анализа

Цель: оценить обоснованность подозрений и определить необходимый объем дальнейшего исследования.

Содержание работы. Эксперт проводит осмотр устройства без глубокого вмешательства: изучает перечень установленных приложений, обращая внимание на программы с «системными» именами, не соответствующими стандартным компонентам ОС; проверяет список приложений-администраторов устройства; анализирует разрешения, выданные приложениям (особое внимание — Accessibility, SMS, доступ к уведомлениям); проверяет наличие профилей конфигурации (для iOS) и журналов подключений к внешним серверам.

Критерии оценки. Наличие приложения с разрешением Accessibility, не являющегося легитимным средством помощи пользователям с ограниченными возможностями, рассматривается как индикатор высокой степени риска. Приложение, одновременно запрашивающее доступ к SMS и Accessibility, с вероятностью, близкой к достоверной, является вредоносным, поскольку легитимные программы крайне редко нуждаются в такой комбинации.

Результат. Краткое письменное или устное заключение о наличии или отсутствии оснований для углубленного исследования.

2.3. Этап краткого исследования

Цель: документально зафиксировать факт наличия (или отсутствия) подозрительного ПО.

Содержание работы. Создание резервной копии данных, извлечение APK-файлов подозрительных приложений, их статический анализ: декомпиляция, изучение манифеста (заявленных разрешений и компонентов), поиск известных индикаторов компрометации (домены управляющих серверов, характерные строки в коде, совпадение хеш-сумм с базами вредоносных образцов).

Результат. Справка, в которой перечислены обнаруженные приложения с указанием их функциональных возможностей и оценкой степени опасности. Справка может быть использована для обращения в банк с требованием о пересмотре отказа в возврате средств, для информирования службы безопасности предприятия или для принятия решения о возбуждении уголовного дела.

2.4. Этап развернутого заключения

Цель: подготовить полноценное экспертное исследование, пригодное для использования в качестве доказательства на стадии доследственной проверки или в гражданском процессе.

Содержание работы. Полный цикл криминалистического анализа:

• создание образа данных устройства с фиксацией хеш-сумм;
• реверс-инжиниринг вредоносных APK: анализ кода, выявление управляющей инфраструктуры (C2-серверов), механизмов перехвата, списка целевых банковских приложений;
• поведенческий анализ в изолированной среде: запуск образца для документирования его действий — попыток подключения к серверу, запросов разрешений, попыток наложения overlay-экранов;
• установление хронологии: дата и время установки подозрительного приложения, период его активности, наличие событий перехвата SMS или экранного ввода, совпадающих по времени с моментами несанкционированных транзакций.

Ключевой вывод. Заключение должно содержать ответ на вопрос: могло ли обнаруженное вредоносное ПО быть использовано для хищения денежных средств с конкретного счета в конкретный период. Установление временного соответствия между активностью трояна и транзакциями является критическим элементом, связывающим техническое исследование с финансовым ущербом.

2.5. Этап судебной экспертизы

Цель: производство экспертизы в рамках уголовного дела или гражданского спора с соблюдением процессуальных требований.

Процессуальные особенности. Эксперт предупреждается об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения. Устройство поступает в качестве вещественного доказательства в установленном порядке. Обеспечивается целостность доказательств: фиксация состояния при поступлении, хеширование образов, документирование всех манипуляций.

Дополнительные возможности. При необходимости проводится восстановление удаленных данных (журналов, APK-файлов, следов соединений), анализ сетевой активности за длительный период, идентификация инфраструктуры злоумышленника. Эксперт может привлекаться к допросам и судебным заседаниям для разъяснения заключения.

Результат. Заключение эксперта, являющееся доказательством в суде. В экспертной практике известны случаи, когда подобные заключения ложились в основу обвинения по ст. 159.6 УК РФ и позволяли потерпевшим преодолеть возражения банков о «вине клиента» в компрометации устройства.

Глава 3. Экспертное сопровождение: форматы и процессуальное значение

3.1. Предварительный анализ (5 000 рублей)

Данный формат предназначен для лиц, подозревающих компрометацию устройства, но не располагающих подтвержденными данными о хищении. Эксперт проводит экспресс-осмотр без создания полного образа данных: проверка разрешений Accessibility и SMS, списка администраторов устройства, явных индикаторов компрометации в перечне приложений. Результат — заключение о наличии или отсутствии оснований для дальнейшего исследования. Экономическая целесообразность формата: он позволяет избежать затрат на полную экспертизу в случаях, когда подозрения не подтверждаются, и одновременно не упустить время в случаях, когда компрометация реальна.

3.2. Краткая справка по исследованию (15 000 рублей)

Справка представляет собой документ, фиксирующий обнаруженные факты в форме, достаточной для:

• обращения в банк с требованием о пересмотре транзакций и предоставления информации о попытках несанкционированного доступа;
• информирования службы безопасности предприятия о компрометации корпоративного устройства;
• принятия решения о подаче заявления в правоохранительные органы.

Справка содержит перечень обнаруженных приложений, их разрешений и оценку функциональных возможностей, но не включает реверс-инжиниринг кода и установление полной хронологии событий.

3.3. Развернутое заключение (25 000 рублей)

Данный формат представляет собой полноценное экспертное исследование, пригодное для представления в качестве доказательства в гражданском процессе и на стадии доследственной проверки. Заключение включает:

• исследовательскую часть с описанием методики и инструментов;
• результаты статического и поведенческого анализа вредоносного образца;
• установление хронологической связи между активностью трояна и финансовыми потерями;
• выводы, отвечающие на вопросы: имеется ли на устройстве вредоносное ПО, каков его функционал, могло ли оно быть использовано для хищения средств в указанный период.

Развернутое заключение является оптимальным форматом для физических лиц, готовящих иск к банку или заявление в полицию, и для предприятий, формирующих доказательственную базу для арбитражного спора.

3.4. Судебная экспертиза (50 000 рублей и выше)

Производится по определению суда или постановлению следователя в рамках уголовного дела или гражданского производства. Эксперт предупреждается об ответственности по ст. 307 УК РФ. Заключение судебной экспертизы обладает особым процессуальным статусом и является самостоятельным доказательством, подлежащим оценке судом наряду с другими доказательствами. Стоимость зависит от сложности исследования, объема данных и необходимости участия эксперта в следственных действиях и судебных заседаниях.

Глава 4. Документированные кейсы

Кейс 1: Хищение с карты физического лица через подмену интерфейса банковского приложения

Обстоятельства. Гражданка К., 42 года, обратилась с заявлением о списании 187 000 рублей с ее банковской карты. За три дня до списания ей поступил звонок от «сотрудника банка» с предупреждением о «подозрительной активности» и предложением установить «обновление безопасности» для защиты счета. К. проследовала по ссылке и установила APK-файл, разрешив запрошенные разрешения, включая Accessibility и доступ к SMS.

Экспертное исследование. При предварительном анализе обнаружено приложение с именем «System Update», не являющееся системным компонентом, с разрешениями Accessibility и SMS. Статический анализ APK выявил совпадение индикаторов компрометации с семейством Android.Banker.Mamont: домены C2-серверов, база HTML-шаблонов для overlay-экранов, включая шаблон для банка, клиентом которого являлась К. Хронологический анализ журналов устройства показал, что за 12 минут до списания средств приложение зафиксировало запуск банковского приложения и отобразило overlay-экран, в который были введены данные карты. Одновременно зафиксирован перехват SMS с кодом подтверждения транзакции.

Результат. Развернутое заключение (25 000 рублей) представлено в банк и в следственные органы. На основании заключения возбуждено уголовное дело по ст. 159.6 УК РФ. Банк после представления заключения пересмотрел решение об отказе в возврате средств.

Правовое значение. Заключение установило причинно-следственную связь между действием вредоносной программы и хищением, что позволило квалифицировать деяние не как «неосторожность клиента», а как умышленное преступление.

Кейс 2: Оформление кредита на имя жертвы через перехват SMS и удаленное управление

Обстоятельства. Гражданин М., 35 лет, обнаружил в кредитной истории запись о кредите на 350 000 рублей, оформленном на его имя в банке, клиентом которого он не являлся. За месяц до этого он устанавливал приложение, рекламировавшееся как «инструмент для заработка на криптовалюте».

Экспертное исследование. При анализе устройства обнаружен APK-файл, маскировавшийся под легитимное финансовое приложение, но содержавший код банковского трояна. Установлено, что вредоносная программа получила разрешение на обработку SMS по умолчанию и с помощью команды, отправленной с C2-сервера, активировала переадресацию вызовов (USSD-команда 21), направив все входящие звонки на номер злоумышленника. В период оформления кредита троян перехватывал все SMS от банка, включая коды подтверждения, и передавал их оператору. Одновременно с устройства осуществлялся удаленный доступ для заполнения кредитной заявки от имени М.

Результат. Судебная экспертиза (50 000 рублей) проведена в рамках уголовного дела, возбужденного по заявлению М. Заключение эксперта установило, что оформление кредита производилось с использованием функций удаленного управления и перехвата SMS, реализованных вредоносной программой, без участия владельца устройства. Кредитная организация аннулировала задолженность.

Правовое значение. Кейс демонстрирует, что перехват SMS позволяет обходить двухфакторную аутентификацию, и экспертиза должна устанавливать не только наличие трояна, но и его роль в конкретной финансовой операции.

Кейс 3: Компрометация расчетного счета предприятия через зараженное устройство сотрудника

Обстоятельства. С расчетного счета ООО «Т.» были списаны 1 200 000 рублей двумя транзакциями в течение одного часа. Платежи были инициированы с IP-адреса, не соответствующего офису организации. Выяснилось, что главный бухгалтер в день инцидента использовала личный смартфон для подтверждения операций через мобильное приложение ДБО, поскольку офисное подключение было временно недоступно.

Экспертное исследование. На устройстве бухгалтера обнаружен троян, распространявшийся под видом «обновления Google Play». Программа имела разрешения на Accessibility, SMS и доступ к уведомлениям. Установлено, что за два дня до инцидента троян получил команду с C2-сервера на отслеживание запуска приложения ДБО. В момент подтверждения первой транзакции троян отобразил overlay-экран, имитирующий интерфейс подтверждения, и перехватил код, который бухгалтер ввела, полагая, что подтверждает плановый платеж. Вторая транзакция была инициирована удаленно через функции RAT.

Результат. Развернутое заключение (25 000 рублей) использовано в арбитражном процессе о взыскании убытков с банка. Суд признал, что операции были совершены без надлежащего волеизъявления клиента, и обязал банк возместить ущерб. Дополнительно заключение легло в основу заявления в полицию по ст. 159.6 и 272 УК РФ.

Правовое значение. Для предприятий: устройства сотрудников, имеющих доступ к ДБО, должны проходить проверку при любых подозрениях. Экспертное заключение является доказательством, позволяющим преодолеть позицию банка о «вине клиента».

Кейс 4: Кража криптовалюты через подмену буфера обмена и блокировку вызовов банка

Обстоятельства. Гражданин С., 29 лет, обратился с заявлением о хищении криптовалюты на сумму, эквивалентную 420 000 рублей. По его словам, он скопировал адрес своего кошелька для перевода с биржи, но средства не поступили. Проверка транзакции показала, что перевод ушел на другой адрес.

Экспертное исследование. На устройстве С. обнаружен банковский троян с функциями, характерными для семейства Android.Banker. Установлено, что вредоносная программа перехватывала обращения к буферу обмена и подменяла адреса криптовалютных кошельков при копировании. Кроме того, троян блокировал входящие вызовы: когда служба безопасности биржи пыталась связаться с С. для подтверждения подозрительной транзакции, вызовы не поступали на устройство. Анализ журналов показал, что подмена адреса произошла в момент, когда С. скопировал свой адрес для вставки в форму перевода.

Результат. Краткая справка (15 000 рублей) использована для обращения в службу поддержки биржи и в полицию. Биржа после представления справки инициировала внутреннее расследование и компенсировала часть средств в порядке жеста доброй воли, не признавая юридической ответственности. Уголовное дело приостановлено в связи с неустановлением лиц, совершивших преступление.

Правовое значение. Подмена буфера обмена — техника, не требующая overlay-экранов и работающая «незаметно» для пользователя. Для владельцев криптовалютных активов проверка устройства должна включать анализ журналов буфера обмена (при наличии доступа).

Кейс 5: «Бытовой» шпионаж, переросший в хищение

Обстоятельства. Гражданка Л., 38 лет, обратилась с подозрением на установку шпионского ПО бывшим супругом. При проверке устройства дополнительно обнаружены следы несанкционированного доступа к банковскому приложению и списание 45 000 рублей, которое Л. первоначально не связала с действиями бывшего супруга.

Экспертное исследование. На устройстве обнаружено приложение, маскировавшееся под «родительский контроль» и обладавшее расширенными разрешениями, включая Accessibility и SMS. Анализ показал, что программа относилась к классу stalkerware с функциями удаленного управления. Установлено, что помимо отслеживания местоположения и чтения переписки, программа позволяла удаленно просматривать экран и эмулировать нажатия. Хронология свидетельствует, что списание средств произошло в период, когда устройство находилось без присмотра владелицы, а программа проявляла активность, характерную для удаленного управления банковским приложением.

Результат. Развернутое заключение (25 000 рублей) представлено в полицию. Дело квалифицировано по совокупности ст. 138 и 159.6 УК РФ. Кейс демонстрирует, что грань между «бытовым» шпионажем и финансовым преступлением подвижна: программы, позиционируемые как средства контроля, обладают функционалом, достаточным для хищения.

Правовое значение. Судебная практика по ст. 138 УК РФ традиционно связана с «бытовыми» конфликтами , однако при наличии финансового ущерба деяние требует квалификации по совокупности с ст. 159.6 УК РФ. Экспертиза устанавливает связь между функционалом программы и фактом хищения.

Заключение

Проверка смартфона на наличие шпионского программного обеспечения в современном контексте перестала быть мерой, актуальной исключительно для лиц, подозревающих супругов в неверности. Финансово-ориентированное вредоносное ПО превратило смартфон в инструмент прямого хищения денежных средств, причем механизм хищения часто не оставляет жертве возможности своевременно обнаружить атаку: overlay-экраны неотличимы от настоящих интерфейсов, SMS-коды перехватываются до того, как пользователь их увидит, а входящие звонки от банка блокируются.

С правовой точки зрения ключевая задача потерпевшего — преодолеть презумпцию «вины клиента» и добиться квалификации деяния по ст. 159.6 УК РФ, а не ограничиваться «бытовой» ст. 138 УК РФ. Экспертное исследование устройства выполняет двойную функцию: с технической стороны оно устанавливает факт компрометации и механизм воздействия вредоносной программы; с процессуальной — преобразует технические данные в доказательство, пригодное для защиты нарушенного права.

Предложенная четырехуровневая система экспертного сопровождения — от предварительного анализа (5 000 рублей) до судебной экспертизы (от 50 000 рублей) — позволяет избрать формат исследования, соответствующий стадии, на которой находится потерпевший, и целям, которые он преследует. Ключевым критерием при выборе формата является не только стоимость, но и процессуальные последствия: справка информирует, заключение убеждает, экспертиза доказывает.

Для предприятий дополнительным аргументом в пользу систематической проверки устройств, имеющих доступ к финансовым системам, является предотвращение ущерба, который многократно превышает стоимость любой из форм экспертного исследования. Хищение с расчетного счета организации влечет не только прямые потери, но и репутационные издержки, а также риск оспаривания сделок контрагентами.

Список источников

1. Прокуратура Архангельской области и НАО. Приговор по делу о нарушении тайны переписки и неправомерном доступе к компьютерной информации. 2026.
2. Прокуратура Удмуртской Республики. Приговор по делу о похищении человека и нарушении тайны переписки. 2026.
3. Прокуратура Ивановской области. Обвинительное заключение по делу о нарушении тайны переписки. 2026.
4. Web. Обзор мобильных угроз. I квартал 2026.
5. Web. Обзор мобильных угроз. III квартал 2026.
6. Судебная практика по статье 138 УК РФ.