Аннотация

Настоящая монография посвящена правовым и технико-криминалистическим аспектам выявления шпионского программного обеспечения на мобильных устройствах в контексте хищения денежных средств. В отличие от традиционного рассмотрения spyware как инструмента бытового наблюдения, работа акцентирует внимание на программных средствах, выступающих орудием совершения преступлений, предусмотренных ст. 158, 159, 159.3, 159.6 УК РФ, а также гражданско-правовых споров с кредитными организациями. Систематизируются механизмы финансово ориентированного вредоносного ПО, анализируется судебная практика по спорам с банками, предлагается четырёхуровневая методика проверки устройства с фиксированной стоимостью услуг. Приводятся пять практических кейсов с правовой оценкой.

1. Введение

1.1. Актуальность и правовой контекст

Шпионское программное обеспечение для мобильных устройств перестало быть инструментом исключительно бытового наблюдения. Современный рынок коммерческого spyware демонстрирует устойчивую тенденцию к финансовой ориентации: злоумышленников интересует не переписка или геолокация как таковая, а доступ к банковским приложениям, криптовалютным кошелькам и системам дистанционного банковского обслуживания (ДБО).

С правовой точки зрения такие действия квалифицируются по нескольким статьям Уголовного кодекса Российской Федерации. Хищение денежных средств с банковского счёта посредством вредоносного ПО образует состав преступления, предусмотренного п. «г» ч. 3 ст. 158 УК РФ (кража, совершённая с банковского счёта, а равно в отношении электронных денежных средств). В случаях, когда хищение совершается путём обмана или злоупотребления доверием, применяется ст. 159 УК РФ (мошенничество), а при использовании поддельных платёжных карт — ст. 159.3 УК РФ. Неправомерный доступ к компьютерной информации, сопутствующий установке шпионского ПО, квалифицируется по ст. 272 УК РФ.

Для предприятий проблема имеет прямое финансовое измерение: скомпрометированное устройство сотрудника, имеющего доступ к корпоративным счетам, становится вектором хищения средств организации. Исследователи iVerify прямо указывают: для предприятий компрометация устройства сотрудника является вектором кражи учётных данных, захвата аккаунтов и эксфильтрации данных.

1.2. Цель документа

Цель настоящей работы — предоставить физическим лицам и представителям предприятий систематизированный правовой и технический инструментарий для проверки смартфона на наличие шпионского ПО, способного выступать инструментом хищения денежных средств, а также для документального закрепления результатов проверки в целях последующей судебной защиты.

2. Технические механизмы хищения и их правовая квалификация

2.1. Перехват OTP-кодов и обход двухфакторной аутентификации

Большинство банковских операций защищены одноразовыми кодами. Шпионское ПО, получившее разрешение на чтение SMS, пересылает входящие сообщения оператору. ZeroDayRAT, по данным ThaiCERT, способен читать входящие SMS для перехвата OTP-кодов, используемых для обхода двухфакторной аутентификации, а также отправлять SMS от имени жертвы. Octagon сохраняет и пересылает входящие текстовые сообщения, включая одноразовые коды.

Правовая квалификация: перехват SMS с OTP-кодами образует неправомерный доступ к охраняемой законом компьютерной информации (ст. 272 УК РФ) и является способом совершения хищения (ст. 158 или 159 УК РФ в зависимости от механизма).

Правовая позиция для спора с банком: согласно п. 1 ст. 845 ГК РФ, банк обязан совершать операции по счёту на основании распоряжения клиента. Если распоряжение дано не клиентом, а третьим лицом посредством вредоносного ПО, надлежащее исполнение не имеет места. Судебная практика подтверждает: обязанность предотвращать несанкционированный доступ к системе переводов лежит не только на клиенте, но и на банке. Забайкальский краевой суд обязал банк вернуть 1,2 млн рублей клиентке, у которой деньги украли после установки вредоносной программы, указав на обязанность банка обеспечить безопасность переводов.

2.2. Overlay-атаки на банковские приложения

Технология overlay позволяет вредоносной программе отобразить поверх легитимного окна банковского приложения поддельную страницу ввода пароля. Octagon использует готовые шаблоны для Trust Wallet, Binance, MEXC, MetaMask. ZeroDayRAT применяет аналогичный подход для кражи учётных данных из Google Pay, Apple Pay, PayPal.

Правовая квалификация: введение пользователя в заблуждение относительно природы вводимых данных образует обман как способ мошенничества (ст. 159 УК РФ). Если же данные вводятся в поддельное окно, которое пользователь воспринимает как легитимное, речь идёт о модификации информации (ст. 272 УК РФ) в совокупности с хищением.

2.3. Кража данных банковских карт через NFC

Связка CraxsRAT и NFCGate представляет собой наиболее прямой с точки зрения хищения денежных средств инструмент. NFCGate изначально — легитимное приложение для отладки NFC-протоколов. В руках злоумышленников оно превратилось в средство считывания банковских карт. По данным F6, в России к марту 2025 года насчитывалось свыше 180 тысяч скомпрометированных устройств; ущерб за январь–февраль — почти 200 миллионов рублей.

Правовая квалификация: считывание данных банковской карты без согласия держателя и последующее использование этих данных для снятия средств образует состав ст. 159.3 УК РФ (мошенничество с использованием электронных средств платежа), а при наличии признака тайности — п. «г» ч. 3 ст. 158 УК РФ.

Гражданско-правовой аспект: согласно ст. 9 Федерального закона «О национальной платёжной системе», держатель не несёт ответственности за операции, совершённые без его согласия, если не доказано нарушение им правил использования электронного средства платежа. Техническое заключение о компрометации устройства является доказательством отсутствия такого нарушения.

2.4. Подмена буфера обмена и адресов криптовалютных кошельков

Clipboard-инъекция: вредоносная программа отслеживает буфер обмена и подменяет скопированный адрес кошелька получателя. ZeroDayRAT сканирует MetaMask, Trust Wallet, Binance и Coinbase и использует clipboard injection для замены адреса.

Правовая квалификация: хищение криптоактивов квалифицируется по ст. 158 или 159 УК РФ в зависимости от механизма. Криптовалюта признаётся имуществом в целях уголовного закона (позиция Верховного Суда РФ).

3. Правовое значение технической экспертизы устройства

3.1. Бремя доказывания в спорах с банками

В спорах о несанкционированных переводах ключевым является вопрос распределения бремени доказывания. Банк ссылается на то, что операция подтверждена корректным OTP-кодом с устройства клиента. Клиент утверждает, что не совершал операцию.

Согласно правовой позиции, сформулированной в судебной практике, банк обязан доказать, что операция совершена с соблюдением требований законодательства и договора, в том числе что распоряжение дано уполномоченным лицом. Если клиент представляет техническое заключение о компрометации устройства, бремя доказывания обратного переходит на банк.

Забайкальский краевой суд указал: «Обязанность предотвращать несанкционированный доступ к системе переводов лежит не только на клиенте, но и на банке». Это означает, что наличие технического заключения о компрометации устройства является процессуальным инструментом, меняющим расстановку сил в споре.

3.2. Виды заключений и их процессуальный статус

Краткая справка по исследованию (уровень 2) не является заключением эксперта в смысле ст. 86 УПК РФ или ст. 71 АПК РФ. Она может быть представлена как письменное доказательство (ст. 75 АПК РФ, ст. 71 ГПК РФ) и использована для обоснования позиции, но не имеет заранее установленной силы.

Развёрнутое заключение (уровень 3) также является письменным доказательством, но в силу полноты исследования может быть положено в основу решения суда при отсутствии возражений другой стороны.

Экспертиза по запросу суда или следствия (уровень 4) назначается в порядке ст. 79 ГПК РФ, ст. 82 АПК РФ, ст. 195 УПК РФ. Заключение эксперта является доказательством, не имеющим заранее установленной силы, но подлежащим оценке наряду с другими доказательствами (ст. 67 ГПК РФ, ст. 71 АПК РФ, ст. 88 УПК РФ). Эксперт предупреждается об уголовной ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения.

4. Методика проверки смартфона: четыре уровня исследования

4.1. Уровень 1. Предварительный анализ — 5 000 рублей

Цель: быстрая оценка наличия явных признаков компрометации.

Содержание работ: визуальный осмотр; проверка разрешений (Accessibility, SMS, уведомления, буфер обмена); проверка профилей администрирования; анализ источников установки приложений.

Результат: устное заключение о наличии/отсутствии очевидных индикаторов риска.

Правовое значение: ориентировочная оценка для принятия решения о необходимости углублённой проверки. Не является доказательством.

4.2. Уровень 2. Краткая справка по исследованию — 15 000 рублей

Цель: документально оформленный результат, пригодный для предъявления в банк или для внутреннего расследования.

Содержание работ: процедуры уровня 1; анализ сетевых соединений; поиск характерных артефактов (WardAccessibilityService, OctagonBridge, TCP-порт 4444 ); проверка запущенных процессов; анализ недавно удалённых приложений.

Результат: справка на 1–3 страницах.

Правовое значение: письменное доказательство (ст. 75 АПК РФ, ст. 71 ГПК РФ). Может быть приложено к претензии в банк или к заявлению в правоохранительные органы.

4.3. Уровень 3. Развёрнутое заключение — 25 000 рублей

Цель: полноценное техническое заключение для досудебного урегулирования или подготовки к судебному процессу.

Содержание работ: процедуры уровней 1 и 2; создание образа памяти; анализ системных журналов; восстановление истории разрешений; проверка «спящих» компонентов; сверка с базами индикаторов компрометации.

Результат: заключение на 5–15 страницах с подписью специалиста.

Правовое значение: письменное доказательство, которое при полноте исследования может быть положено в основу судебного решения. Является основанием для перераспределения бремени доказывания в споре с банком.

4.4. Уровень 4. Экспертиза по запросу суда или следствия — от 50 000 рублей

Цель: судебная экспертиза по факту хищения денежных средств.

Содержание работ: полный образ памяти с восстановлением удалённых данных; хронология событий; анализ финансовых артефактов; заключение по вопросам суда или следствия; участие в заседании.

Правовое значение: заключение эксперта (ст. 86 УПК РФ, ст. 79 ГПК РФ, ст. 82 АПК РФ). Эксперт предупреждён об ответственности по ст. 307 УК РФ.

Стоимость: от 50 000 рублей, определяется сложностью дела, количеством вопросов, необходимостью восстановления данных и срочностью.

5. Практические кейсы с правовой оценкой

Кейс 1. Хищение средств с банковского счёта через Octagon

Фабула. Гражданин Н. обратился с заявлением о списании 87 000 рублей через мобильное приложение банка в 03:17. Банк отказал в возврате, сославшись на корректный OTP-код и устройство клиента.

Исследование (уровень 3). Установлено приложение «Обновление системы безопасности», запросившее Accessibility и SMS. Обнаружены артефакты WardAccessibilityService, OctagonBridge, соединения по TCP-порту 4444. В локальной базе — overlay-шаблоны для банковского приложения.

Правовая оценка. Действия неустановленных лиц содержат признаки преступлений, предусмотренных п. «г» ч. 3 ст. 158 УК РФ и ст. 272 УК РФ. Заключение представлено в банк; на основании документального подтверждения компрометации устройства банк пересмотрел решение и вернул средства. Материалы переданы в правоохранительные органы.

Правовой вывод. Без технического заключения клиент находится в процессуально невыгодном положении: банк ссылается на презумпцию надлежащего исполнения. Заключение создаёт доказательственную базу для перераспределения бремени доказывания.

Кейс 2. Попытка получения кредита после компрометации через ZeroDayRAT

Фабула. Гражданка К. обнаружила в кредитной истории заявку на 300 000 рублей, которую не подавала. Банк заблокировал выдачу.

Исследование (уровень 2). Приложение «Фоторедактор» с доступом к SMS и уведомлениям. Сетевые соединения с инфраструктурой ZeroDayRAT. Журнал SMS — следы пересылки сообщений от банка на неизвестный номер. За неделю до заявки — переход по ссылке «обновление приложения банка».

Правовая оценка. Попытка получения кредита на имя К. содержит признаки покушения на мошенничество (ч. 3 ст. 30, ст. 159 УК РФ). Краткая справка позволила аннулировать кредитную заявку и скорректировать кредитную историю. В случае отказа банка документ мог быть использован в суде в порядке ст. 71 ГПК РФ.

Правовой вывод. Шпионское ПО может выступать инструментом не только хищения существующих средств, но и создания долговых обязательств. Своевременная проверка (уровень 2) предотвращает финансовые и репутационные потери.

Кейс 3. Хищение корпоративных средств через устройство сотрудника

Фабула. ООО «А.», малое предприятие. Бухгалтер с доступом к ДБО. Списано 420 000 рублей тремя транзакциями. Банк отказал, указав на корректные OTP-коды.

Исследование (уровень 3). На смартфоне бухгалтера за три недели до инцидента установлен файл «Акт сверки.pdf.apk» через WhatsApp. Артефакты Octagon, соединения по порту 4444. Журнал уведомлений показал перехват OTP. Overlay-шаблоны включали интерфейс ДБО организации.

Правовая оценка. Хищение квалифицируется по п. «г» ч. 3 ст. 158 УК РФ (либо ст. 159 УК РФ в зависимости от механизма). Для предприятия важно, что заключение позволяет разграничить «халатность сотрудника» и «целевую атаку» — это влияет на страховое покрытие и на позицию в споре с банком. Банк возместил 70% ущерба; страховая покрыла остаток по полису киберстрахования.

Правовой вывод. Предприятие несёт риски от заражения личных устройств сотрудников с доступом к финансам. Проверка уровня 3 переводит инцидент в категорию «целевая атака», что имеет прямые правовые последствия.

Кейс 4. Кража криптоактивов через clipboard-инъекцию

Фабула. Гражданин М. при переводе 0,45 ETH на биржевой адрес обнаружил, что средства ушли на неизвестный адрес. Визуально адрес совпадал (первые и последние символы), но отличался в середине.

Исследование (уровень 3). Обнаружен компонент мониторинга буфера обмена. Логи содержат записи подмены clipboard при копировании Ethereum-адресов. Артефакты соответствуют функционалу ZeroDayRAT. Приложение-носитель «Менеджер файлов» установлено за 5 дней до инцидента из Telegram.

Правовая оценка. Хищение криптоактивов квалифицируется по ст. 158 или 159 УК РФ. Средства не возвращены (блокчейн необратим), однако заключение использовано для обращения в правоохранительные органы и информирования биржи.

Правовой вывод. Для владельцев криптоактивов визуальная проверка адреса неэффективна. Техническое заключение фиксирует механизм атаки и создаёт доказательственную базу.

Кейс 5. Кража данных карты через CraxsRAT/NFCGate

Фабула. Гражданка С. обнаружила списание 95 000 рублей с карты, которую не теряла. За два дня до этого — звонок «из банка» с предложением «проверить карту на безопасность». Установила приложение, приложила карту, ввела ПИН-код.

Исследование (уровень 3). Восстановлены следы CraxsRAT и модифицированного NFCGate. Журналы NFC-активности показали считывание данных карты с передачей на внешний сервер. Приложение мимикрировало под системное.

Правовая оценка. Действия квалифицируются по ст. 159.3 УК РФ (мошенничество с использованием электронных средств платежа). Согласно ст. 9 Федерального закона «О национальной платёжной системе», держатель не несёт ответственности за операции, совершённые без его согласия, если не доказано нарушение им правил использования электронного средства платежа. Заключение подтвердило отсутствие такого нарушения. Банк признал операцию мошеннической и вернул средства.

Правовой вывод. Наиболее прямой способ хищения. Техническое заключение позволяет доказать отсутствие вины держателя карты и является основанием для возврата средств.

6. Самостоятельный осмотр: правовые и технические аспекты

До обращения к специалисту рекомендуется провести следующие проверки. Они не заменяют профессиональную диагностику, но позволяют оценить необходимость углублённого исследования и сохранить доказательственную информацию.

Шаг 1. Приложения с доступом к специальным возможностям. Настройки → Специальные возможности. Любое несистемное приложение, не относящееся к известным программам экранного доступа, — повод для проверки. Octagon и CraxsRAT работают именно так.

Шаг 2. Доступ к SMS. Настройки → Приложения → Специальный доступ → SMS. Банковские приложения и мессенджеры не должны запрашивать это разрешение без необходимости.

Шаг 3. Источники установки. APK-файлы, полученные через WhatsApp или Telegram, — серьёзный повод для беспокойства. Именно так распространяются CraxsRAT и NFCGate.

Шаг 4. Профили администрирования. Настройки → Безопасность → Администрирование устройства. Незнакомые профили недопустимы.

Шаг 5. Переадресация вызовов. Наберите ##002# для отмены активной переадресации. Неожиданная переадресация на незнакомый номер может указывать на компрометацию.

Правовой совет: при обнаружении признаков компрометации не удаляйте приложения и не сбрасывайте устройство до проведения исследования. Уничтожение данных может лишить вас доказательственной базы в споре с банком.

7. Рекомендации для предприятий: правовые аспекты

1. Включить проверку устройств с доступом к финансовым системам в регламент кибергигиены. Для сотрудников с правом подписи или доступом к ДБО — не реже одного раза в квартал. Это элемент управления юридическими рисками, а не только техническая мера.
2. Обучать сотрудников признакам компрометации. Основной вектор — социальная инженерия. Своевременное информирование снижает риск и создаёт доказательственную базу о надлежащем исполнении работодателем обязанностей по охране труда и безопасности.
3. Обеспечить процедуру реагирования. При выявлении компрометации устройство изолируется, доступы отзываются. Проверка уровня 3 или 4 позволяет задокументировать инцидент для страховой и правоохранительных органов.
4. Рассмотреть киберстрахование. Кейс 3 показывает, что документально подтверждённый факт целевой атаки (в отличие от «халатности») может служить основанием для страховой выплаты.

8. Заключение

Шпионское программное обеспечение на смартфоне перестало быть инструментом бытового любопытства. Современные коммерческие платформы — Octagon, ZeroDayRAT, связка CraxsRAT/NFCGate — представляют собой готовые средства для хищения денежных средств. Стоимость подписки на Octagon (1400 долларов в месяц) окупается за счёт одной успешной атаки на банковский счёт.

С правовой точки зрения такие действия квалифицируются по ст. 158, 159, 159.3, 272 УК РФ. Для потерпевшего ключевое значение имеет документальное подтверждение факта компрометации устройства: оно перераспределяет бремя доказывания в споре с банком и создаёт доказательственную базу для уголовного преследования виновных.

Проверка устройства должна быть соразмерна риску. Предварительный анализ за 5 000 рублей даёт быструю оценку. Краткая справка (15 000 рублей) позволяет документально зафиксировать результат для банка или работодателя. Развёрнутое заключение (25 000 рублей) служит письменным доказательством в досудебном и судебном разбирательстве. Экспертиза по запросу суда (от 50 000 рублей) обеспечивает процессуальную силу документа при расследовании факта хищения.

Для предприятий своевременная проверка устройств, имеющих доступ к финансам, является элементом базовой финансовой и правовой безопасности. Ущерб от одной скомпрометированной учётной записи ДБО многократно превышает стоимость любого из описанных уровней исследования.