Настоящая монография посвящена научно-методическому анализу проблемы обнаружения шпионского программного обеспечения на мобильных устройствах в контексте хищения денежных средств с расчётных счетов, несанкционированного оформления кредитов и вывода средств из банков. Работа адресована физическим лицам и предприятиям. Методологическая основа исследования лежит в плоскости цифровой криминалистики и практической безопасности. Научная новизна состоит в разграничении уровней диагностики (пользовательский, инструментальный, экспертный) и обосновании тезиса о принципиальной недостаточности публичных методов проверки для категорических выводов и процессуального доказывания. В работе последовательно рассматриваются вопросы: как проверить телефон на слежку, как проверить слежку на устройстве, как проверить есть ли слежка на телефоне, как проверить телефон на слежку андроид бесплатно, как проверить телефон на прослушивание и слежку, как проверить телефон на наличие шпионских программ, как проверить телефон на шпионское по, а также как проверить айфон на наличие шпионских программ и как проверить компьютер на шпионские программы. Приводятся пять кейсов, иллюстрирующих типовые сценарии финансового ущерба. Обосновывается положение о том, что результаты самостоятельной проверки не обладают доказательственной силой, а экспертное заключение является единственным инструментом установления причинно-следственной связи между компрометацией устройства и финансовыми потерями.

Ключевые слова: шпионское ПО, банковский троян, Android, iOS, мобильная криминалистика, индикаторы компрометации, судебная экспертиза, как проверить телефон на слежку.

Введение

Постановка научно-методической проблемы

Смартфон в современной цифровой экономике выполняет функции, имеющие прямое юридическое и финансовое значение: он выступает средством подтверждения банковских операций (одноразовые коды), хранилищем аутентификационных данных и инструментом доступа к финансовым сервисам. Компрометация устройства шпионским программным обеспечением создаёт условия для хищения денежных средств, квалифицируемого в зависимости от механизма деяния по ст. 158, 159 или 159.6 УК РФ.

Однако установление факта компрометации и, что принципиально важно, причинно-следственной связи между активностью вредоносного ПО и конкретными финансовыми операциями требует специальных познаний. Научно-методическая проблема состоит в том, что публичные методы проверки, доступные пользователю, недостаточны для определения того, что устройство «чисто». Они позволяют выявить косвенные индикаторы, но не дают гарантии и не создают доказательственной базы.

Отдельного внимания заслуживает платформенная специфика. Android, в силу большей открытости архитектуры и распространённости sideload-установки, является основной мишенью банковских троянов и RAT. Согласно экспертным оценкам, Android-устройства чаще становятся целью stalkerware, чем iOS, хотя обе платформы не являются полностью иммунными.

Предмет, цели и задачи

Предмет исследования составляют методы обнаружения шпионского ПО на мобильных устройствах, границы их применимости и условия, при которых результаты проверки приобретают доказательственную силу.

Цель — обосновать уровневую модель диагностики компрометации мобильного устройства и определить условия, при которых результаты проверки приобретают доказательственное значение.

Задачи:

• Систематизировать функциональные характеристики шпионского ПО, конвертируемые в финансовый ущерб.
• Описать пользовательский уровень диагностики и его ограничения (как проверить телефон на слежку).
• Проанализировать инструментальный уровень (как проверить на шпионские программы) и его недостаточность для процессуальных целей.
• Обосновать необходимость экспертного уровня (проверить телефон на прослушивание и слежку).
• Проанализировать пять кейсов из экспертной и правоприменительной практики.
• Сформулировать выводы о доказательственном значении различных форматов проверки.

Глава 1. Функциональная карта угрозы: конвертация функций слежки в финансовый ущерб

1.1. Классы вредоносного ПО и их финансовый потенциал

В научной литературе и экспертной практике разграничиваются следующие категории вредоносного ПО:

Stalkerware — ПО для скрытого наблюдения (геолокация, переписка, камера/микрофон). Исторически ассоциируется с семейным контролем. Однако, как отмечают исследователи, stalkerware требует физического доступа к разблокированному устройству для установки, что ограничивает его применение в массовых финансовых преступлениях, но не исключает использования в целевых атаках.

Banking trojan — ПО, нацеленное на кражу платёжных данных и подтверждающих кодов. Характерные функции: overlay (подмена окон ввода), перехват SMS, кейлоггинг.

RAT (Remote Access Trojan) — ПО удалённого администрирования, обеспечивающее управление устройством в реальном времени, включая инициацию финансовых операций.

С точки зрения финансового ущерба указанные категории образуют континуум: функции, изначально разработанные для наблюдения (перехват SMS, доступ к уведомлениям, Accessibility Service), напрямую конвертируются в механизмы хищения.

1.2. Ключевые функциональные векторы

1.3. Векторы инфицирования

Научный анализ эмпирических данных позволяет выделить доминирующие векторы: социальная инженерия под видом банка; фишинговые ссылки в мессенджерах; вредоносная реклама и дропперы; sideload APK из ненадёжных источников. Эксперты по безопасности прямо указывают: «Россияне устанавливают приложения из сторонних недостоверных источников, а не из официальных магазинов цифрового контента. Приложения нужно скачивать из Google Play и App Store, потому что там они проходят проверку модерацией». Отдельно выделяется физический доступ, характерный для stalkerware.

Глава 2. Пользовательский уровень диагностики: как проверить телефон на слежку

2.1. Методологические основания

Пользовательский уровень диагностики направлен на выявление косвенных индикаторов компрометации без применения специализированного инструментария. Его научная ценность состоит в том, что он формирует первичную гипотезу о наличии угрозы и служит фильтром для принятия решения о необходимости более глубокого исследования.

2.2. Индикаторы компрометации, доступные пользователю

Систематизация экспертных данных позволяет выделить следующие группы признаков.

Аномалии энергопотребления и производительности. Быстрая разрядка аккумулятора без видимых причин, перегрев корпуса при отсутствии ресурсоёмких задач, замедление работы, самопроизвольные перезагрузки — неспецифичные, но значимые в совокупности симптомы.

Сетевая активность. Повышенный расход мобильного трафика без объяснимого пользовательского поведения может свидетельствовать о передаче собранных данных на командные серверы.

Системные артефакты. Наличие незнакомых приложений, в том числе маскирующихся под системные. Kaspersky прямо предупреждает: следите за приложениями с типичными системными именами — «System Manager», «Phone Health», «Device Service». Приложения, запрашивающие разрешения, не соответствующие заявленной функциональности (калькулятор с доступом к микрофону, фонарик с доступом к SMS).

Индикаторы доступа к датчикам. На Android 12 и выше Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности) показывает временную шкалу с информацией о том, какие приложения и когда получали доступ к камере, микрофону и геолокации. На iPhone — зелёная точка (камера), оранжевая (микрофон), стрелка (геолокация). Активность в отсутствие пользовательского запуска соответствующего приложения является значимым индикатором.

Переадресация вызовов. Набор ##002# позволяет отменить активную переадресацию; неожиданная переадресация на незнакомый номер может указывать на компрометацию. Для проверки перед отменой можно набрать *#21#, чтобы увидеть, включена ли безусловная переадресация.

2.3. Алгоритм первичной проверки

Отвечая на вопрос, как проверить телефон на слежку, научно обоснованная последовательность включает:

• Фиксация исходного состояния (дата, модель, версия ОС, IMEI, скриншоты).
• Проверка полного списка приложений, включая системные (Настройки → Приложения → Показать системные).
• Проверка Accessibility Service: наличие приложений с этим разрешением, не являющихся легитимными ассистивными инструментами, — красный флаг.
• Проверка администраторов устройства (Настройки → Безопасность → Администраторы устройства). Мониторинговое ПО может регистрироваться в этом разделе, чтобы затруднить удаление.
• Проверка доступа к уведомлениям.
• Проверка пользовательских сертификатов и VPN-профилей.
• Проверка переадресации вызовов.
• Проверка расхода трафика по приложениям: если приложение, которым вы редко пользуетесь, постоянно передаёт данные в фоне, это стоит проверить.

2.4. Принципиальные ограничения пользовательского уровня

Пользовательский уровень диагностики не позволяет достоверно установить отсутствие компрометации. Отсутствие видимых индикаторов не означает «чисто». Современное вредоносное ПО использует методы маскировки, включая сокрытие иконок и обфускацию.

Более того, самостоятельные действия (удаление приложений, сброс настроек) могут уничтожить следы, необходимые для установления причинно-следственной связи. Таким образом, пользовательский уровень отвечает на вопрос «как проверить телефон на слежку» лишь в смысле формирования гипотезы, но не в смысле получения доказательственного результата.

Глава 3. Инструментальный уровень: как проверить на шпионские программы

3.1. Антивирусное сканирование и его границы

Использование антивирусных сканеров (Kaspersky Mobile Security, Malwarebytes и др.) позволяет выявить известные образцы вредоносного ПО по сигнатурам. Специализированное приложение Kaspersky Mobile Security сканирует устройство на наличие вредоносных программ, обнаруживает скрытые угрозы и обеспечивает более глубокую защиту, чем базовые встроенные средства.

Однако, как отмечается в экспертной литературе, многие профессиональные шпионские программы используют методы глубокой маскировки, которые не обнаруживаются стандартными антивирусами. Научный вывод: антивирусное сканирование является необходимым, но недостаточным элементом инструментального уровня.

3.2. Специализированные инструменты и их ограничения

Приложения класса Anti Spy и PhoneGuard позиционируются как специализированные инструменты для обнаружения скрытых угроз. Однако разработчики прямо указывают на ограничения: приложение «помогает обнаружить признаки потенциального риска, но не может гарантировать обнаружение всех существующих отслеживающих, прослушивающих, вредоносных программ».

3.3. Безопасный режим как метод диагностики

На Android можно включить безопасный режим, чтобы отключить все сторонние приложения. Это упрощает удаление вредоносного ПО. Чтобы войти в безопасный режим на большинстве Android-устройств, удерживайте кнопку питания, затем нажмите и удерживайте пункт «Выключение», пока не появится предложение войти в безопасный режим. Если в безопасном режиме проблема исчезает — виновато одно из установленных приложений.

3.4. Инструментальный уровень в контексте процессуального доказывания

Принципиальное ограничение инструментального уровня состоит в том, что его результаты не оформляются в соответствии с процессуальными требованиями. Антивирусный сканер или специализированное приложение не фиксируют цепочку хранения, не обеспечивают неизменность исходных данных посредством хэширования и не содержат сведений о квалификации оператора.

Для суда, следствия или арбитража необходимы юридически значимые доказательства, полученные с соблюдением процессуальных норм. Таким образом, отвечая на вопрос, как проверить на шпионские программы инструментальными средствами, следует признать: инструментальная проверка выявляет потенциальные угрозы, но не создаёт доказательственной базы.

Глава 4. Специфика платформ: Android и iOS

4.1. Как проверить телефон на слежку андроид бесплатно

Для Android пользовательский уровень проверки включает следующие шаги, не требующие финансовых затрат:

• Google Play Protect. Встроенная функция безопасности. Откройте Google Play → профиль → Play Protect → Сканировать.
• Проверка администраторов устройства. Настройки → Безопасность → Администраторы устройства. Отзовите права у подозрительных приложений.
• Проверка Accessibility Service. Настройки → Специальные возможности.
• Проверка индикаторов конфиденциальности. Панель конфиденциальности (Android 12+).
• Проверка переадресации вызовов. ##002#.
• Проверка расхода трафика. Настройки → Приложения → Использование данных.

4.2. Как проверить телефон на прослушивание и слежку: углублённые методы

Если вы задаётесь вопросом, как проверить телефон на прослушивание и слежку более глубоко, чем позволяет базовый чек-лист, порядок такой:

• Запустите полное сканирование антивирусом.
• Проверьте устройство в безопасном режиме.
• Проверьте наличие профилей MDM и конфигураций, которые вы не устанавливали.
• Зафиксируйте результаты скриншотами.
• При наличии финансового ущерба — обратитесь к эксперту.

4.3. Как проверить айфон на наличие шпионских программ

Владельцам iPhone тоже расслабляться не стоит. Да, iOS — это «песочница», и классических вирусов там почти нет. Но шпионские программы, фишинговые профили управления и вредоносные конфигурации, устанавливаемые самим пользователем под воздействием социальной инженерии, — это реальность.

Отвечая на вопрос, как проверить айфон на наличие шпионских программ, начните с проверки профилей управления: Настройки → Общие → VPN и управление устройством. Если есть профили, которые вы не устанавливали (особенно с названием MDM или от неизвестных компаний), — удаляйте.

Проверьте «Проверку безопасности» (iOS 16+): Настройки → Конфиденциальность и безопасность → Проверка безопасности. Эта функция покажет, с кем вы делитесь геолокацией и данными, и позволит немедленно прекратить обмен.

И, конечно, индикаторы конфиденциальности: зелёная точка — камера, оранжевая — микрофон, стрелка — геолокация. Если они появляются без вашего участия — ищите проблему.

4.4. Как проверить компьютер на шпионские программы и как проверить ноутбук на наличие шпионских программ

Хотя настоящее руководство посвящено смартфонам, вопросы как проверить компьютер на шпионские программы и как проверить ноутбук на наличие шпионских программ возникают у пользователей, столкнувшихся с компрометацией экосистемы. Для Windows базовые шаги включают: полное сканирование Windows Defender, проверку списка установленных программ (Панель управления → Программы и компоненты), проверку автозагрузки и расширений браузера. Для более глубокой проверки используются инструменты вроде Process Explorer и Autoruns от Microsoft Sysinternals. Однако эти методы выходят за рамки настоящего руководства и требуют отдельного рассмотрения.

Глава 5. Когда необходимо проверить телефон на прослушивание и слежку с экспертом

5.1. Показания к назначению экспертного исследования

Проверить телефон на прослушивание и слежку с привлечением эксперта необходимо в следующих ситуациях:

• установлены необъяснимые списания или оформлены кредитные продукты без согласия лица;
• планируется обращение в банк с требованием о возврате средств;
• планируется обращение в правоохранительные органы;
• предстоит судебное разбирательство (гражданское или уголовное);
• устройство использовалось для доступа к корпоративным финансам.

В указанных случаях самостоятельные действия недопустимы, поскольку могут привести к утрате доказательств.

5.2. Методология экспертного исследования

Профессиональное исследование включает следующие этапы:

• Физическая изоляция устройства (Faraday bag) для предотвращения удалённой очистки.
• Создание посекторной копии с хэш-суммами (SHA-256).
• Документирование цепочки хранения.
• Статический анализ: инвентаризация пакетов, анализ разрешений, декомпиляция APK, поиск сигнатур.
• Динамический анализ в изолированной среде.
• Сетевой анализ: выявление соединений с C2-серверами.
• Корреляция с финансовыми событиями: сопоставление временных меток активности ПО с временем операций.

5.3. Требования к экспертному заключению

Заключение должно содержать: сведения о квалификации эксперта; описание методики и инструментов; хэш-суммы исследованных образов; описание цепочки хранения; категорические выводы по каждому вопросу. Нарушение этих требований влечёт недопустимость доказательства (ст. 75 УПК РФ).

5.4. Резюме: как проверить телефон на прослушивание и слежку с экспертом

Если принято решение проверить телефон на прослушивание и слежку с привлечением специалиста:

• Не сбрасывать устройство и не удалять приложения.
• Изолировать устройство от сети (авиарежим).
• Передать устройство эксперту (или обеспечить выезд эксперта).
• Определить цель исследования и перечень вопросов.
• Получить заключение в формате, соответствующем стадии правового конфликта.

Глава 6. Форматы экспертных услуг и их доказательственное значение

6.1. Уровневая модель

6.2. Научное обоснование градации

Градация форматов отражает различия в процессуальном статусе результатов. Предварительный анализ и краткая справка не соответствуют требованиям ст. 204 УПК РФ к заключению эксперта. Развёрнутое заключение оформляется как заключение специалиста (ст. 80 УПК РФ), но суд вправе назначить судебную экспертизу для проверки выводов. Судебная экспертиза — единственный формат, который может быть положен в основу приговора или решения при соблюдении всех процессуальных требований.

Глава 7. Эмпирические кейсы

Кейс 1. Banking trojan «System Update»: квалификация по ст. 159.6 УК РФ

Обстоятельства. Списание 45 000 рублей. Коды подтверждения не передавались. Обнаружено приложение «System Update» с классами BankOverlay, SmsInterceptor, KeyLogger, AccessibilityService.

Правовое значение. Заключение легло в основу заявления по ст. 159.6 УК РФ. Экспертиза установила механизм хищения, что позволило квалифицировать деяние как мошенничество в сфере компьютерной информации.

Кейс 2. SpyNote и хищение 850 000 рублей: выездная экспертиза

Обстоятельства. Житель Ростова-на-Дону установил APK под видом «обновления безопасности». Через три дня счёт опустошён.

Правовое значение. Выездная лаборатория создала резервную копию, обнаружен активный процесс шпионской программы. Заключение передано в суд и следственные органы, использовано для иска к банку.

Кейс 3. SpyNote + WindRelay: кредит и кража карты за 13 минут

Обстоятельства. Злоумышленник представился сотрудником банка, убедил установить APK, получил Accessibility Service, установил WindRelay, оформил кредит и похитил NFC-данные карты.

Правовое значение. Деяние подпадает под ст. 159 УК РФ в совокупности со ст. 159.6 УК РФ. Экспертиза должна устанавливать последовательность действий злоумышленника по артефактам устройства.

Кейс 4. Приложение-справочник и хищение 90 тыс. рублей

Обстоятельства. Мужчина скачал приложение — справочник глубины прудов. На следующий день телефон перестал реагировать. Аферисты оформили кредиты почти на 90 тыс. рублей.

Научный комментарий. Приложения с безобидной заявленной функциональностью могут содержать вредоносную нагрузку. Потеря контроля над устройством (экран не реагирует) — значимый индикатор активного RAT.

Кейс 5. Stalkerware и утечка данных клиентов

Обстоятельства. В 2026 году опубликованы данные более 500 тысяч клиентов приложений для слежки: адреса электронной почты, информация о платежах, типы карт и последние четыре цифры номеров.

Научный комментарий. Stalkerware — продукт, создаваемый людьми, думающими о продажах, а не о безопасности. Данные, которые он собирает, утекают. Человек, который «просто хотел узнать, с кем переписывается жена», в итоге сливает в открытый доступ свои данные и данные жены.

Заключение

Основные научно-методические выводы

• Шпионское ПО в финансовом контексте представляет собой инструмент доступа, а не «слежки». Функции перехвата SMS, Accessibility Service и RAT конвертируются в возможность хищения, оформления кредита и вывода средств.
• Пользовательский уровень диагностики (как проверить телефон на слежку) позволяет сформировать гипотезу, но не даёт доказательственного результата. Самостоятельные действия сопряжены с риском уничтожения следов.
• Инструментальный уровень (как проверить на шпионские программы) выявляет известные угрозы, но недостаточен для процессуальных целей. Антивирусные сканеры не фиксируют цепочку хранения и не создают доказательственной базы.
• Экспертный уровень (проверить телефон на прослушивание и слежку) является необходимым условием установления причинно-следственной связи между компрометацией устройства и финансовыми потерями. Только заключение, оформленное с соблюдением требований к цепочке хранения и методологии, обладает доказательственной силой.
• Формат результата должен соответствовать стадии правового конфликта: предварительный анализ (5 000 ₽) — для решения о дальнейших шагах; краткая справка (15 000 ₽) — для банка; развёрнутое заключение (25 000 ₽) — для суда и следствия; экспертиза (от 50 000 ₽) — процессуальное доказательство.

Научно-методическое послесловие

Вопрос «как проверить телефон на слежку» не имеет универсального ответа, поскольку ответ зависит от цели проверки и требуемого уровня доказательности. Научно обоснованная позиция состоит в следующем: пользовательская и инструментальная проверки служат целям профилактики и формирования гипотезы; экспертная проверка служит целям доказывания. Смешение этих уровней приводит либо к ложному чувству безопасности, либо к утрате доказательств.