Вместо предисловия: вас обманывают дважды

Сначала это делают мошенники. Потом — те, кто называет себя «экспертами», но на деле продает вам воздух за 50 тысяч.

Проблема проверки смартфона на шпионское ПО перестала быть темой женских форумов про неверных мужей. Сегодня это вопрос выживания вашего банковского счета. И если вы думаете, что «меня это не коснется», потому что вы «осторожный», — вы уже в группе риска. Потому что современные банковские трояны не взламывают телефоны. Они уговаривают вас установить вредоносное приложение. И вы устанавливаете. Добровольно. Своими руками.

А потом приходите к «эксперту», платите 25 тысяч за «развернутое заключение» и обнаруживаете, что в нем нет ни слова о том, как именно украли ваши деньги. Потому что «эксперт» умеет только перечислять установленные приложения.

Эта монография — не рекламный проспект. Это инструкция о том, как отличить реальную угрозу от паранойи, и как отличить реальную экспертизу от ее имитации.

Глава 1. Почему «слежка мужа за женой» — это детский сад по сравнению с тем, что происходит сейчас

1.1. Эволюция: от сталкера к банкиру

Еще три года назад шпионское ПО на телефоне означало одно: кто-то читает ваши сообщения и знает, где вы находитесь. Неприятно, но не смертельно для кошелька.

Сейчас ситуация изменилась. По данным F6, с конца 2025 года новая версия банковского трояна Falcon атакует клиентов крупнейших российских банков. Троян нацелен на более чем 30 приложений — от мобильных банков и инвестиционных сервисов до госсервисов, маркетплейсов и мессенджеров. По оценкам аналитиков, уже скомпрометированы данные нескольких тысяч банковских карт.

Это не «слежка». Это систематическая, автоматизированная охота за вашими деньгами.

1.2. Четыре зверя, которых стоит бояться по-настоящему

Falcon. По данным F6, ключевое отличие новой версии — модуль VNC для удаленного управления устройством и передача украденных данных через Telegram. Falcon «значительно более автоматизирован, чем многие другие зловреды, например Mamont». Вы думаете, что смотрите на свой экран. На самом деле на него смотрит кто-то еще. И этот кто-то может нажимать кнопки за вас.

Mamont. Массовая эпидемия. Он перехватывает SMS с одноразовыми кодами, читает уведомления, собирает данные о SIM-карте, список приложений, журнал звонков. Вы получаете код для подтверждения перевода? Он уже у злоумышленника. Вы не успеваете даже прочитать сообщение.

Hirudo. По данным ngCERT, распространяется через дропперы — приложения для покупок, которые обманом заставляют пользователя установить «скомпрометированное банковское приложение». После установки движок Hirudo обходит проверку подписи приложения, защиту Accessibility и проверки целостности Play. Это означает, что даже если вы пытаетесь защититься, троян уже внутри и не дает себя обнаружить.

TaxiSpy / RedWing. Это уже не просто банковские трояны. Это полноценные RAT — удаленный доступ с тотальной слежкой. RedWing, по данным CERT, сочетает функции банковского трояна с шпионажем: снимает фото и видео с камеры, записывает звук с микрофона, транслирует экран, отслеживает местоположение. Грань между «бытовым» шпионажем и финансовым преступлением стерлась. Программа, которую ревнивый супруг установил «просто посмотреть», сегодня может опустошить ваш счет.

1.3. Ключевой механизм: Accessibility Service, о котором вы ничего не знаете

Все эти программы объединяет одно. Они просят у вас разрешение на Accessibility Service — службу специальных возможностей Android.

Звучит безобидно. «Для людей с ограниченными возможностями». На деле это разрешение дает приложению право читать все, что происходит на вашем экране, и нажимать кнопки за вас.

Falcon, по данным F6, при установке запрашивает доступ к Accessibility. Если пользователь выдает это разрешение, троян получает практически неограниченный контроль над устройством: может читать, отправлять и удалять СМС, перехватывать коды подтверждения, совершать звонки, выполнять USSD-запросы и операции через мобильный банк даже без подключения к интернету. Это позволяет обходить двухфакторную аутентификацию и проводить финансовые операции от имени жертвы.

Вы дали разрешение «обновлению безопасности». Вы дали доступ к своему банковскому счету.

Глава 2. Как вас будут убеждать заплатить трижды

2.1. Первый раз — мошенникам

Сценарий банален до тошноты. Звонок «от банка». «Подозрительная активность». «Установите обновление безопасности». Ссылка. APK-файл. Разрешения. Готово.

Или: «программа для заработка на криптовалюте». Или: «обновление Google Play». Или: «приложение для просмотра ТВ». Вариантов сотни. Результат один: на вашем телефоне поселяется программа, которая ждет команды.

Falcon, по данным F6, работает по классической схеме: когда пользователь запускает одно из целевых приложений — банк, маркетплейс, мессенджер — троян накладывает поверх него фейковое окно с практически идентичным дизайном. Пользователь сам вводит данные банковской карты, логины и пароли, даже не подозревая, что работает уже не с настоящим приложением.

2.2. Второй раз — «экспертам», которые продают воздух

Вы приходите в контору с гордым названием «Независимая экспертиза». Вам говорят: «25 тысяч за развернутое заключение». Вы платите. Получаете документ на пяти страницах, где написано: «Обнаружено приложение с разрешениями Accessibility. Может представлять угрозу».

И это все?

А где ответ на вопрос: как именно украли ваши деньги? В какой момент? Через какой механизм? Совпадает ли время активности трояна с моментом списания средств?

Нет ответа. Потому что за 25 тысяч вам продали список приложений с комментариями, а не экспертизу.

2.3. Третий раз — «экспертам», которые нашли себе кормушку

Самые «умные» идут дальше. Они предлагают «судебную экспертизу» за 50 тысяч. Вы платите. Потом выясняется, что эксперт не имеет права проводить судебные экспертизы, или его заключение оформлено так, что суд его не примет.

А потом вы обнаружите, что реальная экспертиза телефона на шпионское ПО стоит от 30 000 до 50 000 рублей в среднем , а техническая экспертиза средств связи с восстановлением удаленных данных — от 50 000 до 120 000 рублей. И поймете, что вас развели.

Важно понимать: экспертиза сотового телефона для суда должна проводиться с использованием лицензионного ПО (XRY, Cellebrite, Oxygen Forensic, UFED) и по методикам, признанным в РФ. Дешевый анализ «на коленке» за 15–20 тысяч не будет иметь юридической силы.

Глава 3. Как проверить телефон самому и не сойти с ума

3.1. Что можно сделать бесплатно

Проверьте Accessibility Service. Настройки → Специальные возможности → Службы специальных возможностей. Если там висит приложение, которое вы не устанавливали или назначение которого не понимаете — это красный флаг. Не желтый. Красный.

Проверьте администраторов устройства. Настройки → Безопасность → Приложения администратора. Если там что-то с именем «System Update» или «Device Manager» — это не системное. Это маскировка.

Проверьте обработчик SMS. Настройки → Приложения → Приложения по умолчанию → SMS. Если там не стандартное приложение вашего производителя — разбирайтесь. Falcon и его «родственники» оба пытаются стать обработчиком SMS по умолчанию, чтобы перехватывать коды подтверждения.

Посмотрите на расход батареи. Если неизвестное приложение жрет 10–15% в сутки в фоне — оно не «оптимизирует систему». Оно передает данные.

3.2. Чего делать НЕЛЬЗЯ

Не выключайте телефон резко. Если есть подозрение на хищение, выключение уничтожит оперативную память, где могут быть следы активности трояна.

Не удаляйте подозрительное приложение самостоятельно. Если вы сотрете его до экспертизы, вы уничтожите доказательство. Потом в суде вы будете выглядеть как человек, который сам удалил улики.

Не верьте антивирусу. Hirudo, по данным ngCERT, обходит проверки целостности Play и защиту Accessibility. Кастомизированные APK-файлы, собранные под конкретную жертву, не детектируются сигнатурными методами. Антивирус скажет «чисто», а деньги уйдут.

Глава 4. Когда без эксперта не обойтись и сколько это должно стоить на самом деле

4.1. Реальные цены рынка (для сравнения)

Я не буду говорить, что «наши цены самые честные». Я просто покажу, что происходит на рынке.

Экспертиза телефона на шпионское ПО и отслеживание: от 30 000 до 50 000 рублей в среднем, сроки — от 7 до 20 рабочих дней.

Экспертиза телефона на программу-шпиона или взлом аккаунтов: от 30 000 до 70 000 рублей, в сложных случаях выше.

Техническая экспертиза средств связи с восстановлением удаленных данных: от 50 000 до 120 000 рублей.

Экспертиза сотового телефона для суда (логический образ памяти): от 40 000 до 60 000 рублей. С физическим дампом чипа — до 150 000 рублей.

4.2. Что вы должны получить за свои деньги

Если вы платите за предварительный анализ (5 000 рублей), вы получаете ответ на один вопрос: есть ли на телефоне что-то подозрительное. Точка. Не ждите чудес.

Если вы платите за краткую справку (15 000 рублей), вы получаете документ, который можно показать в банке или приложить к заявлению в полицию. В нем должно быть: название приложения, его разрешения, оценка функционала. И ни слова о том, «как именно украли деньги» — для этого нужен следующий уровень.

Если вы платите за развернутое заключение (25 000 рублей), вы получаете исследование, в котором должна быть установлена хронологическая связь: когда троян был установлен, когда он активировался, совпадает ли это время с моментом списания средств. Если в заключении нет этой связи — вы заплатили за красивую бумажку.

Если вы платите за судебную экспертизу (от 50 000 рублей), вы получаете заключение эксперта, предупрежденного об ответственности по ст. 307 УК РФ. Это доказательство в суде. Но только если эксперт имеет право проводить судебные экспертизы и заключение оформлено по процессуальным требованиям.

4.3. Вопрос, который нужно задать до оплаты

«Вы можете установить, что вредоносная программа могла быть использована для хищения средств в конкретный период?»

Если вам отвечают «ну, мы посмотрим, что там установлено» — бегите. Если отвечают «да, это входит в задачу» — можно разговаривать.

Глава 5. Пять кейсов, которые должны вас напугать (и научить)

Кейс 1: «Обновление безопасности» за 187 тысяч

Гражданка К. получила звонок «от банка». Установила «обновление безопасности». Через три дня с карты ушло 187 000 рублей.

Экспертиза показала: на телефоне поселился троян семейства Mamont. Приложение называлось «System Update». Имело разрешения Accessibility и SMS. В журналах зафиксировано: за 12 минут до списания троян отобразил overlay-экран поверх банковского приложения. К. ввела данные карты. Одновременно перехвачен SMS с кодом подтверждения.

Мораль: «обновление безопасности» от «банка» по ссылке из SMS — это не безопасность. Это кнопка «отдать все деньги».

Кейс 2: Кредит на 350 тысяч, который вы не брали

Гражданин М. узнал из кредитной истории, что на него оформили займ на 350 000 рублей. Он никогда не был клиентом этого банка.

Экспертиза: на телефоне — троян Falcon. Замаскирован под «инструмент для заработка на криптовалюте». Получил доступ к SMS. Активировал переадресацию вызовов через USSD-команду. Все звонки от банка шли мошеннику. Все SMS с кодами — тоже. Falcon, по данным F6, способен выполнять USSD-запросы и операции через мобильный банк даже без интернета. Кредит оформлен удаленно, с устройства М., но без его участия.

Мораль: «заработок на криптовалюте» через APK-файл — это не заработок. Это кредит на ваше имя.

Кейс 3: Бухгалтер, которая обогатила мошенников на 1,2 миллиона

С расчетного счета ООО «Т.» ушли 1 200 000 рублей двумя транзакциями за час. Главный бухгалтер подтверждала операции с личного телефона — офисное подключение «временно не работало».

Экспертиза: на телефоне — троян TaxiSpy с функциями RAT. За день до инцидента получил команду отслеживать запуск приложения ДБО. В момент подтверждения первой транзакции показал overlay-экран, перехватил код. Вторую транзакцию инициировал сам, эмулируя нажатия через Accessibility.

Мораль: для предприятий. Личный телефон бухгалтера с доступом к ДБО — это не «удобно». Это дыра в бюджете размером с годовую прибыль.

Кейс 4: Криптовалюта, которая ушла не туда

Гражданин С. скопировал адрес своего кошелька для перевода с биржи. Вставил. Отправил. Деньги не пришли.

Экспертиза: троян RedWing подменял содержимое буфера обмена. Скопировал свой адрес — вставился адрес мошенника. Плюс троян блокировал входящие вызовы: служба безопасности биржи пыталась связаться с С. для подтверждения подозрительной транзакции. Не дозвонилась. RedWing, по данным CERT, сочетает функции банковского трояна с шпионажем и удаленным управлением.

Мораль: если вы владеете криптой, проверка телефона — не паранойя. Это гигиена.

Кейс 5: «Родительский контроль», который стоил 45 тысяч

Гражданка Л. подозревала бывшего мужа в установке шпионского ПО. При проверке нашли «родительский контроль» с расширенными разрешениями. А заодно — списание 45 000 рублей, которое Л. изначально не связала с бывшим.

Экспертиза: программа класса stalkerware с функциями RAT. Умела не только отслеживать местоположение и читать переписку, но и удаленно просматривать экран и эмулировать нажатия. Списание произошло, когда телефон лежал без присмотра.

Мораль: «слежка» и «хищение» — это не два разных преступления. Это две стадии одного. Программа, которую установил ревнивый партнер, завтра может стать инструментом опустошения вашего счета.

Вместо заключения: запомните три вещи

Первое. Шпионское ПО больше не «следит». Оно ворует. Если вы думаете, что «ну подумаешь, муж читает мои сообщения» — вы отстали от реальности на несколько лет. Сегодняшние программы читают ваши SMS с кодами банка. И передают их туда, где сидят люди, которые знают, что с ними делать. Falcon, Mamont, Hirudo, RedWing — это не экзотика. Это массовая эпидемия. По данным F6, только Falcon уже скомпрометировал несколько тысяч банковских карт.

Второе. За 5 000 рублей вы можете узнать, есть ли на телефоне проблема. За 15 000 — получить бумагу для банка. За 25 000 — получить заключение, с которым можно идти в суд. За 50 000+ — получить судебную экспертизу. Но только если вы понимаете, что именно покупаете. Если вам продают «экспертизу» за 25 тысяч, а в заключении нет ответа на вопрос «как украли деньги» — вас обманывают.

Третье. Предприятия, которые позволяют сотрудникам использовать личные телефоны для доступа к ДБО, экономят на безопасности. Но платят в итоге из прибыли. Иногда — всей прибылью. Hirudo, по данным ngCERT, приводит к финансовым потерям, компрометации аккаунтов, краже личных данных и раскрытию корпоративных данных. Если ваш бухгалтер «подтверждает платежи с личного телефона, потому что так удобнее» — вы уже платите за это. Просто пока не знаете.

Услуги, упомянутые в тексте: предварительный анализ — 5 000 ₽; краткая справка — 15 000 ₽; развернутое заключение — 25 000 ₽; судебная экспертиза — от 50 000 ₽. Если после прочтения у вас остались вопросы — значит, вы прочитали внимательно.