Вы сейчас держите в руках телефон. Скорее всего, он лежит рядом. Может быть, вы даже смотрите в его экран.

А теперь вопрос, который должен вас напрячь: вы уверены, что он делает только то, что вы от него хотите?

Не «примерно уверены». Не «ну а что ему ещё делать». А точно. С проверкой. С доказательствами.

Если ответ «нет» или «я не задумывался» — читайте дальше. Потому что те, кто использует шпионское ПО для кражи денег, не задумываются о ваших сомнениях. Они просто работают. Звонят. Убеждают. Устанавливают. Ждут.

И да, эта монография написана с раздражением. Потому что надоело смотреть, как люди теряют деньги, а потом говорят: «Я думал, меня это не коснётся». Не думали. Не коснулось. Пока не коснулось.

Глава 1. Хватит врать себе: это не «слежка», это ограбление

1.1. «Муж за женой» — это удобная сказка

Когда слышишь «шпионское ПО на телефоне», первая ассоциация — ревнивый супруг, который хочет знать, с кем вы переписываетесь. Это удобная ассоциация. Она позволяет думать, что проблема — в чужих семейных драмах, а не в вашем банковском счёте.

Но вот вам факт, который рушит эту сказку. В 2026 году российские исследователи кибербезопасности зафиксировали троян RedWing, который распространяется под видом приложения RadarTrevog — сервиса оповещения о воздушных тревогах. Тема, которая для российских пользователей обладает высокой психологической значимостью. Люди устанавливают его, потому что хотят знать, когда опасность. А получают шпионское ПО, которое крадёт деньги с банковских счетов и перехватывает аккаунты в мессенджерах. По оценке F6, с середины июля до середины сентября 2026 года в России было скомпрометировано более 10 тысяч смартфонов.

Приложение запрашивает доступ к геолокации, уведомлениям, SMS и службам доступности Android. Всё «якобы для своевременных оповещений». На самом деле — для перехвата банковских кодов верификации и отображения поддельных окон ввода.

Вы всё ещё думаете, что «слежка» — это про чужие семьи? Тогда читайте дальше.

1.2. Функции, которые конвертируются в деньги

Давайте без технического жаргона. Вот что умеет современное шпионское ПО — и что это означает для вашего кошелька.

Читает SMS. Банк присылает код подтверждения. ПО его перехватывает. Вы не видите SMS. Злоумышленник видит. Перевод проходит. Деньги уходят.

Читает уведомления. Банковское приложение присылает push: «Перевод выполнен». ПО его скрывает. Вы не знаете, что деньги ушли. Узнаете через неделю, когда придёт уведомление о просрочке по кредиту.

Имеет доступ к Accessibility Service. Это «специальные возможности» для людей с инвалидностью. Но в руках злоумышленника — это кнопка «делай что хочешь». ПО читает экран. Нажимает кнопки. Открывает банковское приложение. Переводит деньги. Вы в это время смотрите телевизор. Именно так работает троян Massiv: через модуль FuncVNC он получает возможность видеть элементы интерфейса и выполнять действия на экране, включая финансовые операции.

Показывает overlay. Поддельное окно ввода. Выглядит как банковское приложение. Вы вводите пароль. Пароль уходит злоумышленнику. Банк получает правильный пароль от «вас». Все довольны. Кроме вас.

Скрывает иконку. Приложение есть. Вы его не видите. Оно работает. Ест батарею. Греет телефон. Передаёт данные. RedWing, например, после получения разрешений скрывается из списка недавних приложений и включает бесшумный аудиотрек для постоянной работы в фоне.

1.3. Красный флаг, который все игнорируют

Вот самый опасный признак: отсутствие признаков.

Современное вредоносное ПО не называется «Spy». Оно называется «System Manager», «Phone Health», «Device Service». Специалисты по безопасности прямо предупреждают: следите за приложениями с типичными системными именами. Оно не греет телефон постоянно — только когда передаёт данные. Оно не ест батарею на глазах — только в фоне, по чуть-чуть.

И если вы «проверили телефон» и ничего не нашли — вы не проверили телефон. Вы проверили своё желание не знать.

Эксперты Федерации судебных экспертов прямо указывают: многие профессиональные шпионские программы используют методы глубокой маскировки (руткиты, буткиты), которые не обнаруживаются стандартными антивирусами. Бесплатные сканеры могут просто не распознать такие сложные угрозы.

Глава 2. Почему вы уже в зоне риска (даже если не согласны)

2.1. Вы не параноик. Вы просто ещё не заметили

Люди делятся на две категории. Первые думают: «Кому я нужен, меня не взломают». Вторые уже получили уведомление о кредите, который не оформляли.

Вот цифры, от которых становится неуютно. RedWing только за два месяца скомпрометировал более 10 тысяч смартфонов в России. А Massiv — это не массовая рассылка, а прицельные кампании, и даже при таком масштабе риск высокий, потому что троян рассчитан на захват устройства и последующие мошеннические транзакции с банковских счетов жертвы.

Вы всё ещё думаете, что «это не про вас»? Эти люди тоже так думали.

2.2. Приложения, которые вы скачиваете, — это не то, что вы думаете

Помните историю с «справочником глубины прудов»? Мужчина скачал безобидное приложение. На следующий день телефон перестал реагировать на касания. Аферисты оформили кредиты почти на 90 тысяч рублей.

А теперь посмотрите на RedWing. Он распространяется не только под видом «оповещений о тревогах». В другой кампании пользователям предлагали открыть файл «Видео с места аварии». Вот только ролик оказывался APK-приложением. После запуска RedWing изображает страницу Google Play, предлагает установить обновление и просит доступ к Accessibility.

Вы думаете: «Ну кто скачивает видео с места аварии от незнакомца?» А кто скачивает фонарик? Калькулятор? Прогноз погоды? Люди скачивают то, что им нужно. И злоумышленники это знают.

2.3. Для предприятий: телефон бухгалтера — это дверь в кассу

Если вы руководитель и думаете, что эта проблема касается только «личных телефонов сотрудников» — у вас плохие новости.

Телефон бухгалтера, через который проходят коды подтверждения корпоративных платежей, — это точка доступа к деньгам компании. Если на нём есть шпионское ПО — неважно, для «слежки» или для «кражи» — корпоративные деньги под угрозой.

RedWing умеет перехватывать SMS, перенаправлять звонки, снимать фото и видео с камер, записывать звук с микрофона и транслировать экран. Получив код блокировки, оператор может самостоятельно разблокировать смартфон, имитируя свайпы и нажатия. Представьте, что это телефон сотрудника, у которого в приложении — доступ к расчётному счёту организации. Представили? Теперь представьте, что этот сотрудник «просто установил приложение для оповещений».

Глава 3. Что делать, если вы заподозрили неладное

3.1. Не делайте глупостей (да, это относится к вам)

Первая реакция нормального человека: «Я сейчас всё удалю и сброшу». Это худшее, что можно сделать, если вы планируете возвращать деньги через банк или суд.

Почему? Потому что удаление приложения уничтожает доказательства. Сброс до заводских настроек — тем более. Вы останетесь с фактом списания и без единого доказательства того, что на телефоне было вредоносное ПО. Банк скажет: «Вы сами перевели». Полиция скажет: «Нет состава».

Эксперты предупреждают: самостоятельные действия, особенно сброс к заводским настройкам, безвозвратно уничтожат все цифровые следы, которые могли бы стать доказательствами в суде или помочь в расследовании.

Правильно:

• Зафиксируйте состояние. Дата, время, модель, версия ОС. Скриншоты. Не трогайте подозрительные приложения.
• Изолируйте устройство от сети. Авиарежим. Это остановит передачу данных, если она ещё идёт.
• Не сбрасывайте. Не удаляйте. Даже если очень хочется.
• Обратитесь к специалисту. Или хотя бы к нам. Предварительный анализ стоит пять тысяч. Это дешевле, чем потерять пятьдесят.

3.2. Что можно проверить самому (и почему этого мало)

Проверить список приложений, включая системные. Проверить Accessibility — какие приложения имеют доступ к «специальным возможностям». Проверить администраторов устройства. Проверить доступ к уведомлениям. Проверить, не включена ли переадресация вызовов — наберите ##002#.

Всё это полезно. Всё это может выявить грубые случаи. Но не может дать гарантии.

Потому что «я проверил, ничего не нашёл» — это не «всё хорошо». Это «я не нашёл того, что искал, потому что не знал, где искать».

Более того, результат проверки обычного антивируса не является доказательством в процессуальном смысле. Для суда, следствия или арбитража необходимы юридически значимые доказательства, полученные с соблюдением всех процессуальных норм. Антивирус не фиксирует цепочку хранения улик, не работает с write-blocker, и программист не имеет статуса эксперта.

3.3. Когда нужен профессионал

Профессионал нужен тогда, когда последствия ошибки слишком велики. Если вы просто хотите убедиться, что «всё нормально» — самостоятельной проверки может хватить. Если деньги уже ушли, если на вас уже оформили кредит, если вы собираетесь судиться с банком или писать заявление в полицию — самостоятельная проверка не заменит экспертизу.

Потому что экспертиза — это не «посмотрел и сказал». Это создание образа устройства с хэшированием, документирование цепочки хранения, статический и динамический анализ, корреляция активности ПО с финансовыми операциями, выводы, оформленные так, чтобы их можно было использовать в суде. Эксперт предупреждён об ответственности по ст. 307 УК РФ.

И вот здесь мы переходим к тому, что обычно вызывает больше всего вопросов.

Глава 4. Сколько стоит правда (и почему она стоит именно столько)

4.1. Четыре уровня — четыре задачи

Мы не продаём «проверку телефона». Мы продаём доказательства. И их глубина зависит от того, что вы собираетесь с ними делать.

Предварительный анализ — 5 000 рублей.
Вы не знаете, есть ли проблема, но чувствуете, что что-то не так. Мы проводим первичную диагностику, оцениваем вероятность компрометации, говорим, стоит ли копать глубже. Это не документ для суда. Это ответ на вопрос «надо ли мне беспокоиться».

Краткая справка по исследованию — 15 000 рублей.
Вам нужен документ для банка или для внутреннего разбирательства. Мы фиксируем результаты проверки, перечисляем индикаторы, описываем подозрительные приложения и разрешения. Этого может хватить, чтобы банк начал разбирательство. Но для суда — недостаточно.

Развёрнутое заключение — 25 000 рублей.
Вы готовитесь к суду или к обращению в правоохранительные органы. Мы делаем полное исследование: образ, анализ, описание функциональности ПО, корреляция с финансовыми событиями. Это документ, который имеет доказательственную силу.

Экспертиза по запросу суда или следствия — от 50 000 рублей.
Дело уже в процессе. Экспертиза назначается официально. Мы работаем в рамках процессуальных требований, даём подписку об ответственности по статье 307 УК РФ. Это не «мнение специалиста». Это доказательство.

4.2. Почему «дорого» — это неправильный вопрос

25 000 рублей за заключение, которое может вернуть вам 500 000 рублей, похищенных со счёта, — это не «дорого». Это дешевле, чем ничего не делать.

Проблема в том, что люди готовы платить за видимые вещи. За новый телефон. За ремонт машины. За отпуск. Но за «проверку телефона на вирусы» — жаба душит. Потому что результат невидим. Пока не придёт уведомление о кредите.

И вот здесь я позволю себе быть резким. Если вы готовы потерять деньги, но не готовы потратить пять тысяч на то, чтобы понять, как вы их теряете, — вы не жертва обстоятельств. Вы жертва собственной экономии.

4.3. Для предприятий — отдельный разговор

Когда речь идёт о корпоративных счетах, цена ошибки умножается на количество нулей. Телефон бухгалтера, через который прошёл вредоносный APK, — это не «личная проблема сотрудника». Это инцидент безопасности, который может стоить компании миллионов.

Предприятиям мы говорим прямо: аудит устройств, имеющих доступ к онлайн-банку, — это не «дополнительная опция». Это гигиена. И если вы её не соблюдаете, вы рискуете не «репутацией», а конкретными деньгами на конкретном счёте.

Глава 5. Пять историй, которые должны были закончиться иначе

Кейс 1. RedWing: «оповещения о тревогах» и 10 тысяч скомпрометированных смартфонов

Российский пользователь устанавливает приложение RadarTrevog — «для оповещения о воздушных тревогах». Всё выглядит логично: тема актуальная, приложение «полезное». Оно просит доступ к геолокации, уведомлениям, SMS и службам доступности. Пользователь разрешает — «чтобы работало».

На самом деле это троян RedWing. Он перехватывает SMS с банковскими кодами, отображает поддельные окна для кражи данных и получает доступ к банковским приложениям. Разработчики — русскоязычные злоумышленники, нацеленные на клиентов российских банков. Распространение идёт через Telegram по модели Malware-as-a-Service.

RedWing умеет перехватывать ПИН-коды, пароли, графические ключи и SMS, перенаправлять звонки, снимать фото и видео, записывать звук и транслировать экран. При попытке открыть антивирус он выбрасывает пользователя на домашний экран и показывает фальшивое обновление.

Урок. Чем актуальнее тема, тем легче вас обмануть. Оповещения о тревогах, защита карт, самозапрет на кредиты — всё это эксплуатируется. Если приложение просит SMS и Accessibility — это не «для оповещений». Это для денег.

Кейс 2. Massiv: идеальная копия банка и кредит на ваше имя

Троян Massiv распространяется через прицельные кампании — не массовые рассылки, а точечные атаки. Внутри есть всё: поддельные экраны поверх настоящих приложений, перехват ввода с клавиатуры, перехват SMS и push-уведомлений. Всё это помогает вытащить логины, пароли, реквизиты карт и одноразовые коды.

Когда данные собраны, Massiv включает самую опасную часть — удалённое управление телефоном. Модуль FuncVNC построен на службах специальных возможностей Android. Через него троян видит элементы интерфейса и выполняет действия на экране. Обмен командами идёт через WebSocket.

В некоторых случаях на имя жертвы открывались новые счета в банках, которыми человек раньше не пользовался. Такие аккаунты изначально под контролем мошенников — их удобно использовать для вывода средств и оформления кредитов. В результате жертва может столкнуться не только с потерей денег, но и с долгами в банке, где она не открывала счёт.

Урок. «Идеальная копия» банка на экране — это не фантастика. Это работающая схема. И если вы вводите пароль, не проверяя, точно ли это ваше банковское приложение, — вы можете вводить его злоумышленнику.

Кейс 3. Manic: телефон, который передаёт данные даже без интернета

Android-троян Manic использует Accessibility Service, чтобы создать невидимую клавиатуру поверх реальной. Вы вводите пароль в банковском приложении. Банк получает правильный пароль. Вы не замечаете подмены. Но каждое нажатие записано и отправлено.

Уникальность Manic в другом. Если интернета нет, троян сканирует окружение, находит другой заражённый телефон с подключением, и передаёт данные через него. Цепочка может включать до четырёх устройств. Данные шифруются и передаются по Wi-Fi Direct или Bluetooth.

Урок. «У меня нет интернета, значит, я в безопасности» — это иллюзия. Современное вредоносное ПО адаптируется. Оно ищет обходные пути. Оно не останавливается.

Кейс 4. Mamont: 1,5 миллиона заражённых устройств

Банковский троян Mamont — одна из главных угроз для российских пользователей. По данным F6, им заражены около 1,5% всех Android-устройств в России — примерно 1,5 миллиона аппаратов. Количество управляющих серверов выросло до 200 к марту 2026 года.

Mamont перехватывает SMS и push-уведомления, включая коды подтверждения банковских транзакций. Он собирает информацию об устройстве, список установленных приложений, номера телефонов и данные SIM-карты. Может скрывать или менять свою иконку. Распространяется через социальную инженерию: фальшивые фотографии, бесплатная бытовая техника, скидки на оптовые товары, поддельные приложения для отслеживания посылок.

Урок. Mamont — это не экзотика. Это массовая угроза. Если вы живёте в России и пользуетесь Android-смартфоном для банковских операций — вы в зоне риска. Не потому что вы «интересны» кому-то лично. А потому что вы часть статистики.

Кейс 5. Stalkerware, который слил данные своих же клиентов

Казалось бы, при чём здесь «слежка за супругом»? А вот при чём. В 2026 году хактивист опубликовал данные более 500 тысяч клиентов приложений для слежки. В открытый доступ попали адреса электронной почты, информация о платежах, типы карт и последние четыре цифры номеров. Люди, которые платили за то, чтобы шпионить за другими, сами стали жертвами утечки.

Почему это важно? Потому что stalkerware — это не «безобидная игрушка для ревнивых». Это продукт, который создаётся людьми, думающими о продажах, а не о безопасности. И данные, которые он собирает, утекают. В том числе банковские данные.

Урок. Человек, который «просто хотел узнать, с кем переписывается жена», в итоге сливает в открытый доступ свои собственные данные. И данные жены. И, возможно, данные её банковского счёта. Это не моральная дилемма. Это техническая реальность.

Глава 6. Что делать предприятиям (и почему им это нужно больше, чем кажется)

6.1. Телефон бухгалтера — это дверь в кассу

Предприятия обычно думают о безопасности так: «У нас есть антивирус на компьютерах, файрвол, и всё нормально». А потом бухгалтер устанавливает на свой смартфон «обновление безопасности», потому что ему позвонили «из банка». И через два дня корпоративный счёт пустеет.

Потому что телефон бухгалтера — это не «личное устройство сотрудника». Это точка доступа к корпоративным финансам. Через него проходят коды подтверждения, через него открывается онлайн-банк, через него подтверждаются платежи.

RedWing, например, умеет перенаправлять звонки и перехватывать SMS. Если на телефоне сотрудника с доступом к корпоративному счёту есть такое ПО — злоумышленник может получить коды подтверждения и инициировать перевод. И никто ничего не заметит, пока не придёт выписка.

6.2. Что должно быть в политике безопасности

Запрет sideload. Установка приложений из неизвестных источников на устройствах, имеющих доступ к финансам, — это не «риск». Это гарантированный канал проникновения. RedWing и Massiv распространяются именно так — через APK вне Google Play.

MDM-политики. Контроль устанавливаемых приложений, контроль разрешений, контроль конфигураций. Это не «бюрократия». Это то, что отличает компанию, которая «слышала о безопасности», от компании, которая её имеет.

Аудит устройств с доступом к онлайн-банку. Проверка Accessibility, администраторов, сертификатов, подозрительных приложений. Регулярно. Не «когда что-то случится».

Обучение сотрудников. Не «лекция про пароли раз в год». А конкретное правило: никогда не устанавливайте приложения по указанию человека, который позвонил вам по телефону. Ни «сотрудника банка», ни «из Госуслуг», ни «из службы безопасности». Перезвоните. Проверьте. Не устанавливайте.

Регламент действий при инциденте. Если подозрение возникло — не сбрасывать, не удалять, изолировать, звонить эксперту. Каждый сотрудник должен это знать. Потому что первые действия после инцидента определяют, будут ли доказательства.

6.3. Почему «сэкономить» здесь не работает

Компания, которая экономит 25 тысяч на экспертизу, рискует потерять миллионы на хищении. И даже если хищение произошло, без экспертизы она не сможет ни вернуть деньги через суд, ни привлечь виновных. Потому что «мы думаем, что это был вирус» — это не доказательство. Это мнение.

А мнение в суде стоит ровно столько, сколько стоит бумага, на которой оно написано. Если оно вообще написано.

Глава 7. Вместо заключения: просыпайтесь

7.1. Три вещи, которые нужно запомнить

Первое. Шпионское ПО на смартфоне — это не «слежка». Это доступ к вашим деньгам. Функции, которые позволяют читать SMS и нажимать кнопки за вас, — это функции, которые позволяют опустошить ваш счёт и оформить на вас кредит. Разница только в том, успели ли вы заметить.

Второе. Самостоятельная проверка «на глазок» не даёт гарантии. Она может выявить грубые случаи. Она не может подтвердить, что устройство «чисто». Если на кону деньги — нужна экспертиза. Не потому что мы так говорим. А потому что иначе ваши доказательства ничего не стоят.

Третье. Пять тысяч за предварительный анализ — это не «дорого». Это цена чашки кофе в хорошем ресторане, умноженная на пять. И это несопоставимо с ценой бездействия.

7.2. Кому мы это говорим

Физическим лицам. Если вы читаете это и думаете «меня не касается» — возможно, вы правы. А возможно, вы просто ещё не получили звонок «из банка». Или не заметили, что телефон стал быстрее разряжаться. Или не связали списание в 300 рублей с «той странной ссылкой» неделю назад.

Предприятиям. Если у вас есть сотрудники с доступом к корпоративным счетам — у вас есть проблема, даже если вы о ней не знаете. Вопрос только в том, узнаете вы о ней до хищения или после.

Всем остальным. Если вы дочитали до этого места и всё ещё думаете, что «это не про вас» — перечитайте кейсы. Они все начинались с «я думал, что это не про меня».

7.3. И последнее

Мы не можем заставить вас проверить телефон. Мы не можем заставить вас задуматься. Мы можем только сказать: те, кто это делает, не спят. Они работают. Они звонят. Они убеждают. Они устанавливают. Они ждут, пока вы расслабитесь.

Проверка телефона — это не паранойя. Это гигиена. Такая же, как мыть руки перед едой. Только на кону — не расстройство желудка, а ваши деньги, ваша кредитная история и, возможно, ваша способность доказать, что вы не делали того, чего не делали.

Пять тысяч. Пятнадцать. Двадцать пять. Пятьдесят. Это не «расценки на услуги». Это цена доказательства. И если вы готовы платить за новый телефон, но не готовы платить за то, чтобы понять, что на нём происходит, — вы платите дважды. Второй раз — дороже.