Эта статья — не про ревнивых супругов. Хотя начинается она именно с них.

Представьте: вы просыпаетесь утром, берёте телефон, чтобы проверить время, а на экране — смс от банка. «Списание 87 000 рублей. Кредит одобрен». Вы ничего не брали. Вы никому не давали паролей. Вы даже не заходили в банковское приложение. Но деньги уже ушли. Или, что хуже, — на ваше имя уже висит кредит, о котором вы узнаете только когда приставы начнут стучать в дверь.

А теперь вопрос: где в этот момент находился ваш телефон? Скорее всего, лежал рядом с кроватью. Или в кармане куртки. Или на столе в офисе. Именно там, где его и оставили. И именно оттуда, с этого безобидного куска стекла и металла, кто-то другой — не муж, не жена, не ревнивый партнёр, а самый настоящий финансовый хищник — управлял вашей жизнью.

Это не теория заговора. Это индустрия. И она стоит дешевле, чем вы думаете.

Почему «слежка за супругом» — это детский сад по сравнению с тем, что происходит на самом деле

Когда мы говорим о шпионском ПО на телефоне, воображение услужливо рисует картинку: подозрительная жена устанавливает «программу для контроля», читает переписку мужа с коллегой и на этом всё заканчивается. Максимум — скандал, развод, делёж имущества. Это та часть айсберга, которую видно. И именно она создаёт опасную иллюзию: «Ну подумаешь, слежка. Кому я нужен?».

Вы нужны. Ваш счёт нужен. Ваши паспортные данные нужны. Ваша кредитная история нужна.

В 2026 году банковские трояны для Android вышли на принципиально новый уровень. Они не просто «читают смс». Они живут внутри вашего устройства месяцами, не вызывая ни малейших подозрений, маскируются под менеджеры файлов, приложения для повышения производительности и даже под обновления системных компонентов Android. Ключевая особенность — использование техники Accessibility Services Abuse, то есть злоупотребление службами специальных возможностей. Именно этот механизм позволяет вредоносу перехватывать нажатия клавиш, читать содержимое экрана и автоматически взаимодействовать с банковскими приложениями от имени пользователя, пока тот смотрит видео или просто держит телефон в кармане.

В сентябре 2026 года специалисты F6 обнаружили троян RedWing, который практически полностью перехватывает управление Android-устройством. Вредонос распространяют через Telegram по модели «вредонос как услуга». В одной кампании пользователям предлагали установить сервис оповещения о воздушных атаках RadarTrevog, в другой — открыть файл «Видео с места аварии». Ролик оказывался APK-приложением. После запуска RedWing изображает страницу Google Play, предлагает установить обновление и просит доступ к Accessibility. Получив разрешение, троян скрывается из списка недавних приложений и включает бесшумный аудиотрек для постоянной работы в фоне.

И вот здесь начинается самое неприятное. Поскольку мошеннические переводы исходят с фактического телефона клиента и в рамках его банковской сессии, привычные сигналы устройства и местоположения могут делать активность видимой как легитимную. Для банка это выглядит как ваша собственная операция. Потому что технически она совершена с вашего устройства.

Что именно делает «финансовый» шпион на вашем телефоне

Чтобы понять масштаб проблемы, нужно перестать думать о шпионском ПО как о «прослушке». Это устаревшая модель. Современный зловред на смартфоне — это, по сути, удалённый сотрудник вашего банка, который работает на того, кто его установил.

Первое. Он видит ваш экран. Overlay-атаки: троян накладывает поддельные экраны поверх интерфейсов реальных банковских приложений, перехватывая логины и пароли в момент ввода. Кейлоггинг через Accessibility API: все нажатия на экран фиксируются и отправляются на сервер злоумышленников в режиме реального времени. Перехват SMS и push-уведомлений: одноразовые коды подтверждения транзакций мгновенно передаются атакующим, что фактически обнуляет двухфакторную аутентификацию.

Второе. Он умеет действовать автономно. RedWing перехватывает ПИН-коды, пароли, графические ключи и СМС, перенаправляет звонки, снимает фото и видео с камер, записывает звук с микрофона и транслирует экран. Получив код блокировки, оператор может самостоятельно разблокировать смартфон, имитируя свайпы и нажатия. Вам не нужно ничего нажимать. Вам даже не нужно, чтобы телефон был разблокирован. Он уже разблокирован — потому что код записан.

Третье. Он не ограничивается одним банком. RedWing существует как минимум в двух вариантах: троян удалённого доступа и стилер. Проанализированные конфигурации включали 82 финансовых учреждения, преимущественно российских, а также криптовалютные сервисы.

Четвёртое. Он крадёт не только деньги, но и личность. С фотографией вашего паспорта (которую вы когда-то отправили работодателю или загрузили на госуслуги) и перехваченными кодами можно оформить кредит. И кредит будет оформлен на вас. С точки зрения банка. Потому что заявка пришла с вашего устройства, с вашего IP, с подтверждением по смс на ваш номер.

Провокация: почему вы не узнаете о заражении, пока не станет поздно

Вот главный конфликт этой статьи. Он не между вами и мошенником. Он между вами и вашей собственной уверенностью, что с вами этого не случится.

Среднестатистический пользователь уверен: «Я не скачиваю пиратские приложения. Я не перехожу по ссылкам от незнакомцев». Это всё равно что говорить: «Я не хожу по тёмным переулкам, значит, меня не обворуют». Обворуют. Потому что схемы доставки давно перестали быть «тёмными переулками».

RedWing защищается от удаления особенно нагло: при попытке открыть антивирус, файловый менеджер или меню перезагрузки он выбрасывает пользователя на домашний экран и показывает фальшивое обновление. Троян также может воспроизводить голосовые сообщения, открывать чат от имени техподдержки, использовать устройство как прокси и подключать его к DDoS-атакам.

Вы когда-нибудь нажимали на рекламу в приложении? Конечно. Вы нажимали «Обновить», когда телефон предлагал обновление? Скорее всего. Именно на этом и строится расчёт.

Вопрос как проверить телефон на слежку возникает у человека только после того, как деньги уже ушли. А нужно, чтобы он возникал до.

Как проверить телефон на слежку: что вы можете сделать сами (и почему этого недостаточно)

Шаг первый: не «почистите» телефон самостоятельно

Это контринтуитивный совет, но он критически важен. Если вы подозреваете, что на устройстве есть шпионское ПО, не сбрасывайте телефон к заводским настройкам до проверки. Сброс уничтожит следы. Если впоследствии вы захотите обратиться в полицию или в суд, вам понадобятся доказательства: какие приложения были установлены, какие разрешения они имели, когда произошла компрометация. Сброс — это уничтожение доказательств.

То же касается «антивирусов» из магазина приложений. Многие современные RAT-программы обнаруживаются стандартными сканерами только на ранних стадиях или не обнаруживаются вовсе, потому что маскируются под системные процессы или используют обфускацию. RedWing блокирует экраны удаления и приложения безопасности.

Шаг второй: проверьте базовые индикаторы

Аномальное энергопотребление и нагрев. Шпионское ПО, функционирующее в фоновом режиме, потребляет ресурсы. Ускоренный разряд батареи, нагрев корпуса в состоянии покоя, снижение производительности — всё это индикаторы. Однако они не являются специфичными: устаревшая прошивка, фоновые обновления или аппаратный износ дают те же симптомы. Диагностическая ценность возрастает при одновременном проявлении нескольких признаков.

Индикаторы доступа к сенсорам. На Android 12 и выше Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности) показывает временную шкалу доступа приложений к камере, микрофону и геолокации. На iPhone зелёная точка указывает на активность камеры, оранжевая — микрофона. Если индикатор активен, когда вы не пользуетесь приложением, которое требует этот сенсор, — это прямой сигнал.Разрешения и администраторы устройства. Приложение, чьи разрешения не соответствуют функциональности (калькулятор запрашивает микрофон, фонарик требует геолокацию), заслуживает внимания. Раздел «Администраторы устройства» (Device Admin Apps) — обязательная проверка: вредоносные программы часто регистрируются в этом качестве для затруднения удаления. Переадресация вызовов. USSD-запрос *#21# отображает статус безусловной переадресации; ##002# отменяет все активные переадресации. Если вызовы перенаправляются на незнакомый номер, это повод для проверки. Однако Kaspersky прямо указывает: некоторые операторы законно переадресуют звонки на голосовую почту или сетевые службы, поэтому неожиданная переадресация может указывать на несанкционированные изменения, но не является однозначным доказательством. ESET ещё более категоричен: MMI-коды не являются признаком шпионского ПО — они лишь проверяют настройки переадресации.

Шаг третий: поймите, почему бесплатные методы не дают ответа на вопрос «как проверить телефон на слежку» в вашем случае

Все перечисленные методы — это скрининг. Они отвечают на вопрос «есть ли признаки проблемы». Они не отвечают на вопросы, которые будут иметь значение для банка, полиции и суда:

• Какие именно данные были скомпрометированы?
• Когда произошло заражение?
• Могло ли конкретное приложение инициировать конкретную финансовую операцию?

Более того, инструменты, которые позиционируются как «проверка на шпионское ПО», могут давать ложные срабатывания. iMazing Spyware Analyzer, использующий индикаторы компрометации Amnesty International, прямо предупреждает: анализатор может触发 ложные срабатывания, и обнаружение индикатора компрометации не обязательно означает, что устройство действительно скомпрометировано. Например, простое посещение сайта разработчика легитимного, но спорного ПО для мониторинга может вызвать алерт.

Более того, Mobile Verification Toolkit (MVT), разработанный Amnesty International, позиционируется как «forensic research tool intended for technologists and investigators» — не для самостоятельной оценки конечным пользователем. Проект MVT прямо включает предупреждение: «This is not intended for end-user self-assessment. If you are concerned with the security of your device please seek expert assistance».

Как проверить телефон на слежку: пять кейсов, которые объясняют, зачем это нужно

Кейс 1. «Я думал, это обновление от оператора»

Клиент: мужчина, 54 года, предприниматель, Санкт-Петербург.
Ситуация: получил sms от «оператора» с просьбой обновить настройки сети. Перешёл по ссылке, установил приложение. Через две недели с расчётного счёта ИП исчезли 340 000 рублей — тремя переводами.
Что показала проверка: на устройстве обнаружен троян с разрешениями Accessibility. Он читал экран, перехватывал вводимые символы и нажимал кнопки за пользователя. В момент открытия банковского приложения троян «подсмотрел» логин и пароль, затем самостоятельно инициировал переводы, подтверждая их перехваченными sms-кодами.
Итог: деньги вернуть не удалось. Экспертиза понадобилась для суда с банком — банк отказался компенсировать ущерб, ссылаясь на «клиент сам установил вредоносное ПО». Заключение подтвердило: устройство было скомпрометировано, действия по переводу совершались не клиентом.

Кейс 2. «Корпоративный телефон, который стоил 1,2 миллиона»

Клиент: ООО, логистика, Москва.
Ситуация: главный бухгалтер использовала корпоративный смартфон для подтверждения платежей. Утром обнаружила, что баланс компании уменьшился на 1,2 млн рублей — двумя платежами на счета «поставщиков», которых компания никогда не видела.
Что показала проверка: за месяц до инцидента бухгалтер установила приложение «для сканирования документов» из стороннего источника. Оно запросило Accessibility и sms. В день инцидента активировался banking overlay: поверх окна банк-клиента появилось фишинговое, в которое она ввела credentials. Далее троян действовал автономно.
Итог: банк вернул часть средств только потому, что экспертиза доказала: заражение произошло до авторизации, а credentials были скомпрометированы вредоносным кодом, а не действиями сотрудника.

Кейс 3. «Мне пришёл новый телефон»

Клиентка: женщина, 38 лет, менеджер по закупкам, Екатеринбург.
Ситуация: получила посылку — смартфон, который якобы выиграла в розыгрыше. Перенесла сим-карту, настроила банковское приложение. Через месяц узнала, что на её имя оформлен кредит на 250 000 рублей.
Что показала проверка: устройство содержало предустановленный троян, активировавшийся при первом подключении к сети. Он ждал. Как только клиентка установила банковское приложение, троян получил доступ. Кредитная заявка была заполнена автоматически с использованием данных из галереи (фото паспорта) и перехваченных кодов подтверждения.
Итог: самый сложный тип дела. Формально «клиентка сама установила приложение и подтвердила операции». Экспертиза по запросу следствия восстановила хронологию: устройство было скомпрометировано с момента первого включения.

Кейс 4. «Муж сказал, что установил «родительский контроль»»

Клиент: женщина, 42 года, в разводе, Новосибирск.
Ситуация: бывший муж убедил установить «родительский контроль» на общий детский телефон, которым пользовалась и она. Через несколько месяцев с её карты, привязанной к этому телефону, списали 68 000 рублей — «оплата кредита», который она не брала.
Что показала проверка: «родительский контроль» оказался коммерческим шпионским приложением с функциями удалённого доступа. Помимо геолокации и переписки, оно синхронизировало уведомления банковских приложений и позволяло оператору видеть коды подтверждения.
Итог: «бытовуха» переросла в финансовое преступление. Краткая справка подтвердила наличие шпионского модуля и его связь с конкретным аккаунтом. Банк снял ответственность, указав на добровольную передачу устройства третьему лицу. Взыскание производилось с бывшего мужа.

Кейс 5. «Мы думали, это фишинг. Оказалось — RAT»

Клиент: IT-директор производственной компании, Челябинск.
Ситуация: сотрудник отдела закупок получил письмо с «коммерческим предложением» и PDF-вложением. Открыл на рабочем компьютере. Через два дня с корпоративного счёта ушли 890 000 рублей. Проверка компьютера ничего не показала.
Что показала проверка: PDF был приманкой. Он содержал ссылку, по которой сотрудник перешёл с телефона (компьютер был занят). Ссылка вела на страницу с «опросником», запросившим установку «утилиты». Это был Android RAT. Троян получил доступ к sms, и через телефон сотрудника были перехвачены коды подтверждения корпоративных платежей.
Итог: периметр защиты заканчивается не там, где вы думаете. Пока IT-отдел проверяет ноутбуки, деньги уходят через личный смартфон сотрудника.

Как проверить телефон на слежку: почему самостоятельная проверка не работает в суде

Вот здесь мы подходим к главному. Вы можете сколько угодно искать в интернете как проверить андроид на шпионские программы, скачивать сканеры, читать форумы. Но когда деньги уже ушли, а банк говорит «вы сами подтвердили операцию кодом из смс», вам нужно не мнение, а доказательство.

Самостоятельная проверка не даёт доказательств по трём причинам.

Первое. Отсутствует фиксация хода и результатов в форме, предусмотренной процессуальным законодательством. Вы не предупреждены об уголовной ответственности за дачу заведомо ложного заключения, ваша квалификация не подтверждена.

Второе. Поведенческие индикаторы не являются специфичными. Для суда аргументация «у меня батарея быстро садилась» не имеет силы.

Третье. Современные трояны используют динамическую загрузку кода. Приложение, прошедшее проверку при установке, позднее загружает вредоносную полезную нагрузку. Результаты проверки, полученные в момент t₁, не могут быть экстраполированы на состояние устройства в момент t₂ без дополнительных оснований.

Именно поэтому вопрос как проверить телефон на слежку в контексте финансового инцидента требует перехода на инструментальный уровень. И вот здесь начинается то, ради чего написана эта статья.

Что мы предлагаем: уровни проверки и их процессуальное значение

Предварительный анализ — 5 000 рублей. Скрининг, установление наличия или отсутствия признаков компрометации. Не является доказательством, но служит основанием для принятия решения о дальнейших шагах. Это дешевле, чем один перевод мошеннику.

Краткая справка по исследованию — 15 000 рублей. Фиксация обнаруженных фактов: идентификация вредоносного компонента, его разрешений, периода активности. Может прилагаться к претензии в банк или заявлению в полицию. Это не заключение для суда, но это основание для начала разбирательства.

Развёрнутое заключение — 25 000 рублей. Документ с методологией, перечнем проверенных артефактов и обоснованными выводами. Может представляться в суд и использоваться при допросе специалиста. Это та сумма, которая может вернуть вам сотни тысяч (или миллионы) и, что важнее, создать прецедент: банк не прав, когда говорит «вы сами виноваты».

Экспертиза по запросу суда или следствия — от 50 000 рублей. Производство в процессуальном порядке с предупреждением об уголовной ответственности. Является доказательством в силу закона. Именно такие заключения соединяют техническую реальность (телефон заражён) и юридическую (клиент не совершал вменяемых ему действий).

Провокация №2: вы всё ещё думаете, что «это не про вас»?

RedWing подтверждён на устройствах в России. Ущерб — миллионы. Кампания оставалась активной на момент публикации отчёта. Mirax, по данным Cleafy, распространялся через рекламу в социальных сетях, охватив более 200 тысяч аккаунтов.

Порог входа упал до уровня, при котором любой человек с базовым пониманием социальной инженерии может купить инструмент, который умеет перехватывать банковские credentials, записывать экран, красть коды подтверждения и управлять устройством удалённо.

Вы не сможете «быть внимательным» против инструмента, который обновляется быстрее, чем вы читаете новости.

Единственная защита — не предотвратить заражение (это может случиться с каждым), а обнаружить его быстро. Чем быстрее вы узнаете, что телефон скомпрометирован, тем меньше денег уйдёт. Тем больше шансов вернуть ушедшее. Тем проще доказать, что вы — жертва, а не мошенник.

Вопрос как проверить телефон на слежку — это не паранойя. Это финансовая гигиена. Как не хранить ПИН-код вместе с картой. Как не подписывать пустые договоры.

Ваш телефон знает о вас больше, чем любой человек. Он знает ваши пароли. Он знает ваши счета. Он знает, когда вы спите и когда вы уязвимы. Вопрос только в том, кто ещё имеет к нему доступ.

Если ответ на этот вопрос вызывает у вас дискомфорт — это правильная реакция. Теперь сделайте с ней что-нибудь. Пока телефон не сделал это за вас.

Приглашение к сотрудничеству

Проведение проверки мобильного устройства на наличие шпионского программного обеспечения с результатом, пригодным для использования в качестве доказательства в суде или в рамках досудебного разбирательства, требует применения инструментальных методов цифровой криминалистики и процессуально корректного оформления результатов. Союз «Федерация судебных экспертов» располагает необходимой методологической базой и практическим опытом проведения таких исследований.

Для получения консультации и оформления заявки на проведение исследования вы можете обратиться в Союз «Федерация судебных экспертов» по следующим реквизитам:

Адрес: Москва, 115114, Кожевнический проезд, д. 3 (трёхэтажное жёлтое здание, отдельный вход, 2-й этаж).

Телефоны: +7 (495) 666-5-666 (для звонков из Москвы, с 09:00 до 18:00); +7 (800) 555-0-453 (для звонков из регионов, бесплатно); +7 (995) 100-33-55 (круглосуточная поддержка).

Электронная почта: info@fse.ms.

Стоимость услуг: предварительный анализ — 5 000 рублей; краткая справка по исследованию — 15 000 рублей; развёрнутое заключение — 25 000 рублей; экспертиза по запросу суда или следствия по факту хищения денежных средств — от 50 000 рублей и выше.

P.S. Если после прочтения вы посмотрели на свой телефон и подумали: «А ведь я действительно не знаю, что там установлено», — вы сделали первый шаг. Второй — звонок специалисту. Третий — 5 000 рублей на предварительный анализ. Четвёртый — спать спокойно. Или не спать. Но уже по другой причине.