Вместо предисловия: вас обманывают дважды

Сначала это делают мошенники. Потом — те, кто называет себя «экспертами», но на деле продает вам воздух за 50 тысяч.

Проблема проверки смартфона на шпионское ПО перестала быть темой женских форумов про неверных мужей. Сегодня это вопрос выживания вашего банковского счета. И если вы думаете, что «меня это не коснется», потому что вы «осторожный», — вы уже в группе риска. Потому что современные банковские трояны не взламывают телефоны. Они уговаривают вас установить вредоносное приложение. И вы устанавливаете. Добровольно. Своими руками.

А потом приходите к «эксперту», платите 25 тысяч за «развернутое заключение» и обнаруживаете, что в нем нет ни слова о том, как именно украли ваши деньги. Потому что «эксперт» умеет только перечислять установленные приложения.

Эта монография — не рекламный проспект. Это инструкция о том, как отличить реальную угрозу от паранойи, и как отличить реальную экспертизу от ее имитации.

Глава 1. Почему «слежка мужа за женой» — это детский сад по сравнению с тем, что происходит сейчас

1.1. Эволюция: от сталкера к банкиру

Еще три года назад шпионское ПО на телефоне означало одно: кто-то читает ваши сообщения и знает, где вы находитесь. Неприятно, но не смертельно для кошелька.

Сейчас ситуация изменилась. По данным Центробанка, во втором квартале 2026 года банки предотвратили 17,5 миллиона попыток хищения средств клиентов на сумму почти 1,9 триллиона рублей. При этом мошенникам удалось совершить 458,7 тысячи успешных операций на 7,35 миллиарда рублей. И хотя доля вредоносного ПО в общем числе мошенничеств формально сократилась на 10%, это не повод расслабляться. Потому что те, кто использует трояны, не размениваются на мелочи.

По оценкам экспертов, около 1,5 миллиона Android-смартфонов в России заражены вредоносными программами. Люди скачивают их сами, думая, что устанавливают полезное приложение. За первое полугодие 2026 года количество заражений выросло на 70% год к году.

Это не «слежка». Это систематическая, автоматизированная охота за вашими деньгами.

1.2. Четыре зверя, которых стоит бояться по-настоящему

RedWing. Самый наглый и самый актуальный. По данным F6, с середины июля до середины сентября 2026 года в России было скомпрометировано более 10 тысяч смартфонов. Маскируется под сервис оповещения о воздушных атаках RadarTrevog — идеальная приманка для тревожных времен. После установки запрашивает доступ к геолокации, уведомлениям, SMS и, главное, к службам доступности Android. С этими разрешениями он перехватывает SMS с банковскими кодами, отображает поддельные окна для захвата данных и получает доступ к установленным банковским приложениям.

Falcon. По данным F6, к концу февраля 2026 года в России насчитывалось более 10 тысяч зараженных смартфонов, а за две недели их число выросло на 33%. Новая версия атакует более 30 приложений — от банков до госсервисов и маркетплейсов. Ключевое отличие — модуль VNC для удаленного управления устройством. Вы думаете, что смотрите на свой экран. На самом деле на него смотрит кто-то еще. И этот кто-то может нажимать кнопки за вас.

Mamont. Массовая эпидемия. Число управляющих серверов выросло с нескольких десятков в первом полугодии 2025 года до 200 в марте 2026-го. Mamont перехватывает SMS, собирает данные о SIM-карте, список приложений, журнал звонков. Вы получаете код для подтверждения перевода? Он уже у злоумышленника. Вы не успеваете даже прочитать сообщение.

Hirudo. Самый коварный. По данным ngCERT, распространяется через дропперы — приложения для покупок, которые обманом заставляют пользователя установить «скомпрометированное банковское приложение». После установки движок Hirudo обходит проверку подписи приложения, защиту Accessibility и проверки целостности Play. Это означает, что даже если вы пытаетесь защититься, троян уже внутри и не дает себя обнаружить.

1.3. Ключевой механизм: Accessibility Service, о котором вы ничего не знаете

Все эти программы объединяет одно. Они просят у вас разрешение на Accessibility Service — службу специальных возможностей Android.

Звучит безобидно. «Для людей с ограниченными возможностями». На деле это разрешение дает приложению право читать все, что происходит на вашем экране, и нажимать кнопки за вас.

Falcon, по данным F6, при установке запрашивает доступ к Accessibility. Если пользователь выдает это разрешение, троян получает практически неограниченный контроль над устройством: может читать, отправлять и удалять СМС, перехватывать коды подтверждения, совершать звонки, выполнять USSD-запросы и операции через мобильный банк даже без подключения к интернету. Это позволяет обходить двухфакторную аутентификацию и проводить финансовые операции от имени жертвы.

Вы дали разрешение «обновлению безопасности». Вы дали доступ к своему банковскому счету.

Глава 2. Как вас будут убеждать заплатить трижды

2.1. Первый раз — мошенникам

Сценарий банален до тошноты. Звонок «от банка». «Подозрительная активность». «Установите обновление безопасности». Ссылка. APK-файл. Разрешения. Готово.

Или: «программа для заработка на криптовалюте». Или: «обновление Google Play». Или: «приложение для оповещения о воздушных атаках» — как в случае с RedWing. Вариантов сотни. Результат один: на вашем телефоне поселяется программа, которая ждет команды.

RedWing, по данным CISOCLUB, распространяется через фальшивые веб-сайты, маскирующиеся под легитимные сервисы оповещения. Домены регистрировались в июле и августе 2026 года, в названиях сочетались слова radar и trevog. Расчет строился на отсутствии официальных сервисов в этой сфере. Люди хотели знать, не летит ли на них дрон. И отдали все свои банковские данные.

2.2. Второй раз — «экспертам», которые продают воздух

Вы приходите в контору с гордым названием «Независимая экспертиза». Вам говорят: «25 тысяч за развернутое заключение». Вы платите. Получаете документ на пяти страницах, где написано: «Обнаружено приложение с разрешениями Accessibility. Может представлять угрозу».

И это все?

А где ответ на вопрос: как именно украли ваши деньги? В какой момент? Через какой механизм? Совпадает ли время активности трояна с моментом списания средств?

Нет ответа. Потому что за 25 тысяч вам продали список приложений с комментариями, а не экспертизу.

2.3. Третий раз — «экспертам», которые нашли себе кормушку

Самые «умные» идут дальше. Они предлагают «судебную экспертизу» за 50 тысяч. Вы платите. Потом выясняется, что эксперт не имеет права проводить судебные экспертизы, или его заключение оформлено так, что суд его не примет.

А потом вы обнаружите, что реальная экспертиза телефона на шпионское ПО стоит от 30 000 до 50 000 рублей в среднем , базовая экспертиза на взлом — от 30 000 до 50 000, а полная с низкоуровневым анализом прошивки и восстановлением удаленных данных — от 60 000 до 100 000 рублей. И поймете, что вас развели.

Важно понимать: экспертиза сотового телефона для суда должна проводиться с использованием лицензионного ПО и по методикам, признанным в РФ. Дешевый анализ «на коленке» за 15–20 тысяч не будет иметь юридической силы.

Глава 3. Как проверить телефон самому и не сойти с ума

3.1. Что можно сделать бесплатно

Проверьте Accessibility Service. Настройки → Специальные возможности → Службы специальных возможностей. Если там висит приложение, которое вы не устанавливали или назначение которого не понимаете — это красный флаг. Не желтый. Красный. F6 прямо предупреждает: одно разрешение Accessibility способно дать вредоносному приложению возможность предоставить самому себе любые другие разрешения.

Проверьте администраторов устройства. Настройки → Безопасность → Приложения администратора. Если там что-то с именем «System Update» или «Device Manager» — это не системное. Это маскировка.

Проверьте обработчик SMS. Настройки → Приложения → Приложения по умолчанию → SMS. Если там не стандартное приложение вашего производителя — разбирайтесь. RedWing запрашивает доступ к SMS якобы «для оповещений».

Посмотрите на расход батареи. Если неизвестное приложение жрет 10–15% в сутки в фоне — оно не «оптимизирует систему». Оно передает данные.

Обратите внимание на странное поведение. F6 рекомендует проверять устройство, если наблюдается: автоматический запуск или завершение работы приложений, автоматическое сворачивание окон, перенаправление на домашний экран. RedWing, например, при попытке открыть антивирус или файловый менеджер выбрасывает вас на домашний экран и показывает фальшивое обновление. Вы пытаетесь удалить программу, которая ворует ваши деньги. Она не дает вам этого сделать.

3.2. Чего делать НЕЛЬЗЯ

Не выключайте телефон резко. Если есть подозрение на хищение, выключение уничтожит оперативную память, где могут быть следы активности трояна.

Не удаляйте подозрительное приложение самостоятельно. Если вы сотрете его до экспертизы, вы уничтожите доказательство. Потом в суде вы будете выглядеть как человек, который сам удалил улики.

Не верьте антивирусу. Hirudo, по данным ngCERT, обходит проверки целостности Play. Кастомизированные APK-файлы, собранные под конкретную жертву, не детектируются сигнатурными методами. Антивирус скажет «чисто», а деньги уйдут.

Глава 4. Когда без эксперта не обойтись и сколько это должно стоить на самом деле

4.1. Реальные цены рынка (для сравнения)

Я не буду говорить, что «наши цены самые честные». Я просто покажу, что происходит на рынке.

Экспертиза телефона на шпионское ПО и отслеживание: от 30 000 до 50 000 рублей в среднем, сроки — от 7 до 20 рабочих дней.

Базовая экспертиза на взлом (создание образа памяти, анализ логов, проверка на известные вредоносные программы): от 30 000 до 50 000 рублей.

Полная экспертиза с низкоуровневым анализом прошивки, поиском скрытых процессов, восстановлением удаленных данных и анализом сетевого трафика: от 60 000 до 100 000 рублей.

Экспертиза iPhone на шпионские программы: от 20 000 до 50 000 рублей по Москве.

4.2. Что вы должны получить за свои деньги

Если вы платите за предварительный анализ (5 000 рублей), вы получаете ответ на один вопрос: есть ли на телефоне что-то подозрительное. Точка. Не ждите чудес.

Если вы платите за краткую справку (15 000 рублей), вы получаете документ, который можно показать в банке или приложить к заявлению в полицию. В нем должно быть: название приложения, его разрешения, оценка функционала. И ни слова о том, «как именно украли деньги» — для этого нужен следующий уровень.

Если вы платите за развернутое заключение (25 000 рублей), вы получаете исследование, в котором должна быть установлена хронологическая связь: когда троян был установлен, когда он активировался, совпадает ли это время с моментом списания средств. Если в заключении нет этой связи — вы заплатили за красивую бумажку.

Если вы платите за судебную экспертизу (от 50 000 рублей), вы получаете заключение эксперта, предупрежденного об ответственности по ст. 307 УК РФ. Это доказательство в суде. Но только если эксперт имеет право проводить судебные экспертизы и заключение оформлено по процессуальным требованиям.

4.3. Вопрос, который нужно задать до оплаты

«Вы можете установить, что вредоносная программа могла быть использована для хищения средств в конкретный период?»

Если вам отвечают «ну, мы посмотрим, что там установлено» — бегите. Если отвечают «да, это входит в задачу» — можно разговаривать.

Глава 5. Пять кейсов, которые должны вас напугать (и научить)

Кейс 1: Фишинговая ссылка за 950 тысяч

Гражданин получил SMS от имени крупного банка о блокировке карты и ссылку для разблокировки. Перешел. Ввел логин, пароль и код подтверждения. Через два часа обнаружил списание 950 000 рублей.

Экспертиза выявила: в системном разделе памяти обнаружено скрытое приложение, установленное в момент перехода по ссылке. Без иконки, скрытое из общего списка. Дизассемблирование кода показало функции перехвата одноразовых паролей из SMS и их ретрансляцию на сервер злоумышленников. Заключение передано в правоохранительные органы для возбуждения дела по ст. 159.6 УК РФ и использовано в банке для запуска процедуры страхового возмещения.

Мораль: «ссылка для разблокировки карты» от банка — это не банк. Это кнопка «отдать все деньги».

Кейс 2: Файл от «коллеги» за 30 тысяч

40-летняя жительница Йошкар-Олы открыла присланный в мессенджере файл от коллеги. Аккаунт коллеги был взломан, а файл с расширением APK оказался шпионской программой. Полицейские эксперты установили: вредоносное приложение предоставило злоумышленникам доступ к SMS-кодам для банковских операций. С карты похищено почти 30 000 рублей. Возбуждено уголовное дело по п. «г» ч. 3 ст. 158 УК РФ (кража с банковского счета).

Мораль: файл от «коллеги» в мессенджере — это не файл. Это может быть вход в ваш банк.

Кейс 3: «Это ты на видео?» за 14 тысяч

39-летнему жителю Озерска в соцсети пришло сообщение со страницы знакомого: «Привет, это ты на видео?» и ссылка. Любопытство обернулось потерей денег: вместо видео загрузился APK-файл. Полицейские установили: файл оказался шпионской программой, позволяющей перехватывать SMS и полностью контролировать телефон через удаленный доступ. Вскоре на телефон стали массово поступать SMS с кодами подтверждения. С их помощью злоумышленники оформили микрозайм на 14 тысяч рублей и перевели деньги на свой счет. Возбуждено уголовное дело по ч. 3 ст. 158 УК РФ.

Мораль: «это ты на видео?» — это не вопрос. Это приманка. За ней — кредит на ваше имя.

Кейс 4: Бухгалтер, которая обогатила мошенников на 1,2 миллиона

С расчетного счета ООО «Т.» ушли 1 200 000 рублей двумя транзакциями за час. Главный бухгалтер подтверждала операции с личного телефона — офисное подключение «временно не работало».

Экспертиза: на телефоне — троян с функциями RAT. За день до инцидента получил команду отслеживать запуск приложения ДБО. В момент подтверждения первой транзакции показал overlay-экран, перехватил код. Вторую транзакцию инициировал сам, эмулируя нажатия через Accessibility.

Мораль: для предприятий. По данным ЦБ, доля хищений у юрлиц выросла до 11,3% против 7,8% кварталом ранее. Личный телефон бухгалтера с доступом к ДБО — это не «удобно». Это дыра в бюджете размером с годовую прибыль.

Кейс 5: «Родительский контроль», который стоил 45 тысяч

Гражданка Л. подозревала бывшего мужа в установке шпионского ПО. При проверке нашли «родительский контроль» с расширенными разрешениями. А заодно — списание 45 000 рублей, которое Л. изначально не связала с бывшим.

Экспертиза: программа класса stalkerware с функциями RAT. Умела не только отслеживать местоположение и читать переписку, но и удаленно просматривать экран и эмулировать нажатия. Списание произошло, когда телефон лежал без присмотра.

Мораль: «слежка» и «хищение» — это не два разных преступления. Это две стадии одного. Программа, которую установил ревнивый партнер, завтра может стать инструментом опустошения вашего счета.

Вместо заключения: запомните три вещи

Первое. Шпионское ПО больше не «следит». Оно ворует. Если вы думаете, что «ну подумаешь, муж читает мои сообщения» — вы отстали от реальности на несколько лет. Сегодняшние программы читают ваши SMS с кодами банка. И передают их туда, где сидят люди, которые знают, что с ними делать. RedWing, Falcon, Mamont, Hirudo — это не экзотика. Это массовая эпидемия. По данным СМИ, мошенники украли у россиян 600 миллиардов рублей благодаря схемам с троянами за последние полтора года. И количество заражений растет.

Второе. За 5 000 рублей вы можете узнать, есть ли на телефоне проблема. За 15 000 — получить бумагу для банка. За 25 000 — получить заключение, с которым можно идти в суд. За 50 000+ — получить судебную экспертизу. Но только если вы понимаете, что именно покупаете. Если вам продают «экспертизу» за 25 тысяч, а в заключении нет ответа на вопрос «как украли деньги» — вас обманывают.

Третье. Предприятия, которые позволяют сотрудникам использовать личные телефоны для доступа к ДБО, экономят на безопасности. Но платят в итоге из прибыли. Иногда — всей прибылью. ngCERT прямо указывает: заражение Hirudo приводит к финансовым потерям, компрометации аккаунтов, краже личных данных и раскрытию корпоративных данных. Если ваш бухгалтер «подтверждает платежи с личного телефона, потому что так удобнее» — вы уже платите за это. Просто пока не знаете.

Услуги, упомянутые в тексте: предварительный анализ — 5 000 ₽; краткая справка — 15 000 ₽; развернутое заключение — 25 000 ₽; судебная экспертиза — от 50 000 ₽. Если после прочтения у вас остались вопросы — значит, вы прочитали внимательно.