Вместо предисловия: сядьте и прочитайте

Вы сейчас держите в руках телефон. Скорее всего, он лежит рядом. Может быть, вы даже смотрите в его экран.

А теперь вопрос, который должен вас напрячь: вы уверены, что он делает только то, что вы от него хотите?

Не «примерно уверены». Не «ну а что ему ещё делать». А точно. С проверкой. С доказательствами.

Если ответ «нет» или «я не задумывался» — читайте дальше. Потому что те, кто использует шпионское ПО для кражи денег, не задумываются о ваших сомнениях. Они просто работают. Звонят. Убеждают. Устанавливают. Ждут.

И да, эта монография написана с раздражением. Потому что надоело смотреть, как люди теряют деньги, а потом говорят: «Я думал, меня это не коснётся». Не думали. Не коснулось. Пока не коснулось.

Глава 1. Хватит врать себе: это не «слежка», это ограбление

1.1. «Муж за женой» — это удобная сказка

Когда слышишь «шпионское ПО на телефоне», первая ассоциация — ревнивый супруг, который хочет знать, с кем вы переписываетесь. Это удобная ассоциация. Она позволяет думать, что проблема — в чужих семейных драмах, а не в вашем банковском счёте.

Но вот вам факт, который рушит эту сказку. В августе 2026 года Group-IB описала реальный инцидент: злоумышленник позвонил жертве, представился сотрудником банка, сказал, что «проблема с картой». Убедил установить приложение. Приложение называлось именем самой жертвы — чтобы не вызвать подозрений. Это был SpyNote RAT. С разрешением Accessibility Service. С полным удалённым доступом к телефону.

Дальше — за 13 минут телефонного разговора — злоумышленник оформил на имя жертвы кредит через банковское приложение, установил второй модуль WindRelay, убедил жертву приложить карту к телефону и ввести PIN, после чего данные карты были ретранслированы на устройство злоумышленника.

Тринадцать минут. Вы за это время даже не успеете дойти до банкомата. А у вас уже кредит и списанные деньги.

Вот это — реальная угроза. Не «слежка». Не «контроль». Прямое хищение с использованием вашего же устройства.

1.2. Функции, которые конвертируются в деньги

Давайте без технического жаргона. Вот что умеет шпионское ПО — и что это означает для вашего кошелька.

Читает SMS. Банк присылает код подтверждения. ПО его перехватывает. Вы не видите SMS. Злоумышленник видит. Перевод проходит. Деньги уходят.

Читает уведомления. Банковское приложение присылает push: «Перевод выполнен». ПО его скрывает. Вы не знаете, что деньги ушли. Узнаете через неделю, когда придёт уведомление о просрочке по кредиту.

Имеет доступ к Accessibility Service. Это «специальные возможности» для людей с инвалидностью. Но в руках злоумышленника — это кнопка «делай что хочешь». ПО читает экран. Нажимает кнопки. Открывает банковское приложение. Переводит деньги. Вы в это время смотрите телевизор.

Показывает overlay. Поддельное окно ввода. Выглядит как банковское приложение. Вы вводите пароль. Пароль уходит злоумышленнику. Банк получает правильный пароль от «вас». Все довольны. Кроме вас.

Скрывает иконку. Приложение есть. Вы его не видите. Оно работает. Ест батарею. Греет телефон. Передаёт данные. Вы думаете: «Что-то телефон стал быстро разряжаться». Вы правы. Он работает на кого-то другого.

1.3. Красный флаг, который все игнорируют

Вот самый опасный признак: отсутствие признаков.

Современное вредоносное ПО не называется «Spy». Оно называется «System Service» или «Phone Health». Оно не греет телефон постоянно — только когда передаёт данные. Оно не ест батарею на глазах — только в фоне, по чуть-чуть. Специалисты по безопасности прямо предупреждают: следите за приложениями с типичными системными именами — «System Manager», «Phone Health», «Device Service».

И если вы «проверили телефон» и ничего не нашёл — вы не проверили телефон. Вы проверили своё желание не знать.

Глава 2. Почему вы уже в зоне риска (даже если не согласны)

2.1. Вы не параноик. Вы просто ещё не заметили

Люди делятся на две категории. Первые думают: «Кому я нужен, меня не взломают». Вторые уже получили уведомление о кредите, который не оформляли.

Вот цифры, от которых становится неуютно. По данным «Мегафона», число заражённых смартфонов в России за первую половину 2026 года выросло на 70% по сравнению с прошлым годом. Около 1,5 миллиона Android-устройств в России заражены банковским трояном Mamont — это примерно 1,5% всех Android-устройств в стране. Совокупный ущерб российских пользователей от действий кибермошенников за 2025–2026 годы превысил 600 миллиардов рублей.

Вы всё ещё думаете, что «это не про вас»? Эти люди тоже так думали.

2.2. Приложения, которые вы скачиваете, — это не то, что вы думаете

Троян RedWing распространяется под видом приложения RadarTrevog — сервиса оповещения о воздушных тревогах. Тема, которая для российских пользователей обладает высокой психологической значимостью. Люди устанавливают его, потому что хотят знать, когда опасность. А получают шпионское ПО, которое крадёт деньги с банковских счетов и перехватывает аккаунты в мессенджерах.

Приложение запрашивает доступ к геолокации, уведомлениям, SMS и Accessibility Service. Всё «якобы для своевременных оповещений». На самом деле — для перехвата банковских кодов и поддельных окон ввода.

Вы думаете: «Ну кто скачивает справочник прудов?» А кто скачивает фонарик? Калькулятор? Прогноз погоды? Люди скачивают то, что им нужно. И злоумышленники это знают.

2.3. Для предприятий: телефон бухгалтера — это дверь в кассу

Если вы руководитель и думаете, что эта проблема касается только «личных телефонов сотрудников» — у вас плохие новости.

Телефон бухгалтера, через который проходят коды подтверждения корпоративных платежей, — это точка доступа к деньгам компании. Если на нём есть шпионское ПО — неважно, для «слежки» или для «кражи» — корпоративные деньги под угрозой.

Mamont, по данным F6, нацелен в первую очередь на пользователей в России и СНГ. Он перехватывает SMS и push-уведомления, включая коды подтверждения банковских транзакций, и передаёт их на серверы злоумышленников. Представьте, что это телефон сотрудника, у которого в приложении — доступ к расчётному счёту организации. Представили? Теперь представьте, что этот сотрудник «просто установил приложение для отслеживания посылок».

Глава 3. Что делать, если вы заподозрили неладное

3.1. Не делайте глупостей (да, это относится к вам)

Первая реакция нормального человека: «Я сейчас всё удалю и сброшу». Это худшее, что можно сделать, если вы планируете возвращать деньги через банк или суд.

Почему? Потому что удаление приложения уничтожает доказательства. Сброс до заводских настроек — тем более. Вы останетесь с фактом списания и без единого доказательства того, что на телефоне было вредоносное ПО. Банк скажет: «Вы сами перевели». Полиция скажет: «Нет состава».

И будут правы. С их точки зрения. Потому что вы уничтожили то, что могло стать основанием для проверки.

Правильно:

• Зафиксируйте состояние. Дата, время, модель, версия ОС. Скриншоты. Не трогайте подозрительные приложения.
• Изолируйте устройство от сети. Авиарежим. Это остановит передачу данных, если она ещё идёт.
• Не сбрасывайте. Не удаляйте. Даже если очень хочется.
• Обратитесь к специалисту. Или хотя бы к нам. Предварительный анализ стоит пять тысяч. Это дешевле, чем потерять пятьдесят.

3.2. Что можно проверить самому (и почему этого мало)

Проверить список приложений, включая системные. Проверить Accessibility — какие приложения имеют доступ к «специальным возможностям». Проверить администраторов устройства. Проверить доступ к уведомлениям. Проверить, не включена ли переадресация вызовов — наберите ##002#.

Всё это полезно. Всё это может выявить грубые случаи. Но не может дать гарантии.

Потому что «я проверил, ничего не нашёл» — это не «всё хорошо». Это «я не нашёл того, что искал, потому что не знал, где искать».

3.3. Когда нужен профессионал

Профессионал нужен тогда, когда последствия ошибки слишком велики. Если вы просто хотите убедиться, что «всё нормально» — самостоятельной проверки может хватить. Если деньги уже ушли, если на вас уже оформили кредит, если вы собираетесь судиться с банком или писать заявление в полицию — самостоятельная проверка не заменит экспертизу.

Потому что экспертиза — это не «посмотрел и сказал». Это создание образа устройства с хэшированием, документирование цепочки хранения, статический и динамический анализ, корреляция активности ПО с финансовыми операциями, выводы, оформленные так, чтобы их можно было использовать в суде.

И вот здесь мы переходим к тому, что обычно вызывает больше всего вопросов.

Глава 4. Сколько стоит правда (и почему она стоит именно столько)

4.1. Четыре уровня — четыре задачи

Мы не продаём «проверку телефона». Мы продаём доказательства. И их глубина зависит от того, что вы собираетесь с ними делать.

Предварительный анализ — 5 000 рублей.
Вы не знаете, есть ли проблема, но чувствуете, что что-то не так. Мы проводим первичную диагностику, оцениваем вероятность компрометации, говорим, стоит ли копать глубже. Это не документ для суда. Это ответ на вопрос «надо ли мне беспокоиться».

Краткая справка по исследованию — 15 000 рублей.
Вам нужен документ для банка или для внутреннего разбирательства. Мы фиксируем результаты проверки, перечисляем индикаторы, описываем подозрительные приложения и разрешения. Этого может хватить, чтобы банк начал разбирательство. Но для суда — недостаточно.

Развёрнутое заключение — 25 000 рублей.
Вы готовитесь к суду или к обращению в правоохранительные органы. Мы делаем полное исследование: образ, анализ, описание функциональности ПО, корреляция с финансовыми событиями. Это документ, который имеет доказательственную силу.

Экспертиза по запросу суда или следствия — от 50 000 рублей.
Дело уже в процессе. Экспертиза назначается официально. Мы работаем в рамках процессуальных требований, даём подписку об ответственности по статье 307 УК РФ. Это не «мнение специалиста». Это доказательство.

4.2. Почему «дорого» — это неправильный вопрос

25 000 рублей за заключение, которое может вернуть вам 500 000 рублей, похищенных со счёта, — это не «дорого». Это дешевле, чем ничего не делать.

Проблема в том, что люди готовы платить за видимые вещи. За новый телефон. За ремонт машины. За отпуск. Но за «проверку телефона на вирусы» — жаба душит. Потому что результат невидим. Пока не придёт уведомление о кредите.

И вот здесь я позволю себе быть резким. Если вы готовы потерять деньги, но не готовы потратить пять тысяч на то, чтобы понять, как вы их теряете, — вы не жертва обстоятельств. Вы жертва собственной экономии.

4.3. Для предприятий — отдельный разговор

Когда речь идёт о корпоративных счетах, цена ошибки умножается на количество нулей. Телефон бухгалтера, через который прошёл вредоносный APK, — это не «личная проблема сотрудника». Это инцидент безопасности, который может стоить компании миллионов.

Предприятиям мы говорим прямо: аудит устройств, имеющих доступ к онлайн-банку, — это не «дополнительная опция». Это гигиена. И если вы её не соблюдаете, вы рискуете не «репутацией», а конкретными деньгами на конкретном счёте.

Глава 5. Пять историй, которые должны были закончиться иначе

Кейс 1. «Сотрудник банка» и тринадцать минут, которых хватило

Женщина получила звонок. «Сотрудник банка» сказал, что с её картой «проблема». Нужно установить приложение — «для защиты». Приложение называлось её именем. Женщина установила. Дала разрешение на Accessibility Service.

Дальше — по схеме Group-IB. Злоумышленник установил WindRelay. Попросил приложить карту к телефону. Ввести PIN. Женщина приложила и ввела. Её телефон на несколько секунд стал считывателем карт, передав данные злоумышленнику.

Параллельно, через Accessibility Service, злоумышленник открыл банковское приложение и оформил кредит на её имя. Деньги ушли на счёт, который женщина никогда не видела.

Вся операция заняла около тринадцати минут.

Что можно было сделать иначе. Не устанавливать приложение по телефонному указанию. Повесить трубку. Перезвонить в банк по номеру с сайта. Это всё. Тринадцать минут могли не случиться.

Кейс 2. Приложение для оповещений, которое стоило денег

Российский пользователь устанавливает приложение RadarTrevog — «для оповещения о воздушных тревогах». Всё выглядит логично: тема актуальная, приложение «полезное». Оно просит доступ к геолокации, уведомлениям, SMS и Accessibility Service. Пользователь разрешает — «чтобы работало».

На самом деле это троян RedWing. Он перехватывает SMS с банковскими кодами, отображает поддельные окна для кражи данных и получает доступ к банковским приложениям. Разработчики — русскоязычные злоумышленники, нацеленные на клиентов российских банков. Распространение идёт через Telegram по модели Malware-as-a-Service.

Урок. Чем актуальнее тема, тем легче вас обмануть. Оповещения о тревогах, защита карт, самозапрет на кредиты — всё это эксплуатируется. Если приложение просит SMS и Accessibility — это не «для оповещений». Это для денег.

Кейс 3. Manic: телефон, который передаёт данные даже без интернета

Android-троян Manic использует Accessibility Service, чтобы создать невидимую клавиатуру поверх реальной. Вы вводите пароль в банковском приложении. Банк получает правильный пароль. Вы не замечаете подмены. Но каждое нажатие записано и отправлено.

Уникальность Manic в другом. Если интернета нет, троян сканирует окружение, находит другой заражённый телефон с подключением, и передаёт данные через него. Цепочка может включать до четырёх устройств. Данные шифруются и передаются по Wi-Fi Direct или Bluetooth.

Урок. «У меня нет интернета, значит, я в безопасности» — это иллюзия. Manic отслеживает 169 приложений, включая банковские, криптокошельки, государственные сервисы и мессенджеры. Он нацелен в том числе на российские финансовые учреждения. Современное вредоносное ПО адаптируется. Оно ищет обходные пути. Оно не останавливается.

Кейс 4. Mamont: 1,5 миллиона заражённых устройств

Банковский троян Mamont — одна из главных угроз для российских пользователей. По данным F6, им заражены около 1,5% всех Android-устройств в России — примерно 1,5 миллиона аппаратов. Количество управляющих серверов выросло с нескольких десятков до 200 к марту 2026 года.

Mamont перехватывает SMS и push-уведомления, включая коды подтверждения банковских транзакций. Он собирает информацию об устройстве, список установленных приложений, номера телефонов и данные SIM-карты. Может скрывать или менять свою иконку, чтобы оставаться незамеченным. Распространяется через социальную инженерию: фальшивые фотографии, бесплатная бытовая техника, скидки на оптовые товары, поддельные приложения для отслеживания посылок.

Урок. Mamont — это не экзотика. Это массовая угроза. Если вы живёте в России и пользуетесь Android-смартфоном для банковских операций — вы в зоне риска. Не потому что вы «интересны» кому-то лично. А потому что вы часть статистики.

Кейс 5. RedWing: когда «защита» становится оружием

RedWing маскируется под сервис оповещений. Но его функциональность выходит за рамки «слежки». Он позволяет злоумышленникам:

• красть средства с банковских счетов;
• перехватывать аккаунты в мессенджерах;
• собирать личную информацию для создания цифровых профилей.

Приложение требует разрешения на SMS, уведомления и Accessibility Service. После установки оно перехватывает банковские коды верификации и отображает поддельные окна ввода.

Урок. «Полезное» приложение может быть оружием. И чем полезнее оно выглядит, тем внимательнее нужно проверять, откуда оно и что именно просит.

Глава 6. Что делать предприятиям (и почему им это нужно больше, чем кажется)

6.1. Телефон бухгалтера — это дверь в кассу

Предприятия обычно думают о безопасности так: «У нас есть антивирус на компьютерах, файрвол, и всё нормально». А потом бухгалтер устанавливает на свой смартфон «обновление безопасности», потому что ему позвонили «из банка». И через два дня корпоративный счёт пустеет.

Потому что телефон бухгалтера — это не «личное устройство сотрудника». Это точка доступа к корпоративным финансам. Через него проходят коды подтверждения, через него открывается онлайн-банк, через него подтверждаются платежи.

И если на этом телефоне есть шпионское ПО — неважно, установленное «для контроля» или «для кражи», — корпоративные деньги под угрозой.

6.2. Что должно быть в политике безопасности

Запрет sideload. Установка приложений из неизвестных источников на устройствах, имеющих доступ к финансам, — это не «риск». Это гарантированный канал проникновения. WindRelay и SpyNote распространяются именно так — через APK вне Google Play.

MDM-политики. Контроль устанавливаемых приложений, контроль разрешений, контроль конфигураций. Это не «бюрократия». Это то, что отличает компанию, которая «слышала о безопасности», от компании, которая её имеет.

Аудит устройств с доступом к онлайн-банку. Проверка Accessibility, администраторов, сертификатов, подозрительных приложений. Регулярно. Не «когда что-то случится».

Обучение сотрудников. Не «лекция про пароли раз в год». А конкретное правило: никогда не устанавливайте приложения по указанию человека, который позвонил вам по телефону. Ни «сотрудника банка», ни «из Госуслуг», ни «из службы безопасности». Перезвоните. Проверьте. Не устанавливайте.

Регламент действий при инциденте. Если подозрение возникло — не сбрасывать, не удалять, изолировать, звонить эксперту. Каждый сотрудник должен это знать. Потому что первые действия после инцидента определяют, будут ли доказательства.

6.3. Почему «сэкономить» здесь не работает

Компания, которая экономит 25 тысяч на экспертизу, рискует потерять миллионы на хищении. И даже если хищение произошло, без экспертизы она не сможет ни вернуть деньги через суд, ни привлечь виновных. Потому что «мы думаем, что это был вирус» — это не доказательство. Это мнение.

А мнение в суде стоит ровно столько, сколько стоит бумага, на которой оно написано. Если оно вообще написано.

Глава 7. Вместо заключения: просыпайтесь

7.1. Три вещи, которые нужно запомнить

Первое. Шпионское ПО на смартфоне — это не «слежка». Это доступ к вашим деньгам. Функции, которые позволяют читать SMS и нажимать кнопки за вас, — это функции, которые позволяют опустошить ваш счёт и оформить на вас кредит. Разница только в том, успели ли вы заметить.

Второе. Самостоятельная проверка «на глазок» не даёт гарантии. Она может выявить грубые случаи. Она не может подтвердить, что устройство «чисто». Если на кону деньги — нужна экспертиза. Не потому что мы так говорим. А потому что иначе ваши доказательства ничего не стоят.

Третье. Пять тысяч за предварительный анализ — это не «дорого». Это цена чашки кофе в хорошем ресторане, умноженная на пять. И это несопоставимо с ценой бездействия.

7.2. Кому мы это говорим

Физическим лицам. Если вы читаете это и думаете «меня не касается» — возможно, вы правы. А возможно, вы просто ещё не получили звонок «из банка». Или не заметили, что телефон стал быстрее разряжаться. Или не связали списание в 300 рублей с «той странной ссылкой» неделю назад.

Предприятиям. Если у вас есть сотрудники с доступом к корпоративным счетам — у вас есть проблема, даже если вы о ней не знаете. Вопрос только в том, узнаете вы о ней до хищения или после.

Всем остальным. Если вы дочитали до этого места и всё ещё думаете, что «это не про вас» — перечитайте кейсы. Они все начинались с «я думал, что это не про меня».

7.3. И последнее

Мы не можем заставить вас проверить телефон. Мы не можем заставить вас задуматься. Мы можем только сказать: те, кто это делает, не спят. Они работают. Они звонят. Они убеждают. Они устанавливают. Они ждут, пока вы расслабитесь.

Проверка телефона — это не паранойя. Это гигиена. Такая же, как мыть руки перед едой. Только на кону — не расстройство желудка, а ваши деньги, ваша кредитная история и, возможно, ваша способность доказать, что вы не делали того, чего не делали.

Пять тысяч. Пятнадцать. Двадцать пять. Пятьдесят. Это не «расценки на услуги». Это цена доказательства. И если вы готовы платить за новый телефон, но не готовы платить за то, чтобы понять, что на нём происходит, — вы платите дважды. Второй раз — дороже.