Вы думаете, что слежка — это когда муж читает переписку жены? Или когда ревнивая девушка ставит «родительский контроль» на телефон бойфренда? Это детский сад. Настоящая слежка пахнет не ревностью, а пустым банковским счётом, кредитом, который вы не брали, и переводом на «безопасный счёт», о котором вы не сообщали никому.

Вопрос «как проверить телефон на слежку» звучит в нашем офисе всё чаще — и всё реже от людей, подозревающих партнёра. Сегодня на консультацию приходят мужчины и женщины, которые обнаружили списание в 300 тысяч рублей, оформленный онлайн-кредит или перевод, которого они не совершали. И знаете, что выясняется в восьми случаях из десяти? На их телефоне месяцами работала программа, которую они не устанавливали. Она читала SMS с кодами подтверждения, перехватывала нажатия клавиш в банковском приложении, транслировала экран злоумышленнику. И никто ничего не замечал.

Эта монография — не для тех, кто ищет «как проверить телефон на слежку» из любопытства. Она для тех, кто хочет понять, почему деньги уходят, и что делать, когда они уже ушли. Мы оказываем такие услуги. Цены — в конце. Кейсы — в середине. И да, мы будем провоцировать. Потому что равнодушие к собственной безопасности стоит дороже любой экспертизы.

Глава 1. Почему «слежка за супругом» — это отвлекающий манёвр

1.1. Реальная угроза приходит не от ревнивого партнёра

Когда пользователь вводит в поисковик «как проверить телефон на слежку», он чаще всего представляет себе бытовой сценарий: кто-то из близких установил программу, чтобы читать переписку. Да, это существует. Да, это неприятно. Но финансовые потери от такого сценария, как правило, нулевые — если не считать затрат на психотерапию.

Настоящая проблема — это коммерческое и криминальное шпионское ПО, ориентированное на кражу денег. И оно не приходит от мужа или жены. Оно приходит из фишинговой ссылки в SMS, из приложения, скачанного «с официального сайта» банка-двойника, из «службы безопасности», которая попросила установить программу для «защиты счёта».

Согласно данным «Лаборатории Касперского», летом 2025 года зафиксировано более трёх тысяч атак на российских пользователей Android с использованием трояна LunaSpy, который распространялся через мессенджеры под видом защитного решения для финансовых сервисов. Злоумышленники имитировали работу антивируса, показывая вымышленные угрозы, чтобы вынудить жертву предоставить все разрешения — включая доступ к SMS и специальным возможностям. Именно эти разрешения превращают «слежку» в кражу.

1.2. Что именно ищут злоумышленники

Задумайтесь на секунду: зачем кому-то читать вашу переписку с мамой? Ответ: незачем. А вот ваши SMS от банка — это ключи от счёта. Код подтверждения перевода, код входа в личный кабинет, код для оформления кредита. Если вредоносная программа получает доступ к SMS, она получает доступ к вашим деньгам.

LunaSpy, по данным экспертов, способен читать SMS, перехватывать пароли из браузеров и мессенджеров, включая коды двухфакторной аутентификации. Другой инструмент, BirdCall, атрибутируемый группе ScarCruft, через компонент ContentProvider собирает SMS-сообщения, журналы вызовов и списки контактов, а через Accessibility Service перехватывает ввод в Telegram и KakaoTalk. Данные выгружаются каждые 15 минут через легитимное облачное хранилище Zoho WorkDrive, зашифрованные алгоритмом AES-256.

Вот почему вопрос «как проверить телефон на слежку» — это не про ревность. Это про то, что ваш телефон может быть инструментом хищения, а вы даже не подозреваете.

Глава 2. Как шпионское ПО превращается в инструмент кражи денег

2.1. Сценарий первый: перехват SMS и обход двухфакторной аутентификации

Классическая схема. Вы оформляете кредит онлайн. Банк отправляет SMS с кодом. Вы вводите код. Деньги уходят на счёт, который вы не контролируете. Вы ничего не подозреваете, пока не приходит уведомление о задолженности.

Как это работает технически? Шпионское приложение получает разрешение на чтение SMS. В Android это разрешение (READ_SMS) исторически было доступно любому приложению, которое пользователь устанавливал вручную. Начиная с Android 10, Google ограничил его, но приложения, установленные через sideloading (не из Play Store), по-прежнему могут запрашивать и получать его, если пользователь подтвердит.

LunaSpy действует именно так: после установки фальшивое «защитное» приложение показывает вымышленное число обнаруженных угроз, чтобы вынудить пользователя предоставить разрешения «для спасения смартфона». В результате жертва своими руками открывает доступ ко всем личным данным, включая SMS с кодами подтверждения.

Ответ на вопрос «как проверить андроид на шпионские программы» в этом контексте начинается с проверки: какое приложение установлено обработчиком SMS по умолчанию? Если это не стандартное приложение сообщений и не приложение, которое вы сознательно выбрали, — это красный флаг.

2.2. Сценарий второй: подмена экрана банковского приложения

Это более изощрённый метод. Шпионская программа отслеживает, какое приложение вы открываете. Когда вы запускаете банковское приложение, вредонос поверх него отображает поддельный экран — визуально идентичный настоящему, но с полями, которые отправляют ваши логин и пароль на сервер злоумышленника.

ZeroDayRAT, коммерческий инструмент, обнаруженный в феврале 2026 года и продаваемый в Telegram, использует overlay-атаки для кражи учётных данных банковских приложений, UPI-сервисов и платёжных платформ вроде Apple Pay и PayPal. Отдельный модуль сканирует устройство на наличие криптокошельков, записывает их идентификаторы и балансы, а также подменяет скопированные адреса кошельков на адреса атакующего через буфер обмена.

Это называется overlay-атакой. Она не требует root-прав и работает на обычных устройствах с включённой функцией «Отображение поверх других приложений» (Draw over other apps). Многие пользователи предоставляют это разрешение при установке приложений, не задумываясь.

Для ответа на вопрос «как проверить андроид на слежку» необходимо проверить, какие приложения имеют разрешение на отображение поверх других окон. В настройках Android это можно найти в разделе «Специальный доступ» → «Отображение поверх других приложений». Если в списке есть приложение, которое вы не устанавливали, или приложение, которому это разрешение не нужно функционально, — это повод для немедленного реагирования.

2.3. Сценарий третий: удалённое управление устройством

Самый опасный сценарий. Шпионская программа предоставляет злоумышленнику полный удалённый доступ к устройству: он может открывать приложения, нажимать кнопки, вводить текст. Фактически он использует ваш телефон как свой.

ZeroDayRAT предоставляет оператору панель управления с трансляцией экрана в реальном времени, записью нажатий клавиш, доступом к камере и микрофону, а также полным списком аккаунтов, зарегистрированных на устройстве: Google, WhatsApp, Instagram, Telegram, банковские приложения. «Из одной панели оператор может атаковать и криптоактивы, и традиционные финансовые счета», — отмечается в отчёте iVerify.

Flying Eagle, Android-троян, распространяемый под видом приложений «Бюро общественной безопасности», через Android API dispatchGesture позволяет операторам дистанционно нажимать кнопки и управлять интерфейсом устройства. За 30 дней исследователи насчитали не менее 170 активных серверов Flying Eagle по всему миру.

Когда пользователь спрашивает, как проверить телефон на прослушку и слежку, он обычно представляет себе аудиоперехват. Но реальность такова: современное шпионское ПО — это не «прослушка», это удалённое управление вашим финансовым профилем.

Глава 3. Диагностика: что проверять и в каком порядке

3.1. Индикаторы конфиденциальности: самый быстрый способ

Android 12 и выше, а также iOS 14+ отображают индикаторы доступа к камере и микрофону. Зелёная точка — камера, оранжевая — микрофон. Если индикатор появляется, когда вы не используете приложение, требующее доступа к сенсору, — это сигнал.

Однако индикаторы не показывают доступ к SMS или геолокации в реальном времени. Для более глубокой проверки используется Панель конфиденциальности (Настройки → Конфиденциальность → Панель конфиденциальности на Android), которая отображает временную шкалу доступа приложений к камере, микрофону и геолокации. Если приложение-калькулятор обращалось к микрофону, вы это увидите.

Для ответа на вопрос «как проверить телефон на слежку» на уровне операционной системы этого недостаточно, но это первый шаг, который занимает 30 секунд и не требует установки дополнительного ПО.

3.2. Администраторы устройства: кто управляет вашим телефоном

Это критически важный раздел, который большинство пользователей игнорирует. Вредоносные программы часто регистрируются как администраторы устройства, чтобы препятствовать удалению. В настройках Android: Настройки → Безопасность → Приложения администратора устройства. Если в списке есть приложение, которое вы не активировали сознательно, — это почти наверняка проблема.

Отзовите права администратора перед удалением. Без этого система не даст удалить приложение.

3.3. Переадресация вызовов: USSD-проверка

Наберите *#21#. Если в ответе отображается номер, который вы не устанавливали, — ваши звонки перенаправляются. Для сброса: ##002#. Это не самая распространённая схема кражи денег, но она используется в связке с социальной инженерией: злоумышленник звонит «от банка», а переадресация обеспечивает ему доступ к голосовой почте или возможность отвечать на звонки от вашего имени.

3.4. Трафик данных: кто ест ваш интернет

Шпионское ПО передаёт данные. Много данных. Видеопоток с экрана, логи нажатий, SMS — всё это требует трафика. В настройках Android: Настройки → Сеть → Использование данных. Сортируйте приложения по потреблению данных. Если приложение, которым вы не пользуетесь, потребляет мегабайты в фоне, — это аномалия.

BirdCall отправляет сведения об устройстве и собранные данные каждые 15 минут, а связь с командными серверами устанавливает каждые две минуты. Такой трафик не может быть незаметным, если знать, куда смотреть.

Ограничьте фоновую передачу данных для подозрительного приложения, прежде чем удалять его. Это остановит утечку, пока вы разбираетесь.

3.5. Антивирусное сканирование: не панацея, но обязательный этап

Ни один антивирус не гарантирует обнаружение коммерческого stalkerware или свежего банковского трояна. Разработчики вредоносного ПО тестируют свои продукты против популярных антивирусов. Однако пропускать этот этап нельзя: он отсеивает известные угрозы и даёт вам документальное подтверждение того, что вы пытались проверить устройство.

Для ответа на вопрос «проверка на шпионские программы» используйте Kaspersky Mobile Security, Malwarebytes или Dr.Web. На iPhone сторонние сканеры ограничены песочницей, но могут проверить конфигурационные профили.

3.6. Безопасный режим: проверка в изоляции

Если вы подозреваете, что вредоносное приложение маскируется под системное, загрузитесь в безопасном режиме. В этом режиме сторонние приложения не запускаются. Если в безопасном режиме симптомы исчезают (нагрев, разряд, странное поведение), — источник проблемы среди сторонних приложений.

В безопасном режиме удалите всё подозрительное. Если удаление заблокировано — отзовите права администратора, затем удалите.

3.7. Специфика iPhone: профили и проверка безопасности

Для ответа на вопрос «как проверить айфон на шпионские программы» необходимо проверить конфигурационные профили. Перейдите в Настройки → Основные → VPN и управление устройством. Если там есть профиль, который вы не устанавливали (особенно с меткой MDM или от неизвестной организации), — устройство может быть под контролем.

Для проверки того, как проверить айфон на слежку, используйте функцию «Проверка безопасности» (iOS 16+): Настройки → Конфиденциальность и безопасность → Проверка безопасности. Она показывает, с кем вы делитесь местоположением и данными, и позволяет немедленно прекратить обмен.

Следует отметить, что установка троянцев на iPhone сложнее, чем на Android, и требует использования приложений с двойной функциональностью, например, под видом калькулятора.

Глава 4. Пять кейсов: как это выглядело на практике

Кейс 1: «Мне пришло SMS о кредите, который я не брал»

Клиент, 42 года, Москва. Обратился с проблемой: банк требует возврата кредита на 450 000 рублей, оформленного онлайн. Клиент утверждает, что не оформлял. При предварительном анализе (5 000 рублей) выявлено: на устройстве Android установлено приложение с именем «System Service» без иконки, с разрешениями на чтение SMS, доступ к специальным возможностям и отображение поверх других приложений. Приложение отсутствовало в Google Play. Дата установки совпадала с датой, когда клиент, по его словам, «перешёл по ссылке из SMS о блокировке карты».

Что произошло: злоумышленники получили доступ к SMS, перехватили код подтверждения для оформления кредита, а также код для перевода средств. Деньги ушли на счёт физического лица, оформленного на дроппера. Приложение было зарегистрировано как администратор устройства, что prevented удаление.

Результат: краткая справка (15 000 рублей) с фиксацией факта наличия вредоносного ПО и его возможностей. Справка использована для подачи заявления в полицию и в банк для оспаривания кредита.

Кейс 2: «Муж установил слежку, но пропали деньги с моего счёта»

Клиентка, 35 лет, Санкт-Петербург. Подозревала мужа в установке программы слежки (mSpy или аналог). При проверке обнаружено: на iPhone установлен конфигурационный профиль MDM, выданный не корпорацией. Однако параллельно на устройстве найдены признаки другого компромисса: SMS с кодами от банка приходили, но клиентка их не видела. Оказалось, что помимо «супружеской» слежки, на телефоне работало фишинговое приложение, замаскированное под «оптимизатор батареи», которое перенаправляло SMS.

Что произошло: два независимых вектора компрометации. Муж использовал легальное stalkerware для чтения переписки. Злоумышленники использовали фишинговое приложение для кражи денег. Клиентка потеряла 120 000 рублей, пока разбиралась с семейными отношениями.

Результат: развёрнутое заключение (25 000 рублей) с разделением двух векторов атак. Заключение использовано в бракоразводном процессе и в заявлении о краже.

Кейс 3: «Сотрудник установил программу для “контроля расходов”, и фирма потеряла 2 млн»

Корпоративный клиент, ООО, Екатеринбург. Бухгалтер установила на рабочий смартфон приложение «для контроля коммунальных платежей», которое на самом деле оказалось банковским трояном с функциями RAT. Через неделю со счёта компании были переведены 2,1 млн рублей на счета физических лиц.

Что произошло: приложение получило доступ к SMS и специальным возможностям. Злоумышленники перехватили коды подтверждения для доступа к корпоративному интернет-банку. Дополнительно, приложение транслировало экран, что позволило злоумышленникам видеть структуру счетов и выбрать оптимальный момент для перевода.

Результат: экспертиза по запросу следствия (50 000 рублей и выше). Установлено, что приложение имело функции, несовместимые с заявленной функциональностью, и что его установка была результатом социальной инженерии (звонок «от энергосбыта»). Материалы приобщены к уголовному делу.

Кейс 4: «Я проверил сам, ничего не нашёл, но деньги пропали»

Клиент, 58 лет, Новосибирск. Самостоятельно проверил телефон по инструкциям из интернета (как проверить телефон на слежку — стандартные советы). Антивирус ничего не нашёл. Список приложений чист. Через две недели — списание 80 000 рублей.

Что произошло: вредоносное ПО использовало нативную библиотеку, которая не детектируется стандартными антивирусами. Приложение маскировалось под системный компонент и не отображалось в списке пользовательских приложений. Стандартные советы «проверьте список приложений» не работают против такого уровня маскировки. BirdCall, например, использует многослойное шифрование и маскировку имён файлов кодированием Base-26, что затрудняет обнаружение.

Результат: предварительный анализ (5 000 рублей) выявил аномалию в потреблении трафика системным процессом. Краткая справка (15 000 рублей) зафиксировала наличие нативной библиотеки, не входящей в стоковую прошивку. Рекомендован полный сброс с последующей сменой всех паролей с чистого устройства.

Кейс 5: «После сброса настроек деньги продолжили пропадать»

Клиент, 29 лет, Казань. Самостоятельно выполнил Factory Reset после того, как заподозрил слежку. Через месяц — снова списание. Обратился с вопросом, как проверить телефон на слежку после сброса, если проблема вернулась.

Что произошло: клиент восстановил данные из резервной копии Google, созданной после инфицирования. Вместе с данными восстановилось и вредоносное приложение (или его конфигурация). Это классическая ошибка: резервная копия, созданная на инфицированном устройстве, не является «чистой».

Результат: развёрнутое заключение (25 000 рублей) с рекомендацией не восстанавливать резервные копии, созданные в период предполагаемого инфицирования. Клиент выполнил повторный сброс без восстановления, настроил устройство как новое. Повторных списаний не последовало.

Глава 5. Что делать, если вы уже потеряли деньги

5.1. Немедленные действия

Первое: смените пароли ко всем критическим учётным записям — банк, почта, Госуслуги — с другого устройства, которое вы считаете чистым. Если шпионское ПО работало на телефоне, оно могло перехватить ваши пароли. Смена пароля на инфицированном устройстве бессмысленна.

Второе: включите режим полёта на инфицированном устройстве. Это остановит передачу данных. Не выключайте телефон полностью — некоторые вредоносные программы активируются при загрузке.

Третье: обратитесь в банк с заявлением о несанкционированной операции. Чем быстрее, тем выше шанс блокировки перевода.

Четвёртое: подайте заявление в полицию. Для этого вам понадобится документальное подтверждение того, что на устройстве было вредоносное ПО. Именно для этого мы выдаём справки и заключения.

5.2. Роль экспертизы в суде и следствии

Если дело доходит до суда или следствия, простая справка «у вас был вирус» не работает. Нужна экспертиза, которая устанавливает: (1) наличие вредоносного ПО, (2) его функциональные возможности, (3) соответствие этих возможностей характеру хищения, (4) временные рамки активности.

Стоимость такой экспертизы — от 50 000 рублей. Это не расход, это инвестиция в возврат денег. Без экспертизы следствие часто закрывает дела «за отсутствием состава» или «по технической невозможности установить».

Глава 6. Цены и что вы получаете

Мы не продаём «защиту от слежки». Мы продаём документально зафиксированное знание. Вот расклад:

5 000 рублей — предварительный анализ. Вы получаете ответ на вопрос «есть ли на устройстве что-то подозрительное» в течение 1–2 часов. Без письменного заключения, но с конкретными рекомендациями: что удалить, куда смотреть, стоит ли идти дальше.

15 000 рублей — краткая справка по исследованию. Письменный документ на 2–3 страницах: перечень обнаруженных аномалий, описание их потенциальных возможностей, рекомендации. Достаточно для обращения в банк или для принятия решения о дальнейших действиях. Не является судебной экспертизой.

25 000 рублей — развёрнутое заключение. Документ на 8–15 страницах с техническим анализом, временными метками, описанием механизма компрометации (если установлен), и выводами о связи между обнаруженным ПО и конкретными финансовыми потерями (при наличии данных). Используется в гражданском процессе, при оспаривании кредитов, в бракоразводных делах.

50 000 рублей и выше — экспертиза по запросу суда или следствия. Полноформатное исследование, оформленное в соответствии с требованиями процессуального законодательства. Включает анализ образа устройства (если возможно), восстановление удалённых данных, хронологию событий, ответы на вопросы, поставленные судом или следователем. Сроки и стоимость зависят от сложности дела.

Почему это стоит денег? Потому что бесплатные советы в интернете — это советы для тех, кто ещё не потерял деньги. Когда деньги уже ушли, нужны не советы, а доказательства. Мы делаем доказательства.

Глава 7. Как проверить телефон на слежку: короткий чек-лист для тех, кто не хочет платить за экспертизу

Мы не против, если вы попробуете сами. Вот минимальный набор действий. Если после них остаются сомнения — приходите.

Шаг 1. Проверьте индикаторы конфиденциальности. Если зелёная или оранжевая точка появляется без вашего участия — есть проблема.

Шаг 2. Проверьте администраторов устройства. Незнакомое приложение с правами администратора — почти наверняка вредонос.

Шаг 3. Проверьте обработчик SMS по умолчанию. Если это не стандартное приложение — вы не видите коды подтверждения, а кто-то другой видит. LunaSpy и подобные трояны целенаправленно стремятся получить этот доступ.

Шаг 4. Проверьте трафик данных. Приложение, которым вы не пользуетесь, но которое ест трафик в фоне — аномалия. BirdCall обменивается данными каждые 15 минут.

Шаг 5. Наберите *#21#. Незнакомый номер в ответе — переадресация.

Шаг 6. Загрузитесь в безопасном режиме. Если симптомы исчезли — проблема в стороннем приложении.

Если все шесть шагов чисты, но деньги пропали — проблема может быть на уровне нативной библиотеки или в конфигурационном профиле, который не виден в обычном списке. Это тот случай, когда нужен предварительный анализ за 5 000 рублей.

Вместо заключения: провокация, которая должна отрезвить

Каждый раз, когда кто-то спрашивает нас, как проверить телефон на слежку, мы задаём встречный вопрос: а что вы сделаете, если найдёте? Удалите приложение? Смените пароль? А если злоумышленник уже скачал ваши SMS? Если он уже оформил кредит? Если деньги уже ушли на счёт в другом регионе?

Проверка — это не конечная точка. Это начало пути, который может закончиться возвратом денег или их окончательной потерей. Разница между этими исходами — в документах. В том, сможете ли вы доказать, что на вашем телефоне было вредоносное ПО, что оно имело доступ к SMS, что именно через него ушли деньги.

LunaSpy, BirdCall, ZeroDayRAT, Flying Eagle — это не имена из фантастических романов. Это инструменты, которые прямо сейчас работают на чьих-то телефонах, читают чужие SMS и переводят чужие деньги. Вопрос лишь в том, на чьём телефоне они работают — на телефоне злоумышленника или на вашем.

Мы не обещаем, что вы найдёте ответ на вопрос «как проверить телефон на шпионские программы» за пять минут. Мы обещаем, что если вы обратитесь — вы получите не гадание, а исследование. И если деньги уже ушли — у вас будет шанс их вернуть.

Проверка стоит 5 000 рублей. Потеря счёта стоит дороже.