Поищите, как удалить шпионское ПО, и все советы будут единодушны: удалите приложение, смените пароли, сбросьте телефон до заводских настроек. Всё просто, и для одного типа вторжения это правильно.

Для самого распространённого типа это худший из возможных первых шагов.

Разница в том, кто его установил. Если за этим стоит неизвестный преступник, удалите его сегодня же. Если это партнёр, бывший партнёр, родственник или работодатель — а таких случаев среди реальных большинство, — удаление приведёт к двум последствиям, которых вы, возможно, не хотите. Оно сообщит им, что вы всё узнали, в момент, который выбрали не вы. И оно уничтожит доказательства.

Определите, в какой вы ситуации

Возможно, замешан кто-то из вашего окружения, если у этого человека был физический доступ к телефону, если он знает ваш код-пароль, если он настраивал устройство или оплачивает аккаунт, или если он знал то, чего обычным путём узнать не мог. Переходите к осторожной последовательности действий ниже.

Скорее всего, это неизвестный злоумышленник, если телефон был скомпрометирован через вредоносное приложение, которое вы установили сами, фишинговую ссылку или общедоступный джейлбрейк, и ни у кого из вашего окружения правдоподобно не было доступа. Переходите сразу к разделу о прямом удалении. Там скорость на вашей стороне.

Если вы не уверены, считайте, что это первый случай. Осторожный путь обойдётся вам в несколько дней. Быстрый путь, выбранный по ошибке, уже не отменить.

Осторожная последовательность действий

1. Пока ничего не меняйте

Ни приложение, ни пароли, ни настройки. Ни с кем не выясняйте отношения. Пока исходите из того, что всё, что вы делаете на телефоне, видно — включая чтение этой статьи.

2. Получите совет — с другого устройства

Воспользуйтесь телефоном или компьютером, к которому у этого человека никогда не было доступа. Телефоном подруги или друга, рабочим компьютером, компьютером в библиотеке.

Организации помощи пострадавшим от домашнего насилия сталкиваются с этим каждую неделю и помогут спланировать порядок действий с учётом вашей реальной ситуации. Coalition Against Stalkerware ведёт каталог таких организаций; проект Safety Net организации NNEDV в США и Refuge в Великобритании оказывают помощь при насилии с использованием технологий. Эти консультации бесплатны и конфиденциальны.

3. Задокументируйте, прежде чем удалять

Это тот шаг, возможность которого исчезает в ту секунду, когда вы нажимаете «Удалить», и тот, что будет иметь значение, если дело когда-нибудь дойдёт до юриста, полиции или суда по семейным делам.

Снимки экранов настроек лучше, чем ничего. Криминалистический отчёт по итогам внешнего анализа значительно лучше: он показывает, что было установлено, к чему у этого был доступ и когда, — в форме, понятной человеку без технической подготовки. Это как раз тот случай, когда платные инструменты оправдывают свою цену, и позаботиться об этом стоит до удаления, а не после. Haris Shield создаёт именно такой отчёт.

4. Защитите аккаунты — с другого устройства и в таком порядке

Часто настоящий канал доступа — это аккаунт, а он переживает даже полную очистку телефона.

Сначала электронная почта. Через неё сбрасывается всё остальное. Смените пароль, включите двухфакторную аутентификацию и проверьте резервный адрес электронной почты и номер телефона. Резервный адрес, принадлежащий другому человеку, сразу же вернёт ему аккаунт, каким бы надёжным ни был новый пароль.
Apple ID или аккаунт Google. То же самое, плюс просмотрите список устройств, на которых выполнен вход, и удалите незнакомые. Учтите, что удаление могут заметить.
Мессенджеры. Проверьте связанные устройства: WhatsApp, Signal и Telegram позволяют другому устройству оставаться подключённым сколько угодно. Также проверьте, не добавлено ли втихую правило пересылки в вашей почте.
Банки и интернет-магазины, где сохранённая карта к тому же выдаёт, где вы бывали.

Делайте всё это с устройства, к которому другой человек никогда не прикасался.

5. Спланируйте удаление, а не импровизируйте

Обдуманно, когда поддержка уже рядом, выберите один из трёх вариантов:

Очистить телефон, понимая, что другой человек может это заметить.
Заменить телефон и настроить новый с нуля, с новым Apple ID или аккаунтом Google, ничего не восстанавливая.
Пока оставить всё как есть и пользоваться вторым, личным телефоном для всего важного. Иногда самый безопасный телефон — тот, который по-прежнему выглядит ровно так же, как раньше.

О третьем варианте никто не пишет, но в некоторых ситуациях именно он правильный.

Прямое удаление, когда никто из вашего окружения не замешан

На Android

Отзовите разрешения, прежде чем удалять приложение. Сначала права администратора устройства: «Настройки», «Безопасность», «Приложения администратора устройства», — приложение с правами администратора устройства может не давать себя удалить, пока вы их не отзовёте. Затем специальные возможности, затем доступ к уведомлениям.
Удалите приложение в разделе «Настройки», «Приложения».
Снова включите Play Protect и запустите проверку.
Обновите Android и системные обновления Google Play.
Смените пароль Google и выйдите из аккаунта на незнакомых устройствах.

На iPhone

Удалите незнакомые профили конфигурации в разделе «Настройки», «Основные», «VPN и управление устройством».
Обновите iOS. Большинство вторжений в iPhone опираются на уязвимости, которые Apple уже закрыла, так что одно это устраняет многие из них.
Смените пароль Apple ID и просмотрите список устройств.
Если на телефоне был джейлбрейк, обновление iOS его удалит, а сброс до заводских настроек будет более надёжным решением.
Подумайте о режиме блокировки, если у вас есть реальные причины считать, что вас атаковали целенаправленно.

Ловушка резервной копии

Именно здесь люди сводят на нет собственные усилия.

Сброс до заводских настроек стирает телефон. Потом вы восстанавливаете резервную копию, потому что иначе потеряете фотографии и сообщения, — и если копия была сделана, когда телефон уже был скомпрометирован, вы можете вернуть проблему в первый же день на чистом телефоне.

Как этого избежать:

Настройте телефон как новый, а не из резервной копии, если вы готовы на это пойти.
Если без восстановления не обойтись, используйте копию, сделанную до компрометации, если вы можете определить её дату. Примерно понять, когда всё изменилось, как раз и помогает криминалистический анализ из шага 3.
Восстанавливайте данные выборочно: извлеките из копии фотографии и контакты, а не восстанавливайте приложения и настройки целиком.
После восстановления снова проверьте экраны настроек. Профили конфигурации и разрешения могут вернуться вместе с восстановленными настройками.

И помните, чего сброс до заводских настроек не исправляет: он никак не помогает против того, кто знает пароль от вашего аккаунта. Если доступ идёт через аккаунт, очистка телефона не даёт вообще ничего.

Всегда ли помогает сброс до заводских настроек?

Против коммерческого сталкерского ПО на обычном устройстве — да. Против всего, что использует root или джейлбрейк, — как правило, да, поскольку сброс удаляет изменённую систему. Против шпионского ПО государственного уровня — в целом да, в том, что касается закрепления в системе: большинство наёмных имплантов не переживают сброс, а некоторые не переживают даже перезагрузку. Именно поэтому их и устанавливают заново, незаметно, тем же путём, что и раньше.

В этом и суть. Удаление устраняет заражение. Оно не закрывает путь внутрь. Если этим путём был физический доступ к разблокированному телефону и этот доступ сохраняется, вы снова окажетесь здесь.

Как закрыть путь внутрь

Код-пароль, который не знает никто, кроме вас. Проверьте, не добавлены ли лишние отпечатки пальцев или лица.
Обновления в день выхода — и операционной системы, и магазинов приложений.
Двухфакторная аутентификация, начиная с электронной почты.
Никакого джейлбрейка и root-доступа — ни вашими руками, ни чужими.
Проверка списков устройств в аккаунтах раз в несколько месяцев.
Пересмотр функций совместного доступа. Передача геопозиции, настроенная в более счастливые времена и забытая, — сама по себе форма слежки.

Коротко

Если за этим может стоять знакомый вам человек: сначала совет, потом документирование, затем аккаунты, удаление — в последнюю очередь, и никаких выяснений отношений, пока вы не готовы.

Если это неизвестный злоумышленник: на Android отзовите права администратора устройства, прежде чем удалять приложение, обновите операционную систему, смените пароли с другого устройства и внимательно выбирайте, какую резервную копию восстанавливать.

В любом случае удаление устраняет заражение, но не закрывает дверь. Если не изменить то, как они проникли внутрь, всё повторится.

Источники

Coalition Against Stalkerware, Информация для пострадавших: stopstalkerware.org/information-for-survivors
NNEDV Safety Net, технологическая безопасность: techsafety.org
Apple, О режиме блокировки: support.apple.com/en-us/105120
Google, Play Protect: support.google.com/googleplay/answer/2812853

Как удалить шпионское ПО так, чтобы об этом не узнал тот, кто его установил