Любой список тревожных признаков на эту тему начинается с одних и тех же четырёх пунктов: батарея, нагрев, трафик, медлительность. Все четыре — реальные симптомы слежки за телефоном. И все четыре точно так же выглядят у двухлетнего аккумулятора, после обновления системы или когда после отпуска синхронизируется фотоальбом.

В этом и проблема: самый распространённый совет в интернете не позволяет отличить скомпрометированный телефон от обычного стареющего. Если вы здесь, потому что что-то вас насторожило, совет следить за батареей мало чем поможет.

Поэтому в этом руководстве признаки разделены на две группы: те, что действительно имеют вес, и те, с которых начинают почти все, но которые сами по себе стоит в основном не принимать в расчёт.

Признаки, которые действительно имеют вес

Каждый из них трудно объяснить чем-то безобидным. Любой из них заслуживает внимательной проверки.

Приложение с разрешениями, которые нужны только для слежки

На Android откройте «Настройки» и проверьте три экрана: Специальные возможности (скачанные службы), Доступ к уведомлениям в разделе специального доступа и Приложения администратора устройства в разделе «Безопасность». Коммерческим программам слежки нужны именно эти разрешения, потому что через них они читают ваш экран, уведомления и нажатия клавиш. На обычном личном телефоне первый и третий списки обычно пусты.

На iPhone аналог — «Настройки», «Основные», VPN и управление устройством. Профиль конфигурации — законный инструмент для работодателей и учебных заведений и один из немногих поддерживаемых способов установить на iPhone постоянную слежку без взлома. На личном телефоне здесь должно быть пусто.

Названия в этих списках нарочно скучные: System Service, Device Health, Update Manager, Sync Services. Настоящий системный компонент не появляется в разделе скачанных служб.

Незнакомое устройство в вашем аккаунте

Проверьте список устройств в своём Apple ID («Настройки», затем ваше имя) или в аккаунте Google на myaccount.google.com. Тому, кто вошёл в ваш аккаунт, программа на вашем телефоне вообще не нужна. Он может читать ваши резервные копии, сообщения и видеть вашу геопозицию со своего устройства.

Этот путь упускают во всех руководствах, хотя на практике он один из самых распространённых.

Play Protect выключен, хотя вы его не выключали

На Android: Google Play, значок профиля, Play Protect. Он включён по умолчанию и предупреждает о приложениях, установленных не из магазина. Если он отключён, это не симптом, а свидетельство решения, которое кто-то принял.

Уведомление Apple об угрозе

Apple предупреждает пользователей, которые, по её данным, стали целью наёмного шпионского ПО. Войдите на account.apple.com и посмотрите, нет ли баннера.

Одна важная оговорка: раз эти предупреждения пугают и широко известны, мошенники очень любят под них маскироваться. Настоящее уведомление Apple никогда не просит перейти по ссылке, что-то установить или сообщить пароль. Проверьте сами, введя account.apple.com вручную.

Следы джейлбрейка или root-доступа

Поищите на iPhone Cydia, Sileo или Zebra, а на Android — менеджер root-прав. Их присутствие не доказывает, что за вами следят, но доказывает, что кто-то снял защиту операционной системы, — а после этого телефон больше не надёжный свидетель о самом себе.

Другой человек знает то, чего знать не должен

Признак не технический, но часто самый сильный из всех. Если кто-то постоянно знает, где вы находитесь, каковы ваши планы или о чём был личный разговор, и обычным путём он узнать этого не мог, это значит больше, чем любые показания батареи.

Признаки, с которых начинают все, и чего они стоят

Ни один из них не бесполезен. Но каждый сам по себе значит гораздо меньше, чем принято считать в интернете, потому что у каждого есть будничное объяснение, которое вероятнее слежки.

Батарея садится быстрее. Литий-ионные аккумуляторы теряют ёмкость с каждым циклом зарядки. Примерно через два года заметно худшая батарея — ожидаемый результат, а не симптом. Обращать внимание стоит, только если это случилось резко, на довольно новом телефоне и без обновления в промежутке.

Телефон нагревается в режиме ожидания. Фоновое обновление приложений, резервное копирование в облако, индексация после обновления. Современные телефоны много чем заняты, пока вы на них не смотрите.

Вырос расход трафика. Посмотрите, какое приложение. Если это ваш фотосервис или стриминговое приложение, у которого отключилась настройка «только по Wi-Fi», — вот и ответ. Программы слежки действительно выгружают данные, но обычно не они стоят первыми в этом списке.

Телефон тормозит или перезагружается. Обновление операционной системы на старом устройстве надёжно даёт именно этот эффект.

Повсюду всплывающая реклама. Реальный симптом, но рекламного ПО из сомнительного приложения, а не целенаправленной слежки. Сталкерское ПО создают так, чтобы оно оставалось невидимым; показывать вам рекламу означало бы провалить его задачу.

С вашего телефона уходят странные SMS. Обычно это либо подделанный отправитель, и тогда с вашим телефоном всё в порядке, либо приложение для SMS-мошенничества. Слежка — редко.

Странные звуки во время звонков. Это сегодня почти целиком фольклор, оставшийся со времён аналоговой телефонии. Качество цифровой связи меняется по сотне причин.

Если честно подвести итог: если всё, что у вас есть, — это ухудшившаяся батарея и тёплый телефон, самое вероятное объяснение — телефону пара лет. Лучше посмотрите на первый список.

Что вы можете проверить сами за десять минут

Три экрана разрешений на Android или «VPN и управление устройством» на iPhone.
Список устройств в аккаунте — и Apple, и Google.
Play Protect на Android, в том числе не был ли он отключён.
Полный список приложений с показом системных: ищите двойников обычных программ и названия, которые вы не можете объяснить. Приложение может скрыть свой значок, так что пролистывание главного экрана ничего не доказывает.
Разрешения приложений на геопозицию, микрофон, камеру и фото: ищите обычные приложения с необычным доступом.
Батарея и трафик — как дополнительные сведения, а не как приговор.

Пошаговые руководства для каждой платформы: обнаружение шпионского ПО на iPhone и обнаружение шпионского ПО на Android.

Почему проверки выше могут завести вас лишь до определённой точки

У всего, что можно сделать с самого телефона, есть ограничение, заложенное в само устройство системы.

На iPhone из-за изолированной среды ни одно приложение из App Store не может просканировать систему. Поэтому антивирусы для iPhone и не способны на то, что обещают их описания: они проверяют вашу сеть Wi-Fi и предупреждают об опасных сайтах. На Android видно больше, но одно приложение всё равно не может прочитать личные данные другого, а всё, что имеет root-доступ, способно спрятаться от тех самых экранов, которые перечислены выше.

В основе обоих случаев одна и та же проблема. Скомпрометированный телефон просят отчитаться о самом себе с помощью программ, которые может контролировать злоумышленник.

Чтобы обойти это, телефон нужно анализировать извне. Подключите его к компьютеру кабелем, и устройство отдаст резервную копию и диагностические данные, которые не разрешено читать ни одному приложению на самом телефоне: журналы сбоев, записи о том, какие процессы и когда пользовались сетью, следы, оставленные известным шпионским ПО. Эти материалы можно сравнить с опубликованными индикаторами компрометации.

Так работают исследователи, которые действительно раскрывают такие кампании. Security Lab организации Amnesty International выпускает инструмент с открытым исходным кодом Mobile Verification Toolkit, который делает именно это; на нём основывалось расследование Pegasus Project. Он бесплатный, пользуется хорошей репутацией — и это инструмент командной строки, который предполагает, что вы уверенно обращаетесь с Python и криминалистическими отчётами.

Этот разрыв и призван закрыть Haris Shield: анализ с компьютера по тем же общедоступным индикаторам и отчёт, который можно прочитать без терминала. Текущая версия читает данные телефона напрямую по кабелю, а не анализирует полную резервную копию; на странице «Как это работает» точно перечислено, что именно она читает на iPhone и Android.

Если вы что-то нашли, порядок действий имеет значение

Это самый важный раздел, и большинство руководств пропускают его целиком.

Если вы подозреваете партнёра, бывшего партнёра, родственника или работодателя, пока ничего не удаляйте. Многие программы слежки оповещают того, кто их установил, в момент, когда перестают работать. В ситуации контроля такое оповещение сообщает другому человеку, что вы всё обнаружили, — в момент, который выбираете не вы. Коалиция против сталкерского ПО (Coalition Against Stalkerware), объединяющая организации помощи пострадавшим от домашнего насилия и компании в сфере безопасности, прямо предупреждает об этом и отмечает, что удаление программы уничтожает и доказательства, которые могут понадобиться позже.

Более безопасная последовательность:

Ничего не меняйте на телефоне и ни с кем не выясняйте отношения.
Сначала получите совет — с устройства, к которому у этого человека никогда не было доступа.
Задокументируйте то, что нашли.
Защитите аккаунты с другого устройства: сначала электронную почту, затем Apple или Google, затем мессенджеры и банк, проверяя в каждом аккаунте резервный адрес и устройства, на которых выполнен вход.
Решение об удалении принимайте в последнюю очередь, когда поддержка уже будет рядом.

Подробное руководство для такой ситуации — Сталкерское ПО: признаки и чего нельзя делать.

Если никто из вашего окружения не мог бы этого сделать, всё проще: обновите операционную систему, удалите то, что нашли, смените пароли с другого устройства и подумайте о сбросе до заводских настроек без восстановления из резервной копии, которая может вернуть проблему.

Как снизить риск в дальнейшем

Код-пароль, который не знает никто, кроме вас, и никаких лишних отпечатков пальцев или лиц, которые добавили не вы. Почти всё это начинается с физического доступа к телефону.
Обновления в день выхода. Большинство реальных вторжений опираются на уже закрытые уязвимости.
Двухфакторная аутентификация — прежде всего для электронной почты, потому что через неё сбрасывается всё остальное.
Не делайте джейлбрейк и не получайте root-доступ и не позволяйте никому сделать это за вас.
Проверяйте устройства в своих аккаунтах раз в несколько месяцев.
Пересмотрите семейный доступ. Передача геопозиции, однажды настроенная в более счастливые времена и забытая, объясняет очень многое из того, что люди воспринимают как слежку.

Коротко

Не обращайте внимания на списки про батарею и нагрев. Признаки, по которым стоит действовать: приложение с разрешениями на специальные возможности, доступ к уведомлениям или права администратора устройства, которые вы не давали; профиль конфигурации на iPhone, который вы не можете объяснить; незнакомое устройство в аккаунте Apple или Google; выключенный Play Protect; уведомление Apple об угрозе; следы джейлбрейка; и человек, который знает то, чего обычным путём знать не может.

Всё это вы можете проверить сами примерно за десять минут. Чего нельзя сделать с телефона, так это проверить сам телефон. И если вы что-то нашли и за этим может стоять кто-то из вашего окружения, получите совет, прежде чем трогать какие-либо настройки.

Источники

Apple, Об уведомлениях Apple об угрозах и защите от наёмного шпионского ПО: support.apple.com/en-us/102174
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
Coalition Against Stalkerware, Информация для пострадавших: stopstalkerware.org/information-for-survivors
Google, Play Protect: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
National Domestic Violence Hotline (США): 1-800-799-7233. Coalition Against Stalkerware перечисляет организации в других странах.

Как понять, что ваш телефон взломан: признаки, которые важны, и те, что ничего не значат