Большинство статей о слежке за телефоном на самом деле посвящены государствам. Эта — о гораздо более распространённом случае: о программе слежки, которую установил человек, знающий ваш код-пароль.

Техническая проблема — более лёгкая половина. Сталкерское ПО — это не Pegasus. Ему не нужен эксплойт, обычно оно не может спрятаться от настойчивого поиска и оставляет следы на обычных экранах настроек. Найти его часто можно минут за десять.

Трудная половина — что делать дальше, и честный ответ таков: немедленное удаление может оказаться худшим из возможных решений. Именно здесь ошибается большинство руководств, поэтому с этого мы и начнём.

Прочитайте это, прежде чем проверять телефон

Если у человека, которого вы подозреваете, есть доступ к вашему дому, вашим детям, вашим деньгам или от него зависит ваша безопасность, последовательность действий важнее самой проверки.

Многие программы слежки сообщают тому, кто их установил, когда перестают работать. Такой сигнал может отправить и отключение приложения, и отзыв его разрешений, и сброс телефона до заводских настроек. В отношениях, где вас контролируют, момент, когда слежка прекращается, — это момент, когда другой человек понимает, что вы всё обнаружили, и это задокументированный риск эскалации, а не гипотеза. Организации помощи пострадавшим от домашнего насилия учитывают его в своих планах не просто так.

Удаляя приложение, вы удаляете и доказательства. Если вы, возможно, обратитесь в полицию, к юристу или в суд по семейным делам, то, что сейчас есть на телефоне, ценнее чистого телефона.

Исходите из того, что всё, что вы делаете на этом телефоне, видно. В том числе чтение этой страницы, поиск помощи и любое сообщение, которое вы об этом отправите. Если вам нужно что-то выяснить или попросить совета, воспользуйтесь устройством, к которому у этого человека никогда не было доступа: телефоном подруги или друга, рабочим компьютером, компьютером в библиотеке.

Если что-то из этого описывает вашу ситуацию, правильный первый шаг — не сканирование. Это разговор с теми, кто занимается такими ситуациями профессионально, с устройства, за которым не следят. Организации, перечисленные в конце статьи, существуют именно для этого, и консультация бесплатна.

Что такое сталкерское ПО и чем оно не является

Сталкерское ПО — его иногда продают как родительский контроль или средство мониторинга сотрудников — это коммерческие программы, которые передают одному человеку сведения о том, что происходит на телефоне другого. Типичные возможности: сообщения из всех приложений, журнал звонков, история перемещений, фотографии, история браузера, нажатия клавиш, а в некоторых продуктах — микрофон и камера.

Две вещи отличают его от наёмного шпионского ПО, о котором пишут в новостях.

Ему нужен доступ, а не эксплойт. Кто-то должен подержать ваш разблокированный телефон в руках несколько минут или знать пароль от вашего Apple ID или аккаунта Google. В этом и состоит вся атака. Это также означает, что круг возможных людей невелик, и вы, вероятно, уже знаете, кто в него входит.

Часто у вас с этим человеком общий счёт за связь. Тот, кто за вами следит, может управлять аккаунтом, семейным тарифом, облачным хранилищем или самим устройством. Техническая проблема находится внутри отношений, поэтому техническое решение редко бывает первым шагом.

Если же вас беспокоит государство или хорошо оснащённый злоумышленник, проблема устроена иначе, и этот случай разобран в нашем руководстве о проверке iPhone на Pegasus.

Как оно попадает на телефон

Физический доступ. Самый распространённый путь с большим отрывом. На Android достаточно нескольких минут с разблокированным телефоном. На iPhone это обычно означает установку профиля конфигурации или включение функции совместного доступа.
Ваш облачный аккаунт. Приложение вообще не нужно. Тот, кто знает пароль от вашего Apple ID или Google, может со своего устройства читать ваши резервные копии, сообщения, фотографии и видеть вашу геопозицию. Этот путь упускают чаще всего, и заметить его труднее всего.
Законные функции, которые остались включёнными. Семейная передача геопозиции, «Локатор», Google Family Link, отчёты об экранном времени, общие календари. Однажды настроенные в более счастливые времена и с тех пор не пересмотренные, они — самая частая причина того, что люди справедливо чувствуют, что за ними следят, хотя никакой вредоносной программы нигде нет.
Подаренное или общее устройство. Телефон, купленный и настроенный кем-то другим, мог находиться под наблюдением с того дня, как попал к вам.

Признаки и чего стоит каждый из них

Ни один признак сам по себе ничего не доказывает. Несколько сразу — в ситуации, когда у кого-то был доступ, — стоит принять всерьёз.

Признаки, которые имеют реальный вес

Приложение в списке специальных возможностей, доступа к уведомлениям или администраторов устройства, которое вы не устанавливали. На Android это почти окончательное доказательство.
Профиль конфигурации на iPhone, который вы не можете объяснить, в разделе «Настройки», «Основные», «VPN и управление устройством».
Устройство, на котором выполнен вход в ваш Apple ID или аккаунт Google, но которое вам не принадлежит.
Выключенный Play Protect на Android, хотя вы его не выключали.
Другой человек знает то, чего обычным путём узнать не мог, особенно где вы находитесь или что было в личном сообщении.

Признаки, на которые стоит обратить внимание, но которые легко объяснить иначе

Батарея садится быстрее, чем раньше.
Телефон нагревается в режиме ожидания.
Расход трафика выше, чем вы ожидаете.
Телефон тормозит или сам перезагружается.

С этих четырёх пунктов начинается большинство статей, но ровно так же проявляют себя стареющий аккумулятор, обновление системы и резервное копирование фотографий. Не стройте на них свои выводы.

Проверка iPhone

Из-за изолированной среды iOS ни одно приложение из App Store не может просканировать систему, поэтому проверять приходится вручную:

«Настройки», «Основные», «VPN и управление устройством». На личном телефоне здесь обычно пусто.
Список устройств в вашем Apple ID. «Настройки», ваше имя вверху. Удалите всё незнакомое, помня о предупреждении о безопасности выше.
«Настройки», «Конфиденциальность и безопасность», затем «Службы геолокации», а также отдельно разделы «Микрофон», «Камера» и «Фото». Ищите обычные приложения с необычным доступом.
«Локатор» и любой семейный доступ. Проверьте, кто может вас видеть.
Поищите Cydia, Sileo или Zebra. Их присутствие означает, что кто-то снял с телефона защиту Apple.

Подробное пошаговое руководство — в статье как обнаружить шпионское ПО на iPhone.

Проверка телефона на Android

Android позволяет увидеть больше, и все три важных разрешения видны:

«Настройки», «Специальные возможности», скачанные службы. Именно здесь работает кейлоггинг.
«Доступ к уведомлениям» в разделе специального доступа.
«Приложения администратора устройства» в разделе «Безопасность».
Полный список приложений с показом системных: ищите двойников обычных программ и названия, которые вы не можете объяснить.
Play Protect — в том числе не был ли он отключён.

Подробная версия — в статье как обнаружить шпионское ПО на Android.

Пять ошибок, которых стоит избегать

1. Удалить программу в тот же момент, как вы её нашли. Самая частая и самая опасная реакция — по двум причинам, описанным в начале статьи.

2. Выяснять отношения с этим человеком. Так вы теряете возможность задокументировать произошедшее, а в ситуации насилия это повышает риск для вас. Сначала получите совет.

3. Сразу сбросить телефон до заводских настроек. Это уничтожает доказательства, может насторожить другого человека, а если вы восстановитесь из резервной копии, которую контролирует он, слежка может вернуться в первый же день на чистом телефоне.

4. Менять пароли с подозрительного телефона. Если на устройстве есть кейлоггер, вы только что сами передали новый пароль. Используйте другое устройство.

5. Искать информацию на телефоне, за которым следят. Поисковые запросы, посещённые страницы и сообщения — ровно то, о чём сообщают такие программы. Включая эту страницу.

Более безопасный порядок действий

Сначала получите совет — с устройства, к которому другой человек никогда не прикасался. Это бесплатно, конфиденциально, и там работают люди, которые сталкиваются с этим каждый день.
Задокументируйте всё, прежде чем что-либо менять. Криминалистический отчёт по итогам внешнего анализа значительно ценнее фотографии экрана настроек, и его сможет прочитать юрист или полицейский без технической подготовки.
Защитите аккаунты с другого устройства в таком порядке: сначала электронная почта, потому что через неё сбрасывается всё остальное, затем Apple ID или аккаунт Google, затем мессенджеры и банк. Попутно включайте двухфакторную аутентификацию и проверяйте в каждом аккаунте список устройств, на которых выполнен вход, и резервные адреса. Резервный адрес электронной почты или номер телефона, принадлежащий другому человеку, сразу же вернёт ему аккаунт.
Планируйте удаление, когда поддержка уже рядом, и обдуманно решите, очистить телефон, заменить его или пока оставить ровно таким, какой он есть. Иногда более безопасное решение — второй, личный телефон, пока первый продолжает выглядеть как обычно.
Затем очистите устройство, если это по-прежнему правильное решение: обновите операционную систему, удалите найденное и выполните сброс без восстановления из подозрительной резервной копии.

Обнаружение, которому можно доверять

Есть принципиальная причина анализировать телефон извне. Любой сканер, работающий на устройстве, просит, возможно, скомпрометированную систему отчитаться о самой себе, а всё, что имеет глубокий доступ, может лгать. Анализ с компьютера по кабелю не зависит от того, захочет ли телефон сотрудничать: он читает собственное содержимое телефона, делает собственный вывод и даёт результат, который можно передать другому человеку.

Именно это и делает Haris Shield. Он работает на вашем компьютере, проверяет телефон по USB и создаёт отчёт в PDF, который можно передать юристу, полицейскому или социальному работнику вместо снимка экрана настроек.

Если вам нужен анализ того же класса без какого-либо продукта, Mobile Verification Toolkit от Amnesty International — инструмент с открытым исходным кодом и хорошей репутацией, и именно им пользуются исследователи, которые публикуют работы на эту тему. Это инструмент командной строки.

Куда обратиться за помощью

Coalition Against Stalkerware — рекомендации для пострадавших и каталог организаций-участников: stopstalkerware.org
National Network to End Domestic Violence, Safety Net — планирование технологической безопасности: techsafety.org
Refuge (Великобритания) — помощь при насилии с использованием технологий: refuge.org.uk
Access Now Digital Security Helpline — бесплатно, для людей в группе повышенного риска: accessnow.org/help
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Если вам угрожает непосредственная опасность, не проходите список проверок, а звоните в местную экстренную службу.

Коротко

Сталкерское ПО найти проще, чем наёмное шпионское ПО, потому что ему нужны разрешения, которые видны на обычных экранах настроек: специальные возможности, доступ к уведомлениям и права администратора устройства на Android; профили конфигурации, устройства в аккаунте и функции совместного доступа на iPhone. Путь через облачный аккаунт вообще не требует приложения, и его упускают чаще всего.

Сложность не в сканировании, а в порядке действий. Если за этим может стоять кто-то из вашего окружения, получите совет, прежде чем менять настройки, задокументируйте всё, прежде чем удалять, и защитите аккаунты с устройства, которое никогда не было у этого человека в руках.

Источники

Coalition Against Stalkerware, Информация для пострадавших: stopstalkerware.org/information-for-survivors
National Network to End Domestic Violence, проект Safety Net: techsafety.org
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Сталкерское ПО: признаки и чего нельзя делать, если вы его нашли