Så hittar du spionprogram på iPhone utan att installera en app

Om du läser det här har något förmodligen redan gjort dig orolig. Ett batteri som tar slut till lunch. En partner som vet saker du aldrig har berättat. En telefon som kändes varm i fickan under natten. Du letade efter en app som kunde skanna din iPhone och berätta sanningen, och du hittade dussintals i App Store.

Här är det som ingen som säljer de apparna vill förklara: på en iPhone kan de inte göra det du tror att de gör.

Varför antivirusappar för iPhone inte kan hitta spionprogram

iOS placerar varje app i en sandlåda. En app kan se sina egna filer och ingenting annat. Den kan inte läsa en annan apps data, den kan inte lista processerna som körs på telefonen och den kan inte granska systemfiler. Den utformningen är ett av skälen till att iPhones är svåra att infektera från början, och den är verkligen bra för dig.

Men den slår åt båda hållen. Samma mur som hindrar en skadlig app från att läsa din bankapp hindrar också en säkerhetsapp från att hitta den skadliga appen. Det finns ingen fullständig systemskanning på iOS, eftersom Apple inte tillåter att en sådan finns. En produkt i App Store som marknadsförs som virusskanner för iPhone kontrollerar i bästa fall dina wifi-inställningar, varnar dig för farliga webbplatser och talar om att din iOS-version är gammal.

Det spelar störst roll för just de hot du är orolig för. Legosoldatsspionprogram som Pegasus utnyttjar brister djupt inne i operativsystemet, på en nivå som ingen app i sandlådan kan se. Ett verktyg som körs i sandlådan letar efter en inbrottstjuv medan det själv sitter inlåst i en garderob.

Så om du inte kan skanna från telefonen – vad kan du faktiskt göra?

Fem kontroller du kan göra själv på tio minuter

Ingen av dem ger ett säkert svar. Alla är värda att göra, och flera har avslöjat verkliga intrång.

1. Leta efter en hotavisering från Apple

Apple håller utkik efter statliga kampanjer med spionprogram och varnar personer som företaget tror har utsatts. Sedan 2021 har Apple varnat användare i mer än 150 länder; en enda kampanj i april 2024 nådde personer i 92 länder.

Logga in på account.apple.com och leta efter en varningsbanderoll högst upp på sidan. Apple skickar också aviseringar via mejl och iMessage till de adresser som är kopplade till ditt Apple-ID.

En viktig reservation: eftersom de här aviseringarna är skrämmande och välkända är de en populär förklädnad för bedrägerier. En äkta hotavisering från Apple ber dig aldrig klicka på en länk, installera något, öppna en fil eller lämna ut ditt lösenord. Om ett meddelande gör något av det kommer det inte från Apple. Kontrollera genom att själv logga in på account.apple.com och skriva adressen för hand.

2. Kontrollera om det finns konfigurationsprofiler

En konfigurationsprofil är en legitim funktion i iOS som låter en arbetsgivare eller skola hantera en enhet. Det är också ett av få sätt som stöds för att få in beständig övervakning på en iPhone utan att utnyttja en sårbarhet, och därför ber kommersiell stalkerware ibland en person att installera en profil medan hen har din telefon i handen.

Gå till Inställningar, sedan Allmänt, sedan VPN och enhetshantering. På en vanlig privat iPhone är den här vyn tom, eller innehåller bara profiler som du känner igen från din arbetsgivare. Allt du inte känner igen behöver en förklaring innan du tar bort det.

3. Gå igenom vad dina appar har tillåtelse att se

Gå till Inställningar, sedan Integritet och säkerhet, och gå igenom Platstjänster, Mikrofon, Kamera, Bilder och Kontakter. Du letar inte efter spionprogram här. Du letar efter vanliga appar med ovanliga behörigheter, eftersom den vanligaste formen av mobilövervakning inte alls är exotisk skadlig kod. Det är en app för familjedelning, en tjänst för säkerhetskopiering av bilder eller ett anteckningsverktyg som någon har installerat och i det tysta kopplat till sitt eget konto.

När du ändå är där: öppna Inställningar, tryck på ditt namn högst upp och kontrollera listan över enheter som är inloggade med ditt Apple-ID. En enhet du inte känner igen betyder att någon kan läsa dina iCloud-säkerhetskopior, och det inkluderar dina meddelanden.

4. Leta efter tecken på jailbreak

De flesta beständiga spionprogram för iPhone kräver en jailbreakad enhet. Om din telefon har jailbreakats utan att du vet om det kan du hitta en app som du aldrig har installerat, med namnet Cydia, Sileo eller Zebra. Sök efter de namnen på telefonen. Att de finns bevisar inte att någon spionerar, men det bevisar att någon har tagit bort Apples skydd från din enhet.

5. Jämför batteri och data med dina vanor

Öppna Inställningar, sedan Batteri, och titta på de senaste tio dagarna. Därefter Inställningar, sedan Mobilnät, och gå igenom summorna per app. Du letar efter något som inte stämmer med hur du faktiskt använder telefonen: en app du aldrig öppnar högt upp i batterilistan, eller bakgrundsdata som mäts i gigabyte.

Se det här som den svagaste av de fem signalerna. Ett batteri som håller på att ge upp, en iOS-uppdatering eller ett fotobibliotek som synkas efter en semester ger alla samma mönster. Oförklarlig förbrukning är ett skäl att titta närmare, inte ett avgörande.

Vad de här kontrollerna inte kan berätta

Allt ovan sker inne i sandlådan, vilket betyder att allt ovan kan kringgås av något avancerat. Nollklicksspionprogram lämnar ingen ikon, ber inte om någon behörighet och kräver inte att du trycker på något. De kan installeras via ett meddelande som du aldrig öppnade, och vissa varianter överlever inte ens en omstart, vilket gör dem ännu svårare att ta på bar gärning.

Spår finns. De ligger bara inte på ställen där iOS låter en app titta. De finns i kraschloggar, i databaser som registrerar vilka processer som använde nätverket och när, i en liten systemfil som registrerar avstängningar och i metadata i en krypterad säkerhetskopia. För att läsa dem måste man ta sig utanför sandlådan, och det finns bara ett praktiskt sätt att göra det.

Så fungerar en analys från en dator

Anslut din iPhone till en dator med kabel så kan telefonen skapa en fullständig säkerhetskopia, tillsammans med diagnostikdata som ingen app på enheten får läsa. Den säkerhetskopian kan sedan granskas mot kända indikatorer på intrång: domäner som legosoldatsspionprogram är kända för att kontakta, processnamn som de skapar, spår som de lämnar efter sig.

Det är den metod som används av de forskare som faktiskt avslöjar de här kampanjerna. Amnesty Internationals Security Lab ger ut ett verktyg med öppen källkod, Mobile Verification Toolkit, som gör just detta, och det låg till grund för granskningen Pegasus Project 2021. Det är gratis, det har gott anseende, och det är ett kommandoradsverktyg som förutsätter att du är van vid att installera Python-paket och tolka forensiska resultat.

Det sista är den ärliga haken. Metoden är sund och verktygen är offentliga, men avståndet mellan en orolig människa och en fungerande forensisk analys är stort. Att överbrygga det avståndet är vad Haris Shield är till för: analys från en dator mot samma offentliga indikatorer, med en rapport som du kan läsa utan en terminal. Den nuvarande versionen analyserar inte en fullständig säkerhetskopia. Den läser kraschloggar och installerade profiler via kabeln, plus en sysdiagnose om du importerar en; så fungerar det har hela listan.

Om du hittar något: läs det här innan du tar bort det

Det här är det viktigaste avsnittet i artikeln, och det är det som de flesta guider hoppar över.

Om du misstänker att den som övervakar dig är någon i din närhet – en partner, ett ex, en familjemedlem, en arbetsgivare – är det inte självklart att första steget är att ta bort spionprogrammet. Många stalkerware-produkter varnar den som installerade dem i samma ögonblick som de stängs av. I en kontrollerande eller våldsam situation är ögonblicket då övervakningen upphör också ögonblicket då den som övervakar vet att du har upptäckt den. Den upptrappningen är en dokumenterad risk, inte en hypotetisk.

Coalition Against Stalkerware, som samlar organisationer mot våld i nära relationer och säkerhetsföretag, är tydlig med detta: när du raderar stalkerware raderar du också bevisen, och de bevisen kan bli viktiga om du går till polisen.

En säkrare ordning:

1. Gör ingenting på telefonen ännu. Konfrontera ingen.
2. Be om råd först, från en enhet som den andra personen aldrig har haft tillgång till. En organisation som arbetar mot våld i nära relationer kan hjälpa dig att planera i vilken ordning du ska göra saker.
3. Dokumentera det du hittade. En forensisk rapport är värd mer än en skärmbild.
4. Byt lösenord och slå på tvåfaktorsautentisering från en annan enhet, inte från telefonen du misstänker.
5. Bestäm dig först därefter för borttagning, helst med stöd på plats.

Om du inte befinner dig i en sådan situation, och intrånget ser ut som vanlig brottslighet eller en okänd angripare, är kalkylen enklare. Uppdatera iOS, ta bort det du hittade, byt lösenord till ditt Apple-ID och överväg en fabriksåterställning utan att återställa den misstänkta säkerhetskopian.

Gör dig själv till ett svårare mål

• Slå på Låst läge om du har verkliga skäl att tro att du är måltavla. Det finns under Inställningar, Integritet och säkerhet, och det stänger av de typer av bilagor i meddelanden och de webbfunktioner som de här attackerna bygger på. Apple har sagt att företaget inte känner till någon lyckad attack med legosoldatsspionprogram mot en enhet med Låst läge påslaget. Vissa saker slutar fungera, och det är meningen.
• Installera iOS-uppdateringar samma dag som de kommer. De flesta av de här kampanjerna bygger på brister som Apple redan har täppt till.
• Använd en kod som ingen annan känner till, och kontrollera att inga extra ansikten eller fingeravtryck har lagts till i Face ID eller Touch ID.
• Jailbreaka inte, och låt ingen annan göra det åt dig.
• Gå igenom enheterna på ditt Apple-ID med några månaders mellanrum.

Det korta svaret

Du kan inte skanna en iPhone efter spionprogram från själva iPhonen. Allt som påstår något annat begränsas av en sandlåda som det inte kan ta sig ur. Det du kan göra själv är att leta efter hotaviseringar från Apple, oväntade konfigurationsprofiler, appar med för många behörigheter, spår av jailbreak och förbrukning som inte stämmer med dina vanor. Utöver det är det enda verkliga svaret en analys från en dator.

Och om du hittar något och någon i din närhet kan ligga bakom det: be om råd innan du rör något. Skanningen är den lätta delen.

Källor

• Apple, Om Apples hotaviseringar och skydd mot legosoldatsspionprogram: support.apple.com/en-us/102174
• Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
• Mobile Verification Toolkit: mvt.re
• Coalition Against Stalkerware, Information för utsatta: stopstalkerware.org/information-for-survivors

Läs vidare: så hittar du spionprogram på Android, stalkerware: tecknen och vad du inte ska göra, så kontrollerar du en iPhone efter Pegasus, gratiskontroller av spionprogram som faktiskt fungerar och så tar du bort spionprogram på ett säkert sätt.