Stalkerware: tecknen, och vad du inte ska göra när du hittar det

De flesta artiklar om mobilövervakning handlar egentligen om stater. Den här handlar om det betydligt vanligare fallet: övervakningsprogram som har installerats av någon som känner till din kod.

Det tekniska problemet är den lättare halvan. Stalkerware är inte Pegasus. Det behöver ingen sårbarhet, det kan oftast inte gömma sig för en grundlig genomsökning och det lämnar spår i vanliga inställningsvyer. Att hitta det tar ofta tio minuter.

Den svåra halvan är vad du gör sedan, och det ärliga svaret är att det sämsta valet kan vara att radera det direkt. Det är där de flesta guider har fel, så det kommer först här.

Läs det här innan du söker igenom din telefon

Om personen du misstänker har tillgång till ditt hem, dina barn, din ekonomi eller din säkerhet spelar ordningen större roll än skanningen.

Många övervakningsprodukter meddelar den som installerade dem när de slutar fungera. Att stänga av appen, dra in dess behörigheter eller fabriksåterställa telefonen kan alla skicka den signalen. I en kontrollerande relation är ögonblicket då övervakningen tystnar också ögonblicket då den andra personen vet att du har hittat den, och det är en dokumenterad risk för upptrappning snarare än en hypotetisk. Organisationer mot våld i nära relationer planerar utifrån det av en anledning.

Om du raderar appen raderar du också bevisen. Om du kan komma att koppla in polisen, en advokat eller domstolen i en vårdnadstvist är det som finns på telefonen just nu värt mer än en ren telefon.

Utgå från att allt du gör på den telefonen syns. Det gäller även att du läser den här sidan, att du söker hjälp och varje meddelande du skickar om saken. Om du behöver ta reda på mer eller be om råd: använd en enhet som den andra personen aldrig har haft tillgång till – en väns telefon, en jobbdator, en dator på biblioteket.

Om något av det beskriver din situation är rätt första steg inte en skanning. Det är ett samtal med människor som arbetar med det här yrkesmässigt, från en enhet som inte övervakas. Organisationerna i slutet av den här artikeln finns till just för detta, och samtalet är gratis.

Vad stalkerware är, och vad det inte är

Stalkerware, som ibland säljs som föräldrakontroll eller övervakning av anställda, är kommersiell programvara som rapporterar en persons telefonaktivitet till en annan person. Typiska funktioner: meddelanden från alla appar, samtalsloggar, platshistorik, bilder, webbhistorik, tangenttryckningar och i vissa produkter mikrofonen och kameran.

Två saker skiljer det från de legosoldatsspionprogram som hamnar i rubrikerna.

Det kräver åtkomst, inte en sårbarhet. Någon måste hålla i din upplåsta telefon i några minuter, eller känna till lösenordet till ditt Apple-ID eller Google-konto. Det är hela attacken. Det betyder också att listan över tänkbara personer är kort, och du vet förmodligen redan vilka som står på den.

Det står ofta på samma telefonräkning som du. Den som övervakar dig kan ha kontroll över kontot, familjeabonnemanget, molnlagringen eller själva enheten. Det tekniska problemet finns inuti en relation, och därför är den tekniska lösningen sällan det första steget.

Om du i stället är orolig för en stat eller en angripare med stora resurser ser problemet annorlunda ut, och vår guide så kontrollerar du en iPhone efter Pegasus täcker det fallet.

Hur det hamnar på en telefon

• Fysisk åtkomst. Överlägset vanligast. Några minuter med en upplåst telefon räcker på Android. På iPhone innebär det oftast att en konfigurationsprofil installeras eller att en delningsfunktion slås på.
• Ditt molnkonto. Ingen app behövs alls. Den som har lösenordet till ditt Apple-ID eller Google-konto kan läsa dina säkerhetskopior, meddelanden, bilder och din plats från sin egen enhet. Det är den väg som förbises mest och den som är svårast att märka.
• Legitima funktioner som har lämnats påslagna. Platsdelning inom familjen, Hitta, Google Family Link, rapporter om skärmtid, delade kalendrar. De ställdes in en gång under en lyckligare period och har aldrig setts över, och de är den enskilt största orsaken till att människor med rätta känner sig spårade utan att det finns skadlig kod någonstans.
• En enhet man fått i present eller delar. En telefon som någon annan har köpt och ställt in kan ha haft övervakning sedan den dag du fick den.

Tecknen, och hur mycket vart och ett är värt

Inget enskilt tecken bevisar något. Flera tillsammans, i en situation där någon har haft åtkomst, är värda att ta på allvar.

Tecken som väger tungt

• En app bland dina tillgänglighetstjänster, i listan över åtkomst till aviseringar eller bland enhetsadministratörerna som du inte har installerat. På Android är det nästan avgörande.
• En konfigurationsprofil på en iPhone som du inte kan förklara, under Inställningar, Allmänt, VPN och enhetshantering.
• En enhet som är inloggad med ditt Apple-ID eller Google-konto och som inte är din.
• Play Protect avstängt på Android utan att du har stängt av det.
• Den andra personen vet saker som hen inte på något vanligt sätt kunde veta, särskilt var du befinner dig eller vad som stod i ett privat meddelande.

Tecken som är värda att lägga märke till men lätt kan ha andra förklaringar

• Batteriet tar slut fortare än förut.
• Telefonen känns varm när den inte används.
• Högre dataförbrukning än du väntar dig.
• Telefonen är långsam eller startar om av sig själv.

De fyra är det som de flesta artiklar börjar med, och de är också vad ett åldrande batteri, en systemuppdatering och en säkerhetskopiering av bilder ger upphov till. Bygg inte din slutsats på dem.

Kontrollera en iPhone

Sandlådan i iOS innebär att ingen app från App Store kan skanna systemet, så kontrollerna görs för hand:

1. Inställningar, Allmänt, VPN och enhetshantering. Tomt är normalt på en privat telefon.
2. Enhetslistan för ditt Apple-ID. Inställningar, ditt namn högst upp. Ta bort allt du inte känner igen, med säkerhetsvarningen ovan i åtanke.
3. Inställningar, Integritet och säkerhet, sedan Platstjänster, och separat posterna för Mikrofon, Kamera och Bilder. Leta efter vanliga appar med ovanlig åtkomst.
4. Hitta, och eventuell familjedelning. Kontrollera vem som kan se dig.
5. Sök efter Cydia, Sileo eller Zebra. Om de finns betyder det att någon har tagit bort Apples skydd från telefonen.

Vår fullständiga genomgång finns i så hittar du spionprogram på iPhone.

Kontrollera en Android-telefon

Android låter dig se mer, och de tre behörigheter som spelar roll syns alla:

1. Inställningar, Tillgänglighet, nedladdade tjänster. Det är här keyloggers finns.
2. Åtkomst till aviseringar, under särskild appåtkomst.
3. Enhetsadministratörsappar, under Säkerhet.
4. Hela applistan med systemappar visade – leta efter dubbletter av vanliga verktyg och namn du inte kan placera.
5. Play Protect, inklusive om det har stängts av.

Den detaljerade versionen finns i så hittar du spionprogram på Android.

De fem misstagen du ska undvika

1. Att radera det i samma ögonblick som du hittar det. Den enskilt vanligaste och farligaste reaktionen, av de två skäl som står högst upp i den här artikeln.

2. Att konfrontera personen. Det förstör varje möjlighet att dokumentera vad som har hänt, och i en våldsam situation ökar det risken för dig. Be om råd först.

3. Att fabriksåterställa direkt. Det förstör bevisen, det kan varna den andra personen, och om du återställer från en säkerhetskopia som hen kontrollerar kan du installera övervakningen igen redan första dagen med din rena telefon.

4. Att byta lösenord från telefonen du misstänker. Om det finns en keylogger på enheten har du just lämnat över det nya lösenordet. Använd en annan enhet.

5. Att leta information på den övervakade telefonen. Sökningar, sidbesök och meddelanden är precis vad den här programvaran rapporterar. Den här sidan inräknad.

En säkrare ordning

1. Be om råd först, från en enhet som den andra personen aldrig har rört. Gratis, konfidentiellt och bemannat av människor som hanterar det här varje dag.
2. Dokumentera innan du ändrar något. En forensisk rapport från en extern analys är värd betydligt mer än ett fotografi av en inställningsvy, och den går att läsa för en advokat eller polis som inte är tekniskt kunnig.
3. Säkra dina konton från en annan enhet, i den här ordningen: e-posten först, eftersom allt annat kan återställas via den, sedan ditt Apple-ID eller Google-konto, därefter meddelandeappar och bank. Slå på tvåfaktorsautentisering under tiden, och kontrollera varje kontos lista över inloggade enheter och återställningsadresser. En återställningsadress eller ett telefonnummer som tillhör den andra personen ger hen kontot direkt tillbaka.
4. Planera borttagningen med stöd på plats, och bestäm medvetet om telefonen ska rensas, bytas ut eller lämnas precis som den är tills vidare. Ibland är en andra, privat telefon det säkrare svaret medan den första fortsätter att se normal ut.
5. Rensa sedan enheten, om det fortfarande är rätt beslut: uppdatera operativsystemet, ta bort det som hittades och återställ utan att återställa en misstänkt säkerhetskopia.

Upptäckt du kan lita på

Det finns ett grundläggande skäl att analysera en telefon utifrån. Varje skanner som körs på enheten ber ett möjligen komprometterat system att rapportera om sig självt, och det som har djup åtkomst kan ljuga. En analys från en dator via kabel är inte beroende av att telefonen samarbetar: den läser telefonens eget innehåll, drar sina egna slutsatser och ger dig något som du kan lämna vidare till någon annan.

Det är vad Haris Shield gör. Programmet körs på din dator, granskar telefonen via USB och tar fram en PDF-rapport som du kan lämna till en advokat, en polis eller en stödperson i stället för en skärmbild av en inställningssida.

Om du vill ha samma sorts analys utan någon produkt inblandad är Amnesty Internationals Mobile Verification Toolkit öppen källkod och har gott anseende, och det är vad de forskare som publicerar det här arbetet faktiskt använder. Det är ett kommandoradsverktyg.

Var du kan få hjälp

• Coalition Against Stalkerware – vägledning skriven för utsatta, och en förteckning över medlemsorganisationer: stopstalkerware.org
• National Network to End Domestic Violence, Safety Net – säkerhetsplanering kring teknik: techsafety.org
• Refuge (Storbritannien) – stöd vid teknikrelaterat våld: refuge.org.uk
• Access Now Digital Security Helpline – gratis, för personer med förhöjd risk: accessnow.org/help
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Om du är i akut fara: ring ditt lokala nödnummer i stället för att gå igenom en checklista.

Det korta svaret

Stalkerware är lättare att hitta än legosoldatsspionprogram, eftersom det behöver behörigheter som syns i vanliga inställningsvyer: tillgänglighetstjänster, åtkomst till aviseringar och enhetsadministratör på Android; konfigurationsprofiler, enheter på kontot och delningsfunktioner på iPhone. Vägen via molnkontot kräver ingen app alls, och det är den som oftast missas.

Skanningen är inte det svåra. Ordningen är det. Om någon i din närhet kan ligga bakom: be om råd innan du ändrar en inställning, dokumentera innan du raderar och säkra dina konton från en enhet som aldrig har varit i hens händer.

Källor

• Coalition Against Stalkerware, Information för utsatta: stopstalkerware.org/information-for-survivors
• National Network to End Domestic Violence, projektet Safety Net: techsafety.org
• Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Läs vidare: spårar någon min telefon? och så tar du bort spionprogram på ett säkert sätt.