Как понять, что телефон взломали - Browsec

Телефон, который вдруг греется, разряжается к обеду или показывает приложения, которых вы не устанавливали, действительно может быть взломан. А может, батарее просто два года, и одно из приложений обновилось.

Признаки, которые действительно бывают у взломанного телефона

Самые явные признаки делятся на несколько групп: телефон работает больше, чем требует задача; появляется активность, которую вы не создавали; странно ведут себя аккаунты. Вот что обычно замечают, рядом с безобидным объяснением и с тем, которое должно насторожить.

• Батарея быстро садится, а телефон тёплый, хотя вы им почти не пользуетесь. Старые батареи ведут себя так же, и игра, забытая в фоне, тоже. Важнее, если это началось резко, на телефоне, который ещё неделю назад был в порядке.

• Расход трафика вырос без понятной причины. Сначала посмотрите, какое приложение виновато. Видеоприложение, переключившееся на HD, или свежая выгрузка в облако дадут такой скачок. Шпионское ПО, которое тихо отправляет данные наружу, тоже. При этом больше всего трафика необязательно расходует вредоносное приложение.

• Приложения, которые вы не помните, чтобы ставили. Часть из них ставит оператор или производитель, и это безвредный мусор. Присматриваться стоит к тем, у которых невнятное название и нет нормального значка, или которые просят права администратора устройства либо доступ к специальным возможностям.

• Всплывающие окна и реклама вне браузера, на рабочем столе или поверх других приложений. Это указывает на рекламное ПО. Оно менее опасно, чем шпионское, но всё равно означает, что на телефон что-то попало.

• Сообщения или звонки в истории, которые делали не вы. Незнакомые платные номера или сообщения, которые ваши контакты получили от вас, хотя вы их не писали.

• Оповещения о входе, письма о сбросе пароля или коды двухфакторной аутентификации, которые вы не запрашивали. К этому стоит отнестись серьёзно само по себе, потому что кто-то как минимум пробует ваши аккаунты.

• Вас не пускает в аккаунт Google, Apple или в почту. Если ваш пароль перестал подходить, а вы его не меняли, возможно, его сменил кто-то другой.

• Настройки, которые изменились сами. Новый профиль VPN или управления устройством, ослабший код блокировки экрана, разрешения, снова включившиеся после того, как вы их отключили.

• Индикатор камеры или микрофона загорается, когда вы не пользуетесь приложением, которому они нужны. На iPhone это зелёная или оранжевая точка. На Android похожий значок появляется в верхнем углу.

• Телефон тормозит, вылетает, сам перезагружается или не выключается нормально. Старые телефоны делают всё это. Интереснее, когда поведение изменилось за одну ночь.

Любой из этих признаков сам по себе обычно ничего не значит. Телефоны стареют, приложения глючат, обновления что-то меняют. Насторожить должна картина, когда таких признаков сразу несколько или один из них сопровождается реальной активностью в аккаунтах или списаниями денег.

Вот примерный ориентир, как отделить ложные тревоги от настоящих.

Как проверить телефон, шаг за шагом

Всё это можно пройти минут за десять. Делайте это на самом телефоне, а рядом держите второе устройство для проверки аккаунтов. Названия пунктов меню на Android отличаются у разных производителей, так что если путь ниже не совпадает с вашим телефоном, ищите нужное по ключевому слову в поиске по настройкам.

Найдите виновника в расходе батареи и трафика

На iPhone откройте «Настройки», затем «Аккумулятор», и пролистайте до разбивки по приложениям. На Android откройте «Настройки», затем «Батарея» и подробности использования, а расход трафика ищите в «Настройки», затем «Сеть и интернет», затем «Передача данных». Вы ищете приложение в верхней части списка, которым почти не пользуетесь, или такое, чьё название вам ни о чём не говорит. Если много ест приложение, которым вы активно пользуетесь, это нормально. Если же наверху оказалось приложение, которое вы не знаете, разбираться нужно именно с ним.

Просмотрите список приложений и удалите то, что не опознаёте

Откройте полный список приложений, а не только рабочий стол. На Android заодно загляните в «Настройки», затем «Безопасность», затем «Приложения для администрирования устройства», и в «Настройки», затем «Специальные возможности». Сталкерское ПО и агрессивное рекламное ПО часто прячутся там, потому что эти разрешения позволяют приложению читать экран и работать в фоне. Всё, что вы не узнаёте и о чём не можете найти внятного ответа, удаляйте. Если приложение не даёт себя удалить, это уже тревожный знак. На Android для удаления может понадобиться безопасный режим, на iPhone проверьте «Настройки», затем «Основные», затем «VPN и управление устройством» на предмет профиля, который вы не добавляли.

Проверьте, у чего есть доступ к камере, микрофону и геолокации

На iPhone откройте «Настройки», затем «Конфиденциальность и безопасность», и пройдитесь по «Камера», «Микрофон», «Службы геолокации», а также по всему в «Специальных возможностях», чего у приложения быть не должно. На Android это «Настройки», затем «Конфиденциальность», затем «Диспетчер разрешений». Отзовите всё, что держит разрешение без всякой на то причины. Приложению с обоями не нужен ваш микрофон.

Проверьте аккаунты со второго устройства

Это не менее важно, чем сам телефон. На компьютере или другом телефоне зайдите в аккаунт Google или Apple, а также в основную почту, и посмотрите недавнюю активность по безопасности: где выполнен вход, какие устройства подключены, включена ли ещё двухфакторная аутентификация и нет ли попыток входа, которых вы не узнаёте. Загляните в папку «Отправленные» и в фильтры и правила пересылки почты, потому что здесь есть распространённый приём: тихо настроить пересылку вашей почты в другое место. Если найдёте устройство или сессию, которых не знаете, завершите их и смените пароль.

Что показывают и чего не показывают «секретные» коды

Вам будут советовать набрать коды вроде #21#, #62# или ##002#, чтобы узнать, взломан ли телефон. На многих сетях они делают одну конкретную вещь: показывают, переадресуются ли ваши звонки и SMS на другой номер, а ##002# ещё и отключает всю переадресацию. Они зависят от оператора, так что точное поведение отличается, и это не тест на вредоносное или шпионское ПО. Наберите их, если хотите исключить переадресацию звонков, что имеет смысл проверить после подозрения на подмену SIM. Не считайте чистый результат доказательством того, что с телефоном всё в порядке.

Просканируйте телефон приложением безопасности, которому доверяете

На Android нормальное мобильное приложение безопасности от известного производителя поймает большую часть массового вредоносного и рекламного ПО. Поставьте одно, просканируйте, удалите то, что оно отметит. На iPhone всё иначе. iOS достаточно закрыта, чтобы обычных антивирусов там по сути не было, а приложения-«чистильщики» в App Store по большей части бесполезны. На iPhone важно другое: проверить конфигурационные профили и управление устройством, которых вы не настраивали, держать iOS обновлённой и понимать, что реально скомпрометированный iPhone встречается редко и обычно это целенаправленная атака.

Ваши аккаунты могут взломать, даже когда с телефоном всё в порядке

Если кто-то зашёл в вашу почту, аккаунт Google, Apple или в соцсеть, это не значит, что он трогал ваш телефон. Захват аккаунтов обычно идёт через повторно используемый пароль, фишинговую страницу или утечку с какого-то другого сервиса, и ничто из этого не связано с вашим устройством. Если вам пришло оповещение о входе или письмо о сбросе пароля, которого вы не запрашивали, проверьте недавнюю активность по безопасности в этом аккаунте и смените пароль, даже если сам телефон выглядит совершенно нормально. Работает и в обратную сторону: скомпрометированный телефон часто ведёт к скомпрометированным аккаунтам, поэтому проверки выше охватывают и то, и другое.

Как телефоны взламывают

Понимание того, каким путём внутрь попадают, помогает оценить, насколько стоит волноваться.

• Вредоносные приложения и поддельные обновления. Приложения не из App Store или Google Play, «модифицированные» версии платных приложений или всплывающее окно с предупреждением, что телефон заражён и нужно поставить исправление. Исправление и есть заражение.

• Фишинговые SMS и письма. Сообщение о недоставленной посылке, оповещение от банка или о неоплаченной пошлине со ссылкой. Ссылка ведёт на поддельную страницу входа или подталкивает что-то установить. Для обычных людей это самый частый способ попасть внутрь, а когда он приходит по SMS, это называют смишингом.

• Незащищённый общественный Wi-Fi. В открытой сети без пароля тот, кто ей управляет, или другие в ней могут попытаться перехватить соединения или перенаправить вас на поддельные страницы. HTTPS сегодня шифрует содержимое большинства сайтов, но он не скрывает, на какие сайты вы заходите, не закрывает приложения, которые общаются со своими серверами напрямую, и никак не мешает сети подсунуть вам убедительную поддельную страницу входа. VPN закрывает большую часть этого зазора, шифруя всё между вашим телефоном и своим сервером, и о том, сколько защиты на самом деле требует общественный Wi-Fi, мы писали отдельно.

• Подмена SIM-карты (SIM-своппинг). Кто-то убеждает вашего оператора перенести ваш номер на свою SIM, обычно используя личные данные, которые нашёл или купил. Ваш телефон теряет сеть, а на его телефон начинают приходить ваши звонки, SMS и коды двухфакторной аутентификации. Если у вас внезапно и без причины пропала связь, сразу же позвоните оператору с другого номера.

• Сталкерское ПО, установленное тем, у кого был доступ к телефону. Это программы, которые продают как «родительский контроль» или «контроль сотрудников» и которые можно поставить за пару минут, зная код-пароль и держа телефон в руках. Они прячут свой значок и передают вашу геолокацию, сообщения и звонки тому, кто их настроил. Если вы подозреваете, что кто-то из вашего окружения поставил что-то подобное, и этот человек может плохо отреагировать на разоблачение, не начинайте пока ничего удалять. Сначала обратитесь в службу помощи пострадавшим от домашнего насилия. Там помогут составить план, который убережёт вас, потому что удаление приложения или смена паролей могут насторожить того, кто следит. На странице Coalition Against Stalkerware для пострадавших собраны организации по странам.

Что делать, если телефон взломали

Идите по шагам по порядку.

1. Отключите телефон от сети. Включите режим полёта или выключите Wi-Fi и мобильные данные. Это разрывает связь между телефоном и тем, кто на другом конце.

2. С другого, доверенного устройства смените важные пароли, начиная с почты, затем банк, затем всё, где сохранены платёжные данные. Включите двухфакторную аутентификацию там, где её ещё нет, по возможности через приложение-аутентификатор, а не через SMS.

3. Удалите подозрительные приложения, которые нашли, и отзовите разрешения и права администратора у всего, в чём не уверены.

4. Просканируйте телефон на Android и очистите историю браузера и данные сайтов.

5. Если проблемы не проходят, сохраните фотографии и важные файлы, затем сделайте сброс к заводским настройкам и настройте телефон заново. Приложения ставьте только из официального магазина и не восстанавливайте полную резервную копию, сделанную после начала проблем, иначе можете вернуть проблему.

6. Расскажите людям. Если с вашего номера уходили сообщения, предупредите контакты, чтобы не доверяли ничему странному от вас. Позвоните в банк, если на телефоне были платёжные данные.

7. Позвоните оператору, особенно если пропадала связь. Попросите проверить, не менялась ли SIM, и поставить на аккаунт PIN-код для защиты от перевыпуска.

Одно исключение из всего этого: если речь о сталкерском ПО, которое мог поставить знакомый вам человек, а ваша безопасность под угрозой, посоветуйтесь со службой помощи, прежде чем менять пароли или что-то стирать.

Как не допустить этого снова

Держите iOS или Android и приложения обновлёнными. Большинство реальных атак на телефоны используют дыры, которые уже были закрыты.

Ставьте приложения только из App Store и Google Play и относитесь с подозрением к приложению, которое просит разрешения без всякой на то причины.

Раз в несколько месяцев пересматривайте разрешения. Это пять минут, и лучшей привычки здесь не найти.

Ставьте на телефон код из шести цифр или парольную фразу, а не PIN из четырёх цифр, и добавьте двухфакторную аутентификацию к почте и финансовым аккаунтам.

Считайте ссылки в SMS и письмах виновными, пока не доказано обратное, особенно те, что давят срочностью: посылка, платёж, аккаунт.

В общественном Wi-Fi используйте VPN, чтобы трафик был зашифрован между телефоном и сервером VPN. Бесплатный тариф Browsec закрывает как раз этот случай: без аккаунта, без лимита трафика, в одно касание на Android и iOS. Если нужна картина шире, мы разбираем, от чего VPN защищает, а от чего нет, вместе с повседневными причинами им пользоваться.

Не делайте джейлбрейк и не получайте root-доступ на телефоне. Это убирает защитные границы, на которые опирается операционная система.

Частые вопросы

Можно ли взломать телефон, зная только мой номер?

Не в смысле «получить контроль над телефоном». Один только номер позволяет слать вам фишинговые SMS, пытаться обманом уговорить оператора на подмену SIM или найти вас в базах брокеров данных. Он не даёт установить ПО на ваше устройство или удалённо читать сообщения. Для этого нужно, чтобы вы на что-то нажали, или нужен физический доступ к телефону. Исключение — целенаправленное шпионское ПО «нулевого клика», которое действительно добирается до человека по одному номеру, но стоит оно целое состояние и нацелено на журналистов, активистов и чиновников, а не на обычных владельцев телефонов.

Убирает ли сброс к заводским настройкам взломщика?

Да, почти для всего массового вредоносного, шпионского и рекламного ПО. Сброс стирает приложения и данные, где живёт такое ПО. Исключения редки: компрометация на уровне прошивки, что очень необычно вне целенаправленных атак, и всё, что тут же возвращается, потому что вы восстановили его из заражённой резервной копии или поставили то же вредоносное приложение. Сделайте сброс и соберите телефон заново, а не восстанавливайте свежую полную копию.

Взламывают ли iPhone или это только про Android?

iPhone взломать можно. Это случается реже, потому что iOS закрытее и приложения труднее ставить в обход магазина, но целенаправленное шпионское ПО вроде Pegasus работало и на полностью обновлённых iPhone. Для большинства людей реальные риски для iPhone — это сталкерское ПО, установленное тем, кто знает код-пароль, вредоносные конфигурационные профили и фишинг. Если вовремя обновлять iOS, многое из этого снимается.

Уберёт ли сброс телефона сталкерское ПО?

Полный сброс к заводским настройкам уберёт само сталкерское ПО. Он не уберёт проблему побольше, если его поставил близкий вам человек, который знает ваши коды-пароли и снова может добраться до телефона. Если это ваш случай, и особенно если человек может плохо отреагировать, посоветуйтесь со службой помощи пострадавшим от домашнего насилия, прежде чем что-либо сбрасывать, чтобы не насторожить его раньше, чем вы будете готовы.

Можно ли выяснить, кто взломал телефон?

Обычно самостоятельно нет. Вредоносное ПО редко подписывает свою работу, а на отслеживание нужны инструменты, которых у большинства людей нет. Что часто можно понять, так это путь: фишинговое SMS, по которому вы нажали, приложение, которое вы поставили в обход магазина, или физический доступ знакомого человека. Если увели деньги или вы думаете, что за вами следят, сообщите в полицию и в банк, они могут пойти дальше, чем вы.