Удалить шпионское ПО с телефона: Android и iOS

Почти любой совет по «взломанному» телефону заканчивается одинаково: сделайте сброс. Совет не ложный, но неполный с двух сторон. Сброс уничтожает доказательства, если слежку поставил знакомый или работодатель. И часто не убирает её вовсе, потому что телефон восстанавливают из копии, где профиль уже был.

Ниже — порядок, по которому разбирают реальные случаи: определить тип компрометации, сохранить нужное, снять программу и неделю проверять результат.

Почему сброс — не первый шаг

У сброса две задачи: вернуть устройство в состояние «как из магазина» и убрать лишнее. С доступом он не работает. Аккаунт, которым пользуется посторонний, после сброса остаётся чужим: почта, правила пересылки, привязанный номер и сеансы никуда не делись.

Второй аргумент — доказательства. Если дело дойдёт до полиции или спора с работодателем, нужно не чистое устройство, а зафиксированное состояние: что стояло, какие профили были активны, когда это началось. Сброс стирает именно его.

Четыре разных «взлома» и четыре разных лечения

Ошибка в диагнозе — главная причина, почему люди удаляют приложение, успокаиваются и через неделю возвращаются к тому же.

Программа на устройстве. Батарея, нагрев, трафик, незнакомые приложения. Лечится удалением и отзывом разрешений.
Захват аккаунта. Странные входы, письма от вашего имени. Телефон тут ни при чём, работать нужно с сеансами и почтой.
Слежка без программы. Абонентский сервис оператора, семейный доступ, чужой вход в облако.
Управление устройством. Настройки серые, профиль не удаляется. Снимается через владельца записи либо перепрошивкой.

Сначала зафиксируйте доказательства

Если есть хоть малая вероятность суда или заявления о преследовании, сделайте это до любых удалений — и не публикуйте ничего в соцсетях.

Снимите экраны со списком приложений и подозрительными настройками. На Android список сортируется по дате установки, на iPhone важны разделы управления устройством.
Сохраните активные сеансы. В аккаунте Google — раздел безопасности, в Apple ID — список устройств.
Запишите даты и время. Хронология — самый полезный документ в реальном деле.
Не делайте сброс, пока устройство может быть доказательством.
Меняйте пароли с другого устройства. Клавиатурный шпион перехватит новый пароль при вводе.

Если есть угроза физической безопасности, сначала звоните в экстренные службы.

Android: снимаем слежку по шагам

Android даёт несколько законных путей удаления, и злоумышленник рассчитывает, что вы не знаете, какой из них сработает.

1. Отзовите права администратора устройства

С такими правами программу обычным способом не удалить — кнопка неактивна. Откройте «Настройки» → «Безопасность» → «Администраторы устройства». Ищите то, что включали не вы, или название без конкретики: «Служба системы», «Уход за устройством». Нажмите, выберите «Отключить», затем удаляйте приложение.

2. Закройте спецдоступ и доступ к уведомлениям

Службы спецвозможностей видят экран и нажимают за вас — включая ввод паролей и одноразовых кодов. Доступ к уведомлениям показывает текст сообщений, в том числе банковские коды. Проверьте «Специальный доступ»: спецвозможности, уведомления, данные об использовании, показ поверх других приложений.

3. Удалите программу из безопасного режима

Часть программ восстанавливает себя через второй пакет или фоновую службу. Загрузитесь в безопасный режим, удалите подозрительное приложение и перезагрузитесь обычным образом. Если оно вернулось — дело не в приложении.

4. Проверьте установку из неизвестных источников

Раздел «Установка неизвестных приложений» показывает, каким программам разрешено ставить пакеты. Там не должно быть ничего, кроме файлового менеджера и магазина. Затем Play Store → профиль → Play Protect → «Проверить». Чистый результат — слабое утешение: известные образцы ловятся, заказная слежка нет.

5. Ищите рабочий профиль и второго пользователя

Приложение внутри рабочего профиля не видно в личном списке. Проверьте «Пароли и учётные записи» и «Система» → «Несколько пользователей». Оба механизма легальны и оба используются для скрытой установки.

6. Проверьте root

Телефон с root умеет прятать программы от списка. Признаки: Magisk, SuperSU, предупреждение о разблокированном загрузчике при старте. Такому устройству доверять нельзя — надёжное лечение одно: переустановка штатной прошивки.

7. Если программа возвращается

Значит, работает что-то ещё: второй пакет, служба закрепления, профиль управления. Прекращайте удалять: повторное появление — сигнал, что нужен анализ.

iPhone: профили, управление и Экранное время

iPhone сложнее заразить случайным приложением и проще — профилем. В большинстве обращений «мой iPhone взломали» речь идёт об одном из четырёх.

1. Профили конфигурации

«Основные» → «VPN и управление устройством». Подозрительно всё, что выдано не работодателем и не оператором связи. Удаление — через «Удалить профиль» с вводом кода. Особое внимание двум типам: профиль фильтрации контента или DNS-прокси (уводит трафик на чужой сервер) и корневой сертификат (вскрывает шифрованный трафик).

2. Управление устройством

Запись об управлении с названием организации означает подключение к MDM. Такая организация ставит приложения, видит геопозицию и стирает данные. Если название незнакомо, удаление профиля не поможет: устройство подключится снова, а иногда снятие требует, чтобы организация освободила серийный номер.

3. Ограничения Экранного времени

Здесь прячут запрет на удаление профилей и блокировку установки, а код отличается от кода разблокировки. Проверьте «Экранное время» → «Контент и конфиденциальность». Код, которого вы не ставили, — сильный признак чужих рук.

4. Устройства и сеансы Apple ID

Уберите из списка всё незнакомое, затем смените пароль с чистого устройства. Отдельно проверьте доверенные номера и устройства: у кого остался доверенный аппарат, тот подтверждает сброс пароля.

5. Обновление

Уязвимости закрывают патчами, но только если их установить. Если устройство отстало на несколько версий, обновление — самое ценное действие из списка.

Почему слежка возвращается после сброса

Сброс стирает устройство, но не аккаунт. Вернуть слежку могут три вещи.

Полное восстановление из копии. Вместе с фото и перепиской возвращаются профиль и приложение.
Закрепление на уровне аккаунта. Пока у постороннего есть почта, он заново добавляет устройство.
Автоматическое переподключение. Устройство под наблюдением получает профиль при первом запуске.

Чистый сброс в правильном порядке

Шаг	Что сделать	Зачем
1	Сменить пароль почты с другого устройства	Почта восстанавливает всё остальное
2	Включить двухфакторную защиту в приложении	Закрывает повторный вход
3	Завершить сеансы в Google, Apple, банке	Уничтожает чужие токены
4	Выйти из аккаунтов на телефоне	Убирает устройство из доверенных
5	Сохранить только фото и документы	Не возвращает полезную нагрузку
6	Стереть содержимое и настройки	Очищает приложения и профили
7	Не восстанавливать полную копию	Частая причина заражения заново
8	Ставить приложения из магазина, проверить профили	Подтверждает чистое состояние

На iPhone это «Основные» → «Перенос или сброс iPhone», на Android — «Система» → «Сброс настроек». Если телефон с root, джейлбрейком или под наблюдением, сброс из настроек недостаточен: нужна переустановка прошивки.

Позвоните оператору, если подозреваете подмену SIM: проверьте переадресацию (на многих сетях *21# показывает её, ##21# снимает) и спросите, не выдавали ли новую SIM или eSIM. Подмена обходит защиту по СМС, каким бы чистым ни был телефон.

Возвращаем аккаунты

Удаление программы — половина работы. Главный приз — аккаунты.

Почта. Правила пересылки, фильтры, делегирование. Скрытое правило на чужой адрес переживает смену пароля.
Восстановление доступа. Уберите незнакомые резервные адреса и номера.
Связанные приложения. Отзовите всё непонятное: разрешения OAuth не требуют пароля.
Банк и соцсети. Проверьте новых получателей, активные сеансы, рекламные кабинеты.
Менеджер паролей. Если хранилище было доступно с телефона, меняйте мастер-пароль и записи.

Проверка в течение недели

Не объявляйте победу в день удаления.

День 0. Ни неизвестных приложений, ни профилей, ни администраторов.

День 1. Сверьте батарею и трафик с исходными значениями: выжившая слежка проявится фоном.

День 3. Повторно проверьте приложения, профили, спецдоступ и устройства в аккаунтах. Заражение возвращается в первые 72 часа.

День 7. Просмотрите оповещения о входах и выписки. Совпадение с днём 0 — устройство чистое.

Если признаки вернулись, остановитесь и сохраните устройство: возврат после сброса — сильнейший сигнал, что нужен анализ.

Когда самому лучше не делать

Самостоятельная чистка уместна для телефона с лишним приложением или потерянным аккаунтом. Не уместна в пяти случаях.

Был физический доступ, и нужны доказательства. Сброс их уничтожит, осмотр сохранит хронологию.
Телефон выдан работой или школой. Снятие управления нарушает договор.
Слежка возвращается. Закрепление в прошивке лечится анализом, а не настройками.
Это семейный конфликт. Исход решает качество доказательств, а работу ведут, не предупреждая вторую сторону.
Задеты рабочие аккаунты или деньги клиентов. Это инцидент с обязанностью уведомления.

Что даёт консультация

Разбор в тот же день: тип компрометации, что сохранить, что прекратить.
Анализ: профили, записи об управлении, пакеты, сеансы, правила в почте; письменная хронология.
Удаление и проверка: последовательность для вашей конфигурации и чек-лист самопроверки.

Мы работаем только с устройствами, которые принадлежат вам или в вашем управлении, и с письменного согласия. Программы слежения мы не устанавливаем и чужой телефон без разрешения владельца не берём.

Частые вопросы

Можно ли убрать слежку без сброса настроек?

Обычно да, если речь о приложении, профиле, правах администратора или спецвозможностях. Сброс нужен при root и джейлбрейке, при принудительном управлении и когда признаки возвращаются.

Убирает ли сброс слежку полностью?

Приложения и профили — да. Доступ к аккаунтам — нет, а полная копия возвращает всё обратно.

Как понять, что телефон действительно взломан?

Надёжны конкретные признаки: приложение, которое вы не ставили, профиль, которого не добавляли, права, которых не выдавали, код Экранного времени, оповещения о входах, скачок трафика без новых программ.

Можно ли взломать телефон, не прикасаясь к нему?

Да, через аккаунт. Доступ к почте позволяет подтвердить устройство, добавить резервный адрес и читать копии. Атаки без действий владельца существуют, но дороги.

Удаление приложения забирает их доступ к аккаунтам?

Нет. Сеансы живут на их стороне, пока вы их не завершите. Правило пересылки в почте тоже остаётся.

Потеряю ли я доказательства при сбросе?

Да. Сброс убирает артефакты установки, записи профилей и журналы. Если дело может стать юридическим, сначала скриншоты и осмотр.

Что дальше

Короткая версия всего руководства: определите тип компрометации, сохраните доказательства до удаления, снимите приложение или профиль, приведите в порядок аккаунты и не восстанавливайте полную копию. Большинство телефонов после этого остаются чистыми. Проблемы возникают там, где слежка живёт выше уровня приложений — в записи об управлении, в прошивке или в почте, которую контролирует кто-то другой.

Если профиль возвращается или телефоном управляет чужая организация, свяжитесь с командой: опишите модель, что заметили и когда это началось.

Как убрать слежку с телефона: Android и iOS