NFC-кражи и вирусы: «поднесите карту к телефону»

Откуда на телефоне берётся вредное приложение?

Почти всегда — из мессенджера, по прямой ссылке, отправленной вам лично во время разговора. Ни один такой файл не приходит сам: его вручают в момент, когда вы уже разговариваете с «банком», «полицией» или «поддержкой» и находитесь под давлением. Именно поэтому NFC-кража не является отдельной схемой — это техническая надстройка над обычным телефонным мошенничеством: сначала вас вводят в состояние срочности и страха, и только потом просят нажать «установить».

Фон здесь такой. По исследованию компании F6, построенному на данных десяти крупнейших банков, Банка России и МВД, более 94% инцидентов финансового мошенничества в цифровых каналах связаны с социальной инженерией, а атаки с вредоносным ПО составляли лишь 0,2% инцидентов 2025 года — но их число удвоилось за год (CNews Safe, 25 июня 2026 года). Банк России фиксирует тот же тренд ещё резче: в первом квартале 2026 года рост атак с использованием вредоносного ПО превысил 230% к предыдущему кварталу, тогда как атаки методами социальной инженерии выросли на 37,5% (Эксперт, 14 мая 2026 года). То есть доля вирусных атак маленькая, а скорость роста — самая высокая на рынке.

Каналы доставки повторяются от случая к случаю, и все они обходят магазины приложений. Файл присылают в мессенджере под видом документа, архива или фотографии; дают ссылку на сайт, который выглядит как страница банка или госсервиса; предлагают «обновиться», потому что «старая версия приложения больше не работает». Отдельная линия — многоступенчатая установка, когда безобидная на вид программа подтягивает остальное уже после запуска. Так устроен гибрид банковского трояна RatOn с NFCGate: сначала ставится фейковое приложение с маскировкой под популярный сервис коротких видео, затем оно загружает троян удалённого доступа, и только третьим шагом — вредоносный NFCGate (Anti-Malware.ru, 1 декабря 2025 года).

Возможности этого гибрида стоит перечислить целиком, потому что они объясняют, почему «я же просто установил приложение» — не смягчающее обстоятельство, а конец истории. RatOn умеет запускать банковские приложения, вводить ПИН-код, выполнять автопереводы, перехватывать СМС, подменять номера счетов, гасить экран и делать скриншоты каждые 50 миллисекунд. Функциональность изначально адаптирована под русскоязычные приложения (там же). Проще говоря, после установки телефон перестаёт быть вашим: он показывает вам одну картинку, а выполняет другие команды.

Есть и канал, где вы вообще ничего не устанавливали. Часть бюджетных смартфонов, по обзору Android-угроз «Лаборатории Касперского» на 2026 год, приходит с уже вшитым в прошивку трояном семейства Triada — отсюда и совет покупать устройства только у авторизованных продавцов (сам обзор редакция открыть не смогла, подробности в списке источников). Это редкий, но неприятный сценарий: удалить такое приложение штатными средствами нельзя, оно живёт в системном разделе. Наконец, антивирусы для мошенников тоже стали инструментом: по обзору вирусной активности Dr.Web за второй квартал 2026 года, поддельные антивирусные программы составили более 44% всех нежелательных приложений, а более 66% нежелательного ПО использовало обфускацию мусорным кодом через инструменты моддинга, чтобы обойти детектирование (Dr.Web, 1 июля 2026 года).

Подо что маскируются вредоносные приложения?

Под то, что вы и так собирались открыть: банк, госсервис, поликлинику, коммунальщиков. 26 января 2026 года МВД через свой пресс-центр предупредило о рассылке вредоносных установочных файлов под видом обновлений государственных сервисов — назывались, в частности, «Госуслуги.apk», «Голос.apk», «ЕМИАС.apk», «МОЭС.apk». После установки злоумышленники собирают данные устройства, номер SIM-карты, журнал звонков, сообщения, контакты и геолокацию, перехватывают одноразовые коды и получают удалённое управление телефоном. Рекомендация ведомства в этой публикации звучит буквально так: устанавливать и обновлять приложения исключительно через официальные магазины — Google Play или App Store (CISOCLUB, 26 января 2026 года). RuStore в тексте предупреждения не назван, поэтому мы его туда и не дописываем: это наше собственное дополнение для тех, у кого нужного госприложения в Google Play уже нет.

Обратите внимание на связку: перехват одноразовых кодов и доступ к «Госуслугам» — это уже не про NFC, а про полный захват вашей цифровой личности, вплоть до оформления кредитов на ваше имя. Как разворачивается эта часть и что делать, если аккаунт увели, мы разобрали отдельно — в пиларе про взлом Госуслуг.

Отличить подделку в большинстве случаев можно, не будучи специалистом. Мария Иваткина, автор проекта «Моифинансы.рф», перечисляет пять признаков «приложения-вора» (Российская газета, 14 июля 2026 года). Первый — имя разработчика не совпадает с брендом: приложение якобы от крупного банка, а в графе «Разработчик» написано «Иван Иванов». Второй — приложение новое, с десятками однотипных восторженных отзывов, либо, наоборот, давно не обновлялось. Третий — оно запрашивает неоправданные доступы: если фонарик хочет доступ к геолокации, контактам или камере, это шпион. Четвёртый — файл загружен с поддельного сайта, где в домене подменены буквы. Пятый — при обнаружении такого приложения его нужно немедленно удалить и сменить пароли.

Какие семейства реально ходят по российским телефонам, тоже известно. По оценке F6, около 1,5 млн Android-устройств в России имеют признаки заражения; в структуре новых заражений SpyNote занимает 45%, Mamont — 40%, версии NFCGate — 5%, Falcon и LunaSpy — по 2% (CNews Safe, 25 июня 2026 года). Dr.Web со своей стороны фиксирует, что банковские трояны семейства Android.Banker остаются главной угрозой для Android — 23,28% детектирований в своей категории, при снижении активности на 31,83% к первому кварталу, а чаще всего встречается подсемейство Android.Banker.Mamont (1 июля 2026 года). Итого: доля собственно NFCGate в общей массе невелика, но именно она даёт самые быстрые и самые крупные единичные потери, потому что деньги уходят наличными и мгновенно.

Как понять, что телефон заражён?

Заражение выдаёт себя поведением, а не всплывающим окном. Современные банковские трояны не рисуют «вы заражены» и не показывают рекламу — их задача прямо противоположная: остаться незамеченными до момента, когда с вашего счёта уйдут деньги. Поэтому смотреть надо на мелочи: приложение, которого вы не ставили; исчезнувший с экрана значок; внезапно разряжающаяся батарея; телефон, который «сам» гаснет или включается в неудобный момент. Часть этих симптомов прямо следует из функций RatOn: гашение экрана и скриншоты каждые 50 миллисекунд не бывают бесплатными для батареи (Anti-Malware.ru, 1 декабря 2025 года).

Есть два места в настройках, которые стоит проверять первыми, потому что именно через них вредоносы получают власть над устройством. Первое — раздел «Специальные возможности» (Accessibility): через него банковские трояны получают контроль над экраном, читают содержимое окон и нажимают кнопки за вас. Второе — «Администраторы устройства»: если приложению выданы права администратора, кнопка «Удалить» у него станет неактивной. На это прямо указывает справочный материал Kaspersky по удалению вирусов с Android. Этот чек-лист можно пройти прямо сейчас, не будучи специалистом.

Что делать прямо сейчас, если телефон заражён?

Порядок такой: сначала отрезать вредоносу связь, потом остановить деньги, потом собрать доказательства и только затем чистить устройство. Эта последовательность важна: большинство людей начинает с удаления приложения — и теряет и доказательства, и время, за которое можно было заблокировать карту. Шаги ниже собраны по справочному материалу Kaspersky об удалении вирусов с Android, предупреждению Примсоцбанка от 19 января 2026 года и общей практике обращений в банк.

Не понимаете, какой шаг ваш и в каком порядке его делать, — опишите случай редакции: разберём бесплатно и без предоплат.

Как защититься: откуда ставить приложения и какие разрешения не давать?

Защита от NFC-краж сводится к трём правилам, и ни одно из них не требует технических знаний. Приложения ставятся только из официальных магазинов. ПИН-код вводится только в банкомате и на терминале оплаты, но никогда — в приложении на телефоне. Карта прикладывается только к терминалу и банкомату, но никогда — к собственному телефону по чьей-то просьбе. Похожий набор правил — только официальные магазины приложений, никакого ПИН-кода в приложениях на телефоне, никакого прикладывания карты к телефону, покупка устройств у авторизованных продавцов — приводит в обзоре Android-угроз 2026 года «Лаборатория Касперского». Честная оговорка: этот обзор мы не открыли — сайт отказывает в прямом соединении, а прокси-ридер вернул пустую страницу. Поэтому формулировки Касперского приведены по нашим прежним заметкам и стоят в очереди на ручную сверку; всё остальное в этом разделе держится на предупреждениях МВД, банков и Dr.Web, которые мы читали сами.

Про источники установки стоит сказать отдельно, потому что здесь чаще всего ищут компромисс: «а если очень нужно приложение, которого нет в магазине?». Отвечаем честно: установка файла .apk из внешнего источника — это осознанное решение, которое вы принимаете на свой риск, и оно допустимо разве что для приложения, которое вы сами скачали с официального сайта разработчика, набранного руками. Файл, присланный в мессенджере во время телефонного разговора, к этой категории не относится никогда. Примсоцбанк формулирует это одной строкой: файлы с расширением .apk от незнакомых отправителей — признак вредоноса (19 января 2026 года).

Про разрешения. Смотреть надо не на количество запросов, а на их осмысленность: приложению фонарика не нужны контакты, приложению калькулятора — СМС, приложению банка — журнал звонков. Особенно внимательно относитесь к двум запросам, которые технически дают почти полный контроль над устройством: «Специальные возможности» и права администратора устройства. Настоящему банковскому приложению они не нужны. Если программа настойчиво просит именно их, причём сразу после установки и с объяснением вроде «для корректной работы», — это не корректная работа, а захват.

Про NFC как функцию. Совет отключать NFC, когда он не нужен, звучит в рекомендациях специалистов — его, в частности, даёт Игорь Бедеров из компании «Интернет-Розыск» вместе с советом скачивать приложения только из официальных источников (ComNews, 25 марта 2025 года). Совет разумный, но не стоит считать его главным: выключенный NFC не поможет, если на телефоне живёт троян, который умеет вводить ПИН и делать переводы внутри банковского приложения. Отключение NFC — это гигиена, а не броня; броня — это источники установки и разрешения.

И про обновления. Систему и приложения нужно обновлять, но только штатным способом — через магазин приложений или системное меню обновления. Любое «обновление», которое пришло ссылкой, письмом или файлом, — не обновление. Это ровно тот канал, по которому в январе 2026 года распространяли поддельные «Госуслуги.apk» и «ЕМИАС.apk» (CISOCLUB со ссылкой на МВД России, 26 января 2026 года).

Что делают против NFC-краж банки и Центробанк?

Главное техническое противоядие уже работает и не требует от вас ничего: банкомат научился отличать заражённый телефон от настоящей карты по времени ответа. ВТБ и НСПК разработали механизм выявления ретрансляции, основанный на простой физике — заражённый смартфон отвечает на команды банкомата медленнее, чем карта, потому что сигнал успевает сходить в интернет и обратно. Как поясняет заместитель директора операционно-технологического департамента НСПК Георгий Дорофеев, значительная задержка в ответе делает транзакцию подозрительной. Механизм установлен на 7000 банкоматов ВТБ, и за несколько месяцев тестирования не зафиксировано ни одного успешного мошеннического случая; вице-президент ВТБ Дмитрий Ревякин призвал банки к совместному противодействию. В том же релизе НСПК сказано, что банкам-эквайрерам рекомендовано реализовать этот механизм на стороне своих банкоматов (пресс-центр НСПК).

Дальше эта идея переехала из инициативы одного банка в обязательное правило. С 1 января 2026 года Банк России расширил перечень признаков переводов без добровольного согласия клиента с шести до двенадцати — приказом от 5 ноября 2025 года № ОД-2506. И среди новых признаков есть тот самый, антиретрансляционный: нарушение нормы времени обмена данными при бесконтактной операции в банкомате. Рядом с ним в перечне стоят ещё несколько прямо «противовирусных» признаков: наличие вредоносного ПО на устройстве клиента; смена номера телефона в онлайн-банке или на «Госуслугах» за 48 часов до операции; уведомление НСПК о риске мошенничества; внесение наличных через банкомат токенизированной картой, если получатель за сутки перевёл за границу свыше 100 тысяч рублей (Банк России, страница разъяснений).

Перечень пополняется и дальше. Отдельный признак действует с 1 марта 2026 года: сведения о получателе денег содержатся в государственной информационной системе противодействия правонарушениям, совершаемым с использованием информационно-коммуникационных технологий. Ещё один новый признак — перевод человеку, с которым не было финансовых отношений последние полгода, если за сутки до этого клиент перевёл сам себе более 200 тысяч рублей через СБП (Эксперт, 24 декабря 2025 года). Логика тут понятная: типовые сценарии мошенников описываются формулой, и формула зашивается в антифрод.

Отдельный слой — ограничения на наличные, которые бьют прямо по «обратной» модификации схемы. С 1 сентября 2025 года по Федеральному закону № 41-ФЗ при выявлении признаков мошенничества банк обязан на 48 часов ограничить выдачу наличных суммой не более 50 тысяч рублей в сутки и незамедлительно уведомить клиента о причинах. Для лиц, попавших в базу данных Банка России о мошеннических переводах, действует бессрочный лимит — не более 100 тысяч рублей в месяц на снятие в любом банкомате страны. Среди триггеров — нетипичное время и сумма снятия, смена SIM-карты или устройства, токенизация карты третьими лицами (РИА Новости, 2 сентября 2025 года).

Работает ли это всё? Частично — и цифры честнее любых заявлений. Антифрод-системы банков в 2025 году предотвратили 134,2 млн мошеннических операций против 72,2 млн годом ранее, сохранив клиентам 13,9 трлн рублей (Российская газета, 16 февраля 2026 года). Но объём похищенного всё равно вырос: за 2025 год он прибавил 6,4%, количество операций без согласия клиента — 31,2%, а средняя сумма одного хищения составила около 18 тысяч рублей (там же; абсолютных сумм за год в этой публикации нет). В абсолютных цифрах год закрылся так: по отчёту Банка России общий объём хищений за 2025 год — 29,3 млрд рублей, клиентам вернули 1,7 млрд, то есть 5,9% (Коммерсантъ по отчёту ЦБ). В разбивке по видам операций за 2025 год: платёжные карты — 980,4 тысячи операций, СБП — 290,6 тысячи, счета без использования карты — 282,6 тысячи.

Первый квартал 2026 года картину не изменил. Мошенники похитили у россиян и компаний 7,4 млрд рублей примерно в 496 тысячах операций без добровольного согласия; банкам удалось вернуть лишь 5,7% — около 422 млн рублей, при этом физические лица потеряли около 6,82 млрд. По каналам: СБП — 127,9 тысячи хищений на 2,64 млрд рублей с возвратом 3,3%, дистанционное банковское обслуживание — 2,33 млрд (3,6%), банковские карты — 1,57 млрд (10,5%), электронные кошельки — 282 млн. Банки при этом отразили около 16,8 млн попыток мошеннических операций на 1,8 трлн рублей (Эксперт, 14 мая 2026 года).

Из этих чисел следует вывод, который редакция считает главным на этой странице. Антифрод растёт быстрее мошенников по количеству отражённых атак, но доля возврата уже похищенного стабильно держится около 6% — и вторая цифра для вас важнее первой. Рассчитывать на то, что «банк вернёт», нельзя: возвращают примерно каждый семнадцатый рубль. Единственная стадия, где вы реально управляете исходом, — до нажатия «установить» и до прикладывания карты к телефону.

Оговорка про статистику: рост числа обращений частично объясняется не только ростом мошенничества. С октября 2025 года в мобильных приложениях крупных банков появилась «кнопка для пострадавших» — сервис быстрого сообщения о мошенничестве, и само её появление увеличило официальную статистику обращений (Российская газета, 16 февраля 2026 года). Держите это в голове, когда читаете заголовки про «рекордный рост».

Что дальше. «Коммерсантъ» 19 мая 2026 года писал о втором пакете антифрод-мер: требования к телеком-операторам и банкам ужесточаются, а блокировка звонков с иностранных номеров вводится с 01.09.2026 — до этой даты иностранный номер на экране остаётся обычным входящим, после неё сам факт такого звонка становится поводом не брать трубку. Эффект первого пакета издание оценивало осторожно — за десять месяцев его действия число киберпреступлений снизилось на 9,5%. Что из этого дошло до подписанного закона, мы разобрали отдельно в новости про 210-ФЗ.

Почему схема почти не работает на iPhone?

Причина архитектурная, а не в «качестве защиты». В iOS доступ к платёжным апплетам в Secure Element имеет только ассоциированное с ними приложение разработчика, сам апплет установлен в изолированном Security Domain, а транзакция требует одновременного выполнения нескольких условий: приложение должно быть на переднем плане, iPhone разблокирован, а операция подтверждена биометрией или кодом-паролем. Произвольные сторонние приложения не могут управлять NFC-стеком для платёжных транзакций — это описано в документации Apple Platform Security в разделе про NFC и Secure Element.

Российские специалисты подтверждают ту же логику применительно к конкретной схеме: по словам ведущего инженера CorpSoft24 Михаила Сергеева, схемы NFCGate работают только на Android, а iPhone даёт дополнительную защиту (ComNews, 25 марта 2025 года).

Но выводить из этого «мне ничего не грозит» было бы ошибкой, и на практике именно такая уверенность дорого обходится. NFC — лишь один из финальных инструментов. Всё, что идёт до него, работает одинаково на любой платформе: звонок от «службы безопасности», давление срочностью, просьба продиктовать код из СМС, увод аккаунта на «Госуслугах», перевод «на безопасный счёт», оплата «брони» на фейковом сайте. Именно поэтому 94% инцидентов в исследовании F6 связаны с социальной инженерией, а не с вредоносным кодом (CNews Safe, 25 июня 2026 года). Владелец iPhone защищён от одной конкретной технической схемы — и ровно так же уязвим ко всем остальным.

Что запомнить из этого разбора?

Если оставить одну фразу, она будет такой: карту не прикладывают к телефону, а ПИН-код не вводят в приложении. Всё остальное — детали, но детали, которые дают вам время. Звонок с предупреждением о «подозрительной операции» — это начало схемы, а не забота о вас. Файл, присланный в мессенджере, — не приложение банка, потому что банки не рассылают установочные файлы. Просьба удалить программу после операции — не забота о памяти телефона, а уничтожение доказательств. Просьба поднести к вашему телефону другой телефон — не верификация, а передача доступа.

Для тех, кто уже пострадал, важнее другое: скорость. Авиарежим, звонок в банк с чистого устройства, фиксация доказательств до чистки, заявления в банк и полицию — в этом порядке. Доля возврата по банковским хищениям держится около 6%, и попадают в неё те, кто действовал в первые часы и сохранил доказательства. Порядок действий, сроки и образцы обращений мы держим на странице «Вернуть деньги»; если операция шла картой на сайте, отдельно посмотрите разбор процедуры чарджбэка. Разборы конкретных контор с официальными источниками и датами проверки редакция публикует в скамлисте.