Аннотация

Настоящая монография посвящена деловому анализу проблемы использования вредоносного программного обеспечения, устанавливаемого на смартфоны, в качестве инструмента хищения денежных средств с банковских счетов физических лиц и расчетных счетов предприятий. В отличие от традиционного рассмотрения «бытового» шпионажа, данная работа акцентирует внимание на финансово-ориентированных вредоносных программах — банковских троянах и средствах удаленного доступа, — которые применяются для несанкционированных переводов, оформления кредитов и компрометации корпоративных расчетных счетов. Работа содержит деловое описание механики атак, методику проверки устройств, форматы экспертного сопровождения с указанием стоимости и пять документированных кейсов из экспертной практики. Материал предназначен для физических лиц, столкнувшихся с хищениями, и для предприятий, формирующих систему защиты корпоративных финансовых активов.

Ключевые слова: банковский троян, шпионское ПО, криминалистическая экспертиза смартфона, хищение денежных средств, удаленный доступ, экспертное заключение, корпоративная безопасность.

Введение

Актуальность проблемы

Проблема проверки смартфона на наличие шпионского программного обеспечения традиционно рассматривается в двух плоскостях: бытовой (контроль со стороны супруга, партнера, родственника) и корпоративный (защита коммерческой тайны от конкурентов). Однако в период 2024–2026 годов сформировалась третья, качественно более опасная парадигма: шпионское ПО перестало быть инструментом наблюдения и превратилось в орудие прямого финансового поражения. Современные банковские трояны семейств SpyNote, Cerberus и их аналогов не просто собирают информацию — они перехватывают управление устройством, подменяют интерфейсы банковских приложений, блокируют входящие вызовы от банков и выводят средства со счетов жертв в реальном времени.

Масштаб угрозы подтверждается статистикой: по данным экспертной литературы, 40–50% хищений с банковских счетов совершается именно через установку вредоносного ПО с функцией удаленного доступа. Для предприятий проблема усугубляется тем, что компрометация корпоративного устройства, используемого для доступа к системе «банк-клиент» или ключам электронной подписи, создает прямую угрозу расчетному счету юридического лица.

Настоящее исследование ставит целью восполнить разрыв между технической природой финансово-ориентированного вредоносного ПО и практическими потребностями лиц, пострадавших от его применения. Работа отвечает на три вопроса: как распознать компрометацию устройства до момента хищения; какие доказательства необходимы для установления причинно-следственной связи между действием вредоносной программы и утратой средств; какие процессуальные формы экспертного исследования обеспечивают допустимость таких доказательств в суде.

Методологическая основа

Исследование опирается на анализ публичных отчетов центров реагирования на компьютерные инциденты, материалов исследовательских подразделений производителей средств защиты и обобщение экспертной практики, включающей пять документированных кейсов. Кейсы представлены в анонимизированной форме с сохранением существенных обстоятельств, имеющих значение для понимания механики атак и методики экспертного исследования.

Глава 1. Механика финансово-ориентированных атак на смартфоны

1.1. Классификация вредоносного ПО, используемого для хищения средств

В отличие от классических «стилеров» (программ кражи данных), финансово-ориентированные вредоносные программы для мобильных устройств обладают тремя отличительными признаками: способностью к активному воздействию на банковские приложения (подмена интерфейса, эмуляция нажатий), перехватом каналов аутентификации (SMS-коды, push-уведомления, входящие вызовы) и функциями сокрытия собственного присутствия (маскировка под системные компоненты, отключение защитных механизмов платформы).

Современные образцы, такие как SpyNote, относятся к классу банковских троянов с функциями удаленного доступа (RAT). SpyNote, обнаруженный исследователями в 2022–2024 годах, нацелен на банковские приложения и располагает набором команд, обеспечивающих почти полный контроль над зараженным устройством. Семейство Cerberus дополняет этот арсенал возможностью перехвата SMS и подмены интерфейсов банковских приложений.

1.2. Векторы проникновения: от социальной инженерии до «дропперов»

Анализ описанных в литературе инцидентов позволяет выделить три основных вектора доставки вредоносного ПО на устройство жертвы.

Первый вектор — прямая социальная инженерия. Злоумышленник связывается с жертвой под видом сотрудника банка, службы безопасности или технической поддержки и убеждает установить приложение из стороннего источника.

Второй вектор — «дропперы» (droppers), то есть программы-загрузчики. Жертве предлагается установить приложение, которое само по себе может быть безвредным или даже полезным, но при запуске оно скрытно загружает и устанавливает второй этап — собственно вредоносный модуль.

Третий вектор — поддельные магазины приложений и фишинговые страницы. Злоумышленники распространяют вредоносное ПО через фишинговые ссылки, открывающие поддельные страницы официальных магазинов приложений с фальшивыми рейтингами, отзывами и счетчиками загрузок.

1.3. Механизм захвата контроля: злоупотребление Accessibility Service

Ключевым элементом, превращающим шпионское ПО в инструмент хищения, является злоупотребление службой специальных возможностей Android (Accessibility Service). Этот механизм изначально создан для помощи пользователям с ограниченными возможностями: он позволяет приложениям читать содержимое экрана, эмулировать нажатия и управлять интерфейсом от имени пользователя. Получив разрешение на Accessibility, вредоносная программа приобретает способность:

• фиксировать нажатия клавиш (keylogger) и содержимое экрана (screen logger);
• определять, какое приложение запущено в данный момент, и реагировать на запуск банковского приложения;
• эмулировать нажатия для совершения переводов без участия жертвы;
• отключать защитные механизмы, включая Google Play Protect.

Исследователи подчеркивают, что для работы современных троянов не требуется никакой уязвимости в Android: атака целиком основана на добровольной, хотя и обманом полученной, выдаче разрешений пользователем. Это обстоятельство имеет критическое значение для правовой квалификации: действия злоумышленника представляют собой не «взлом» в техническом смысле, а обман, что сближает состав с мошенничеством (ст. 159.6 УК РФ).

1.4. Финансовое поражение: техники хищения

После получения контроля над устройством злоумышленник применяет комбинацию техник, направленных на преодоление банковских систем защиты и сокрытие следов.

Подмена интерфейса (overlay). Наиболее распространенная техника. Вредоносная программа загружает с управляющего сервера HTML-страницу, визуально идентичную экрану входа в конкретное банковское приложение, и отображает ее поверх настоящего приложения при его запуске. Жертва вводит логин, пароль, номер карты и CVV-код в фальшивое окно, данные немедленно передаются злоумышленнику.

Перехват SMS и одноразовых кодов. Сделать себя обработчиком SMS по умолчанию — стандартный шаг для большинства современных банковских троянов. Это позволяет читать все входящие сообщения, включая коды подтверждения транзакций и уведомления банка о подозрительных операциях.

Перехват данных блокировки экрана. Вредоносная программа отображает фальшивый экран блокировки, имитирующий системный, для захвата PIN-кода, графического ключа или пароля. Получив эти данные, злоумышленник может разблокировать устройство в любой момент.

Манипуляция буфером обмена. Для краж криптовалют применяется подмена адреса кошелька: когда жертва копирует свой адрес для перевода, вредоносная программа заменяет его на адрес злоумышленника.

1.5. Специфика угроз для предприятий

Для юридических лиц финансовые последствия компрометации устройств сотрудников реализуются через два дополнительных канала. Первый — несанкционированные операции по расчетному счету организации. Если сотрудник, имеющий доступ к системе дистанционного банковского обслуживания (ДБО) или ключ электронной подписи, использует зараженное устройство, злоумышленник может инициировать платежное поручение от имени организации. Второй канал — компрометация переговоров и коммерческой тайны: шпионские функции создают риск утечки информации, составляющей коммерческую тайну, что квалифицируется дополнительно по ст. 183 УК РФ.

Глава 2. Методика проверки устройства

2.1. Принципы экспертного исследования мобильных устройств

Криминалистическая проверка смартфона на наличие финансово-ориентированного вредоносного ПО подчиняется общим принципам судебной компьютерно-технической экспертизы, но обладает существенной спецификой. Она заключается в необходимости установления не только факта присутствия вредоносной программы, но и причинно-следственной связи между ее функционированием и конкретными финансовыми потерями.

Эта специфика определяет три обязательных условия допустимости экспертизы:

• Сохранение целостности данных. Любое исследование должно начинаться с создания криминалистической копии (образа) данных устройства. Работа с оригиналом без создания копии создает риск утраты или модификации доказательств и ставит под сомнение допустимость заключения.
• Документирование хода исследования. Каждый шаг эксперта — от фиксации состояния устройства при поступлении до использованных инструментов и методов — должен быть отражен в исследовательской части заключения.
• Разграничение фактов и интерпретаций. Заключение должно четко разделять то, что непосредственно наблюдалось (наличие APK-файла с определенными разрешениями), и то, что является выводом эксперта (принадлежность программы к семейству банковских троянов, ее функциональные возможности).

2.2. Этап предварительного анализа

Цель: оценить обоснованность подозрений и определить необходимый объем дальнейшего исследования.

Содержание работы. Эксперт проводит осмотр устройства без глубокого вмешательства: изучает перечень установленных приложений, обращая внимание на программы с «системными» именами, не соответствующими стандартным компонентам ОС; проверяет список приложений-администраторов устройства; анализирует разрешения, выданные приложениям (особое внимание — Accessibility, SMS, доступ к уведомлениям); проверяет наличие профилей конфигурации (для iOS) и журналов подключений к внешним серверам.

Критерии оценки. Наличие приложения с разрешением Accessibility, не являющегося легитимным средством помощи пользователям с ограниченными возможностями, рассматривается как индикатор высокой степени риска. Приложение, одновременно запрашивающее доступ к SMS и Accessibility, с вероятностью, близкой к достоверной, является вредоносным, поскольку легитимные программы крайне редко нуждаются в такой комбинации.

Результат. Краткое письменное или устное заключение о наличии или отсутствии оснований для углубленного исследования.

2.3. Этап краткого исследования

Цель: документально зафиксировать факт наличия (или отсутствия) подозрительного ПО.

Содержание работы. Создание резервной копии данных (для Android — через ADB backup или аналогичные инструменты с согласия владельца), извлечение APK-файлов подозрительных приложений, их статический анализ: декомпиляция, изучение манифеста (заявленных разрешений и компонентов), поиск известных индикаторов компрометации (домены управляющих серверов, характерные строки в коде, совпадение хеш-сумм с базами вредоносных образцов).

Результат. Справка, в которой перечислены обнаруженные приложения с указанием их функциональных возможностей и оценкой степени опасности. Справка может быть использована для обращения в банк с требованием о пересмотре отказа в возврате средств, для информирования службы безопасности предприятия или для принятия решения о возбуждении уголовного дела.

2.4. Этап развернутого заключения

Цель: подготовить полноценное экспертное исследование, пригодное для использования в качестве доказательства на стадии доследственной проверки или в гражданском процессе.

Содержание работы. Полный цикл криминалистического анализа:

• создание образа данных устройства с фиксацией хеш-сумм;
• реверс-инжиниринг вредоносных APK: анализ кода, выявление управляющей инфраструктуры (C2-серверов), механизмов перехвата, списка целевых банковских приложений;
• поведенческий анализ в изолированной среде: запуск образца для документирования его действий — попыток подключения к серверу, запросов разрешений, попыток наложения overlay-экранов;
• установление хронологии: дата и время установки подозрительного приложения, период его активности, наличие событий перехвата SMS или экранного ввода, совпадающих по времени с моментами несанкционированных транзакций.

Ключевой вывод. Заключение должно содержать ответ на вопрос: могло ли обнаруженное вредоносное ПО быть использовано для хищения денежных средств с конкретного счета в конкретный период. Установление временного соответствия между активностью трояна и транзакциями является критическим элементом, связывающим техническое исследование с финансовым ущербом.

2.5. Этап судебной экспертизы

Цель: производство экспертизы в рамках уголовного дела или гражданского спора с соблюдением процессуальных требований.

Процессуальные особенности. Эксперт предупреждается об ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения. Устройство поступает в качестве вещественного доказательства в установленном порядке. Обеспечивается целостность доказательств: фиксация состояния при поступлении, хеширование образов, документирование всех манипуляций.

Дополнительные возможности. При необходимости проводится восстановление удаленных данных (журналов, APK-файлов, следов соединений), анализ сетевой активности за длительный период, идентификация инфраструктуры злоумышленника. Эксперт может привлекаться к допросам и судебным заседаниям для разъяснения заключения.

Результат. Заключение эксперта, являющееся доказательством в суде. В экспертной практике известны случаи, когда подобные заключения ложились в основу обвинения по ст. 159.6 УК РФ и позволяли потерпевшим преодолеть возражения банков о «вине клиента» в компрометации устройства.

Глава 3. Правовая квалификация деяний

3.1. Уголовно-правовая оценка

Действия лиц, создающих, распространяющих и использующих финансово-ориентированное вредоносное ПО, образуют совокупность составов преступлений.

Ст. 159.6 УК РФ (мошенничество в сфере компьютерной информации) — основной состав для случаев хищения денежных средств путем введения жертвы в заблуждение и использования вредоносного ПО для доступа к банковским счетам. Хищение совершается путем обмана (установка «обновления безопасности») с использованием компьютерной информации (перехват кодов, подмена интерфейса).

Ст. 272 УК РФ (неправомерный доступ к компьютерной информации) — охватывает несанкционированное получение доступа к данным устройства и банковских приложений.

Ст. 273 УК РФ (создание, использование и распространение вредоносных компьютерных программ) — применяется к разработчикам и распространителям троянов.

Ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров) — применима к фактам перехвата SMS и прослушивания, если они имели место.

Ст. 137 УК РФ (нарушение неприкосновенности частной жизни) — актуальна для случаев, когда вредоносное ПО использовалось также для сбора личной информации, выходящей за пределы финансовых данных.

Для предприятий при утечке коммерческой тайны добавляется ст. 183 УК РФ.

3.2. Проблема доказывания и роль экспертизы

Ключевая проблема для потерпевшего — преодоление презумпции «вины клиента», которой часто руководствуются банки при отказе в возврате средств. Банк может утверждать, что клиент самостоятельно установил вредоносное приложение, нарушив правила безопасного использования услуг, и потому не вправе рассчитывать на компенсацию.

Экспертное заключение позволяет сместить фокус с вопроса «установил ли клиент приложение» на вопрос «был ли клиент обманут и использовалось ли его устройство как инструмент хищения». Установление того факта, что приложение маскировалось под системное обновление или официальный магазин, что разрешения запрашивались под благовидным предлогом, а интерфейс банка подменялся без ведома пользователя, переводит ситуацию из плоскости «неосторожность клиента» в плоскость «умышленное преступление против клиента». Именно это разграничение и составляет процессуальную ценность экспертизы.

Глава 4. Экспертное сопровождение: форматы и процессуальное значение

4.1. Предварительный анализ (5 000 рублей)

Данный формат предназначен для лиц, подозревающих компрометацию устройства, но не располагающих подтвержденными данными о хищении. Эксперт проводит экспресс-осмотр без создания полного образа данных: проверка разрешений Accessibility и SMS, списка администраторов устройства, явных индикаторов компрометации в перечне приложений. Результат — заключение о наличии или отсутствии оснований для дальнейшего исследования. Экономическая целесообразность формата: он позволяет избежать затрат на полную экспертизу в случаях, когда подозрения не подтверждаются, и одновременно не упустить время в случаях, когда компрометация реальна.

4.2. Краткая справка по исследованию (15 000 рублей)

Справка представляет собой документ, фиксирующий обнаруженные факты в форме, достаточной для:

• обращения в банк с требованием о пересмотре транзакций и предоставления информации о попытках несанкционированного доступа;
• информирования службы безопасности предприятия о компрометации корпоративного устройства;
• принятия решения о подаче заявления в правоохранительные органы.

Справка содержит перечень обнаруженных приложений, их разрешений и оценку функциональных возможностей, но не включает реверс-инжиниринг кода и установление полной хронологии событий.

4.3. Развернутое заключение (25 000 рублей)

Данный формат представляет собой полноценное экспертное исследование, пригодное для представления в качестве доказательства в гражданском процессе и на стадии доследственной проверки. Заключение включает:

• исследовательскую часть с описанием методики и инструментов;
• результаты статического и поведенческого анализа вредоносного образца;
• установление хронологической связи между активностью трояна и финансовыми потерями;
• выводы, отвечающие на вопросы: имеется ли на устройстве вредоносное ПО, каков его функционал, могло ли оно быть использовано для хищения средств в указанный период.

Развернутое заключение является оптимальным форматом для физических лиц, готовящих иск к банку или заявление в полицию, и для предприятий, формирующих доказательственную базу для арбитражного спора.

4.4. Судебная экспертиза (50 000 рублей и выше)

Производится по определению суда или постановлению следователя в рамках уголовного дела или гражданского производства. Эксперт предупреждается об ответственности по ст. 307 УК РФ. Заключение судебной экспертизы обладает особым процессуальным статусом и является самостоятельным доказательством, подлежащим оценке судом наряду с другими доказательствами. Стоимость зависит от сложности исследования, объема данных и необходимости участия эксперта в следственных действиях и судебных заседаниях.

Глава 5. Документированные кейсы

Кейс 1: Хищение с карты физического лица через подмену интерфейса банковского приложения

Обстоятельства. Гражданка К., 42 года, обратилась с заявлением о списании 187 000 рублей с ее банковской карты. За три дня до списания ей поступил звонок от «сотрудника банка» с предупреждением о «подозрительной активности» и предложением установить «обновление безопасности» для защиты счета. К. проследовала по ссылке и установила APK-файл, разрешив запрошенные приложения permissions, включая Accessibility и доступ к SMS.

Экспертное исследование. При предварительном анализе обнаружено приложение с именем «System Update», не являющееся системным компонентом, с разрешениями Accessibility и SMS. Статический анализ APK выявил совпадение индикаторов компрометации с семейством SpyNote: домены C2-серверов, база HTML-шаблонов для overlay-экранов, включая шаблон для банка, клиентом которого являлась К. Хронологический анализ журналов устройства показал, что за 12 минут до списания средств приложение зафиксировало запуск банковского приложения и отобразило overlay-экран, в который были введены данные карты. Одновременно зафиксирован перехват SMS с кодом подтверждения транзакции.

Результат. Развернутое заключение (25 000 рублей) представлено в банк и в следственные органы. На основании заключения возбуждено уголовное дело по ст. 159.6 УК РФ. Банк после представления заключения пересмотрел решение об отказе в возврате средств.

Кейс 2: Оформление кредита на имя жертвы через перехват SMS и удаленное управление

Обстоятельства. Гражданин М., 35 лет, обнаружил в кредитной истории запись о кредите на 350 000 рублей, оформленном на его имя в банке, клиентом которого он не являлся. За месяц до этого он устанавливал приложение, рекламировавшееся как «инструмент для заработка на криптовалюте».

Экспертное исследование. При анализе устройства обнаружен APK-файл, маскировавшийся под легитимное финансовое приложение, но содержавший код банковского трояна. Установлено, что вредоносная программа получила разрешение на обработку SMS по умолчанию и с помощью команды, отправленной с C2-сервера, активировала переадресацию вызовов (USSD-команда 21), направив все входящие звонки на номер злоумышленника. В период оформления кредита троян перехватывал все SMS от банка, включая коды подтверждения, и передавал их оператору. Одновременно с устройства осуществлялся удаленный доступ для заполнения кредитной заявки от имени М.

Результат. Судебная экспертиза (50 000 рублей) проведена в рамках уголовного дела, возбужденного по заявлению М. Заключение эксперта установило, что оформление кредита производилось с использованием функций удаленного управления и перехвата SMS, реализованных вредоносной программой, без участия владельца устройства. Кредитная организация аннулировала задолженность.

Кейс 3: Компрометация расчетного счета предприятия через зараженное устройство сотрудника

Обстоятельства. С расчетного счета ООО «Т.» были списаны 1 200 000 рублей двумя транзакциями в течение одного часа. Платежи были инициированы с IP-адреса, не соответствующего офису организации. Выяснилось, что главный бухгалтер в день инцидента использовала личный смартфон для подтверждения операций через мобильное приложение ДБО, поскольку офисное подключение было временно недоступно.

Экспертное исследование. На устройстве бухгалтера обнаружен троян, распространявшийся под видом «обновления Google Play». Программа имела разрешения на Accessibility, SMS и доступ к уведомлениям. Установлено, что за два дня до инцидента троян получил команду с C2-сервера на отслеживание запуска приложения ДБО. В момент подтверждения первой транзакции троян отобразил overlay-экран, имитирующий интерфейс подтверждения, и перехватил код, который бухгалтер ввела, полагая, что подтверждает плановый платеж. Вторая транзакция была инициирована удаленно через функции RAT.

Результат. Развернутое заключение (25 000 рублей) использовано в арбитражном процессе о взыскании убытков с банка. Суд признал, что операции были совершены без надлежащего волеизъявления клиента, и обязал банк возместить ущерб. Дополнительно заключение легло в основу заявления в полицию по ст. 159.6 и 272 УК РФ.

Кейс 4: Кража криптовалюты через подмену буфера обмена и блокировку вызовов банка

Обстоятельства. Гражданин С., 29 лет, обратился с заявлением о хищении криптовалюты на сумму, эквивалентную 420 000 рублей. По его словам, он скопировал адрес своего кошелька для перевода с биржи, но средства не поступили. Проверка транзакции показала, что перевод ушел на другой адрес.

Экспертное исследование. На устройстве С. обнаружен банковский троян с функциями, характерными для семейства Cerberus. Установлено, что вредоносная программа перехватывала обращения к буферу обмена и подменяла адреса криптовалютных кошельков при копировании. Кроме того, троян блокировал входящие вызовы: когда служба безопасности биржи пыталась связаться с С. для подтверждения подозрительной транзакции, вызовы не поступали на устройство. Анализ журналов показал, что подмена адреса произошла в момент, когда С. скопировал свой адрес для вставки в форму перевода.

Результат. Краткая справка (15 000 рублей) использована для обращения в службу поддержки биржи и в полицию. Биржа после представления справки инициировала внутреннее расследование и компенсировала часть средств в порядке жеста доброй воли, не признавая юридической ответственности. Уголовное дело приостановлено в связи с неустановлением лиц, совершивших преступление.

Кейс 5: «Бытовой» шпионаж, переросший в хищение

Обстоятельства. Гражданка Л., 38 лет, обратилась с подозрением на установку шпионского ПО бывшим супругом. При проверке устройства дополнительно обнаружены следы несанкционированного доступа к банковскому приложению и списание 45 000 рублей, которое Л. первоначально не связала с действиями бывшего супруга.

Экспертное исследование. На устройстве обнаружено приложение, маскировавшееся под «родительский контроль» и обладавшее расширенными разрешениями, включая Accessibility и SMS. Анализ показал, что программа относилась к классу stalkerware с функциями удаленного управления. Установлено, что помимо отслеживания местоположения и чтения переписки, программа позволяла удаленно просматривать экран и эмулировать нажатия. Хронология свидетельствует, что списание средств произошло в период, когда устройство находилось без присмотра владелицы, а программа проявляла активность, характерную для удаленного управления банковским приложением.

Результат. Развернутое заключение (25 000 рублей) представлено в полицию. Дело квалифицировано по совокупности ст. 138 и 159.6 УК РФ. Кейс демонстрирует, что грань между «бытовым» шпионажем и финансовым преступлением подвижна: программы, позиционируемые как средства контроля, обладают функционалом, достаточным для хищения.

Заключение

Проверка смартфона на наличие шпионского программного обеспечения в современном контексте перестала быть мерой, актуальной исключительно для лиц, подозревающих супругов в неверности, или для предприятий, опасающихся конкурентной разведки. Финансово-ориентированное вредоносное ПО превратило смартфон в инструмент прямого хищения денежных средств, причем механизм хищения часто не оставляет жертве возможности своевременно обнаружить атаку: overlay-экраны неотличимы от настоящих интерфейсов, SMS-коды перехватываются до того, как пользователь их увидит, а входящие звонки от банка блокируются.

В этих условиях экспертное исследование устройства выполняет двойную функцию. С технической стороны оно устанавливает факт компрометации и механизм воздействия вредоносной программы. С процессуальной — преобразует технические данные в доказательство, пригодное для защиты нарушенного права: для пересмотра банком решения об отказе в возврате средств, для возбуждения уголовного дела, для взыскания убытков с лиц, виновных в распространении вредоносного ПО.

Предложенная в работе четырехуровневая система экспертного сопровождения — от предварительного анализа до судебной экспертизы — позволяет избрать формат исследования, соответствующий стадии, на которой находится потерпевший, и целям, которые он преследует. Ключевым критерием при выборе формата является не только стоимость, но и процессуальные последствия: справка информирует, заключение убеждает, экспертиза доказывает.

Для предприятий дополнительным аргументом в пользу систематической проверки устройств, имеющих доступ к финансовым системам, является предотвращение ущерба, который многократно превышает стоимость любой из форм экспертного исследования. Хищение с расчетного счета организации влечет не только прямые потери, но и репутационные издержки, а также риск оспаривания сделок контрагентами.