Keylogger kojarzy się najczęściej z niewielkim programem, który zapisuje wszystko, co użytkownik wpisuje na klawiaturze. W praktyce mechanizm może być znacznie bardziej złożony, a samo przeglądanie listy zainstalowanych aplikacji nie wystarczy, aby go wykluczyć.

Keylogger może działać jako samodzielny program, element większego pakietu malware, moduł narzędzia zdalnego dostępu albo urządzenie fizycznie podłączone pomiędzy klawiaturą a komputerem. Niektóre rozwiązania przechwytują wyłącznie naciśnięcia klawiszy. Inne łączą tę funkcję z wykonywaniem zrzutów ekranu, kopiowaniem zawartości schowka, zbieraniem danych przeglądarki lub przesyłaniem informacji poza komputer.

MITRE ATT&CK klasyfikuje keylogging jako technikę przechwytywania danych wejściowych i wskazuje, że może być wykorzystywany przede wszystkim do zdobywania danych uwierzytelniających oraz innych informacji wpisywanych przez użytkownika. Technika może występować w systemach Windows, macOS i Linux.

Najważniejsze jest jednak jedno: keylogger nie musi powodować wyraźnych objawów.

Komputer może działać normalnie, klawiatura może zachowywać się prawidłowo, a użytkownik nie musi widzieć żadnego podejrzanego okna.

Dlatego pytanie „jak wykryć keylogger?” wymaga połączenia kilku metod.

Co dokładnie robi keylogger?

Klasyczny keylogger rejestruje klawisze naciskane przez użytkownika.

Jeżeli wpisujemy:

• login do poczty,
• hasło,
• treść wiadomości,
• nazwę klienta,
• fragment dokumentu,
• adres strony,

oprogramowanie przechwytujące wejście może próbować zapisać te informacje.

Nie oznacza to jednak, że keylogger automatycznie widzi wszystko, co znajduje się na komputerze.

Jeżeli hasło zostało automatycznie uzupełnione przez menedżera haseł i użytkownik go nie wpisuje, klasyczny mechanizm rejestrujący wyłącznie klawiaturę może go nie przechwycić. Złośliwe oprogramowanie może jednak posiadać również inne moduły, na przykład przechwytywanie schowka, ekranu czy danych przeglądarki.

Dlatego podczas analizy nie należy traktować określenia „keylogger” jako nazwy jednego konkretnego programu.

W praktyce jest to funkcja przechwytywania danych wpisywanych przez użytkownika, która może być częścią znacznie większego narzędzia.

Keylogger programowy i sprzętowy to dwie różne rzeczy

Podstawowy podział obejmuje keyloggery programowe i sprzętowe.

Keylogger programowy

Działa wewnątrz systemu operacyjnego.

Może uruchamiać się razem z komputerem, działać jako proces w tle, usługa, komponent innego programu albo część złośliwego oprogramowania.

Technicznie przechwytywanie klawiszy może odbywać się na różne sposoby. MITRE opisuje między innymi przechwytywanie zdarzeń klawiatury za pośrednictwem interfejsów systemowych, odczyt danych wejściowych oraz wykorzystanie sterowników lub modyfikacji systemowych.

Dla użytkownika ważniejszy od konkretnej metody jest skutek: program może działać bez widocznego okna i zbierać informacje w tle.

Keylogger sprzętowy

Nie musi instalować żadnego programu w systemie.

Może występować jako fizyczne urządzenie umieszczone pomiędzy przewodową klawiaturą a portem komputera albo jako zmodyfikowany element sprzętu.

W takim przypadku skanowanie systemu programem antywirusowym może nie wykazać samego urządzenia, ponieważ rejestrowanie odbywa się poza systemem operacyjnym.

Dlatego przy poważnym podejrzeniu należy sprawdzić także fizyczne połączenia komputera, szczególnie gdy ktoś miał dostęp do stanowiska pracy.

Czy keylogger powoduje jakieś objawy?

Czasami tak, ale nie istnieje jeden charakterystyczny objaw.

Podejrzenie mogą wzbudzić na przykład nieznane procesy, nowe programy uruchamiane razem z systemem, nieoczekiwane alerty programu zabezpieczającego albo aktywność sieciowa aplikacji, której użytkownik nie rozpoznaje.

Komputer może również działać wolniej albo wykazywać większe obciążenie procesora, ale są to bardzo słabe wskaźniki.

Dokładnie takie same objawy powodują:

aktualizacje systemu, synchronizacja chmury, program antywirusowy, przeglądarka z wieloma kartami, aplikacje działające w tle albo zwykły problem techniczny.

Dlatego:

wolny komputer nie jest dowodem na keylogger.

Podobnie pojedynczy nieznany proces nie powinien być automatycznie uznawany za malware.

Znacznie ważniejsza jest kombinacja kilku elementów i możliwość wyjaśnienia, do czego dany program służy.

Jak sprawdzić keylogger w Windows?

W Windows pierwszym etapem może być kontrola programów uruchamianych automatycznie.

Microsoft umożliwia zarządzanie aplikacjami startowymi zarówno w Ustawieniach, jak i w Menedżerze zadań. Nie wszystkie mechanizmy trwałego uruchamiania programu są tam widoczne, ale lista startowa jest dobrym miejscem do rozpoczęcia podstawowej kontroli.

Warto zwrócić uwagę na programy:

których użytkownik nie instalował, których producenta nie potrafi ustalić albo których funkcja jest całkowicie niejasna.

Nie oznacza to jednak, że należy od razu je usuwać.

Legalne sterowniki, aplikacje producenta komputera, programy drukarek czy narzędzia aktualizacyjne mogą mieć nazwy, których przeciętny użytkownik nigdy wcześniej nie widział.

Drugim etapem jest sprawdzenie Zabezpieczeń Windows.

Microsoft Defender umożliwia wykonanie szybkiego, pełnego, niestandardowego, a także skanowania offline. Wariant offline uruchamia badanie po ponownym uruchomieniu komputera, zanim zwykły Windows zostanie w pełni załadowany, co utrudnia części złośliwego oprogramowania ukrywanie się podczas skanowania.

Warto również sprawdzić Historię ochrony. Microsoft zapisuje tam wykrycia malware, potencjalnie niechcianych aplikacji i działania podjęte przez Defendera. Historia ta nie jest jednak archiwum bezterminowym. Microsoft wskazuje obecnie, że zdarzenia w tym widoku są przechowywane przez około dwa tygodnie.

Brak wpisu w historii nie oznacza więc automatycznie, że komputer nigdy nie był zainfekowany.

Menedżer zadań nie daje pełnej odpowiedzi

Popularna rada brzmi:

„Otwórz Menedżer zadań i poszukaj keyloggera”.

Problem polega na tym, że złośliwy proces nie musi nazywać się keylogger.exe.

Może używać nazwy przypominającej legalną usługę, być częścią innego programu albo uruchamiać dodatkowe komponenty tylko w określonych warunkach.

Z drugiej strony wiele legalnych procesów systemowych posiada mało zrozumiałe nazwy.

Dlatego samo przeglądanie Menedżera zadań ma ograniczoną wartość, jeżeli użytkownik nie potrafi dalej zweryfikować:

lokalizacji pliku, producenta, podpisu cyfrowego, sposobu uruchamiania oraz powiązania z innymi elementami systemu.

To jeden z powodów, dla których profesjonalna analiza komputera nie ogranicza się do oglądania aktualnie uruchomionych procesów.

Jak sprawdzić keylogger na Macu?

macOS posiada funkcję szczególnie istotną przy tym rodzaju zagrożenia: Input Monitoring, czyli monitorowanie wejścia.

Apple wyjaśnia, że aplikacje posiadające odpowiednie uprawnienie mogą monitorować klawiaturę, mysz lub gładzik nawet podczas korzystania z innych aplikacji. Użytkownik może sprawdzić, którym programom taki dostęp został przyznany, w ustawieniach Prywatność i ochrona.

Nie oznacza to, że każda aplikacja znajdująca się na tej liście jest keyloggerem.

Legalne narzędzia do skrótów klawiaturowych, automatyzacji, zarządzania urządzeniami wejściowymi czy pracy zdalnej również mogą potrzebować podobnego dostępu.

Problemem jest przede wszystkim aplikacja:

której użytkownik nie zna, której nie pamięta z instalacji albo która nie powinna według swojej funkcji monitorować klawiatury.

Na Macu warto również sprawdzić elementy uruchamiane podczas logowania i działające w tle.

Apple od macOS 13 rozbudowało widoczność takich komponentów. System obejmuje między innymi login items, launch agents i launch daemons, czyli mechanizmy umożliwiające programom oraz ich pomocniczym komponentom uruchamianie się wraz z systemem lub pracę w tle.

Ponownie sama obecność takiego komponentu nie jest dowodem zagrożenia. Wiele legalnych aplikacji wykorzystuje te mechanizmy.

Dlaczego antywirus może nie wystarczyć?

Program antywirusowy jest jednym z najważniejszych elementów kontroli, ale nie powinien być traktowany jako ostateczny test.

Jeżeli Defender albo inne renomowane rozwiązanie wykryje konkretny keylogger lub malware, jest to bardzo istotna informacja.

Znacznie trudniej interpretować wynik negatywny.

Brak wykrycia oznacza przede wszystkim, że używane narzędzie nie zidentyfikowało znanego zagrożenia podczas danego badania.

Nie daje to automatycznej gwarancji, że:

• system nie został zmodyfikowany,
• nie działa legalny program użyty bez zgody,
• nie istnieje urządzenie sprzętowe,
• nie występuje komponent, którego aktualny silnik nie rozpoznaje jako zagrożenia.

Microsoft sam rozróżnia malware od potencjalnie niechcianych aplikacji, które mogą wykonywać działania niepożądane przez użytkownika, mimo że nie zawsze są klasyfikowane identycznie jak złośliwe oprogramowanie.

Dlatego prawidłowa kontrola łączy skanowanie z analizą konfiguracji.

Keylogger może być częścią narzędzia zdalnego dostępu

Keylogger nie zawsze działa samodzielnie.

Może być jedną z funkcji bardziej rozbudowanego malware umożliwiającego również wykonywanie zrzutów ekranu, kopiowanie dokumentów, obserwowanie aktywności użytkownika czy zdalne sterowanie komputerem.

W takiej sytuacji skupienie się tylko na klawiaturze może prowadzić do przeoczenia znacznie większego problemu.

Dlatego jeśli oprócz podejrzenia przechwytywania haseł występują również nieznane programy zdalnego sterowania, nietypowe sesje albo aktywność sieciowa, warto przeanalizować cały komputer.

Szerzej opisaliśmy ten scenariusz w artykule jak sprawdzić, czy ktoś ma zdalny dostęp do komputera. Artykuł omawia między innymi legalne narzędzia zdalnej pomocy, RAT-y, ruch sieciowy, autostart i inne mechanizmy kontroli.

Keylogger a kamera i mikrofon

Sam keylogger nie musi mieć dostępu do kamery ani mikrofonu.

To osobne funkcje.

Złośliwy program może jednak posiadać kilka modułów jednocześnie. Jeden rejestruje klawiaturę, drugi wykonuje zrzuty ekranu, kolejny wykorzystuje mikrofon.

Dlatego pytanie:

„Czy ktoś zna moje hasło?”

prowadzi do innego kierunku analizy niż:

„Czy ktoś zna rozmowy prowadzone przy laptopie?”

W drugim przypadku keylogger sam w sobie nie wystarczy do wyjaśnienia sytuacji.

Temat dostępu do kamery i innych sensorów szerzej opisujemy w artykule czy kamera w laptopie może szpiegować.

Jak sprawdzić keylogger sprzętowy?

W tym przypadku podstawą jest kontrola fizyczna.

Jeżeli używana jest zewnętrzna klawiatura przewodowa, należy sprawdzić całą drogę przewodu pomiędzy klawiaturą a komputerem.

Szczególną uwagę zwracają dodatkowe adaptery, przejściówki, niewielkie moduły USB albo elementy, których użytkownik wcześniej nie widział.

W komputerze stacjonarnym warto również sprawdzić tylne porty, które często pozostają poza polem widzenia użytkownika.

Nie każdy adapter jest oczywiście keyloggerem. Może to być legalna przejściówka, odbiornik klawiatury bezprzewodowej albo urządzenie firmowe.

Liczy się możliwość wyjaśnienia jego funkcji.

W przypadku laptopa z wbudowaną klawiaturą klasyczne zewnętrzne urządzenie montowane pomiędzy klawiaturą a portem USB nie będzie oczywiście takim samym scenariuszem, dlatego większego znaczenia nabiera analiza systemowa.

Co zrobić, jeśli podejrzewasz keylogger?

Najważniejsze jest ustalenie, czy sytuacja może mieć znaczenie dowodowe.

Jeżeli komputer jest związany ze sprawą prywatną, biznesową albo podejrzeniem celowej inwigilacji, natychmiastowe usuwanie nieznanych programów może nie być najlepszym pierwszym działaniem.

Usunięcie aplikacji, reinstalacja systemu albo wyczyszczenie dysku może zniszczyć informacje pozwalające później ustalić:

co było zainstalowane, kiedy się pojawiło, jak było uruchamiane i czy mogło komunikować się z zewnętrzną infrastrukturą.

Jeżeli podejrzenie jest poważne, warto również unikać wpisywania na takim komputerze nowych haseł.

Zmiana hasła do poczty na komputerze, który rzeczywiście rejestruje klawiaturę, może spowodować, że nowe hasło również zostanie przechwycone.

Bezpieczniej wykonać zmianę z innego, zaufanego urządzenia po ustaleniu zakresu problemu.

Co z hasłami do banku i poczty?

Jeżeli zostanie potwierdzony keylogger albo inne oprogramowanie przechwytujące dane wejściowe, trzeba przyjąć, że informacje wpisywane na urządzeniu mogły zostać ujawnione.

Zakres zależy oczywiście od czasu działania i funkcji programu.

Priorytetem powinny być wtedy konta szczególnie istotne:

poczta elektroniczna, bankowość, konto Google lub Apple, konta firmowe, media społecznościowe i menedżer haseł.

Zmiany powinny być wykonywane z zaufanego urządzenia.

Warto również włączyć uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne, oraz sprawdzić aktywne sesje i urządzenia zalogowane do najważniejszych kont.

Najczęstszy błąd: szukanie jednego procesu o nazwie „keylogger”

Złośliwe oprogramowanie zwykle nie informuje użytkownika o swojej funkcji.

Dlatego poradniki polegające na wyszukiwaniu jednej konkretnej nazwy procesu mają ograniczoną wartość.

Znacznie skuteczniejsze jest podejście warstwowe:

najpierw sprawdzamy system zabezpieczeń i historię wykryć, następnie autostart i elementy działające w tle, uprawnienia systemowe, aplikacje, konta, ruch sieciowy i fizyczne połączenia sprzętowe.

Dopiero połączenie tych informacji pozwala wyciągać bardziej wiarygodne wnioski.

Najczęściej zadawane pytania

Czy keylogger jest widoczny w Menedżerze zadań?

Może być widoczny jako proces, ale nie musi mieć nazwy sugerującej jego prawdziwą funkcję. Niektóre mechanizmy mogą również działać jako część innego procesu lub usługi. Sam Menedżer zadań nie wystarcza do wykluczenia keyloggera.

Czy Windows Defender wykrywa keyloggery?

Microsoft Defender może wykrywać wiele znanych rodzajów malware i umożliwia wykonywanie kilku rodzajów skanowania, w tym skanowania offline. Negatywny wynik nie jest jednak absolutną gwarancją braku każdego możliwego mechanizmu przechwytywania danych.

Czy keylogger może działać bez Internetu?

Tak. Samo rejestrowanie klawiszy nie wymaga stałego połączenia z Internetem. Dane mogą być zapisywane lokalnie i później odzyskane albo wysłane dopiero po nawiązaniu połączenia.

Czy keylogger może przechwycić hasło?

Tak. Jednym z głównych zastosowań keyloggingu jest przechwytywanie danych wpisywanych przez użytkownika, w tym danych uwierzytelniających.

Czy Mac może mieć keylogger?

Tak. MITRE uwzględnia macOS jako jedną z platform, na których występuje keylogging. macOS posiada także specjalne ustawienie Input Monitoring pozwalające sprawdzić aplikacje mające możliwość monitorowania urządzeń wejściowych.

Czy keylogger może być urządzeniem fizycznym?

Tak. Istnieją rozwiązania sprzętowe rejestrujące dane z klawiatury bez klasycznej aplikacji działającej w systemie. Dlatego w określonych sytuacjach potrzebna jest również kontrola fizycznych połączeń komputera.

Czy reinstalacja systemu usuwa keylogger?

Może usunąć część programowych zagrożeń, ale nie powinna być pierwszym działaniem, jeśli ważne jest ustalenie, co znajdowało się na komputerze. Nie rozwiąże też problemu urządzenia sprzętowego podłączonego zewnętrznie.

Profesjonalne sprawdzanie komputera pod kątem keyloggera

W praktyce najważniejsze jest nie samo stwierdzenie, że „antywirus niczego nie znalazł”, ale sprawdzenie kilku niezależnych obszarów systemu.

Analiza może obejmować między innymi:

• programy i procesy,
• autostart i usługi,
• aplikacje działające w tle,
• uprawnienia systemowe,
• narzędzia zdalnego dostępu,
• profile i konta użytkowników,
• ruch sieciowy,
• historię zabezpieczeń,
• fizyczne urządzenia podłączone do komputera.

Biuro Detektywistyczne Arcanum wykonuje kontrole telefonów i komputerów pod kątem inwigilacji na terenie całej Polski. Zakres kontroli dobierany jest do konkretnego przypadku i rodzaju podejrzeń.

Po zakończeniu analizy klient otrzymuje omówienie ustaleń, a wykonane czynności mogą zostać opisane w raporcie.

Najważniejszy wniosek: keylogger nie musi być widoczny jako osobna aplikacja i nie zawsze powoduje zauważalne objawy. Rzetelna kontrola wymaga sprawdzenia systemu, uprawnień, mechanizmów uruchamiania, zabezpieczeń oraz, w odpowiednich przypadkach, również samego sprzętu.

Podejrzenie, że ktoś ma dostęp do telefonu, bardzo często zaczyna się od konkretnej sytuacji. Były partner zna treść prywatnej rozmowy. Ktoś wie, gdzie użytkownik przebywał. Osoba trzecia zna fragment korespondencji z komunikatora albo informacje, które znajdowały się wyłącznie w telefonie.

Pierwsza myśl jest zwykle prosta: na telefonie musi być zainstalowana aplikacja szpiegująca.

Użytkownik zaczyna więc przeglądać listę aplikacji. Nie znajduje niczego podejrzanego i pojawia się kolejne pytanie: skoro nie ma żadnego programu szpiegującego, czy ktoś nadal może mieć dostęp do telefonu?

Odpowiedź brzmi: tak, w określonych sytuacjach dostęp do części danych jest możliwy bez instalowania klasycznej aplikacji szpiegującej na kontrolowanym telefonie.

Nie oznacza to jednak, że można w prosty sposób, bez żadnego mechanizmu działającego na urządzeniu, zdalnie włączyć mikrofon dowolnego telefonu i słuchać jego otoczenia.

To dwie zupełnie różne sytuacje.

Ktoś może mieć dostęp do wiadomości poprzez powiązany komputer. Może korzystać z sesji konta Google lub Apple. Może nadal otrzymywać lokalizację, którą kiedyś udostępniono. Komunikator może być aktywny na drugim urządzeniu. Dane mogą synchronizować się z chmurą.

W żadnym z tych przypadków nie musi istnieć charakterystyczna aplikacja z nazwą, ikoną i widocznym wpisem na ekranie telefonu.

Dlatego profesjonalne sprawdzanie telefonu nie powinno zaczynać się od pytania:

„Czy jest tutaj aplikacja szpiegująca?”

Znacznie ważniejsze pytanie brzmi:

„Do jakich konkretnie informacji osoba trzecia mogła uzyskać dostęp i gdzie te informacje były dostępne?”

Dopiero odpowiedź na to pytanie pozwala prawidłowo ustalić kierunek kontroli.

Co właściwie oznacza „podsłuch telefonu”?

Określenie „podsłuchiwany telefon” jest bardzo szerokie i w praktyce używa się go do opisania wielu zupełnie różnych sytuacji.

Dla jednej osoby podsłuch oznacza, że ktoś czyta jej WhatsAppa.

Dla innej, że były partner zna jej aktualną lokalizację.

Ktoś inny podejrzewa, że telefon nagrywa rozmowy prowadzone w pomieszczeniu.

Jeszcze inna osoba zauważa, że prywatne zdjęcia albo dokumenty są dostępne na komputerze, do którego nie powinna mieć dostępu osoba trzecia.

Technicznie każdy z tych przypadków może mieć inne źródło.

Dostęp do korespondencji może wynikać z urządzenia połączonego z komunikatorem. Lokalizacja może być nadal udostępniana przez legalną funkcję systemu. Zdjęcia mogą synchronizować się z kontem. Dopiero podejrzenie potajemnego wykorzystania mikrofonu prowadzi nas w kierunku aplikacji posiadającej odpowiednie uprawnienia, złośliwego oprogramowania, mechanizmu zarządzania urządzeniem albo znacznie bardziej zaawansowanego ataku.

Dlatego pierwszym etapem jest zawsze zdefiniowanie rodzaju informacji, która mogła wyciec.

Dostęp do konta może wyglądać jak przejęcie telefonu

Współczesny smartfon nie jest samodzielnym urządzeniem przechowującym wszystkie dane wyłącznie we własnej pamięci.

Telefon współpracuje z kontem Google lub Apple, chmurą, komputerami, tabletami, komunikatorami, pocztą, usługami lokalizacyjnymi i kopiami zapasowymi.

Jeżeli ktoś uzyska dostęp do jednego z tych elementów, właściciel może odnieść wrażenie, że przejęty został sam telefon.

Dobrym przykładem jest konto Google.

Google umożliwia sprawdzenie urządzeń i sesji, które obecnie lub niedawno korzystały z konta. Właściciel może zobaczyć telefony, komputery i inne urządzenia oraz wylogować te, których nie rozpoznaje. Jednocześnie Google zaznacza, że jedno urządzenie może utworzyć kilka sesji, dlatego sam nierozpoznany wpis nie jest jeszcze dowodem włamania.

Podobny mechanizm funkcjonuje w ekosystemie Apple. Użytkownik może sprawdzić urządzenia powiązane z kontem, a na iPhonie dostępna jest również funkcja Kontrola bezpieczeństwa, czyli Safety Check, która pomaga przejrzeć udostępnianie danych, dostęp aplikacji i urządzenia powiązane z kontem Apple.

W praktyce oznacza to, że na telefonie może nie być żadnej podejrzanej aplikacji, a osoba trzecia nadal może posiadać dostęp do określonych danych poprzez konto albo wcześniej autoryzowane urządzenie.

Telefon nie zawsze jest miejscem, w którym znajduje się problem

To jedna z najważniejszych zasad podczas analizy.

Jeżeli ktoś czyta prywatne wiadomości, użytkownik intuicyjnie zaczyna szukać problemu na telefonie.

Tymczasem źródło może znajdować się na komputerze.

Jeżeli to samo konto jest zalogowane na laptopie używanym wcześniej wspólnie z partnerem, część danych może być dostępna właśnie tam.

Podobna sytuacja może dotyczyć tabletu, starego telefonu albo komputera, o którym właściciel dawno zapomniał.

Dlatego sprawdzanie wyłącznie telefonu może prowadzić do błędnego wniosku:

„Telefon jest czysty, więc nikt nie ma dostępu do danych.”

Telefon może być czysty, ale konto już niekoniecznie.

WhatsApp na drugim urządzeniu

Bardzo konkretnym przykładem są urządzenia połączone z WhatsAppem.

WhatsApp pozwala korzystać z tego samego konta na dodatkowych urządzeniach, takich jak komputer, tablet czy telefon pomocniczy. Każde połączone urządzenie komunikuje się z usługą niezależnie, przy zachowaniu szyfrowania wiadomości.

Z punktu widzenia bezpieczeństwa ma to duże znaczenie.

Jeżeli ktoś wcześniej miał dostęp do odblokowanego telefonu i połączył swoje urządzenie z kontem, późniejsze czytanie wiadomości nie wymaga instalowania klasycznego spyware.

Problemem nie jest wtedy złamanie szyfrowania WhatsAppa.

Problem polega na tym, że dodatkowe urządzenie zostało wcześniej autoryzowane jako urządzenie uprawnione do korzystania z konta.

Dlatego w przypadku podejrzenia dostępu do WhatsAppa należy sprawdzić sekcję połączonych urządzeń.

Sama lista aplikacji zainstalowanych w Androidzie lub iPhonie tego nie pokaże.

Signal działa według podobnej zasady

Podobny mechanizm posiada Signal.

Signal umożliwia połączenie z głównym telefonem dodatkowych urządzeń, w tym komputerów, tabletów i innych telefonów. Użytkownik może w każdej chwili przejrzeć listę urządzeń połączonych i usunąć te, których nie rozpoznaje.

Także tutaj szyfrowanie komunikacji nie rozwiązuje problemu, jeśli dodatkowe urządzenie zostało wcześniej legalnie autoryzowane.

To pokazuje szerszą zasadę:

szyfrowanie chroni dane podczas transmisji, ale nie zastępuje kontroli nad urządzeniami, które są uprawnione do ich odczytywania.

Fizyczny dostęp do telefonu jest jednym z najważniejszych czynników ryzyka

W praktyce bardzo często przecenia się zaawansowane ataki zdalne, a niedocenia najprostszego scenariusza.

Ktoś zna kod blokady telefonu.

Partnerzy przez lata korzystali ze swoich urządzeń. Jedna osoba znała kod drugiej. Telefon został na kilka godzin w domu. Ktoś miał możliwość używania go bez obecności właściciela.

Taka sytuacja może być znacznie ważniejsza niż szybkie rozładowywanie baterii czy pojedynczy nietypowy komunikat systemowy.

Osoba posiadająca fizyczny dostęp do odblokowanego urządzenia może sprawdzić komunikatory, konta, ustawienia lokalizacji i inne dane dostępne użytkownikowi. W określonych sytuacjach może również zmienić konfigurację albo powiązać dodatkowe urządzenie.

Dlatego podczas kontroli warto ustalić:

kto znał kod blokady telefonu i kiedy urządzenie mogło znajdować się poza kontrolą właściciela.

To nie dowodzi inwigilacji, ale istotnie zmienia ocenę możliwych scenariuszy.

Ktoś zna moją lokalizację. Czy mam spyware?

Niekoniecznie.

To jeden z najczęstszych przypadków, w których normalne funkcje telefonu są interpretowane jako program szpiegujący.

Lokalizacja może zostać udostępniona drugiej osobie świadomie, na przykład podczas związku, wspólnej podróży albo korzystania z rodzinnych funkcji systemu.

Problem zaczyna się wtedy, gdy użytkownik zapomina, że udostępnianie nadal jest aktywne.

Informacja o położeniu może być również dostępna poprzez konto, aplikację map, komunikator, funkcje rodzinne albo inne usługi.

Dlatego osoba, która dokładnie wie, gdzie znajduje się użytkownik, nie musi automatycznie korzystać ze spyware.

Najpierw należy sprawdzić legalne mechanizmy udostępniania lokalizacji.

Dopiero jeżeli nie wyjaśniają sytuacji, warto analizować bardziej zaawansowane możliwości.

Dostęp do zdjęć i dokumentów również może pochodzić z chmury

Podobnie wygląda sytuacja ze zdjęciami.

Jeżeli fotografia wykonana telefonem automatycznie synchronizuje się z kontem, może pojawić się na innym urządzeniu zalogowanym do tego samego ekosystemu.

Właściciel telefonu może wtedy uznać, że ktoś „wyciągnął zdjęcie z telefonu”.

Technicznie nie musiał tego robić.

Mógł uzyskać je z synchronizowanego konta.

Ta sama zasada może dotyczyć kontaktów, kalendarza, notatek, poczty czy dokumentów.

Dlatego przy podejrzeniu wycieku konkretnego rodzaju informacji należy sprawdzić, gdzie dana informacja jest synchronizowana, zamiast ograniczać kontrolę do pamięci smartfona.

Czy można zdalnie włączyć mikrofon bez instalowania aplikacji?

Tutaj odpowiedź wymaga większej ostrożności.

Jeżeli mówimy o normalnych aplikacjach, zarówno Android, jak i iPhone posiadają mechanizmy kontroli dostępu do mikrofonu i kamery.

Na iPhonie aplikacje muszą żądać dostępu do tych funkcji, a użytkownik może później przejrzeć uprawnienia w ustawieniach prywatności. System wyświetla również wskaźnik podczas używania mikrofonu lub aparatu.

Android posiada Panel prywatności, który pozwala sprawdzić, które aplikacje korzystały między innymi z mikrofonu, kamery i lokalizacji oraz kiedy taki dostęp miał miejsce.

Jeżeli więc zwykła aplikacja korzysta z mikrofonu, istnieją mechanizmy pozwalające przynajmniej częściowo prześledzić jej zachowanie.

Nie oznacza to jednak, że każdy możliwy mechanizm inwigilacji musi być widoczny jako zwyczajna aplikacja znajdująca się na ekranie.

Mogą istnieć aplikacje próbujące ukryć swoją obecność, nadużywać rozszerzonych uprawnień albo działać jako element zarządzania urządzeniem.

Istnieją również bardzo zaawansowane ataki wykorzystujące podatności systemów operacyjnych.

Są to jednak inne scenariusze niż dostęp do konta czy połączonego komunikatora.

Czy istnieje podsłuch telefonu bez kliknięcia i bez instalacji przez użytkownika?

Tak, technicznie istnieją ataki, w których ofiara nie musi świadomie instalować programu, otwierać pliku czy klikać podejrzanego linku.

Takie ataki są często określane jako zero-click.

Nie oznacza to jednak, że powinny być pierwszym podejrzeniem przy każdym nietypowym zachowaniu telefonu.

Apple posiada oddzielny system powiadamiania użytkowników, których według swoich analiz uznaje za potencjalne cele zaawansowanego komercyjnego spyware. Producent podkreśla jednocześnie, że zdecydowana większość użytkowników nigdy nie stanie się celem tego rodzaju ataków.

To bardzo ważna proporcja.

Zaawansowane spyware istnieje i nie powinno się go bagatelizować. Nie należy jednak traktować go jako domyślnego wyjaśnienia sytuacji, w której były partner zna lokalizację albo fragment rozmowy na WhatsAppie.

W większości takich przypadków najpierw należy wykluczyć znacznie prostsze możliwości: dostęp do konta, urządzenie połączone, fizyczny dostęp do telefonu albo aktywne udostępnianie informacji.

Zielona lub pomarańczowa kropka. Czy to oznacza podsłuch?

Nie.

Na iPhonie pomarańczowy wskaźnik oznacza używanie mikrofonu przez aplikację. Zielony informuje o korzystaniu z aparatu albo aparatu i mikrofonu.

Jeżeli użytkownik właśnie prowadzi rozmowę telefoniczną, wysyła wiadomość głosową, nagrywa film albo korzysta z wideokonferencji, pojawienie się wskaźnika jest normalne.

Sam wskaźnik nie mówi, dlaczego mikrofon został użyty.

Dopiero sytuacja, w której pojawia się on regularnie bez logicznej przyczyny, powinna skłonić do dokładniejszej kontroli.

Na Androidzie podobną rolę może pełnić Panel prywatności, w którym można sprawdzić historię dostępu aplikacji do mikrofonu i kamery.

Wskaźnik jest informacją do analizy, a nie dowodem na inwigilację.

Czy brak podejrzanej aplikacji oznacza, że telefon jest bezpieczny?

Nie.

To jeden z głównych powodów, dla których nie należy sprowadzać kontroli telefonu do przeglądania ikon.

Poza aplikacjami trzeba sprawdzić między innymi konta, aktywne sesje, urządzenia połączone, uprawnienia, profile zarządzania, udostępnianie lokalizacji i konfigurację sieciową.

W przypadku Androida warto również zwrócić uwagę na Google Play Protect. System sprawdza aplikacje pod kątem potencjalnie szkodliwego działania, także programy pochodzące z innych źródeł niż Google Play, i może ostrzegać, dezaktywować lub usuwać wykryte zagrożenia.

Nie jest to jednak narzędzie dające stuprocentową odpowiedź na pytanie o bezpieczeństwo telefonu.

To jeden element kontroli.

Profile zarządzania i nietypowe uprawnienia

Kolejnym obszarem wymagającym uwagi są mechanizmy zarządzania urządzeniem.

Profile MDM są całkowicie normalnym rozwiązaniem w telefonach służbowych. Firma może za ich pomocą zarządzać urządzeniem, stosować polityki bezpieczeństwa, instalować konfiguracje i kontrolować sposób korzystania ze sprzętu.

Sama obecność MDM nie oznacza więc inwigilacji.

Inaczej należy ocenić sytuację, gdy podobna konfiguracja znajduje się na prywatnym telefonie, a właściciel nie wie, skąd się tam wzięła.

Na Androidzie istotne mogą być również aplikacje posiadające rozszerzone uprawnienia, dostęp do usług ułatwień dostępu, uprawnienia administratora urządzenia, profile służbowe czy nietypowy VPN.

Właśnie dlatego stwierdzenie:

„Nie mam żadnej dziwnej aplikacji”

jest niewystarczające.

A co z kodami „sprawdzającymi podsłuch”?

To jeden z najbardziej rozpowszechnionych mitów internetowych.

W mediach społecznościowych można znaleźć filmy pokazujące kod wpisywany w aplikacji telefonu, który rzekomo ma natychmiast powiedzieć, czy ktoś podsłuchuje urządzenie.

Najczęściej takie kody dotyczą funkcji operatora, na przykład przekazywania połączeń.

Przekierowanie połączenia nie jest jednak równoznaczne z potajemnym słuchaniem rozmowy.

Jeżeli połączenie jest kierowane na inny numer zgodnie z konfiguracją usługi, mamy do czynienia z funkcją telekomunikacyjną, a nie automatycznie ze spyware.

Dlatego numer wyświetlony po wpisaniu kodu nie jest sam w sobie dowodem na podsłuch telefonu.

Bateria, temperatura i spowolnienie telefonu

Szybsze zużywanie baterii, nagrzewanie się smartfona czy chwilowe spowolnienie systemu mogą wystąpić przy działającym w tle oprogramowaniu.

Problem polega na tym, że dokładnie takie same objawy powodują dziesiątki normalnych czynników.

Aktualizacja systemu, synchronizacja zdjęć, słaby zasięg, nawigacja, streaming, zużyta bateria, intensywna aplikacja społecznościowa czy tworzenie kopii zapasowej również mogą powodować zwiększony pobór energii.

Dlatego objawy tego rodzaju nie powinny być analizowane w oderwaniu od innych informacji.

Szerzej opisaliśmy je w artykule jak sprawdzić, czy telefon jest podsłuchiwany, który omawia zarówno rzeczywiste sygnały ostrzegawcze, jak i częste fałszywe alarmy.

Nowy artykuł odpowiada na inne pytanie: co zrobić, gdy nie znaleziono aplikacji, a mimo to istnieją konkretne przesłanki wskazujące na dostęp do danych?

Czy zmiana hasła wystarczy?

To zależy od źródła problemu.

Jeżeli ktoś posiada nieautoryzowany dostęp do konta, zmiana hasła jest ważna, ale powinna być połączona z przeglądem aktywnych urządzeń i sesji.

Warto również sprawdzić sposób odzyskiwania konta oraz włączyć uwierzytelnianie dwuskładnikowe, jeżeli wcześniej nie było aktywne.

Jeżeli natomiast problem znajduje się bezpośrednio na urządzeniu, zmiana hasła do konta może nie rozwiązać wszystkiego.

Dlatego przed wykonaniem kolejnych kroków trzeba ustalić, czy zagrożenie dotyczy:

konta, telefonu, komunikatora, drugiego urządzenia czy kilku elementów jednocześnie.

Czy reset telefonu rozwiązuje problem?

Reset do ustawień fabrycznych może być skutecznym działaniem w określonych przypadkach, ale nie powinien być automatycznie pierwszym krokiem.

Jeżeli chcemy ustalić, co działo się na urządzeniu, reset może usunąć informacje przydatne podczas analizy.

Co więcej, reset telefonu nie zmienia automatycznie bezpieczeństwa całego ekosystemu.

Jeżeli źródłem problemu jest przejęte konto, aktywna sesja na innym urządzeniu albo dostęp do komunikatora, samo wyczyszczenie telefonu może nie rozwiązać właściwej przyczyny.

Po ponownym zalogowaniu użytkownik może znaleźć się dokładnie w tym samym środowisku.

Dlatego jeśli sytuacja może mieć znaczenie dowodowe, najpierw warto przeprowadzić kontrolę, a dopiero później podejmować działania, które usuwają dane.

Co sprawdzić w pierwszej kolejności?

Nie istnieje jedna lista właściwa dla każdego przypadku.

Zakres powinien wynikać z tego, co osoba trzecia rzeczywiście wie.

Jeżeli zna treść wiadomości, sprawdzamy komunikatory, urządzenia połączone i konta.

Jeżeli zna lokalizację, zaczynamy od udostępniania lokalizacji i usług powiązanych z kontem.

Jeżeli ma dostęp do zdjęć lub dokumentów, analizujemy chmurę, urządzenia zalogowane do konta i synchronizację.

Jeżeli pojawia się podejrzenie używania mikrofonu, wtedy znaczenia nabierają uprawnienia aplikacji, historia dostępu, konfiguracja telefonu, profile zarządzania i inne mechanizmy działające bezpośrednio na urządzeniu.

Jeżeli osoba trzecia zna informacje z kilku różnych kategorii jednocześnie, zakres należy rozszerzyć na cały ekosystem.

Informacja, która wyciekła, powinna wskazywać miejsce, którego szukamy. Nie odwrotnie.

iPhone. Od czego zacząć?

W przypadku iPhone’a warto najpierw sprawdzić konto Apple i urządzenia powiązane.

Następnie należy przejrzeć udostępnianie informacji oraz uprawnienia aplikacji do mikrofonu, aparatu i lokalizacji.

System iOS pozwala użytkownikowi sprawdzić, które aplikacje żądały dostępu do sprzętowych funkcji telefonu, i odebrać takie uprawnienia.

Istotna może być także funkcja Kontrola bezpieczeństwa.

Jeżeli na urządzeniu znajduje się nierozpoznany profil zarządzania lub konfiguracji, również należy ustalić jego pochodzenie.

Nie wolno przy tym zapominać o innych urządzeniach Apple. Jeżeli użytkownik korzysta z Maca lub iPada, analiza samego iPhone’a może nie wystarczyć.

Android. Od czego zacząć?

Android występuje na urządzeniach wielu producentów, dlatego nazwy ustawień i ich rozmieszczenie mogą się różnić.

Podstawowa logika pozostaje jednak podobna.

Najpierw warto sprawdzić konto Google oraz urządzenia i aktywne sesje. Następnie uprawnienia aplikacji i Panel prywatności.

Google pozwala zobaczyć, które aplikacje korzystały z mikrofonu, kamery i innych chronionych funkcji oraz kiedy taki dostęp występował.

Warto również zweryfikować Play Protect, aplikacje instalowane spoza oficjalnego sklepu, usługi ułatwień dostępu, administratorów urządzenia, profile służbowe, VPN i inne nietypowe konfiguracje.

Dla osób szczególnie narażonych na ukierunkowane ataki Google oferuje również Program ochrony zaawansowanej, który zwiększa ochronę konta i urządzeń oraz ogranicza niektóre potencjalnie niebezpieczne mechanizmy.

Profesjonalne sprawdzanie telefonu to nie uruchomienie jednego programu

To istotne z punktu widzenia klienta.

Nie istnieje jeden przycisk pozwalający stwierdzić:

„telefon jest bezpieczny”

albo:

„telefon jest podsłuchiwany”.

Kontrola powinna wynikać z konkretnego scenariusza.

W zależności od sytuacji analizowane mogą być:

• konta Google lub Apple i urządzenia powiązane,
• aktywne sesje,
• komunikatory i urządzenia połączone,
• aplikacje oraz ich uprawnienia,
• dostęp do mikrofonu, kamery i lokalizacji,
• profile MDM i konfiguracji,
• VPN i ustawienia sieciowe,
• aplikacje administrujące urządzeniem,
• mechanizmy udostępniania danych,
• oznaki nietypowej modyfikacji systemu.

Biuro Detektywistyczne Arcanum prowadzi sprawdzanie telefonów i komputerów pod kątem inwigilacji. Kontrola obejmuje analizę urządzeń pod kątem między innymi aplikacji szpiegujących, złośliwego oprogramowania i innych form nieuprawnionego dostępu.

Najczęściej zadawane pytania

Czy można podsłuchiwać telefon bez instalowania aplikacji?

Dostęp do części danych może odbywać się bez instalowania klasycznej aplikacji szpiegującej na telefonie. Przykładem może być dostęp do konta, urządzenie połączone z komunikatorem albo aktywne udostępnianie lokalizacji. Potajemne wykorzystywanie mikrofonu telefonu jest innym scenariuszem i wymaga mechanizmu działającego na urządzeniu.

Czy ktoś może czytać mój WhatsApp na drugim telefonie?

WhatsApp obsługuje urządzenia połączone, w tym telefony pomocnicze. Dlatego warto sprawdzić listę aktywnych urządzeń i wylogować wszystko, czego użytkownik nie rozpoznaje.

Czy szyfrowanie WhatsAppa i Signala chroni przed połączonym urządzeniem?

Połączone urządzenie jest uprawnionym końcem komunikacji. Problemem nie jest wtedy złamanie szyfrowania, tylko fakt, że urządzenie posiada autoryzowany dostęp do konta.

Czy ktoś może znać moją lokalizację bez aplikacji szpiegującej?

Tak. Lokalizacja może być nadal udostępniana przez funkcję systemową, konto, aplikację albo usługę rodzinną. Dlatego najpierw należy sprawdzić legalne mechanizmy udostępniania.

Czy zielona lub pomarańczowa kropka oznacza podsłuch?

Nie. Oznacza używanie mikrofonu lub kamery przez aplikację. Trzeba ustalić, jaka aplikacja używała sensora i czy odpowiada to normalnej czynności użytkownika.

Czy brak podejrzanych aplikacji oznacza, że telefon jest bezpieczny?

Nie daje to pełnej odpowiedzi. Trzeba również sprawdzić konta, urządzenia powiązane, komunikatory, uprawnienia, udostępnianie danych i konfigurację systemu.

Czy możliwe jest przejęcie telefonu bez kliknięcia w link?

Istnieją bardzo zaawansowane ataki wykorzystujące podatności i niewymagające typowej interakcji użytkownika. Są jednak kierowane przede wszystkim przeciwko konkretnym celom wysokiego ryzyka i nie powinny być pierwszym wyjaśnieniem typowych problemów z prywatnością telefonu.

Czy reset telefonu usuwa każdy rodzaj inwigilacji?

Nie. Reset może pomóc w części przypadków dotyczących samego urządzenia, ale nie zabezpieczy automatycznie przejętego konta, aktywnej sesji na drugim urządzeniu czy zewnętrznego dostępu do komunikatora.

Podsłuch telefonu bez aplikacji. Co jest najważniejsze?

Największym błędem jest szukanie wyłącznie jednej charakterystycznej aplikacji.

Współczesny telefon działa w środowisku połączonych kont, komputerów, tabletów, komunikatorów, chmury i usług lokalizacyjnych.

Dlatego osoba trzecia może posiadać dostęp do określonych informacji mimo tego, że na telefonie nie znajduje się klasyczny program szpiegujący.

Z drugiej strony dostęp do wiadomości lub lokalizacji nie oznacza automatycznie potajemnego używania mikrofonu.

To właśnie dlatego podczas kontroli trzeba rozdzielić trzy pytania:

Co osoba trzecia wie?

Gdzie ta informacja była dostępna?

Jaki mechanizm techniczny mógł zapewnić do niej dostęp?

Dopiero później można prawidłowo sprawdzić urządzenie.

Biuro Detektywistyczne Arcanum wykonuje kontrole telefonów i komputerów pod kątem nieuprawnionego dostępu, aplikacji szpiegujących i innych form inwigilacji. Działamy na terenie całej Polski.

Po zakończeniu kontroli wyniki są omawiane z klientem, a wykonane czynności i ustalenia mogą zostać opisane w raporcie.

Najważniejszy wniosek: brak podejrzanej aplikacji nie oznacza automatycznie braku dostępu do danych. Trzeba sprawdzić nie tylko telefon, ale również konta, urządzenia powiązane, komunikatory i sposób udostępniania informacji.