За первое полугодие 2026 года количество заражённых мобильных устройств в России выросло на 70% по сравнению с тем же периодом прошлого года. Почти полтора миллиона Android-смартфонов уже скомпрометированы, а общий ущерб от действий цифровых мошенников перевалил за 600 миллиардов рублей. Причина такого взрывного роста проста и одновременно тревожна: мы сами устанавливаем вирусы на свои телефоны. Разбираемся, как работает главный мобильный троян страны и можно ли от него защититься.
Что такое «Мамонт»?
Самой серьёзной угрозой для владельцев Android-устройств остаётся банковский троян Mamont. Его доля среди всех выявленных заражений выросла с 10-12% в прошлом году до 15% в текущем, следует из данных систем мониторинга киберугроз «МегаФона».
Mamont — это вредоносная программа, которая после попадания на смартфон получает доступ к обработке СМС-уведомлений, а также к платёжной и личной информации владельца. Троян умеет перехватывать сообщения от банков, видеть пароли из подтверждающих СМС и управлять устройством удалённо. По сути, злоумышленники получают полный контроль над телефоном и всем, что на нём хранится.
Но у этого вируса есть одно слабое место: пользователю нужно самостоятельно установить его на телефон. Вирус не может проникнуть в устройство без ведома владельца — в отличие от многих компьютерных заражений, которые происходят автоматически. Именно поэтому злоумышленникам приходится изощряться в методах обмана: от социальной инженерии до массовых рассылок в мессенджерах.
Активные кампании с использованием Mamont ведутся с 2023 года, отметил руководитель департамента Fraud Protection компании F6 Дмитрий Ермаков. За это время вредоносный функционал серьёзно эволюционировал. Злоумышленники увеличили перечень атакуемых приложений, усовершенствовали механизмы перехвата СМС и управления устройствами.
Почему вирусов стало так много?
Рост активности злоумышленников именно по этому вектору старший управляющий директор AppSec Solutions Антон Башарин связывает с изменением привычек пользователей. В условиях недоступности ряда иностранных приложений в официальных магазинах установка APK-файлов из сторонних источников стала для многих нормой.
Пользователь регулярно ставит APK-файлы из ссылок в мессенджерах и поисковиках. Этим пользуются злоумышленники, создавая поддельный “банк” или “обновление приложения”, — пояснил Антон Башарин.
Дополнительным фактором стал интерес к ИИ-сервисам. Под видом различных нейросетей и чат-ботов с искусственным интеллектом тоже распространяются трояны. Человек видит обещание новой полезной функции, скачивает файл из непроверенного источника и сам запускает вирус на своём устройстве.
Первый значительный всплеск активности вредоносного ПО был отмечен ещё в марте 2025 года, когда число инцидентов выросло в 6,6 раза по сравнению с предыдущим месяцем. С тех пор показатели колебались, но общий тренд оставался неуклонно восходящим, и в текущем году пиковые значения были зафиксированы уже в феврале.
Масштабы атак
О тревожном размахе происходящего говорит не только количество заражённых устройств, но и развитие инфраструктуры киберпреступников. Речь идёт об управляющих серверах — централизованных системах, через которые злоумышленники удалённо управляют вредоносным софтом на скомпрометированных смартфонах.
Если в первом полугодии 2025 года специалисты выявляли лишь несколько десятков серверов Mamont, то осенью их среднемесячное количество превысило 100, а в марте 2026 года достигло 200. По оценке «МегаФона», это свидетельствует о противодействии злоумышленников обнаружению и их нацеленности на массовые атаки.
При этом в последние месяцы специалисты отмечают снижение темпов распространения Mamont. В мае количество выявлений сократилось на 18% по сравнению с апрелем, что повторяет динамику прошлого года. А в июне, по некоторым данным, падение продолжилось — ещё на 36% относительно мая. Однако расслабляться рано: похожая динамика наблюдалась и годом ранее, когда после летнего снижения осенью последовал новый рост заражений.
Сколько это стоит?
Совокупный урон российских пользователей от действий мошенников в цифровых каналах в 2025-2026 годах превысил 600 миллиардов рублей. По данным F6, примерно 1,5% всех Android-устройств в России, а это около полутора миллионов смартфонов, уже скомпрометированы.
Стоит понимать, что 600 миллиардов — это лишь официально зафиксированный ущерб. Реальные потери могут быть гораздо выше, ведь далеко не все жертвы обращаются в полицию или сообщают о случившемся. Многие просто не знают, что их телефон заражён, и продолжают пользоваться им, ежедневно подставляя под удар свои банковские счета.
Что с iPhone?
Владельцы iOS-устройств традиционно чувствуют себя в большей безопасности, и у них есть на то основания. Эксперты F6 отмечают, что iPhone менее подвержены массовым атакам из-за сложности разработки вредоносного ПО для этой платформы.
Однако и здесь не всё безоблачно. За последний год как минимум два iOS exploit kit — DarkSword и Coruna — были замечены в арсенале преступных группировок, нацеленных на кражу финансовой информации. В «Лаборатории Касперского» подтверждают, что инструменты для кибершпионажа, такие как Coruna, могут со временем получать более широкое распространение. Правда, говорить о выходе более сложных и дорогих решений вроде Pegasus или Predator в массовый сегмент пока оснований нет.
Так что владельцам iPhone тоже не стоит терять бдительность. Просто пока что злоумышленникам выгоднее атаковать более многочисленную и уязвимую аудиторию Android.
Как не стать жертвой?
Значительная часть заражений происходит по вине самих пользователей — переход по фишинговым ссылкам в мессенджерах и социальных сетях, установка приложений из непроверенных источников. Люди сами скачивают файлы, не задумываясь о последствиях.
Специалисты «МегаФона» дали несколько практических советов, как обезопасить свои устройства. Прежде всего, необходимо установить антивирусное программное обеспечение и регулярно его обновлять. Скачивать приложения лучше из официальных магазинов, но и там стоит проявлять бдительность: проверять разработчика и внимательно изучать список запрашиваемых разрешений. Если приложение требует доступы, не связанные с его функционалом, — это тревожный сигнал.
Также не стоит игнорировать предупреждения оператора при попытке перейти на потенциально опасные страницы. Оператор анализирует сетевой трафик и при обнаружении подозрительной активности ограничивает доступ к вредоносному ресурсу на уровне сети, а также уведомляет абонента об угрозе. И конечно, лучше избегать подключения к незащищённым публичным Wi-Fi-сетям.
Директор департамента по предотвращению мошенничества и потерь доходов «МегаФона» Сергей Хренов пояснил, что чаще всего заражение связано с установкой программ из непроверенных источников или переходом по ссылкам, которые маскируются под сообщения от знакомых, банков, служб доставки или онлайн-сервисов.
Казалось бы, прописные истины, но именно на них и играют мошенники. Человек в спешке или из любопытства скачивает файл, который обещает доступ к новому сервису или обновлению, и запускает вирус собственными руками. Троян не взламывает телефон — его приглашают войти.
Количество заражений продолжает расти, инфраструктура киберпреступников укрепляется, а методы обмана становятся всё изощрённее. Единственная надёжная защита — это собственная внимательность и здоровый скептицизм ко всему, что приходит по ссылкам из мессенджеров. Телефон — это не просто средство связи, а ключ к банковским счетам, личным данным и цифровой жизни, и этот ключ стоит беречь.