Коротко: В первом полугодии 2026 года число заражённых Android-смартфонов в России выросло примерно на 70% год к году — до 1,5 млн устройств. Главная угроза — банковские трояны, ворующие деньги и коды из СМС; их доля растёт, а на сцену выходят новые семейства вроде Rokarolla, нацеленного на 217 банковских и криптоприложений. Антивирус и внимательность важнее всего, а VPN снижает риск на этапе, где заражение часто и начинается, — на поддельных сайтах и в чужих сетях.
Что произошло
30 июня 2026 года «Коммерсантъ» со ссылкой на данные «МегаФона», компаний F6, AppSec Solutions и «Лаборатории Касперского» сообщил: в первом полугодии 2026 года количество выявленных заражений мобильных устройств в России выросло на 70% год к году. Это около 1,5% всех Android-смартфонов в стране — примерно 1,5 млн устройств.
Лидер среди угроз — банковский троян Mamont: его доля выросла с 10–12% годом ранее до 15%. Число управляющих серверов, через которые злоумышленники командуют заражёнными телефонами, подскочило с десятков в первом полугодии 2025 года до 200 к марту 2026-го. Совокупный ущерб от мобильного мошенничества за 2025–2026 годы оценивают более чем в 600 млрд рублей. Как устроена слежка и кража данных через телефон, мы подробно разбираем в статье как защитить телефон от слежки.
Новый троян Rokarolla поднимает планку
Свежий пример этой волны — троян Rokarolla, о котором 16 июня 2026 года сообщила компания Zimperium (подтверждают BleepingComputer и русскоязычный Anti-Malware.ru). Он нацелен как минимум на 217 банковских и криптовалютных приложений и получает почти полный контроль над устройством: в его арсенале не менее 137 удалённых команд.
Работает Rokarolla по классической, но эффективной схеме. Когда вы открываете приложение банка, поверх него всплывает поддельная страница входа — и всё, что вы вводите (логин, пароль, номер карты), тут же уходит злоумышленникам. Троян перехватывает СМС с одноразовыми кодами, ведёт кейлоггинг, делает скриншоты, подменяет содержимое буфера обмена и прячет свою активность обманными оверлеями. Для всего этого он злоупотребляет службами специальных возможностей (Accessibility) Android.
Как трояны попадают в телефон
Ни Mamont, ни Rokarolla не могут заразить телефон сами по себе — их устанавливает сам пользователь. Распространяются они через поддельные сайты, маскирующиеся под популярные приложения: Google Chrome, TikTok, банковские программы, обновления. На этапе установки Rokarolla прикидывается «Google Play Protect», чтобы усыпить бдительность, а затем просит доступ к специальным возможностям — и именно это разрешение открывает ему полный доступ к экрану и вводу.
Ключевой красный флаг — установка APK-файлов из сторонних источников и просьба выдать права Accessibility приложению, которому они по смыслу не нужны. Читалка PDF или «ускоритель батареи», требующий управлять экраном и читать все уведомления, — почти наверняка ловушка.
Что это значит для ваших данных и денег
Для обычного пользователя риск предельно конкретный: это прямая кража денег с банковских карт и счетов, угон аккаунтов и доступ к личной переписке. Современные банковские трояны не ломают шифрование — они обманывают человека и перехватывают то, что он вводит сам. Поэтому защита начинается не с технологий, а с привычек. О том, как безопасно вести операции, — в материале безопасный онлайн-банкинг.
Как защитить телефон и деньги
Ставьте приложения только из официальных магазинов. Google Play и App Store не дают стопроцентной гарантии, но резко снижают риск. Никогда не устанавливайте APK по ссылкам из мессенджеров, СМС и рекламы. Где безопасно брать приложения, мы разбираем в гайде как безопасно скачать VPN.
Не выдавайте права Accessibility кому попало. Если приложение без явной причины просит доступ к специальным возможностям — откажите. Это главный рычаг, которым пользуются банковские трояны.
Включите защиту счетов. Двухфакторная аутентификация, лимиты по картам и уведомления об операциях помогают заметить кражу до того, как деньги уйдут.
Держите систему и Play Protect обновлёнными. Свежие патчи и включённый Play Protect отсекают известные версии зловредов.
Защитите сетевой уровень. Скажем честно: VPN не удалит троян, уже установленный на телефон, — это работа антивируса и осторожности. Но VPN вроде LiMP VPN шифрует трафик в недоверенных сетях и скрывает реальный IP, снижая слежку и риск перехвата на поддельных сайтах и в чужом Wi-Fi — там, где заражение часто и начинается. Как это устроено — на странице возможностей.
Источники
Материал основан на публикациях «Коммерсанта», исследовании BleepingComputer и русскоязычного Anti-Malware.ru за июнь–июль 2026 года.