Szpiegowanie telefonu partnera bez instalacji aplikacji – czy to możliwe?

Jednoznaczna odpowiedź brzmi tak: da się podejrzeć część danych z telefonu partnera bez instalowania na nim osobnej aplikacji, ale wyłącznie wtedy, gdy ma się dostęp do jego konta iCloud albo konta Google. Pełne, niewidoczne szpiegowanie telefonu partnera bez instalacji aplikacji, czyli odczyt wszystkich SMS-ów, połączeń i komunikatorów bez żadnego śladu, to w dużej mierze mit podtrzymywany przez marketing agresywnych programów typu stalkerware.

Zajmuję się bezpieczeństwem urządzeń mobilnych od kilku lat i regularnie dostaję pytania na ten temat, zwykle od osób w kryzysie zaufania. Rozumiem ten impuls. Nie zmienia to jednak faktu, że technologia ma tu ograniczenia, których żadna reklama w internecie wam nie powie.

Szpiegowanie telefonu partnera bez instalacji aplikacji – co faktycznie da się zrobić?

Rzeczywistość wygląda tak: producenci systemów operacyjnych budowali funkcje odzyskiwania danych i lokalizowania zgubionego sprzętu, a nie narzędzia do inwigilacji drugiej osoby. iCloud i konto Google synchronizują pewną pulę informacji automatycznie, w tle, bez wiedzy użytkownika telefonu. Jeśli znacie login i hasło do takiego konta, możecie zobaczyć część tych danych z poziomu przeglądarki na własnym komputerze. Bez dotykania cudzego telefonu. Bez instalowania czegokolwiek na nim.

Problem w tym, że ta pula jest dużo węższa niż większość osób sobie wyobraża. Historia lokalizacji, kopie zapasowe zdjęć, czasem kontakty i kalendarz. Treści konkretnych rozmów na WhatsAppie czy Messengerze? W zdecydowanej większości przypadków nie, bo te aplikacje szyfrują wiadomości end-to-end i nie zapisują ich w standardowej kopii iCloud w czytelnej formie.

Dlaczego fizyczny dostęp do telefonu wciąż ma znaczenie?

Bo cała masa prawdziwych narzędzi monitorujących, tych legalnych i tych nielegalnych, wymaga przynajmniej jednorazowego dotknięcia urządzenia. Zwykle trzeba znać kod odblokowania, wejść w ustawienia, zaakceptować instalację z nieznanego źródła na Androidzie albo przejść proces na iPhonie związany z autoryzacją nowego urządzenia w chmurze. To nie jest formalność do pominięcia. To jest bramka, przez którą trzeba przejść fizycznie, przynajmniej raz.

Dodam coś z własnego podwórka. Miałem kiedyś znajomego, który chciał “na szybko” sprawdzić telefon swojej dziewczyny przez jakąś stronę reklamującą się jako “zdalny szpieg bez instalacji za 29 zł miesięcznie”. Zapłacił, dostał link do fałszywego panelu logowania Apple, wpisał tam dane iCloud swojej partnerki (które skądinąd znał), i to był koniec historii z jego strony, bo konto zostało przejęte przez kogoś zupełnie innego niż on. Nie ten rodzaj szpiegowania, jakiego szukał.

Jak zdalnie sprawdzić telefon partnera na iPhonie przez iCloud?

Jeśli macie login i hasło do Apple ID drugiej osoby (co samo w sobie rodzi pytania o zgodę, o czym dalej), logujecie się na stronie icloud.com z poziomu przeglądarki. Zobaczycie wtedy mapę z lokalizacją urządzenia w usłudze Znajdź iPhone’a, o ile ta funkcja jest włączona. Zobaczycie też zdjęcia zsynchronizowane z biblioteką zdjęć, kontakty, notatki i kalendarz, pod warunkiem że dana osoba ma włączoną synchronizację tych kategorii.

Czego nie zobaczysz w panelu iCloud?

Treści iMessage i SMS w pełnym zakresie historycznym raczej nie, choć bywają wyjątki związane z kopią zapasową urządzenia, jeśli ktoś akurat zrobił pełny backup na iCloud i macie dostęp do narzędzi do jego odczytu. Rozmów WhatsApp też nie zobaczycie wprost z panelu internetowego Apple, bo ta aplikacja trzyma swoje kopie zapasowe osobno i osobno je szyfruje. Aktywność w aplikacjach randkowych, historia przeglądarki na telefonie, treść powiadomień push z komunikatorów – to wszystko zostaje poza zasięgiem samego konta iCloud.

Czy na Androidzie da się sprawdzić telefon bez instalowania czegokolwiek?

Krócej niż na iPhonie, bo ekosystem Google jest bardziej rozproszony. Macie Find My Device do lokalizacji, macie historię lokalizacji w Google Maps jeśli jest włączona, macie Zdjęcia Google jeśli synchronizacja działa. Jeden szczegół zmienia jednak wszystko na korzyść prywatności właściciela telefonu: nowsze wersje Androida coraz częściej wymuszają dodatkowe potwierdzenie logowania z nowego urządzenia czy przeglądarki, SMS-em albo powiadomieniem push na sam telefon. Czyli druga osoba i tak się o tym dowie, prędzej czy później.

Google Family Link i Find My Device – do czego nadają się naprawdę?

Family Link powstał z myślą o rodzicach i dzieciach, nie o partnerach. Wymaga zgody i konfiguracji na obu urządzeniach, a próba obejścia tego na koncie osoby dorosłej bez jej wiedzy jest i trudna technicznie, i karalna prawnie. Find My Device pokazuje lokalizację, czasem poziom baterii, umożliwia zdalne zablokowanie telefonu. To narzędzia zabezpieczające sprzęt przed kradzieżą, nie narzędzia do śledzenia partnera.

Czy istnieją aplikacje szpiegujące telefon bez instalacji na urządzeniu docelowym?

Tu wchodzimy na grunt mocno zaminowany marketingowo. Większość serwisów reklamujących “monitoring telefonu bez instalacji aplikacji” w rzeczywistości i tak wymaga jednego z dwóch scenariuszy: albo podania danych logowania do iCloud (czyli de facto metoda opisana wyżej, tylko droższa i opakowana w ładny interfejs), albo jednorazowej, krótkiej instalacji czegoś na telefonie, co potem chowa swoją ikonę. Nazywanie tego “bez instalacji” jest naciąganiem definicji, mówiąc wprost.

Branża tego typu oprogramowania ma już swoją nazwę w raportach bezpieczeństwa: stalkerware. Nie szpiegowskie aplikacje rządowe klasy wojskowej, tylko komercyjne programy sprzedawane zwykłym ludziom pod hasłem kontroli rodzicielskiej albo “ochrony związku”. CERT Polska i podobne zespoły reagowania na incydenty od lat monitorują ten segment, bo liczba zgłoszeń dotyczących nękania przez byłych partnerów przy pomocy takich narzędzi rośnie z roku na rok, choć twardych, porównywalnych statystyk między krajami wciąż brakuje.

Czy szpiegowanie telefonu partnera bez jego zgody jest legalne w Polsce?

Nie jest. I to nie jest kwestia interpretacji czy niuansu prawnego, tylko dość twardy przepis. Artykuł 267 Kodeksu karnego penalizuje uzyskanie dostępu do informacji dla niego nieprzeznaczonej poprzez przełamanie albo ominięcie zabezpieczenia. Zalogowanie się na cudze konto iCloud bez zgody, nawet jeśli znacie hasło, bo kiedyś je podejrzeliście, mieści się w tej definicji.

Co grozi za podsłuchiwanie partnera?

Grzywna, ograniczenie wolności albo pozbawienie wolności do lat dwóch za sam nieuprawniony dostęp do informacji. Jeśli dojdzie jeszcze zainstalowanie oprogramowania rejestrującego dźwięk czy obraz bez zgody osoby nagrywanej, w grę wchodzi artykuł 267 paragraf 3, czyli podsłuch, z podobnym zagrożeniem karnym. Rzecznik Praw Obywatelskich wielokrotnie wskazywał na rosnącą skalę spraw związanych ze stalkerware w kontekście przemocy domowej i mobbingu w związkach, więc to nie jest temat teoretyczny ani marginalny.

A co jeśli telefon jest formalnie wspólny, kupiony z jednego konta firmowego albo rodzinnego? Sąd i tak patrzy na to, kto faktycznie z urządzenia korzysta i czy dana osoba ma uzasadnione oczekiwanie prywatności. W praktyce odpowiedź najczęściej brzmi na niekorzyść osoby monitorującej.

Po czym poznać, że ktoś szpieguje mój telefon?

Kilka sygnałów warto traktować poważnie, choć żaden z osobna nie jest stuprocentowym dowodem.

Bateria rozładowuje się wyraźnie szybciej niż do tej pory, mimo że sposób korzystania z telefonu się nie zmienił, a w tle pracują procesy, których nie rozpoznajecie z poziomu listy aplikacji, co bywa objawem działania ukrytego oprogramowania monitorującego lokalizację albo nagrywającego dźwięk w sposób ciągły.

Telefon się nagrzewa bez wyraźnego powodu.

Dziwne powiadomienia o logowaniu z nieznanego urządzenia na Apple ID albo koncie Google, o ile w ogóle do was docierają, bo część stalkerware potrafi je blokować.

Transfer danych w tle rośnie, co widać po szybszym zużyciu pakietu internetowego.

Dobry pomysł w takiej sytuacji to sprawdzenie listy urządzeń zalogowanych do swojego konta Google czy Apple ID z poziomu ustawień bezpieczeństwa i wylogowanie wszystkich nierozpoznanych sesji. Zmiana hasła do konta, najlepiej z włączeniem weryfikacji dwuetapowej, zamyka furtkę, przez którą ktoś mógł podglądać dane bez dotykania waszego fizycznego telefonu.

Jakie są legalne alternatywy dla szpiegowania partnera?

Rozmowa. Wiem, brzmi banalnie obok tematu takiego jak oprogramowanie monitorujące, ale to jedyna metoda, która nie kończy się sprawą karną ani rozpadem zaufania w jeszcze gorszy sposób niż ten, który już istnieje. Jeśli podejrzenia dotyczą bezpieczeństwa dziecka, a nie partnera, zupełnie inną sprawą są legalne narzędzia kontroli rodzicielskiej z jawną konfiguracją na obu urządzeniach i wiedzą dziecka o ich istnieniu.

Terapia par, mediacja, a w skrajnych przypadkach konsultacja z prawnikiem rodzinnym, jeśli podejrzenia dotyczą zdrady mającej konsekwencje majątkowe czy opiekuńcze – to droższe rozwiązania niż aplikacja za 29 złotych miesięcznie. Za to nie kończą się wyrokiem z artykułu 267 Kodeksu karnego.

Czy firmy oferujące “szpiegowanie telefonu bez instalacji” działają legalnie?

Większość z nich zastrzega w regulaminie, drobnym druczkiem na dole strony, że produkt jest przeznaczony wyłącznie do monitorowania własnych dzieci albo własnych pracowników na firmowym sprzęcie, za ich zgodą. To klauzula chroniąca samą firmę, nie was. Jeśli kupicie taki produkt i użyjecie go wobec partnera bez jego wiedzy, odpowiedzialność karna spada na was, nie na dostawcę oprogramowania. Sąd Najwyższy w kilku orzeczeniach dotyczących podsłuchu w relacjach prywatnych potwierdzał zresztą, że sama intencja “sprawdzenia, czy jestem zdradzany” nie wyłącza bezprawności działania.

Mimo to rynek tych aplikacji rośnie, bo popyt jest spory, a świadomość prawna kupujących zwykle niska.

Co dzieje się z danymi po ich zdalnym odczycie z chmury?

To pytanie pada rzadziej niż powinno. Jeśli logujecie się na cudze konto iCloud przez przeglądarkę na komputerze, zostawiacie ślad: adres IP, typ urządzenia, czasami lokalizację logowania. Apple i Google rejestrują te zdarzenia i w razie sprawy karnej czy cywilnej te logi są możliwe do odzyskania przez organy ścigania na wniosek prokuratury. Innymi słowy, metoda “bez instalacji aplikacji” wcale nie oznacza braku śladów cyfrowych po waszej stronie.

Prawnik zajmujący się sprawami rozwodowymi, z którym rozmawiałem przy okazji pisania o tym temacie, zwrócił uwagę na jeszcze jedną rzecz: dowody zdobyte w sposób nielegalny, na przykład właśnie przez nieuprawnione logowanie na konto partnera, w polskim procesie cywilnym teoretycznie mogą zostać dopuszczone przez sąd, ale jednocześnie osoba, która je zdobyła, naraża się równolegle na odrębną odpowiedzialność karną za sam sposób ich pozyskania. Dwie sprawy toczące się osobno, czasem w tym samym czasie.

Jak zabezpieczyć własny telefon przed szpiegowaniem przez partnera?

Włączcie weryfikację dwuetapową na koncie Google i Apple ID. To jedna zmiana w ustawieniach, zajmuje kilka minut.

Regularnie przeglądajcie listę urządzeń zalogowanych do waszych kont, dostępną w sekcji bezpieczeństwa.

Nie udostępniajcie kodu blokady ekranu nikomu, nawet partnerowi, z którym jesteście razem od lat, bo to właśnie ten kod otwiera drzwi do instalacji czegokolwiek na telefonie w kilka sekund, gdy wyjdziecie z pokoju po szklankę wody.

Aktualizujcie system operacyjny, bo producenci regularnie łatają luki wykorzystywane przez twórców stalkerware do ukrywania aplikacji przed standardowym menedżerem aplikacji.

Szpiegowanie telefonu partnera bez instalacji aplikacji – gdzie leży granica między ciekawością a przestępstwem?

Granica leży dokładnie w momencie, w którym zaczynacie działać bez zgody drugiej osoby, niezależnie od tego, czy robicie to przez chmurę, czy przez fizyczny dostęp do telefonu. Technologia bywa tu drugorzędna wobec prawa. Można mieć dostęp czysto techniczny do konta partnera, bo znacie hasło od lat, i mimo to złamać przepis, bo zgoda na znajomość hasła nie jest tym samym co zgoda na przeglądanie prywatnych wiadomości.

Więc zanim klikniecie “zaloguj” na cudzym koncie iCloud, zadajcie sobie pytanie, czy jesteście gotowi na konsekwencje opisane w artykule 267 Kodeksu karnego. Bo prawo nie rozróżnia między “tylko sprawdziłem lokalizację” a “zainstalowałem pełny program szpiegujący”. Rozróżnia za to świadomy brak zgody, a to jest dokładnie to, co dzieje się w większości opisanych tu scenariuszy.

Pytania i odpowiedzi

• Czy można sprawdzić SMS-y partnera bez dostępu do telefonu? W pełnym zakresie zwykle nie, bo większość komunikatorów szyfruje wiadomości i nie zapisuje ich w czytelnej formie w kopii iCloud ani na koncie Google.
• Czy iCloud pokazuje lokalizację telefonu bez zgody właściciela? Pokazuje, jeśli ktoś zna login i hasło oraz funkcja Znajdź iPhone’a jest włączona, ale wykorzystanie tego bez zgody jest w Polsce czynem karalnym z artykułu 267 Kodeksu karnego.
• Jaka kara grozi za zainstalowanie aplikacji szpiegującej na telefonie partnera? Grzywna, ograniczenie wolności albo pozbawienie wolności do lat dwóch, a przy dodatkowym nagrywaniu dźwięku możliwa jest surowsza kwalifikacja z tego samego artykułu.
• Czy aplikacje reklamujące się jako “szpieg bez instalacji” naprawdę działają bez dotykania telefonu? W zdecydowanej większości przypadków wymagają albo danych logowania do chmury, albo jednorazowej instalacji ukrywającej ikonę, więc nazwa “bez instalacji” bywa mylącym chwytem marketingowym.
• Jak sprawdzić, czy mój telefon jest monitorowany? Warto przejrzeć listę zalogowanych urządzeń w ustawieniach konta Google i Apple ID, zwrócić uwagę na szybsze rozładowanie baterii i nietypowy transfer danych w tle.
• Czy Google Family Link można wykorzystać do śledzenia dorosłego partnera? Nie powinno się tego robić, bo narzędzie zostało zaprojektowane do nadzoru rodzicielskiego nad kontem dziecka i wymaga jawnej, dwustronnej konfiguracji.

Jeśli po przeczytaniu tego wszystkiego nadal zastanawiacie się, jak ominąć te ograniczenia, mam dla was jedno zadanie zamiast kolejnej porady. Napiszcie na kartce, co konkretnie chcecie się dowiedzieć o swoim partnerze. A potem zadajcie mu to pytanie wprost, tej samej nocy. Zobaczycie, że to krótsza droga niż szukanie kolejnej aplikacji obiecującej cud bez instalacji.

Bibliografia:
1. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
2. CERT Polska – https://cert.pl
3. Rzecznik Praw Obywatelskich – https://bip.brpo.gov.pl
4. Sejm Rzeczypospolitej Polskiej, Kodeks karny – https://www.sejm.gov.pl
5. Policja – https://www.policja.pl
6. NASK Państwowy Instytut Badawczy – https://www.nask.pl
7. Apple Support – https://support.apple.com
8. Google Safety Center – https://safety.google