どうすれば特定できるか は、スキルとセンスによるので
ある意味企業機密であり、手段を公開することは、
犯行を助長することにもなるので微妙ですね。
ありきたりな手法は、通信ログの収集と、通信先の解析。
短期間では見えないものでも長期的に統計をとれば
特定しやすくなります。それなりの苦労が必要です。
何処に持ち込めば は、目的の程度と予算によって
業者を選定することになると思います。
銀行アプリのパスワードをスマホから盗まれて、
数千万の損害ということなら警察も動くかもしれませんが、
ブラウザのお気に入りを見られたくらいなら、
費用をかけて調査する必要を検討した方がいいと思います。
具体例ではないですが、HDDの誤消去の復旧のケースで、
程度にもよりますが、数十万から数百万程度です。
それと同程度の手間はかかると思います。
他の方も書かれてますが、何度スマホを初期化しても
ハックされてる疑いがあるのなら、案外スマホではなく
スマホ操作時の盗撮の可能性を留意する必要もあります。