Минцифры отправило в профильные ведомства проект третьего пакета мер для борьбы с мошенниками. Forbes ознакомился с документом. Сайты хотят обязать по три года хранить данные о пользователях, даже если они удалили аккаунт, а в смс-рассылках предлагают запретить указывать какие-либо персональные данные получателя. Не все эти нормы возможно реализовать, считают участники рынка

По IP вычислить

Минцифры подготовило проект третьего пакета мер по борьбе с телефонным и кибермошенничеством. Документ был разослан ряду ведомств письмом от 1 июля (есть в распоряжении Forbes). В частности, поправки в закон «Об информации» предполагают, что сайты и приложения будут хранить сведения о регистрации, авторизациях и удалении аккаунтов пользователей три года, чтобы предоставлять их по запросу силовым органам.

Новые требования предлагается наложить и на виртуальные АТС, то есть сервисы интернет-телефонии для бизнеса. Новые поправки предполагают, что виртуальные АТС смогут оказывать услуги только тем клиентам, что используют российские IP-адреса. А хостинг-провайдеры, в свою очередь, могут предоставлять вычислительные мощности виртуальным АТС только на российских IP-адресах. Кроме того провайдеры хостинга должны предоставлять в соответствующий реестр IP-адреса, которые им принадлежат. 

Поправкой в закон «О связи» Минцифры предлагает запретить в смс-рассылках указывать персональные данные получателя и его близких родственников. Еще одна поправка в закон «О связи» расширяет перечень данных, которые в течение трех лет должны хранить операторы связи и передавать силовым службам по запросу. В него предложено добавить и информацию об IP-адресах и портах абонента, которые использовались при заключении договора об оказании мобильных услуг связи, с указанием точного времени заключения этого договора. 

Также предложено собирать в ГИС «Антифрод» сведения о мошенниках, включая их телефонные номера и данные, используемые для доступа к интернет-ресурсам, в том числе если они были получены неправомерным путем. 

Вступить в силу поправки должны с 1 марта 2028 года.

В апреле директор департамента развития технологий цифровой идентификации Минцифры Татьяна Скворцова анонсировала третий пакет мер по борьбе с телефонным и кибермошенничеством. В мае РБК со ссылкой на замглавы ведомства Ивана Лебедева перечисляло меры, которые могут войти в третий пакет. Forbes ранее писал о том, что в третьем пакете антимошеннических мер может быть обязательство подтверждать значимые действия в интернете через смс-сообщения или мессенджер «Макс». Однако этой меры в поправках, отправленных по ведомствам от 1 июля, не было.

Первый пакет мер против телефонного и кибермошенничества был принят Госдумой в марте 2025 года. А в июне этого года был принят и второй пакет мер. 

Еще предстоит доработать

В Минцифры подчеркнули, что это не финальная версия третьего пакета антифрод-мер, а предложения отрасли и ведомств, которые еще предстоит проработать. «Говорить о том, какие из предложенных мер войдут в финальную версию, преждевременно. В частности, предстоит еще этап общественного обсуждения, после которого также будут вноситься изменения», — добавили в министерстве. В ведомстве предполагают, что требование хранить сведения о регистрации, авторизации и удалении аккаунтов пользователей сайтами и приложениями в финальную версию документа не войдет. 

Источник Forbes в телекоммуникационной отрасли отметил, что норма про запрет персональных данных в смс-сообщениях на данный момент выглядит практически неисполнимой. «Персональными данными можно признать почти любую информацию о клиенте, включая баланс, сумму операции, задолженность, номер договора, номер телефона и тарифный план», — пояснил он. «При этом, например, банки обязаны направлять клиентам сведения по банковским операциям по закону. Непонятно и как операторы должны проверять содержание смс-сообщений с учетом тайны связи», — добавил источник Forbes в телекоммуникационной отрасли. 

В «Мегафоне» сообщили, что предметно комментировать компания будет готова после публикации проекта. В «Вымпелкоме» (бренд Билайн) отметили, что изучают законопроект и поддерживают меры, которые помогают защищать абонентов от мошенников и при этом являются справедливыми и соразмерными. «Ростелеком» отказался от комментариев. В МТС не ответили на запрос Forbes. 

Источник Forbes, близкий к Минцифры, говоря о том, почему в ГИС «Антифрод» предлагается хранить неправомерно собранную информацию о мошенниках, отметил, что при обсуждении еще первого пакета антифрод-мер бизнес высказывал сомнение, что это возможно сделать, из-за ограничений закона о персональных данных, а также нормах о тайне связи, банковской тайне. Если мошенник отзовет согласие на обработку информации о себе, манипуляции с его данными со стороны коммерческой компании становятся незаконными, также существуют и ограничения на передачу данных, содержащих тайны. Судя по всему, эта поправка призвана обойти это требование.

Как пояснил собеседник Forbes, участвующий в обсуждении документа, под этой формулировкой имеется в виду база дропперов (люди, которые участвуют в обналичивании похищенных мошенниками денег), которые неправомерно получают данные о абонентских номерах, банковских картах и прочую личную информацию.

Только российские IP-адреса  

Очередные поправки в закон «О связи» предполагают запрет на доступ к услуге виртуальной АТС с иностранных IP-адресов, пояснил партнер ComNews Research Леонид Коник. «Этот сервис может в России заказать зарубежная компания, получая возможность обзванивать граждан с номеров в российской зоне нумерации. Но точно так же российский заказчик может приобрести у виртуальной АТС телефонные номера зарубежных стран. Например, «дочка» «Ростелекома» Mango Office предлагает телефонные номера 61 страны мира, включая США, Великобританию и 28 стран Евросоюза», — рассказал эксперт.
По словам Леонида Коника, номера других городов и стран нужны для того, чтобы локальные клиенты могли звонить по местным телефонным номерам, то есть адресована компаниям, ведущим федеральный или международный бизнес. Но как это часто бывает с технологией, ее можно использовать не только во благо, но и, например, для телефонного мошенничества или угроз, подчеркнул он.

Хостинг-провайдеры ведут строгий учет всех используемых IP-адресов, отметил генеральный директор хостинг-провайдера RUVDS Никита Цаплин. Они используют системы управления адресами для предотвращения сетевых конфликтов, ведут непрерывные журналы выделения IP конкретным клиентам, а также по закону обязаны хранить эту историю для предоставления правоохранительным органам по официальному запросу, пояснил он.  

В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Газпромбанк, Т-Банк, Россельхозбанк, «Ростелеком», Билайн, МТС, ВТБ, Avito, HeadHunter, Точка Банк, Аналитический центр при правительстве) отметили, что не всегда провайдеры хостинга могут знать, какой софт их клиенты запускают на арендованной инфраструктуре. Кроме того, информация об IP-адресах и их использовании под виртуальную АТС принадлежит клиенту, у провайдера нет доступа к ней, как нет и инструментов постоянного мониторинга. В АБД предлагают вместо контроля со стороны хостинг-провайдеров создать реестр доверенных виртуальных АТС. В таком случае владельцы виртуальных АТС самостоятельно могли бы вносить свои IP-адреса в реестр после аутентификации через «Госуслуги», отметили в ассоциации. При этом операторы связи могли бы принимать голосовой трафик из интернета только с этих «белых» IP-адресов, а трафик с любых других блокировать, заключили в АБД.