Минцифры открыло третий антифрод

Третий пакет антифрод-мер, которые должны вступить в силу с марта 2028 года, представлен на общественное обсуждение. Среди прочего Минцифры предлагает по запросу ФСБ и МВД отключать номера потенциальных мошенников, ввести систему согласий на передачу персональных данных и требовать от хостинг-провайдеров проверять своих клиентов через реестр Роскомнадзора.

Выйти из полноэкранного режима

Развернуть на весь экран

Минцифры опубликовало на regulation.gov.ru 30 сентября проект пакета антимошеннических поправок к законодательству «Антифрод 3.0». Документ вносит правки в законы «О связи», «О персональных данных», «Об информации» и другие. Вступление в силу поправок ожидается с 1 марта 2028 года. “Ъ” отправил запрос в Минцифры.

Так, предлагается ограничить продажу сим-карт через агрегаторы (например, маркетплейсы) — такое право остается только за самим оператором. Заключать договоры на поставку услуг связи от имени оператора смогут лишь юрлица (ИП и физлица не смогут) по агентскому договору. Онлайн такой договор можно будет заключить только через электронную подпись.

«Учитывая роль малого и среднего бизнеса в экономике и фокус на поддержке сегмента государством, мы считаем крайне важным сохранение этого канала продаж»,— отмечают в «Т2 Мобайл». В компании уверены, что выработка «понятных критериев» работы позволит сохранить возможность продаж сим-карт субдилерами. В «МегаФоне» поддерживают ужесточение регулирования рынка сим-карт для борьбы с мошенничеством, но считают требование об исключении ИП из числа дилеров избыточным. В «Вымпелкоме» отказались от комментариев, в МТС не ответили “Ъ”.

Еще одним нововведением стало то, что если в устройстве есть eSIM, то договор должен содержать данные об этом устройстве и его идентификаторе. Использовать виртуальные телефонные станции можно будет только через российские сетевые адреса из специального реестра.

Кроме того, если ФСБ или МВД через ГИС «Антифрод» сообщит, что номер используется для противоправных действий, оператор должен будет приостановить услуги связи по этому номеру и всем номерам, выделенным абоненту по договорам, и уведомить об этом ГИС. Если за 15 суток не подтвердится, что номер, выделенный юрлицу или ИП, используется, это станет отдельным основанием для приостановки услуг связи.

Кроме того, в законопроекте осталась мера по созданию единой платформы согласий на передачу персональных данных (см. “Ъ” от 3 августа).

Также законопроект запрещает использовать в СМС-рассылках персональные данные получателя и его близких, за исключением предусмотренных законом случаев. Появляется требование к иностранным партнерам-исполнителям операторов маркетплейсов: в течение одного дня с подписания гражданско-правового договора он должен направить свой абонентский номер оператору, а тот — передать его в ГИС. Проверять соответствие данных будет Роскомнадзор. В закон о платформенной экономике добавляется обязанность платформы сообщать о продаже сим-карты, если такая продажа запрещена.

Отдельный блок мер посвящен новому регулированию провайдеров хостинга. Так, хостер сможет сдавать свои мощности в аренду только тому клиенту, который прошел идентификацию и предоставил сведения о цели использования вычислительных мощностей. Также клиентов потребуется проверить по специальному реестру Роскомнадзора, в котором перечислены лица, не выполнившие требования закона об удалении запрещенной информации. Хостеры не смогут давать участникам реестра мощности в течение года с момента включения в реестр. По запросу силовых органов или КИИ-организаций провайдер обязан прекратить предоставление услуг для противодействия кибератакам. В Роскомнадзоре на запрос “Ъ” не ответили.

Если на сайте или в информсистеме есть форма авторизации, то их владельцы обязаны будут хранить данные три года и предоставлять их силовым органам по запросу. При этом российские сайты будут обязаны авторизовывать пользователей одним из способов: по номеру телефона, через ЕСИА, через биометрию или через свою систему, соответствующую требованиям защиты информации (владелец — гражданин РФ без второго гражданства или российское юрлицо под контролем РФ). Иностранные же сайты смогут авторизовать пользователей в России только по номеру телефона.

Требования хранить данные о регистрации и авторизациях три года и передавать их силовикам и прежде существовали применительно к отдельным категориям приложений для так называемых организаторов распространения информации, отмечает руководитель отдела ИБ «СКБ Контур» Александр Дельва. По его словам, их распространение на любые приложения создаст дополнительную нагрузку на владельцев, операторов или тех, кто эксплуатирует сервисы.

Основной риск в том, что пока в проекте пакета об антифроде нет переходных положений, отмечает ИТ-директор ГК «КОРУС Консалтинг» Максим Копов. По его словам, около 80% работы определяется подзаконными актами. По обычной практике такие акты выходят за недели или месяцы до вступления закона в силу. «Крупные игроки с их бюджетами, критичностью сервиса и локализацией деятельности внутри РФ, скорее всего, уложатся в сроки. У среднего и малого бизнеса шансов намного меньше»,— предупреждает он.

Филипп Крупанин