«Антифрод 3.0» оставит продажу SIM-карт только операторам и их прямым агентам-юрлицам, а хостеров обяжет сверять клиентов с реестром Роскомнадзора. Операторы связи защищают ИП-дилеров, а эксперты KazanFirst предупреждают: под удар попадут небольшие салоны, которые обеспечивают «последнюю милю», а мошенники продолжат оформлять номера на реальных людей «за вознаграждение». Сайтам же придется три года хранить данные о входах — для пользователей это «еще одна потенциальная база» для утечек.
Минцифры опубликовало третий пакет мер против кибермошенников. Главный блок законопроекта касается продажи SIM-карт, которые остаются одним из основных инструментов мошенников. Покупать их через маркетплейсы и агрегаторы не получится: продавать смогут только сам оператор и юрлица, у которых с ним прямой агентский договор. Индивидуальных предпринимателей и физлиц из этой цепочки исключат.
SIM-карты должны будут продаваться с нулевым балансом, а уже активированные карты продавать запретят. Если договор заключают онлайн, понадобится электронная подпись. Маркетплейсы обязаны будут сообщать о попытках запрещенной продажи SIM-карт на своих площадках.
Отдельные требования вводятся для eSIM: в договоре нужно будет указывать данные устройства и его идентификатор. Виртуальные автоматические телефонные станции (АТС) разрешат подключать только по российским сетевым адресам из специального реестра.
Общественное обсуждение проекта продлится до 15 октября. Если закон примут, основные нормы вступят в силу 1 марта 2028 года.
Операторы выступили против исключения ИП из числа продавцов SIM-карт. В «Т2» «Коммерсанту» заявили, что продажи через субдилеров стоит сохранить, а сделать это позволит выработка «понятных критериев». В «МегаФоне» одобрили более жесткие правила на рынке SIM-карт, но исключение ИП из числа дилеров там считают избыточным. В «Вымпелкоме» от комментариев отказались, в МТС на запрос не ответили.
Также по запросу ФСБ или МВД, переданному через систему «Антифрод», операторы будут обязаны приостанавливать обслуживание номеров, связанных с противоправной деятельностью. Причем заблокируют не только сам номер, но и все остальные номера этого абонента.
Еще одна мера касается СМС: в сообщениях запретят использовать персональные данные получателя и его близких, если закон прямо этого не разрешает. Кроме того, на Госуслугах появится единая платформа, через которую россияне смогут управлять согласиями на обработку персональных данных.
Ограничения для хостинг-провайдеров были уже во втором пакете, третий их ужесточает. Хостеры должны будут идентифицировать клиентов и выяснять, для чего им нужны мощности. Перед тем как сдать серверы, провайдер будет обязан проверить клиента по реестру Роскомнадзора, куда вносят тех, кто не удалил запрещенную информацию. Попавшие в реестр не смогут арендовать российские мощности в течение года. По оценке SecurityLab, запрет коснется не только VPN, но и прокси, и других способов обойти блокировки.
Требования не распространяются на государственные системы, органы власти и корпоративные VPN с ограниченным кругом пользователей. Прямого запрета на использование VPN гражданами в проекте нет. Кроме того, по запросу силовых органов или владельцев объектов критической информационной инфраструктуры хостер будет обязан прекратить оказание услуг, если это нужно для отражения кибератаки.
«Антифрод 3.0» обяжет российские сайты и приложения авторизовывать пользователей одним из четырех способов: по номеру телефона, через ЕСИА, по биометрии или через собственную систему входа. Владельцем такой системы должен быть гражданин России без второго гражданства или юрлицо под российским контролем. Данные о регистрации и входах придется хранить три года и передавать силовым органам по запросу. Иностранным сервисам в России разрешат авторизацию только по номеру телефона.
«Отток пользователей на зарубежные серверы вполне вероятен»
Руководитель ИТ-департамента «ОБИТ» Кирилл Тимофеев объясняет логику новых правил продажи SIM-карт так: чем меньше посредников между оператором и абонентом, тем проще контролировать движение SIM-карт и тем сложнее мошенникам получить «серые». При этом, по его словам, сегодня субдилерская сеть обеспечивает доступность связи, особенно в регионах и небольших населенных пунктах. Эксперт допускает, что при обсуждении проекта могут рассмотреть дополнительные меры, чтобы легальная розница не сократилась. Например, усилить существующие процедуры контроля за субдилерами и ответственность за нарушения.
Официальная цель ограничений для хостеров — ликвидировать «неконтролируемые серые зоны», которые злоумышленники могут использовать в мошеннических схемах и кибератаках, отмечает Тимофеев. Сама норма, по его словам, становится дополнительным централизованным механизмом контроля за обходом блокировок и накладывает новые обязательства на хостинг-провайдеров.
— Отток части пользователей на зарубежные серверы (VPN) при принятии законопроекта вполне вероятен, но масштаб будет зависеть от того, как на практике и насколько корректно будет действовать фильтрация, — сказал Тимофеев KazanFirst.
Для крупных интернет-сервисов новые требования станут скорее дополнительной, но решаемой задачей. У небольших сайтов и приложений нагрузка может быть заметно выше: расходы уйдут на новые интеграции и безопасность данных.
— Чем дольше данные хранятся и чем больше их состав, тем выше потенциальные последствия компрометации. Поэтому принципиально важно, чтобы вместе с обязанностью хранить данные были четко определены понятные механизмы технической реализации требований, — подчеркнул эксперт.
«Как закон отделит незаконное применение VPN от деловых и технических сценариев?»
Генеральный директор компании «Геопейджер» Иван Проскура назвал ограничения на продажу SIM-карт «неоднозначной мерой». По его словам, они могут заметно сократить один канал — многоступенчатую и слабо контролируемую дистрибуцию через субдилеров, но не более того.
— Рассчитывать, что запрет ИП и субдилеров сам по себе перекроет поток SIM-карт к мошенникам, не стоит. Останутся оформление номеров на реальных людей за вознаграждение, использование уже действующих номеров до вступления ограничений, виртуальных и зарубежных SIM-карт, — сказал Проскура в беседе с KazanFirst.
Зато под удар, по его оценке, попадут небольшие салоны связи, которые обеспечивают «последнюю милю»: продают связь вместе с ремонтом техники и аксессуарами там, где оператору невыгодно открывать собственный салон. Вместо запрета эксперт предлагает переходную модель, при которой регулирование будет бороться «не с самой формой бизнеса, а с реальными рисками мошенничества».
С ограничениями для хостеров главный вопрос, по словам Проскуры, — где проходит граница. VPN и прокси действительно используют, чтобы скрывать источник атак, размещать фишинговые сайты и обеспечивать работу нелегальных кол-центров. Но этими же инструментами пользуются компании для удаленной работы, доступа к облакам и работы разработчиков.
— Непонятно, как закон отделит незаконное применение от обычных деловых и технических сценариев, — отметил эксперт.
Требования к авторизации, считает он, рискуют оказаться непропорциональными:
— Небольшой сервис с несколькими тысячами пользователей не должен нести те же издержки, что банк, маркетплейс или социальная сеть.
Трехлетнее хранение «абсолютно точно» увеличивает риски утечек, считает эксперт.
— Утечки персональных данных в России стали настолько частой проблемой, что люди с недоверием относятся к любому новому сбору информации. Для пользователя очередное требование хранить данные — это еще одна потенциальная база, которая может попасть в открытый доступ, — заключил он.
Comment section