Forbes || Блокировка за компанию: бизнес выступил против третьего пакета антифрод-мер

Третий пакет мер против телефонного и кибермошенничества вызвал серьезные опасения у бизнеса. Отраслевые ассоциации указывают на риски избыточного регулирования: от неоправданной нагрузки на IT-инфраструктуру компаний до сбоев в операционной деятельности из-за массовой блокировки сим-карт. Эксперты считают, что без четких критериев такие меры могут привести к росту издержек и убыткам для бизнеса. Безопасность должна строиться на сбалансированном подходе, исключающем задвоение требований и неоправданные простои критически важных сервисов, подчеркивают участники рынка

«Создавать неоправданную нагрузку»

Бизнес раскритиковал третий пакет антифрод-мер, который Минцифры разместило на портале regulation.gov.ru 30 сентября для общественного обсуждения. Документ дополняет первый и второй антифрод-пакеты, его инициативы должны помочь бороться с телефонными мошенниками и злоумышленниками, действующими через интернет. Регулирование коснется продажи сим-карт, подключения eSIM, согласий на обработку персональных данных и входа пользователей на онлайн-платформы.

Forbes ознакомился с отзывами отраслевых ассоциаций и организаций, опубликованными на портале. «Все поступившие предложения рассматриваются и будут дополнительно проработаны с заинтересованными госорганами, — заверяют в Минцифры. — Говорить о том, какой будет финальная версия документа, пока преждевременно».

Одна из мер третьего пакета предполагает хранение платформами данных о регистрациях и авторизациях всех пользователей в течение трех лет. В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Т-Банк, Россельхозбанк, Билайн, МТС, ВТБ, Avito, HeadHunter, Точка Банк, Аналитический центр при правительстве) отмечают, что из-за этого всем владельцам сайтов придется больше, чем прежде, тратить средств на хранение информации, а издержки будут «несоизмеримы со степенью важности такой информации для предотвращения преступлений в интернете». Норма распространяется на любые сайты: с акциями и маркетинговыми активностями, игровые порталы без возможности взаимодействия пользователей, порталы для сотрудников, не предназначенные для внешней аудитории, и другие ресурсы, не представляющие интереса для правоохранительных органов. Хранение факта авторизации пользователя в течение трех лет будет «создавать неоправданную нагрузку» на владельца сайта при избыточной обработке персональных данных, уверены в АБД.

Кроме того, отмечает ассоциация, законопроект не конкретизирует, какие именно сведения имеет в виду: это может привести к тому, что потребуется хранить все события авторизации, включая значительный объем технической информации, ненужной для противодействия мошенничеству.

Требования хранить данные об авторизации следует применять к публичным клиентским ресурсам, исключив внутренние корпоративные и закрытые межкорпоративные сервисы, полагают в Ассоциации компаний интернет-торговли (АКИТ, в нее входят RWB, Ozon, «Магнит», «Лента», DNS, «М.Видео» и др.).

При этом и АБД, и АКИТ в своих отзывах отмечают, что сейчас те же сведения, о которых идет речь, хранят и передают правоохранительным органам так называемые организаторы распространения информации (ОРИ), входящие в одноименный реестр. В АКИТ считают, что для ОРИ не должно возникать задвоения регулирования, а также требований о новых каналах передачи информации. В случае принятия новая норма должна предусматривать исключение в отношении субъектов ОРИ, уверены в ассоциации.

Одним махом

Еще одна норма третьего пакета антифрод-мер предусматривает отключение всех сим-карт абонента, если одна из них была использована для противоправных действий. Таким образом могут, например, отключить сразу все сим-карты, выделенные юрлицу или ИП, потому что абонентом в этом случае является не конечный пользователь, а сама организация.

Массовая блокировка всего корпоративного пула из-за одного номера может отключить кассы, платежные терминалы, контакт-центры и сервисы защиты номера пользователя, предостерегают в АКИТ. «Последствия затронут добросовестных работников и клиентов, не связанных с событием, и могут остановить продажи и обслуживание», — добавили в ассоциации. Ограничение должно применяться к конкретному номеру, противоправное использование которого подтверждено, убеждены в АКИТ.

Сигнал о возможном мошенничестве в отношении одного корпоративного номера не должен приводить к отключению всего парка номеров организации, согласны в АБД, ведь в этом случае есть риск, что к этому приведет необоснованная жалоба или ложноположительное срабатывание антифрод-системы. «Это крайне негативно повлияет на операционные процессы компании: тысячи номеров в рамках технологии защиты абонентского номера перестанут работать, то есть пользователи не смогут безопасно связываться друг с другом, компании — оказывать голосовую поддержку пользователей, взаимодействовать по иным рабочим вопросам», — поясняют в ассоциации.

Обеспокоены и члены Ассоциации эксплуатантов воздушного транспорта (АЭВТ, объединяет в первую очередь авиаперевозчиков России и другие организации, тесно связанные с индустрией). Авиакомпании активно используют различное мобильное оборудование, которое работает на сим-картах — например, планшеты пилотов, в которые загружается вся полетная информация, необходимая для выполнения рейса. Но если один номер, зарегистрированный на авиакомпанию, будет скомпрометирован, перевозчик может потерять сразу все сим-карты. Это может привести к полной остановке или «существенному усложнению обеспечения операционной деятельности перевозчика», отмечают в АЭВТ.

О своих опасениях сообщает также и основной поставщик электроэнергии в Москве и Подмосковье «Мосэнергосбыт». Отключение сим-карт юрлица может привести к прекращению работы M2M-устройств (machine-to-machine, используются для передачи данных между устройствами), участвующих в работе многих операционных процессов компании. «Новая норма не предусматривает проверки, действительно ли с помощью этой сим-карты были совершены какие-то противоправные действия или нет. Не предусмотрено и уведомление абонента о том, что какие-то из его сим-карт отключены», — обращают внимание в «Мосэнергосбыте».

Безопасность — это всегда поиск баланса между риском ошибки и достижением гарантированного результата, размышляет партнер ComNews Research Леонид Коник. «Количество сим-карт, которые можно оформить на одного человека, уже ограничено. Поэтому мошенникам остается добывать сим-карты у юрлиц, благо ограничений по количеству у них нет. Некое условное ООО «Мосзагибтруба» вполне может решиться подзаработать, оформив на себя и продав сотню-другую сим-карт. При этом от блокировки всего пула сим-карт в случае выявления противоправных действий по одной из них наверняка будут страдать и добросовестные компании — в любой сложной технической системе возможны ошибки», — говорит он.

Частное определение

Также третий пакет антифрод-мер предлагает дать правительству полномочия устанавливать требования к корпоративным VPN-сетям (Virtual Private Network, «виртуальная частная сеть»). Такие VPN часто используются для безопасного доступа сотрудников к рабочим системам, в том числе размещенным в облаке. Например, компания может хранить базы данных и использовать рабочие программы на серверах облачного провайдера, а подключение сотрудников к ним организовывать через VPN.

Если новые требования к таким VPN окажутся слишком сложными для выполнения, сотрудники могут потерять доступ к рабочим системам, даже если сами облачные серверы продолжают исправно работать, считают в АБД. В первую очередь это касается иностранных клиентов, которым может быть сложно пройти предусмотренные процедуры уведомления, добавляют там. Такое регулирование приведет к снижению потребления облачных сервисов и уходу клиентов из-за недоступности ресурсов, возвратам платежей и компенсациям за нарушение уровня доступности, а с разбором обращений и восстановлением доступа будут связаны дополнительные расходы бизнеса, считают в АБД.

Для хостеров и облачного бизнеса корпоративный VPN — это не сервис обхода ограничений, а базовая инфраструктура для организации защищенного доступа, напоминает генеральный директор хостинг-провайдера RUVDS Никита Цаплин. «Так, без VPN невозможно администрировать серверы и безопасно подключать заказчиков к их ресурсам. Не получится и проводить обновление ПО и драйверов для оборудования», — перечисляет он.

Легальный бизнес готов к прозрачным правилам, основной риск — в широте трактовок и дальнейшей неопределенности, рассуждает Цаплин. Например, если корпоративные VPN вместе с сервисами по обходу ограничений будут внесены в одну категорию без четких критериев, это, по его мнению, приведет к ошибочной квалификации целей использования и спорным блокировкам.

«В конечном итоге это выльется в долгий процесс устранения последствий, крайне нежелательный для заказчика. Для бизнеса любой простой в доступе к своей инфраструктуре — прямые убытки и нарушение SLA (service level agreement, соглашение об уровне предоставления услуги. — Forbes), потому часть заказчиков может переключиться на облака в on-premise (то есть на собственных серверах компании) или уйти к зарубежным провайдерам», — считает эксперт.

Анастасия Гаврилюк
19 октября 2026 года, Редакция Forbes.