Минцифры вынесло на общественное обсуждение новый пакет мер против кибермошенничества — «Антифрод 3.0». Проект затрагивает операторов связи, сайты, хостинг-провайдеров, маркетплейсы и работу с персональными данными, а вступление изменений в силу запланировано на 1 марта 2028 года.

Документ опубликован на Федеральном портале проектов нормативных правовых актов. Поправки предлагается внести в законы «О связи», «О персональных данных», «Об информации» и ряд других нормативных актов.

Что входит в пакет «Антифрод 3.0»

Среди ключевых мер, предложенных Минцифры:

  • отключение номеров, которые, по сведениям МВД или ФСБ, используются для противоправных действий;
  • ограничение продажи сим-карт через посредников и агрегаторы, включая маркетплейсы;
  • создание единой платформы согласий на передачу персональных данных;
  • новые правила авторизации пользователей на сайтах;
  • обязанность хостинг-провайдеров проверять клиентов перед предоставлением мощностей;
  • дополнительные требования к маркетплейсам.

Отключение номеров по данным силовых органов

Одна из самых заметных мер — возможность приостанавливать услуги связи по номеру, если ФСБ или МВД передадут сведения о его использовании в противоправных действиях через государственную систему «Антифрод».

В этом случае оператор должен будет:

  • приостановить услуги связи по указанному номеру;
  • приостановить обслуживание остальных номеров, выделенных этому абоненту по договорам;
  • уведомить систему «Антифрод» о выполнении меры.

Что изменится в продаже сим-карт

Проект предлагает ограничить продажу сим-карт через агрегаторы: такое право хотят оставить только за самими операторами связи. Также меняются условия работы посредников.

  • Агентские договоры предлагается разрешить только юрлицам — индивидуальные предприниматели и физлица не смогут оформлять договоры от имени оператора.
  • Для онлайн-оформления договора потребуется электронная подпись.
  • При использовании eSIM в договор нужно будет включать сведения об устройстве и его идентификаторе.

Отдельно в проекте указано, что виртуальные АТС можно будет использовать только через российские сетевые адреса из специального реестра.

Новые правила для сайтов и авторизации пользователей

Законопроект вводит разные способы входа для российских и иностранных сайтов.

Для российских сайтов

  • по номеру телефона;
  • через ЕСИА;
  • с помощью биометрии;
  • через систему, соответствующую требованиям защиты информации.

Для иностранных сайтов

  • для пользователей в России — только по номеру телефона.

Кроме того, владельцев сайтов и информационных систем с формой авторизации хотят обязать хранить данные о регистрации и входах пользователей в течение трех лет и предоставлять их по запросу силовых органов.

Для бизнеса это означает потенциальный рост требований к инфраструктуре, хранению логов и юридическому оформлению процессов авторизации. Особенно это важно для интернет-магазинов, сервисов с личными кабинетами, маркетплейсов, SaaS-платформ и любых проектов, где есть регистрация пользователей.

Что меняется в работе с персональными данными и SMS

В проекте сохранилась идея создания единой платформы согласий на передачу персональных данных. Также предлагается ограничить содержание SMS-рассылок: в сообщениях хотят запретить использование персональных данных получателя и его близких, кроме случаев, прямо предусмотренных законом.

Для маркетологов и владельцев баз это сигнал заранее пересмотреть шаблоны SMS-коммуникаций, формулировки согласий и сценарии персонализации сообщений.

Новые обязанности для хостинг-провайдеров

Согласно проекту, Роскомнадзор будет вести реестр лиц, которые размещают на мощностях хостинг-провайдеров ресурсы и программы для доступа к заблокированным в России сайтам и сетям и не исполняют требования закона «Об информации».

Хостинг-провайдеров хотят обязать:

  • идентифицировать клиента;
  • получать сведения о целях использования мощностей;
  • проверять клиента по специальному реестру Роскомнадзора.

Если клиент включен в такой реестр, предоставлять ему мощности будет нельзя в течение года с момента включения.

Что потребуется от маркетплейсов

Для иностранных партнеров-исполнителей операторов маркетплейсов проект вводит отдельное требование: после заключения гражданско-правового договора они должны будут сообщать свой абонентский номер. Затем оператор платформы передаст номер в государственную информационную систему, а Роскомнадзор проверит соответствие данных.

Также платформы хотят обязать сообщать о продаже сим-карты, если такая продажа запрещена.

Когда изменения могут вступить в силу

Сейчас законопроект находится на этапе общественного обсуждения. Если его примут, основные изменения должны вступить в силу 1 марта 2028 года.

При этом значительная часть практического применения будет зависеть от подзаконных актов, которые уточнят порядок исполнения новых требований. Для бизнеса это означает, что оценивать будущую нагрузку пока можно только предварительно, но готовиться к изменениям в процессах авторизации, хранении данных и работе с подрядчиками стоит заранее.

На практике «Антифрод 3.0» означает усиление контроля над идентификацией пользователей, каналами связи и обработкой данных. Владельцам сайтов, маркетологам, SEO- и PPC-специалистам важно заранее проверить формы входа, сбор согласий, SMS-коммуникации и требования к хранению логов, чтобы избежать спешной перестройки ближе к 2028 году.

Совет эксперта Analito

Проверьте, какие способы входа используются на сайте или в сервисе: авторизация через зарубежные аккаунты, нестандартные виджеты и внешние провайдеры могут потребовать переработки. Отдельно зафиксируйте, где и как хранятся логи регистраций и входов.

Пересмотрите формы согласий на обработку и передачу персональных данных, а также шаблоны SMS-рассылок. Если в сообщениях используются имя, телефон или другие персональные данные получателя, стоит заранее оценить юридические риски и подготовить нейтральные версии сообщений.

Если проект связан с телефонией, виртуальной АТС, eSIM, маркетплейсом или хостингом, запросите у подрядчиков план адаптации к новым требованиям. Это поможет заранее понять, какие доработки понадобятся в CRM, личном кабинете, договорной базе и процессах идентификации клиентов.

Частые вопросы

Нужно ли уже сейчас менять авторизацию на сайте?

Пока нет: проект находится на стадии общественного обсуждения. Но аудит текущих способов входа и хранения логов лучше провести заранее, чтобы оценить объем доработок.

Кого затронут новые требования сильнее всего?

В первую очередь сайты с личными кабинетами, интернет-магазины, маркетплейсы, SaaS-сервисы, хостинг-провайдеров и компании, которые активно используют SMS и телефонию.

Когда правила точно начнут действовать?

Если законопроект примут, базовая дата вступления в силу — 1 марта 2028 года. Но конкретный порядок исполнения многих норм еще должны определить подзаконные акты.