Российский бизнес опасается массовых отключений сим-карт из-за нового антимошеннического пакета

Минцифры предложило третий антифрод-пакет. Бизнесу он очень не понравился. Проект обязывает хранить данные об авторизациях пользователей три года и отключать все сим-карты организации, если на одной из них поймали нарушение. Отраслевые ассоциации заявили, что под раздачу попадут не мошенники, а компании с кассами, колл-центрами и даже самолётами.

Поправки ведомство опубликовало на портале общественного обсуждения 30 сентября 2026 года. Документ трогает правила продажи сим-карт, подключения eSIM, обработки персональных данных и авторизации на сайтах, то есть почти весь стек, через который злоумышленники добираются до людей. Forbes изучил замечания бизнеса, и восторга там мало. В Минцифры сообщили, что предложения рассмотрят вместе с профильными госорганами, а окончательная версия поправок пока не определена, поэтому спорные нормы ещё могут измениться.

Ассоциация больших данных, где состоят «Яндекс», VK, «Сбер», МТС, «Билайн» и Avito, указала, что формулировка про трёхлетнее хранение логов слишком широкая. Под неё могут угодить не только сервисы с аккаунтами и платежами, но и площадки, которые вряд ли интересны следователям по делам о мошенничестве, например:

• игровые порталы, где посетители не общаются друг с другом;
• сайты с рекламными акциями и розыгрышами;
• внутренние корпоративные порталы для сотрудников.

Хранить цифровые следы три года придётся и там, где польза для правоохранителей сомнительна. Расходы на хранилища, по оценке ассоциации, могут оказаться несоразмерными результату. Точного перечня данных в проекте нет, поэтому при широком толковании сервисам придётся копить не только факт входа, но и гору технических событий вокруг каждой авторизации, то есть логи размером с небольшой дата-центр.

Интересно, что часть этих обязанностей уже существует. Организаторы распространения информации из реестра и сейчас хранят сведения о пользователях и передают их уполномоченным органам.

Ассоциация компаний интернет-торговли, где собрались RWB, Ozon, «Магнит» и DNS, вместе с Ассоциацией больших данных предупредила о риске дублирования требований, из-за которого компаниям придётся городить второй конвейер сбора и передачи тех же сведений.

Самое болезненное предложение касается отключения всех сим-карт абонента, если хотя бы одна из них использовалась для противоправных действий. В корпоративном договоре абонентом выступает вся организация, а не сотрудник с конкретным номером, поэтому нарушение на одной симке способно выключить весь корпоративный пул. Ассоциация компаний интернет-торговли предупредила, что такое отключение парализует работу:

• кассового оборудования и платёжных терминалов;
• контакт-центров;
• сервисов защиты абонентских номеров.

Компания рискует потерять возможность принимать платежи, обрабатывать заказы и обслуживать покупателей, а значит, пострадают и российские пользователи, которые к подозрительной активности не имеют отношения. Ассоциация больших данных потребовала применять санкции адресно, потому что антифрод-системы ошибаются, и ложное срабатывание на одном номере не должно вырубать тысячи остальных.

Ассоциация эксплуатантов воздушного транспорта напомнила, что планшеты пилотов с полётной документацией работают через сим-карты, и потеря корпоративного набора грозит авиакомпании остановкой работы.

«Мосэнергосбыт», один из основных поставщиков электроэнергии в Москве и области, использует M2M-устройства, которые обмениваются данными автоматически и участвуют в производственных процессах через мобильную сеть. Компания указала на два пробела:

• нет обязательной проверки, что конкретная сим-карта действительно использовалась для противоправных действий;
• нет требования уведомлять организацию о блокировке её номеров.

Уточняется, что без уведомления бизнес узнает о блокировке, когда замолчат терминалы, датчики и планшеты.

Партнёр ComNews Research Леонид Коник отметил, что при разработке антифрод-регулирования нужно закладывать вероятность ошибок в сложных технических системах. Физлицо может оформить на себя ограниченное число сим-карт, поэтому мошенники ищут обход через юрлиц, и недобросовестная организация способна заработать на оформлении и продаже сотен номеров, заявил Леонид Коник. Если за нарушение на одном номере вырубать весь пул, пострадают и компании, которые живут по закону, а даже хорошо настроенная детекция не застрахована от ложных срабатываний.

Участники рынка настаивают на более точном механизме реагирования и просят разработчиков:

• ограничить обязанность хранить данные публичными сервисами для клиентов;
• освободить организаторов распространения информации от повторного регулирования;
• отключать только тот номер, где нарушение подтверждено;
• прописать порядок проверки оснований и уведомления пострадавшей организации.

Эксперты CISOCLUB отметили, что желание ударить по мошенникам понятно, но проект напоминает попытку выключить свет во всём доме ради одной перегоревшей лампочки. Трёхлетние хранилища авторизационных логов превращаются в готовый склад для утечек, и каждый лишний терабайт становится новой мишенью для хакеров. Блокировка всего пула сим-карт по сигналу антифрод-системы без обязательной проверки открывает дорогу к злоупотреблениям, потому что ложный сигнал на один номер способен выключить связь целой компании.

Отключение конкретного номера после подтверждения нарушения решает ту же задачу без побочного урона. Для авиакомпаний, энергетиков и других игроков с критичной инфраструктурой нужны белые списки и уведомление за разумный срок до любых ограничений. Пока документ обсуждается, российским компаниям стоит заранее прикинуть, сколько процессов держится на корпоративных сим-картах.

Ранее сообщалось, что правительство намерено осенью 2026 года внести в Госдуму пакет мер «Антифрод 3.0», направленный на борьбу с телефонным и интернет-мошенничеством. Законопроект предусматривает изменения в правилах обращения SIM-карт, электронных платежей, работы хостинг-провайдеров и SMS-рассылок, а также обработки персональных данных. О подготовке документа сообщил представитель МВД Сергей Калинин. Предполагается, что основные положения пакета вступят в силу 1 марта 2028 года.