Проект третьего пакета мер по борьбе с мошенничеством ("Антифрод 3.0"), направленный Минцифры в профильные ведомства, предлагает внести поправки в статью 8 части 10 закона "Об информации". Согласно документу, владельцы иностранных сайтов и приложений, работающих в России, должны будут авторизовывать российских пользователей исключительно по номеру телефона. Для отечественных платформ, как указано в проекте, сохранится возможность использовать несколько способов входа.
Помимо самого требования к способу авторизации, законопроект вводит обязанность хранить сведения о регистрации, всех входах в аккаунты и удалении учётных записей в течение трёх лет. Эти данные иностранные интернет-сервисы должны будут предоставлять по запросам правоохранительных органов в рамках оперативно-разыскной деятельности и обеспечения безопасности, пишут «Ведомости» со ссылкой на документ. Таким образом, мера затрагивает не только процедуру идентификации пользователя, но и долгосрочное логирование его активности на платформе.
Фактически инициатива требует от зарубежных площадок либо интегрироваться с российскими системами авторизации и хранения данных, либо передать функции авторизации местному юридическому лицу. Точный перечень иностранных ресурсов, на которые распространятся новые требования, пока не определён. Эксперты, опрошенные изданием, отмечают, что зарубежные компании могут отказаться от создания отдельной системы входа для российских пользователей, что способно привести к сокращению аудитории или ограничению работы сервисов в стране.
Для иностранных компаний, не соблюдающих требования, сейчас предусмотрены штрафы до 700 тысяч рублей. Однако, как указывают юристы, взыскать эти суммы за рубежом практически невозможно. Более действенным инструментом влияния может стать блокировка ресурсов, не выполнивших предписания. Третий антифрод-пакет находится на стадии обсуждения, и окончательная версия законопроекта ещё не сформирована.
Контекст текущего регулирования показывает - российские власти последовательно усиливают контроль за идентификацией пользователей интернет-сервисов. Ранее аналогичные требования уже были введены для некоторых категорий сайтов (например, для мессенджеров и онлайн-кинотеатров). Однако масштабное распространение на все иностранные платформы создаёт новые риски для бизнеса: зарубежные IT-компании должны будут либо технически адаптировать свои системы под требования России, либо мириться с потерей доли рынка. Для многих это может оказаться неоправданным, учитывая санкционные ограничения и общую геополитическую напряжённость.
С точки зрения информационной безопасности, привязка к номеру телефона имеет двойственный эффект. С одной стороны, она усложняет анонимные регистрации, которые часто используют мошенники для создания подставных аккаунтов. С другой - номер телефона сам по себе не является надёжным идентификатором: он может быть украден, перевыпущен или скомпрометирован через СМС-фишинг. Кроме того, централизованное хранение телефонных номеров всех российских пользователей на стороне иностранных сервисов (или их российских "дочек") создаёт дополнительную привлекательную цель для злоумышленников. Утечка такой базы данных позволит атакующим привязать телефонные номера к конкретным личностям и аккаунтам, что повышает риски целевого фишинга и социальной инженерии.
Требование о трёхлетнем хранении логов авторизации также несёт регуляторные и операционные издержки. Для компании, обслуживающей миллионы пользователей, хранение детальных записей о каждом входе и удалении аккаунта - это не только затраты на инфраструктуру, но и потенциальное увеличение поверхности для атаки. Если злоумышленник получит доступ к этим логам, он сможет восстановить схему поведения пользователей, включая частоту и время сессий, что полезно при дальнейших манипуляциях.
Юристы обращают внимание на сложность правоприменения к иностранным платформам, не имеющим представительства в России. Штраф в 700 тысяч рублей для крупной международной компании (например, Meta*, Apple или Google) - незначительная сумма. Реальным рычагом давления может стать блокировка ресурса на территории РФ, что уже применялось к ряду сервисов (LinkedIn, Telegram, Discord). Однако блокировка - крайняя мера, которая лишает доступа десятки миллионов пользователей и вызывает общественный резонанс.
Пока неизвестно, войдут ли все предложенные нормы в окончательный законопроект. Но сама постановка вопроса - обязательная авторизация по номеру телефона для всех иностранных платформ - сигнализирует о движении к более жёсткому регулированию интернет-среды. Для российского пользователя это может обернуться либо усложнением доступа к зарубежным сервисам, либо необходимостью передавать личные данные (номер телефона) компаниям, которые до этого обходились без российской аутентификации. Для бизнеса - дополнительными бюрократическими и техническими барьерами. В условиях, когда многие международные компании уже сократили присутствие в России после 2022 года, новые требования рискуют окончательно вытеснить оставшиеся иностранные платформы из отечественного digital-ландшафта.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.
