Антифрод 2.0 по 210-ФЗ: учёт платёжных карт, ГИС «Антифрод» и обязанности бизнеса

«Антифрод 2.0» — это неофициальное название второго пакета мер против телефонного и финансового мошенничества. В России пакет регулируется Федеральным законом от 26 июня 2026 года № 210-ФЗ и применяется к банкам, операторам связи, владельцам агрегаторов и другим указанным в законе участникам. Отдельные нормы пакета развивают положения Федерального закона от 1 апреля 2025 года № 41-ФЗ, которым создана ГИС «Антифрод».

Кратко:

• С 1 сентября 2026 года банки передают сведения о картах и ИНН клиентов в единую систему учёта платёжных карт.
• С 1 марта 2027 года банки, операторы связи и владельцы агрегаторов подключаются к расширенному антифрод-обмену.
• С 1 сентября 2027 года клиент может иметь не более 20 платёжных карт во всех банках.
• ГИС «Антифрод» создана 41-ФЗ, а 210-ФЗ расширяет круг её участников.
• Бизнесу необходимо проверить идентификационные данные, подготовить интеграции и настроить журналирование решений.

Единой даты запуска у пакета нет. Нормы включаются поэтапно с июня 2026 по январь 2028 года, а основной объём требований приходится на 1 марта 2027 года.

Что меняет 210-ФЗ для банков, операторов связи и маркетплейсов

Закон соединяет в одном контуре банковские платежи, услуги мобильной связи, пользовательские устройства и цифровые сервисы. Для подготовки процессов значимы пять направлений, и каждое затрагивает свой участок работы:

• единая система учёта платёжных карт;
• обмен сведениями о признаках противоправных действий в ГИС «Антифрод»;
• дополнительные обязанности операторов по переводу денежных средств при проверке распоряжений клиентов;
• база данных идентификаторов пользовательского оборудования, в обиходе база IMEI;
• подключение владельцев агрегаторов информации о товарах и услугах к антифрод-обмену.

Интеграцией по API дело не ограничится. Кредитным организациям и операторам связи предстоит пересмотреть клиентские договоры, правила мониторинга операций, порядок разбора инцидентов и состав доказательств на случай требования клиента о возмещении похищенных средств.

Ход подготовки пакета мы разбирали в регуляторном дайджесте о проверке возраста и «Антифроде 2.0». Здесь речь идёт о финальной редакции закона.

Когда вступают в силу нормы 210-ФЗ

В законе есть две важные сентябрьские даты, и их легко перепутать, если не развести по смыслу запуск системы учёта карт и введение лимита на их количество. В сентябре 2026 года банки начинают передавать сведения о выданных картах в единую систему учёта — это техническая обязанность, которая на количество карт у клиента пока не влияет. Само ограничение в 20 карт применяется через год, с сентября 2027 года. Все сроки установлены статьёй 11 закона № 210-ФЗ.

Как работает единая система учёта платёжных карт

С 1 сентября 2026 года заработает единая система учёта платёжных карт. В публикациях СМИ её обычно называют реестром банковских карт, однако закон использует наименование «единая система учёта платёжных карт».

Оператором системы выступит оператор Национальной системы платёжных карт (НСПК). Пользователями закон называет Банк России и операторов по переводу денежных средств, но порядок обращения к данным у них различается: операторы передают сведения и получают из системы информацию, необходимую для исполнения своих обязанностей, а Банк России обращается к данным на основании соглашения с АО «НСПК». Поправки в закон о банковской деятельности распространяют этот режим на кредитные организации и на филиалы иностранных банков, которым разрешена такая деятельность.

В систему передаются номера и виды платёжных карт, полученный оператором ИНН клиента-физлица и количество карт, предоставленных клиенту. Закон отдельно обязывает операторов направлять сведения о предоставлении карты и о прекращении её использования, поэтому нужна и первичная передача данных, и последующая актуализация записи.

Сведения системы относятся к банковской тайне, поэтому её оператор не вправе раскрывать их третьим лицам. За разглашение отвечает как сам оператор, так и его работники, причём ответственность включает возмещение причинённого ущерба.

Какие сведения получает Росфинмониторинг

Круг тех, кто работает со сведениями о картах, пользователями системы не исчерпывается. Отдельное правовое основание предусмотрено для Росфинмониторинга. Его установил Федеральный закон от 15 декабря 2025 года № 461-ФЗ, внёсший изменения в статьи 3 и 9 Федерального закона от 7 августа 2001 года № 115-ФЗ. Поправки применяются с 1 сентября 2026 года, то есть одновременно с запуском системы учёта карт. Как устроены антиотмывочные требования в целом, объясняет глоссарий AML, а порядок идентификации клиента — чек-лист удалённой идентификации по 115-ФЗ.

По этим нормам Росфинмониторинг вправе безвозмездно получать от НСПК три группы данных:

• о переводах через систему быстрых платежей Банка России;
• о платежах с использованием универсального платёжного кода;
• об операциях по картам платёжной системы «Мир».

Порядок, сроки, объём и состав информации определяет соглашение между Росфинмониторингом и НСПК, согласованное с Банком России. Взаимодействие ведётся в том числе через личный кабинет. НСПК не вправе раскрывать факт передачи таких сведений, поэтому для клиента подобные запросы остаются невидимыми.

Итог для банка: сведения о картах уходят по двум независимым каналам, у каждого своё правовое основание и отдельное соглашение с НСПК. Банк направляет данные в единую систему учёта по 210-ФЗ, а Росфинмониторинг получает их напрямую от НСПК по антиотмывочным поправкам. Прямой доступ ведомства заменяет прежние массовые запросы в банки, а конкретные правила работы системы учёта установит Банк России.

Зачем системе нужен ИНН клиента

Связать карты одного человека, выпущенные в разных банках, только по фамилии, имени и дате рождения невозможно. Совпадения ФИО и даты рождения не исключены, паспорт со временем меняется, а в анкетах остаются опечатки и незаполненные поля. В такой ситуации система рискует либо объединить записи о разных людях, либо не увидеть связь между картами одного клиента.

ИНН решает эту задачу: он не меняется в течение жизни и одинаково записывается во всех банках, поэтому служит устойчивым связующим идентификатором. Из-за этого качество клиентских данных перестаёт быть внутренним делом KYC — от него напрямую зависит корректность сведений, которые банк передаёт во внешнюю отраслевую систему.

До первой передачи сведений стоит оценить состояние базы по четырём пунктам:

• в каких клиентских профилях ИНН отсутствует;
• какие значения не проходят проверку — неверная длина или несовпадение контрольной цифры;
• что делать, если ИНН в анкете расходится с данными доверенного источника;
• кто принимает решение при таком расхождении.

Закон определяет состав передаваемых сведений, но не описывает действия в спорных ситуациях. Эти правила появятся позже — в нормативных актах Банка России и в правилах оператора системы. Чем распознавание документа отличается от проверки данных, мы разбирали в материале о распознавании ИНН и СНИЛС по API.

Подготовить данные заранее помогает проверка физического лица по эталонным источникам: она восстанавливает недостающий ИНН по паспортным данным и подтверждает корректность имеющихся значений массово, по всей базе и без обращения к клиенту. Ошибка исправляется внутри банка, до передачи сведений во внешнюю систему. Правовое основание передачи, внутренний регламент и процедуру исправления записей организация определяет сама.

Как 210-ФЗ ограничит количество платёжных карт до 20

С 1 сентября 2027 года у клиента-физлица может быть не более 20 платёжных карт для переводов по всем банкам одновременно. Лимит опирается на данные единой системы учёта: перед выдачей новой карты оператор запрашивает у оператора системы, сколько карт клиенту уже предоставлено, и отказывает, если выдача выйдет за предел. Совет директоров Банка России вправе определить случаи, когда карт может быть больше, но такого акта на июль 2026 года нет.

Ограничение в пять карт в одном банке обсуждалось при подготовке законопроекта и в финальную редакцию не вошло. Действует только общий предел по всем банкам.

К сентябрю 2027 года процесс выдачи карты придётся перестроить по пяти пунктам:

• однозначно идентифицировать клиента, включая связку с ИНН;
• направлять запрос в единую систему учёта до решения о выдаче;
• обрабатывать ответ системы до предоставления карты, а не после;
• отказывать при исчерпании лимита и сообщать клиенту причину;
• сохранять подтверждение запроса и ответа для внутреннего контроля и возможного спора.

При дистанционном оформлении запрос встраивают в сценарий удалённой идентификации, чтобы проверка лимита шла тем же шагом, что и подтверждение личности.

Как ГИС «Антифрод» изменит процессы банков, операторов и платформ

ГИС «Антифрод» — государственная информационная система противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий. Её создал Федеральный закон от 1 апреля 2025 года № 41-ФЗ, положения о системе применяются с 1 марта 2026 года, оператором выступает Минцифры. 210-ФЗ систему не учреждает: он расширяет круг её участников и добавляет новые обязанности по обмену сведениями.

Пользователи системы получают сигналы, выявляют подозрительные события и передают сведения о них. Перечень мер, критерии выявления и порядок обмена определит Правительство РФ или уполномоченный им орган по согласованию с ФСБ России. Поэтому архитектуру интеграции можно проектировать сейчас, а состав сообщений и бизнес-правила до выхода подзаконных актов остаются предварительными. Пострадавший сможет направить информацию в систему на Госуслугах в порядке, установленном Правительством РФ.

Какие обязанности появятся у банков с 1 марта 2027 года

С 1 марта 2027 года операторы по переводу денежных средств используют сведения ГИС «Антифрод» при проверке признаков перевода без добровольного согласия клиента. Одновременно они передают в систему абонентские номера, используемые при обслуживании клиентов; состав и порядок передачи установит Банк России по согласованию с Минцифры.

Меняется сам состав входных данных для такой проверки. Три источника банк получает извне:

• сведения из ГИС «Антифрод»;
• данные Банка России о случаях и попытках переводов без добровольного согласия;
• информация о воздействии вредоносного ПО на оборудование клиента, выявленная предусмотренными законом средствами защиты информации.

Два признака банк фиксирует у себя:

• повторную попытку исполнить ранее приостановленное распоряжение;
• связь операции с подозрительным абонентским номером или устройством.

Различие между группами важно при проектировании: внешние источники требуют интеграции, соглашений и обработки недоступности канала, а внутренние — доработки правил и журналирования на своей стороне.

При наличии информации о воздействии вредоносного ПО банк откажет в приёме распоряжения или в совершении операции с этого оборудования. Он незамедлительно уведомит клиента о причинах отказа в порядке, установленном договором, и сообщит о возможности совершить перевод с другого устройства либо при личном присутствии в офисе.

По повторным распоряжениям действует пауза в шесть часов: банк вправе не принимать подтверждённое клиентом распоряжение к исполнению в течение шести часов с момента направления подтверждения и столько же не совершать последующие повторные операции. По истечении шести часов он обязан незамедлительно принять распоряжение к исполнению, если других предусмотренных законом оснований для отказа нет. Обязательный отказ при выявленном воздействии вредоносного ПО эта пауза не отменяет.

Какие обязанности появятся у операторов связи с 1 марта 2027 года

С 1 марта 2027 года операторы связи выявляют абонентские номера с признаками противоправных действий и номера потенциальных жертв, передают сведения в ГИС «Антифрод» и приостанавливают обслуживание мошеннических номеров в предусмотренных законом случаях.

Международные вызовы оператор промаркирует. Отдельно он исполнит самозапрет физлица на приём таких вызовов, а технические правила маркировки конкретизирует постановление Правительства: по проекту Минцифры абонент получит отметку об иностранном вызове, а при наличии технической возможности — краткое наименование страны вызова. Планируемая дата вступления правил совпадает с датой самой нормы — 1 марта 2027 года.

Закон ограничивает и оборот «одноразовых» номеров. Абонент-физлицо сможет расторгнуть договор подвижной радиотелефонной связи только по истечении 90 дней со дня выделения номера, а при досрочном обращении оператор незамедлительно приостановит обслуживание без взимания платы. Самозапрет на заключение договоров связи и на приём вызовов из сетей иностранных операторов физлицо снимет только при личном обращении в МФЦ.

Для смежных отраслей это меняет роль абонентского номера. Он перестаёт быть контактным реквизитом и становится антифрод-сигналом, который связывает абонента, устройство, банковский профиль и историю подозрительных событий. Закон закрепляет эту логику прямо: оператор многофункционального сервиса обмена информацией вправе идентифицировать пользователей по абонентскому номеру в государственной информационной системе, предусмотренной законом «О связи». Для банков и платформ это одновременно сигнал о риске подмены личности.

Какие обязанности появятся у операторов связи с 1 марта 2027 года

Обязанность возместить похищенные средства не возникает автоматически по заявлению клиента. Закон связывает её с нарушением конкретной обязанности банка или оператора связи и с причинно-следственной связью между нарушением и хищением.

Для кредитной организации основанием служит, в частности, исполнение распоряжения после получения предусмотренных законом антифрод-сведений с нарушением установленной процедуры либо отсутствие обязательного отказа при выявленном воздействии вредоносного ПО. Банк возмещает сумму не позднее 30 дней, следующих за днём получения обращения клиента-физлица, при наличии постановления о возбуждении уголовного дела по факту хищения. Если требования закона исполнены надлежащим образом, обязанность возмещения по этому механизму не наступает.

Для переводов после телефонного вызова или короткого текстового сообщения добавляется срок обращения: клиент вправе заявить о возмещении не позднее 10 рабочих дней со дня перевода либо со дня получения уведомления банка об операции. Оценивается также связь перевода с конкретным абонентским номером и исполнение оператором связи своих обязанностей. Механизм рассчитан на случаи, когда клиент перевёл деньги сам, под воздействием социальной инженерии.

Процедуру детализирует проект постановления Правительства, подготовленный Минцифры и опубликованный в июле 2026 года для общественного обсуждения. Ключевые параметры проекта:

До принятия документа его положения остаются проектными.

Из этой конструкции следует практический вывод о доказательствах. Обязанность возместить средства возникает при нарушении процедуры, поэтому в споре банку нужно показать, что процедура была соблюдена. Одной итоговой отметки в антифрод-системе — например, что операция отклонена или пропущена, — для этого мало: она фиксирует результат, но не восстанавливает, на каком основании и в какой момент решение принято.

Восстановить ход событий позволяют четыре группы записей:

• когда и какие антифрод-сведения банк получил — из ГИС «Антифрод», от Банка России, от средств защиты оборудования клиента;
• в какой момент принято решение по распоряжению и какое именно правило сработало;
• факт уведомления клиента о причинах отказа и способ, которым уведомление направлено;
• дата уведомления, поскольку от неё отсчитывается срок обращения клиента за возмещением.

Последний пункт имеет отдельное значение. Клиент вправе заявить о возмещении не позднее 10 рабочих дней со дня перевода либо со дня получения уведомления банка об операции, поэтому без подтверждённой даты уведомления невозможно определить, соблюдён ли этот срок.

Сведения о клиентах, связанных с переводами без добровольного согласия, хранятся в базе Банка России ограниченное время: один год при первичном включении, три года при повторном и 180 дней для абонентских номеров подвижной радиотелефонной связи.

Какие платформы обязаны взаимодействовать с ГИС «Антифрод»

С 1 марта 2027 года владелец агрегатора информации о товарах и услугах обязан взаимодействовать с государственной информационной системой противодействия правонарушениям в случаях и порядке, которые установит Правительство РФ. Саму систему 210-ФЗ не создаёт: она учреждена Федеральным законом от 1 апреля 2025 года № 41-ФЗ, её нормы применяются с 1 марта 2026 года, а 210-ФЗ добавляет к обмену новую категорию участников.

Эта обязанность касается не всех интернет-сервисов, а только тех, кто подпадает под понятие владельца агрегатора информации о товарах и услугах. Поскольку норма внесена в , применимость нужно определять именно по критериям этого закона, а не по терминологии законодательства о платформенной экономике. Конструкция «посредническая цифровая платформа» для этой нормы не используется. Закон РФ от 7 февраля 1992 года № 2300-1 «О защите прав потребителей».

Статус владельца агрегатора возникает, если организация или индивидуальный предприниматель владеет программой для ЭВМ, сайтом либо страницей сайта и предоставляет потребителю в отношении определённого товара или услуги возможность одновременно:

• ознакомиться с предложением продавца или исполнителя о заключении договора купли-продажи товара либо возмездного оказания услуг;
• заключить этот договор с продавцом или исполнителем;
• внести предварительную оплату переводом денежных средств самому владельцу агрегатора — в формах безналичных расчётов по пункту 3 статьи 16.1 Закона о защите прав потребителей и по 161-ФЗ «О национальной платёжной системе».

Слово «одновременно» имеет практическое значение. Если сервис только размещает предложения, а расчёты идут напрямую продавцу, три признака вместе не выполняются и статус не возникает. Поэтому маркетплейсу или сервису-агрегатору начинать следует с юридической квалификации бизнес-модели, причём отдельно по каждому товарному потоку: у одной площадки статус может возникать по сделкам с расчётами через неё и не возникать там, где деньги проходят мимо неё. Основание для такой квалификации даёт проверка юридического лица по ИНН и ОГРН: статус в ЕГРЮЛ или ЕГРИП, сведения о банкротстве, исполнительные производства и предбанкротный скоринг запрашиваются в одном обращении.

Подробнее — в материале об антифрод-проверках контрагентов на платформе.

После квалификации определяется состав интеграционного проекта:

• какие антифрод-события платформа выявляет самостоятельно;
• какие сведения подлежат передаче;
• как подтверждается достоверность события;
• кто отвечает за отправку и исправление записи;
• сколько хранятся журналы;
• как обращение пользователя связывается с конкретной операцией и аккаунтом.

Взаимодействие с государственной системой внутренний антифрод не заменяет. Проверка продавца при онбординге, защита аккаунта от захвата, анализ устройства и повторная идентификация при рискованном действии остаются самостоятельными уровнями контроля. О защите самих проверок от подделок — в материале про liveness detection и защиту от дипфейков в KYC.

Зачем 210-ФЗ создаёт базу IMEI и когда она заработает

Закон предусматривает создание базы данных идентификаторов пользовательского оборудования, в обиходе её называют базой IMEI. В неё внесут сведения об оборудовании, разрешённом и запрещённом к использованию в России. Данные передадут операторы подвижной радиотелефонной связи и федеральные органы по перечню Правительства РФ. Требования к базе и правила её функционирования утвердит Правительство РФ, а порядок организационно-технического взаимодействия операторов с оператором базы определит Минцифры.

База состоит из двух реестров — разрешённых и запрещённых идентификаторов, и по каждому идентификатору хранится не только сам IMEI, но и его статус. Сроки передачи сведений короткие: о регистрации устройства в сети оператор сообщает в течение одного часа, а о поступившем заявлении об утрате или хищении устройства — не позднее одного рабочего дня. Для операторов это означает постоянный обмен данными с оператором базы, а не периодическую выгрузку.

Общую конструкцию закон описал, а практические вопросы отнёс к подзаконным актам:

• обработка клонированных и повторяющихся идентификаторов;
• учёт eSIM;
• IoT- и M2M-оборудование;
• статус модемов, роутеров и POS-терминалов;
• судьба записи после замены системной платы;
• обслуживание иностранного абонента в роуминге.

Меняется и порядок оформления услуг связи. Пользователь обязан сообщить оператору IMEI своего устройства для внесения в договор, без этих сведений услуги связи не предоставляются. Операторам предстоит обновить абонентские договоры, формы заявлений и сценарии подключения, включая дистанционные. По оценке Минцифры, приведённой в пояснительных материалах к проекту приказа о взаимодействии с оператором базы, затраты отрасли на выполнение требований к базе идентификаторов составят около 3 млрд рублей за шесть лет. Отдельная оценка относится к маркировке международных вызовов — по расчётам к проекту постановления Минцифры, около 3 млрд рублей в год.

Даты отключения устройств, не внесённых в базу, закон не устанавливает: он вводит саму базу и обязанности по передаче сведений. Нормы о базе идентификаторов и основной блок обязанностей операторов связи вступают в силу 1 марта 2027 года, а технические процедуры зависят от ещё не принятых актов. По данным «Коммерсанта», со ссылкой на источники на телеком-рынке, требование о привязке IMEI к абонентскому номеру может начать применяться в 2027 году, а работа в сетях только зарегистрированных устройств планируется с 2028 года. В тексте закона этот срок отсутствует, поэтому планировать коммуникацию с клиентами на основании неподтверждённых дат не следует.

Как подготовиться к требованиям 210-ФЗ

Подготовку приходится начинать до того, как выйдут все подзаконные акты. Состав сообщений для ГИС «Антифрод», порядок обмена и процедуру возмещения определят Правительство РФ, Банк России и Минцифры, а на июль 2026 года часть этих документов существует только в виде проектов. В такой ситуации организации обычно уходят в одну из двух крайностей. Промедление и опережение равно опасны:

• Промедление. Работы отложены до публикации всех актов — тогда на разработку, тестирование и обновление договоров остаётся несколько месяцев до 1 марта 2027 года, а для изменений в платёжном контуре этого мало.
• Опережение. Разработка идёт сразу по проектам актов, их форматы заложены прямо в код — опубликованный документ может изменить состав полей и правила отбора событий, и написанное придётся переписывать.

Правильным решением будет разделить проект на две части. К устойчивой основе относится то, что от подзаконных актов не зависит: качество идентификационных данных, журналирование решений, хранение доказательств, регламент разбора инцидентов. К изменяемым компонентам — форматы сообщений, критерии выявления событий и правила отбора: их выносят в настраиваемый слой, чтобы новая редакция акта менялась конфигурацией, а не переработкой кода.

Восемь шагов ниже подходят банкам, операторам связи и владельцам агрегаторов, но оценку применимости норм к конкретной организации они не заменяют.

1. Определить применимость норм и назначить владельца соответствия требованиям 210-ФЗ.
2. Развести в дорожной карте три горизонта: сентябрь 2026 года, март 2027 года и сентябрь 2027 года.
3. Провести инвентаризацию данных: карты и ИНН клиентов у банков, абоненты, номера и оборудование у операторов связи, аккаунты и антифрод-события у платформ.
4. Оценить полноту идентификационных данных и описать порядок обработки расхождений с внешними источниками.
5. Планировать интеграцию с единой системой учёта платёжных карт к сентябрю 2026 года и с ГИС «Антифрод» к марту 2027 года как два отдельных проекта с разными сроками и правовыми основаниями.
6. Обновить правила выявления подозрительных операций и настроить журналирование решений с хранением доказательств.
7. Обновить договоры с физлицами и запросить согласие либо отказ клиента на использование средств защиты его оборудования до 1 сентября 2027 года, зафиксировав основания передачи сведений.
8. Организовать мониторинг актов Правительства РФ, Банка России, Минцифры и ФСБ России.

Источники

• Федеральный закон от 26 июня 2026 года № 210-ФЗ — основной акт пакета «Антифрод 2.0», содержит сроки вступления норм в статье 11.
• Федеральный закон от 1 апреля 2025 года № 41-ФЗ — создал ГИС «Антифрод», положения применяются с 1 марта 2026 года.
• Федеральный закон от 7 июля 2003 года № 126-ФЗ «О связи» — обязанности операторов связи, база идентификаторов оборудования, самозапреты.
• Федеральный закон от 27 июня 2011 года № 161-ФЗ «О национальной платёжной системе» — переводы без добровольного согласия клиента, обязанности операторов по переводу денежных средств.
• Закон РФ от 7 февраля 1992 года № 2300-1 «О защите прав потребителей» — понятие владельца агрегатора в преамбуле, ответственность в статьях 12 и 14, формы расчётов в статье 16.1.
• Федеральный закон от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» — пункт 5 части 2 статьи 14.1 применяется с 1 января 2028 года.
• Федеральный закон от 15 декабря 2025 года № 461-ФЗ — изменения в статьи 3 и 9 закона № 115-ФЗ, применяются с 1 сентября 2026 года.
• Федеральный закон от 7 августа 2001 года № 115-ФЗ — получение Росфинмониторингом сведений от НСПК.

Проекты подзаконных актов и материалы обсуждения:

• Проект постановления о маркировке международных вызовов — Минцифры, планируемая дата вступления 1 марта 2027 года.
• Оценка затрат операторов на маркировку международных звонков — около 3 млрд рублей в год.
• Сроки привязки IMEI к абонентскому номеру и работы только зарегистрированных устройств — «Коммерсантъ», по данным источников на телеком-рынке: 2027 и 2028 годы соответственно.
• Правовой разбор второго антифрод-пакета — в том числе ограничение на расторжение договора связи ранее 90 дней.
• Обзор сроков вступления норм пакета— что осталось в финальной редакции и от чего отказались.