«Антифрод 3.0» и ЕСИА: банки спорят о единственном канале идентификации

«Антифрод 3.0» — третий пакет мер против мошенничества, проект которого Минцифры опубликовало 30 сентября 2026 года. Способы упрощённой идентификации в России перечислены в п. 1.12 ст. 7 115-ФЗ; по проекту при выдаче электронного средства платежа удалённо её можно будет пройти только с помощью ЕСИА. Изменение касается банков и других эмитентов ЭСП, которые оформляют карты и кошельки дистанционно.

Кратко:

• Что просят банки: НСФР предлагает резервные процедуры к ЕСИА, в том числе банковские и операторские ID, проверку ИНН и СНИЛС и проверку обладания устройством.
• Кто отвечает за утечку: по закону об ИТ-аутсорсинге, одобренному Советом Федерации 28 октября, будут отвечать и подрядчик, и финансовая организация; закон начнёт действовать через год после опубликования.
• Что изменил ЦБ: по рекомендациям № 5-МР от 26 октября наличные юрлиц и ИП контролируются при любой сумме, граждан от 5 млн руб.
• Как меняется подтверждение личности: по проекту Минцифры иностранец сможет удалённо получить подтверждённую учётную запись ЕСИА по биометрии в ruID.
• Когда аннулируют паспорт: заявление об утере на «Госуслугах» МВД рассматривает за один день, отозвать его нельзя.

Подтверждать личность всё чаще предлагают с помощью государственных систем. По законопроекту о третьем пакете мер против мошенничества («Антифрод 3.0») ЕСИА станет единственным способом удалённой упрощённой идентификации при выдаче электронного средства платежа. Минцифры предложило выдавать иностранцам подтверждённую учётную запись по биометрии, Минюст подготовил новый порядок установления личности у нотариуса с использованием ЕБС. МВД перевело на «Госуслуги» подачу заявления об утере паспорта.

За утечку у ИТ-подрядчика будут отвечать и подрядчик, и финансовая организация: такой закон 28 октября одобрил Совет Федерации. Банк России за пять месяцев второй раз обновил рекомендации о контроле наличных и убрал порог для юрлиц и ИП. Госдума приняла в первом чтении законопроекты об уголовной ответственности нелегальных кредиторов.

Общее направление банки поддерживают. В письме НСФР они настаивают на резервном способе идентификации на случай, если государственный канал окажется недоступен.

Почему банки против ЕСИА как единственного канала идентификации

НСФР направил в Минцифры и Банк России письмо с предложениями банков по третьему антимошенническому пакету. Банкиры возражают против закрытого перечня ситуаций, в которых гражданин может дать согласие на обработку персональных данных, против запрета агрегаторов СМС-рассылок и против ЕСИА как единственного варианта удалённой упрощённой идентификации при оформлении карт. Глава НСФР Андрей Емелин предлагает перечислить случаи, когда обрабатывать данные нельзя, и в остальных оставить решение за гражданином.

По мнению банков, в пиковые периоды, например при массовых выплатах или распродажах, ЕСИА может оказаться недоступна из-за нагрузки. В качестве дополнительных процедур НСФР называет банковские и операторские ID, проверку ИНН и СНИЛС и проверку физического обладания устройством. Минцифры ответило, что рассмотрит обращение. В ведомстве подчеркнули, что законопроект не запрещает в целом удалённую упрощённую идентификацию всеми способами, кроме ЕСИА: перечень способов сокращается только при выдаче электронного средства платежа. В ЦБ сообщили, что участвуют в обсуждении, и не стали комментировать отдельные положения.

Роскомнадзор за девять месяцев возбудил 329 дел против операторов связи за нарушения при идентификации абонентов и противодействии подмене номера. Дел уже на 26 % больше, чем за весь 2025 год, а сумма штрафов приблизилась к 280 млн руб. Операторов наказывали за превышение лимита SIM-карт, отсутствие проверки данных абонента, непредставление сведений в ГИС «Антифрод» и оказание услуг связи без передачи данных в ЕСИА. Участники рынка объясняют рост техническими причинами. В «МегаФоне» говорят о некорректной интерпретации работы автоматизированных систем контроля. По оценке «Информзащиты», львиную долю дел составляют «опечатки в базах МВД, задержки синхронизации с „Госуслугами“ и лишние симки сверх лимита». Если эти оценки верны, обязательная связка с ЕСИА уже приводит в телекоме к штрафам за технические задержки, и у банков появляется практический аргумент за резервные каналы.

Резервным сигналом может служить связь человека с номером телефона. Проверка использования телефонного номера физлицом по десятку параметров оценивает, пользуется ли номером именно этот человек, даже если SIM-карта оформлена на другое лицо, и выдаёт балл от 0 до 5. Если при удалённой идентификации указаны чужие ФИО, проверка с высокой вероятностью покажет подмену личности.

Эксперты, опрошенные «Коммерсантом», оценивают потери от возможного запрета агрегаторов в десятки миллионов рублей в месяц. Тимур Аитов из ТПП приводит расчёт: банк с 10 млн сообщений в месяц теряет скидку 1–2 руб. за сообщение, то есть 10–20 млн руб. О закрытом перечне целей он говорит так: «утечка — это про инфраструктуру, доступы и подрядчиков, а не про то, зачем банк собирал данные».

Седьмой кассационный суд общей юрисдикции признал законным условие договора спортивной школы, по которому согласие на обработку ПДн ребёнка нельзя отозвать в течение пяти лет. Само согласие автоматически продлевается ещё на пять лет. Суды трёх инстанций сослались на ч. 5 ст. 21 закона о персональных данных: 30-дневный срок прекращения обработки после отзыва применяется, «если иное не предусмотрено договором» ( определение от 9 сентября 2026 года по делу № 8Г-13321/2026). Такое толкование остаётся дискуссионным.

Законопроект предлагает сузить свободу согласия, а суды толкуют её широко. Пока итоговой редакции нет, компании не знают, по каким правилам составлять согласия. Если закрытый перечень сохранится, тексты согласий придётся переписывать под конкретные цели. Если перечень уберут, останется риск, что согласие оспорят как навязанное.

Пока правила для согласий на ПДн и статус ЕСИА в «Антифроде 3.0» не определены, банкам остаётся опираться на сигналы, которые не зависят от одного госканала. Проверка устройства, номера телефона и налоговых идентификаторов сработает при любом исходе обсуждения: как основной канал, если ЕСИА не станет единственной, и как резерв, если станет. Как данные об устройстве помогают выявить подмену личности, мы разбирали в материале об анализе цифрового следа устройства.

Как будут подтверждать личность иностранцев и клиентов нотариуса по ЕСИА и ЕБС

Минцифры вынесло на общественное обсуждение поправки к постановлению Правительства от 03.04.2026 № 372 о регистрации в ЕСИА, подготовленные 23 октября (ID проекта 01/01/10-26/00172182). Иностранные граждане и лица без гражданства смогут удалённо повысить учётную запись до подтверждённой. До поездки иностранец регистрирует биометрию в приложении ruID и заполняет сведения о визите. При пересечении границы ему оформляют СНИЛС и неподтверждённую учётную запись. После биометрической проверки и при совпадении данных учётная запись становится подтверждённой. По оценке министерства, так иностранцу будет проще оформить SIM-карту без визита в МФЦ или банк. Степень соответствия биометрии данным ЕБС по проекту должна составлять не менее 0,9999.

Минюст подготовил новую редакцию порядка установления личности гражданина, его представителя или представителя юридического лица у нотариуса с использованием ЕБС. Проект от 19 октября заменит приказ от 30.09.2020 № 228: в Основах законодательства о нотариате изменилось наименование ЕБС. Нотариус устанавливает личность с помощью единой информационной системы нотариата и только если номер телефона гражданина уже есть в ЕБС. При отрицательном результате нотариус получает лишь сам результат, без степени совпадения и без данных из ЕСИА.

МВД запустило на «Госуслугах» подачу заявления о признании паспорта недействительным при утере или краже. Ведомство рассматривает заявление за один день, и отозвать его нельзя: найденный после подачи заявления паспорт останется недействительным.

Компания ИИТ («Инфотекс Интернет Траст») фиксирует рост спроса на подключение к госсистемам: в 2026 году запросов на интеграцию со СМЭВ стало больше на 22 %, с ЕБС на 18 %, с ЕСИА на 9 %. Почти половина обращений (49,1 %) приходится на кредитные организации, далее идут НПФ (11 %) и страховщики (5,25 %). Интеграционный проект занимает от двух до девяти месяцев, а в 2027 году ИИТ ожидает роста ещё на 29 %. Банк России в основных направлениях денежно-кредитной политики на 2027–2029 годы отдельно называет биоэквайринг с использованием ЕБС. Первые пилотные транзакции уже прошли, следующие шаги включают промышленное решение и масштабирование.

ЕСИА и ЕБС становятся основной инфраструктурой подтверждения личности для граждан, иностранцев и представителей юрлиц. После подачи заявления на «Госуслугах» паспорт может стать недействительным в течение суток, и результат проверки при онбординге быстро устаревает.

Компаниям, которые принимают паспорт РФ, полезно проверять его по базе недействительных паспортов дважды: при регистрации клиента и в момент операции. Работодателям, операторам связи и финтеху с большим числом клиентов-иностранцев имеет значение проект о ruID: от него зависит, как быстро такие клиенты будут получать подтверждённую учётную запись. Требования к биометрической проверке разобраны в материале о liveness и защите от дипфейков.

Кто отвечает за утечку у ИТ-подрядчика финансовой организации

28 октября Совет Федерации одобрил закон о регулировании аутсорсинга информационных технологий и облачных сервисов для финансовых организаций. Банки и некредитные финансовые организации смогут передавать подрядчикам на обработку информацию ограниченного доступа, кроме гостайны, если заранее уведомят ЦБ. Обработка может начаться через 60 дней, если регулятор её не запретит. Условия законопроекта после третьего чтения мы разбирали в выпуске «Данные под ударом».

Кредитные организации смогут работать только с аккредитованными ИТ-компаниями и банками с универсальной лицензией, которые находятся под контролем государства, регионов, муниципалитетов или граждан РФ без другого гражданства. Согласие клиентов на передачу данных не потребуется. К уведомлению в ЦБ финансовая организация приложит заключение операционного аудита от организации с лицензией ФСТЭК или ФСБ. При утечке будут отвечать и подрядчик, и финансовая организация. Если требования нарушены, ЦБ сможет запретить обработку на срок до шести месяцев. Закон начнёт действовать через год после опубликования.

Верховный суд в постановлении по делу № 5-АД25-119-К2 подтвердил, что передача обработки ПДн подрядчику не снимает с оператора обязанности защищать данные и уведомлять регулятора об инциденте. В деле «Кредитных систем» данные клиентов утекли из-за действий сотрудника контрагента, но виновной признали компанию-оператора. В деле РЖД апелляция отменила штраф: компания доказала, что порядок доступа к системам действовал, пароли менялись каждые 90 дней, а учётные записи регулярно проверялись. Юристы также отмечают, что Роскомнадзор с помощью автоматизированного мониторинга выявляет расхождения между документами компании и сведениями, которые она направляет в ведомство. Об утечке оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, о результатах внутреннего расследования в течение 72 часов. Обязанность сохраняется, если инцидент произошёл у подрядчика.

По данным Solar AURA за январь–сентябрь 2026 года, число утечек сократилось на 42 %, их объём на 19 %. Почти 80 % утёкших данных пришлось на транспорт, доставку и туризм. Фишинговых ресурсов стало больше на 25 %: аналитики связывают рост с тем, что злоумышленники используют ИИ. Ещё один канал утечек создают сами сотрудники. По опросу «СёрчИнформ», в 2026 году с загрузкой служебных документов в нейросети столкнулись 40 % московских организаций против 6 % годом ранее. ИИ-сервисы стали третьим по значимости каналом раскрытия корпоративных данных после мессенджеров и почты.

Закон об аутсорсинге переводит в норму тезис Тимура Аитова: утечка становится вопросом инфраструктуры и подрядчиков. Переложить ответственность на ИТ-компанию договором банк не сможет, а подрядчик попадёт под требования ЦБ, ФСБ и ФСТЭК.

Организациям с десятками ИТ-договоров года до вступления закона в силу может не хватить. Подрядчика им придётся проверять до заключения договора: структуру собственности, аккредитацию, расположение инфраструктуры, лицензию аудитора. Отдельно в политику ИБ можно добавить правила работы сотрудников с внешними ИИ-сервисами.

Что меняют рекомендации ЦБ № 5-МР о контроле наличных

26 октября Банк России утвердил методические рекомендации № 5-МР и отменил майскую версию, которая действовала пять месяцев. Рекомендации касаются внесения наличных на счёт, переводов без открытия счёта, покупки драгметаллов, монет и обработанных алмазов за наличные, а также обмена наличной валюты. Для юрлиц и ИП порог убран: контроль применяется при любой сумме, в прежней версии он начинался с 30 млн руб. в месяц. Для граждан остался один критерий: 5 млн руб. за одну операцию или за месяц. Признак «не менее десяти операций по 100 тыс. руб. за 30 дней с выводом за рубеж» из документа исключён.

ЦБ рекомендует банку до операции получить документальное подтверждение финансового положения клиента и источника средств в объёме, сопоставимом с суммой операции. Банк может не применять рекомендации, если деятельность клиента напрямую связана с наличными, например в рознице. Исключение перестаёт действовать, если операции клиента резко выросли или не соответствуют масштабу бизнеса. Павел Жолобов из НРА называет обновление «корректировкой надзорного подхода, а не сменой его направления». По его словам, логика мониторинга становится проще, а круг операций шире. Юрий Беликов из «Эксперт РА» ожидает, что «почти любые операции с наличными потенциально могут оказаться сомнительными».

Рекомендации вышли на фоне роста наличности. По данным ЦБ, наличных в экономике стало 21,3 трлн руб. на 1 июля 2026 года против 19,7 трлн руб. на начало года. Госдума 27 октября приняла в первом чтении законопроекты № 1170220-8 и № 1170178-8. Они вводят уголовную ответственность по ст. 171.5 УК за нелегальное кредитование в крупном размере или при неоднократных нарушениях и разграничивают её с КоАП. Как следует из пояснительной записки, в стране действуют более 95 сетей нелегальных кредиторов примерно с 1250 точками, а уголовных дел за последние годы возбуждено только два, потому что такие сети меняют номинальных ИП и директоров.

Рекомендации ЦБ и законопроекты о нелегальном кредитовании смещают проверку с формальных признаков на содержание. Банк сопоставляет объём наличных с масштабом бизнеса клиента, а законопроекты нацелены на сети, которые уходят от ответственности сменой номинальных лиц. Для корпоративных клиентов досье об источнике средств становится обычной частью работы с банком. Кредиторам и платформам при проверке контрагента полезно выявлять номинальных директоров и смену лиц в цепочке. Банк России в ОНДКП называет ещё один срок: с 1 июля 2027 года планируется ответственность, в том числе уголовная, для нелицензированных посредников на рынке цифровых валют.

ИТ-подрядчика банка и нового контрагента кредитора проверяют до подписания договора. Как проверить партнёра по ЕГРЮЛ и ЕГРИП до договора, мы разбирали в материале о KYB для маркетплейса.

Как PayPay, IBM и банки США проверяют документы и ИИ-агентов

Японский платёжный сервис PayPay 23 октября объявил, что к началу ноября отказывается от удалённой проверки личности по фотографии водительских прав и карты My Number. Останется только чтение чипа документа смартфоном. Компания объясняет решение утечками изображений документов и подменой личности. PayPay переходит на новый порядок до вступления в силу поправок к правилам японского закона о противодействии отмыванию доходов: они начнут действовать 1 апреля 2027 года. Проверку eKYC в PayPay прошли более 44 млн пользователей. По данным, которые приводит TechGig, атак на KYC с дипфейк-изображениями за год стало больше на 83 %, а на дипфейки пришлась каждая пятая попытка биометрического мошенничества.

27 октября IBM представила инструменты Agent Identity и HashiCorp Vault 2.2 для управления идентичностью ИИ-агентов. Каждый агент получает учётную запись с указанием владельца и полномочий, а также краткосрочные учётные данные; доступ отзывается в реальном времени. IBM ссылается на Gartner: к 2028 году крупная компания будет использовать более 150 тыс. агентов, а необходимые механизмы управления агентами есть лишь у 13 % организаций. Корейская Hecto Financial подписала меморандум с t54 о подключении платформы Trustline к платежам ИИ-агентов. NIST опубликовал принципы построения систем управления идентичностью агентов.

Bank of America разослал клиентам письмо с просьбой не передавать ИИ-агентам логины и пароли от онлайн-банка. JPMorgan уже заблокировал агентам Muse и Instinct доступ к счетам. Citi, Morgan Stanley и Wells Fargo ограничивают сторонних агентов. 29 октября Shufti запустила Know Your Agent: сервис в одном процессе проверяет подлинность агента, одобрение человека и полномочия на конкретное действие.

Первый зампред правления ВТБ Ольга Скоробогатова на SOC Forum 2026 назвала контроль над ИИ-агентами одним из приоритетов для бизнеса наряду с безопасностью разработки и эксплуатации ИИ. Управляющий директор X5 Tech Александр Костин считает следующим этапом для ритейла агентную коммерцию: ритейлерам придётся создавать контролируемую среду для работы агентов.

PayPay заменяет проверку по фото документа чтением чипа, а банки и вендоры уже проверяют ИИ-агента, которому человек передал полномочия. Компаниям, которые развивают удалённый онбординг, полезно заложить в план NFC-проверку документа и разграничение полномочий агента и клиента.

Что компаниям проверить после новостей последней недели октября

1. Строить удалённую идентификацию без зависимости от одного канала. Проверка устройства, номера, ИНН и СНИЛС понадобится при любой итоговой редакции «Антифрода 3.0». В телекоме участники рынка уже связывают часть штрафов с ошибками в базах и задержками синхронизации.
2. Пересмотреть тексты согласий на обработку ПДн: перечень целей, срок, порядок отзыва. Законопроект может сузить допустимые цели, а суды пока толкуют свободу согласия широко.
3. Сверить договоры с ИТ-подрядчиками с законом об аутсорсинге: собственник, аккредитация, операционный аудит, распределение ответственности за утечки. Закрепить в договоре срок, в который подрядчик сообщает об инциденте, с запасом до 24-часового уведомления Роскомнадзора. Закон начнёт действовать через год после опубликования.
4. Выстроить порядок сбора документов об источнике средств. Банку они нужны до операции, поэтому корпоративным клиентам с наличной выручкой выгоднее готовить их заранее, не дожидаясь запроса.
5. Проверять паспорт РФ по базе недействительных в момент значимой операции. Заявление об утере паспорта на «Госуслугах» МВД рассматривает за один день.
6. Дополнить сверку реквизитов контрагента поиском номинальных директоров и связанных лиц. Кредиторам, платформам и маркетплейсам такая проверка нужна в первую очередь.