Антифрод 3.0 и проверка продавцов

«Антифрод 3.0» — это третий антимошеннический пакет поправок Минцифры, вынесенный на общественное обсуждение 30 сентября 2026 года. Проект меняет, в частности, законы № 149-ФЗ, 152-ФЗ и 289-ФЗ: предлагает хранить сведения о регистрации и авторизациях пользователей три года и учитывать согласия на обработку персональных данных в ЕСИА. С 1 октября 2026 года, независимо от пакета, действует проверка партнёров цифровых платформ по закону № 289-ФЗ и постановлению Правительства РФ № 768. Обе темы касаются маркетплейсов, онлайн-сервисов с авторизацией, МФО и операторов персональных данных.

Кратко:

• С 1 октября 2026 года операторы 13 платформ из реестра Минэкономразвития проверяют партнёров и владельцев ПВЗ по ПП № 768.
• Реестровая проверка занимает до 5 рабочих дней, проверка с использованием систем идентификации и аутентификации составляет 1 календарный день.
• Решение о непрохождении проверки оператор направляет электронным документом с УКЭП в течение рабочего дня, следующего за днём завершения проверки; ограничивать повторную проверку нельзя.
• Проект «Антифрод 3.0» от 30 сентября 2026 года предлагает хранить сведения о регистрации и авторизациях пользователей 3 года, дата вступления в силу в проекте: 1 марта 2028 года.
• По приказу МВД № 728 работник и работодатель могут представить сведения о доходе в течение 3 рабочих дней со дня получения уведомления о проверке.

Закон о платформенной экономике вступил в силу 1 октября 2026 года. Операторы посреднических цифровых платформ, на которых он распространяется, при заключении договора проверяют сведения о будущем партнёре платформы или владельце пункта приёма и выдачи заказов по правилам, утверждённым постановлением Правительства РФ № 768. 30 сентября 2026 года Минцифры представило проект пакета поправок «Антифрод 3.0». Проект предлагает изменить правила продажи SIM-карт, хранения сведений о регистрации и авторизациях пользователей, порядок предоставления и отзыва согласий на обработку персональных данных и передачу информации о согласиях в ЕСИА. Документ проходит общественное обсуждение, его положения пока не действуют. Дата вступления в силу в проекте: 1 марта 2028 года.

Проверка партнёров платформ, учёт авторизаций и согласий и раскрытие данных ИИ-агентами требуют от компаний одного и того же: проверить сведения об участнике, определить его права доступа и задокументировать основания своего решения. Подтверждение личности и действия от имени клиента разбирались в предыдущем выпуске о допуске на крипторынок и кодах из СМС.

Что предлагает «Антифрод 3.0» и как МФО переходят на идентификацию по лицу

Статья 5 проекта «Антифрод 3.0», который Минцифры опубликовало для общественного обсуждения 30 сентября 2026 года, излагает в новой редакции часть 10 статьи 8 закона № 149-ФЗ. Владельцы сайтов, информационных систем и программ, которые дают доступ к информации после авторизации, должны будут хранить сведения о регистрации, авторизациях и прекращении регистрации пользователей три года с момента окончания этих действий. Эти сведения предоставляются органам, которые ведут оперативно-разыскную деятельность или обеспечивают безопасность, в составе и порядке, установленных правительством. Статья 10 проекта называет дату вступления в силу: 1 марта 2028 года; окончательная дата появится только в принятой редакции закона.

Если российский владелец ресурса авторизует пользователей с использованием ЕСИА, сведения о таких авторизациях по проекту хранятся в самой ЕСИА. Правило касается только авторизаций: сведения о регистрации и прекращении регистрации оно не охватывает. Компании, которая оценивает поправки, придётся определить, какие события сохранять, как связать их с учётной записью и как передавать сведения уполномоченным органам, если поправки примут.

Иностранный гражданин, который работает партнёром-исполнителем посреднической цифровой платформы, по статье 4 проекта должен будет в течение одного рабочего дня после заключения договора сообщить оператору платформы свой абонентский номер, а при смене номера сообщить новый. Оператор передаёт эти сведения в государственную информационную систему, предусмотренную законом «О связи», а Роскомнадзор сверяет их с данными договора об оказании услуг связи. Статья 2 проекта запрещает лицам, которые не являются операторами подвижной радиотелефонной связи, продавать SIM-карты, если предложение о покупке размещено у владельца агрегатора; статья 9 дополняет часть 2 статьи 7 закона № 289-ФЗ пунктом о такой продаже.

Часть 10 статьи 8 закона № 149-ФЗ уже предусматривает четыре способа авторизации для российских владельцев ресурсов: с использованием абонентского номера оператора подвижной радиотелефонной связи, ЕСИА, ЕБС либо иной информационной системы, владелец которой гражданин РФ без иного гражданства или российское юридическое лицо под российским контролем. Проект сохраняет эти четыре способа. Иностранные владельцы по проекту обязаны авторизовать пользователей, находящихся в России, с использованием абонентского номера оператора подвижной радиотелефонной связи; других способов для них проект не предусматривает. Свою систему авторизации компания сверяет с действующей статьёй 8 и отдельно с проектными изменениями.

Согласие на обработку персональных данных по статье 6 проекта можно будет дать и отозвать непосредственно оператору или с использованием ЕСИА; второй способ действует в порядке и случаях, которые установит правительство. Информацию о согласиях, полученных или отозванных напрямую, оператор передаёт в ЕСИА в составе, порядке и случаях, установленных правительством. Для банковской сферы и других сфер финансового рынка порядок дополнительно согласуется с Банком России. Согласие на обработку персональных данных, разрешённых для распространения, по проекту даётся только непосредственно оператору.

Федеральные органы власти по статье 6 проекта примут акты, которые для каждой цели обработки определят состав персональных данных и допустимые операции с ними. Речь об обработке на основании согласия, договора или законных интересов оператора (пункты 1, 5 и 7 части 1 статьи 6 закона № 152-ФЗ); Банк России сможет принимать такие акты для финансового рынка. Новая часть 2.1 статьи 18 запрещает оператору требовать согласие, если его получение не предусмотрено международным договором, федеральным законом или этими актами. Пояснительная записка называет цель этих норм: сократить случаи избыточного сбора персональных данных на основании согласий, когда объём данных превышает необходимый для хозяйственной деятельности оператора. Операторам персональных данных полезно уже сейчас сопоставить цели обработки, правовые основания и используемые формы согласий.

МФО могут перейти на биометрическую идентификацию клиентов только по лицу, без записи голоса: 1 октября 2026 года об этих планах сообщило Frank Media. Центр биометрических технологий назвал предполагаемым сроком запуска ноябрь 2026 года. Пока речь идёт об анонсе, новая процедура не применяется.

Готовясь к изменению, МФО разумно проверять совместимость устройств клиентов, качество съёмки и обработку неудачных попыток идентификации. Доступность услуги покажет доля клиентов, которые не смогли завершить проверку.

Как проверять продавцов по 289-ФЗ и постановлению № 768 с 1 октября

С 1 октября 2026 года операторы, на которых распространяется закон № 289-ФЗ о платформенной экономике, проверяют партнёров и владельцев ПВЗ по постановлению № 768. При заключении договора оператор проверяет сведения о заявителе одним из предусмотренных способов и решает, прошёл ли заявитель проверку. Положительное решение принимается, если заявитель представил полные и достоверные сведения.

Обязанности оператора посреднической цифровой платформы, включая проверку партнёров, возникают только у платформ из реестра. По пункту 9 статьи 2 закона № 289-ФЗ включение в реестр входит в определение посреднической цифровой платформы, а по части 2 статьи 4 платформа признаётся посреднической с момента включения. Датой включения по правилам ведения реестра считается дата размещения записи на официальном сайте Минэкономразвития. Министерство опубликовало реестр 1 октября 2026 года, за месяц до срока, установленного правительством. В выгрузке реестра на 2 октября 13 действующих записей: Ozon, Wildberries, Avito, Lamoda, AliExpress, «Купер», Delivery Club и шесть сервисов «Яндекса» (Маркет, Такси, Еда, Путешествия, Смена, Доставка). Все записи внесены 1 октября 2026 года по решению уполномоченного органа, все операторы зарегистрированы в России. «Магнит Маркет» и Joom из предварительного перечня в реестр не попали; по данным Forbes, по ряду платформ министерство продолжает оценку. Дополнительные критерии установлены постановлением Правительства РФ от 28 января 2026 года № 54. Платформе российского владельца нужны среднесуточная аудитория из России не менее 100 тыс. человек за предшествующий календарный год и хотя бы одно из двух условий: не менее 10 тыс. продавцов и исполнителей со сделкой, оплаченной с использованием технических возможностей платформы, или не менее 50 млрд рублей таких сделок за год, по данным контрольно-кассовой техники. Кто и с какого момента становится оператором посреднической цифровой платформы, подробно разобрано в материале IDX.

Способ проверки выбирает оператор из предусмотренных Правилами; набор доступных способов зависит от категории заявителя. Обязательной связки «реестр плюс „Госуслуги“» для всех заявителей постановление не вводит. Проверка по реестрам идёт в два этапа. Сначала оператор подтверждает, что сведения представлены от имени заявителя, затем сверяет их с реестром или сервисом ФНС. Отдельные способы предусматривают проверку с использованием систем идентификации и аутентификации, включая ЕСИА, и проверку субъектов МСП с использованием цифровой платформы МСП.

Совпадение реквизитов компании с ЕГРЮЛ подтверждает только второй этап, реестровую сверку. Подтверждение того, что сведения представлены от имени заявителя, проводится отдельно. Во внутреннем регламенте фиксируют и срок проверки, и событие, с которого он отсчитывается:

Если заявитель не прошёл проверку, оператор указывает причины и направляет решение электронным документом, подписанным усиленной квалифицированной электронной подписью, в течение одного рабочего дня, следующего за днём завершения проверки. Ограничивать повторную проверку оператор не вправе. Поэтому в процедуре нужны объяснение причин непрохождения и приём уточнённых сведений. Для внутреннего контроля сохраняют использованные источники, дату проверки и основание решения.

Как МВД проверяет доходы иностранных работников по приказу № 728

Налоговые органы с 1 октября 2026 года направляют сведения о доходах иностранных работников в МВД и в уполномоченную организацию, созданную в форме государственного учреждения. Основание: новый пункт 13 статьи 13 закона от 25 июля 2002 года № 115-ФЗ в редакции закона от 26 июля 2026 года № 241-ФЗ. Передаётся сумма доходов в виде выплат и иных вознаграждений, начисленных иностранным гражданам по данным расчётов по страховым взносам, за три, шесть, девять и двенадцать месяцев календарного года. По иностранным самозанятым передаётся сумма доходов, отражённых в мобильном приложении «Мой налог», за календарный год. В обоих случаях срок передачи: не позднее 45 календарных дней после окончания соответствующего периода. Сведения используются исключительно в целях закона о правовом положении иностранных граждан и не подлежат разглашению, кроме случаев, предусмотренных федеральными законами. Порядок и срок проверки наличия и уровня дохода по этому пункту МВД утвердило приказом от 15 сентября 2026 года № 728; приказ действует с 1 октября 2026 года.

Приказ МВД № 728 регулирует проверку дохода для оснований аннулирования патента и разрешения на работу: подпунктов 6 и 7 пункта 22 статьи 13.3 и подпунктов 2 и 3 пункта 9.1 статьи 18 закона от 25 июля 2002 года № 115-ФЗ «О правовом положении иностранных граждан в Российской Федерации». По пункту 2 приказа и части 5 статьи 2 закона № 241-ФЗ эти основания применяются к информации по пункту 13 статьи 13 за периоды календарного года начиная с 2027 года. Обмен данными, начавшийся в октябре 2026 года, не распространяет эти основания на доходы за 2026 год.

Работник и его работодатель или заказчик вправе представить сведения о доходе в течение трёх рабочих дней со дня получения уведомления о проверке. Проверка длится не более 30 рабочих дней со дня решения о её начале, о результате уведомляют в течение следующего рабочего дня. Работодателю разумно назначить ответственного за такие уведомления и подготовку расчётных документов. Проверка действительности патента и подтверждение дохода остаются разными процедурами, но отсутствие подтверждённого дохода может стать основанием для аннулирования патента или разрешения на работу.

Что предлагают по ПОД/ФТ: 6 лет давности по ст. 15.27 КоАП и криптоаналитика

Банк России сообщил о сокращении объёма подозрительных операций на 35 %: в первом полугодии 2026 года объём обналичивания и вывода средств за рубеж составил 20,9 млрд рублей против 32 млрд рублей годом ранее. Обналичивание в банковском секторе уменьшилось более чем вдвое, до 7,4 млрд рублей; вне банков оно изменилось незначительно и составило 8 млрд рублей. Объём операций дропов, обслуживающих нелегальные криптообменники и онлайн-казино, сократился на треть.

Число участников противоправных схем и клиентов финансовых организаций из показателей Банка России не следует: они описывают объём операций и пропорционального сокращения всех финансовых преступлений не доказывают. Банковское обналичивание сократилось более чем вдвое, а вне банков выросло на 4 %, до 8 млрд рублей, и теперь сопоставимо с банковским. Поэтому анализ назначения расчётов и деятельности контрагента по-прежнему нужен.

Росфинмониторинг предлагает увеличить срок давности административной ответственности по части 4 статьи 15.27 и статье 15.27.3 КоАП. Проект изменений в статью 4.5 КоАП переносит эти составы из перечня с трёхлетним сроком в перечень с шестилетним. В пояснительной записке, которую цитирует РБК, увеличение срока объясняется тем, что значимые для административного дела сведения появляются после завершения расследования и вступления приговора в силу. Поправка пока на стадии проекта и касается только этих двух составов; на остальные нарушения закона от 7 августа 2001 года № 115-ФЗ она не распространяется.

Если срок давности вырастет до шести лет, организациям, которые проводят операции с денежными средствами или иным имуществом (их касается часть 4 статьи 15.27 КоАП), при проверке придётся показать, какие сведения были у них на дату решения, как они их оценили и почему приняли решение. Одних ответов внешних сервисов для этого может не хватить. Правила хранения клиентских документов проект не меняет: требования к хранению оценивают отдельно от сроков давности по статье 4.5 КоАП.

Минфин, Банк России и Росфинмониторинг готовят требования к поставщикам цифрового анализа на крипторынке. 25 сентября 2026 года об этом сообщил директор департамента финансовой политики Минфина Алексей Яковлев. Среди задач он назвал точность информации и понимание того, как российские операции оцениваются за пределами национальной инфраструктуры. Обсуждение Минфин рассчитывает завершить до конца 2026 года; утверждённых требований пока нет.

Выбирая поставщика анализа, компания может запросить у него происхождение риск-меток, частоту обновления данных и порядок разбора спорных совпадений. Перечень обязательных требований не опубликован, поэтому эти вопросы относятся к управлению риском. Проверка клиента и оценка его операций решают разные задачи; разграничение описано в материале IDX о разнице между KYC, KYT и AML. По результатам анализа организация обосновывает решение и при необходимости пересматривает его.

Как утечки и ИИ-агенты раскрывают данные клиентов: «Додо Пицца», стилеры, PixelLeak

«Додо Пицца» сообщила о кибератаке и возможной утечке данных клиентов. По заявлению компании, могли быть затронуты имена, адреса, телефоны, электронная почта, даты рождения и составы заказов. Платёжные данные, как пояснили в сети, она не хранит. Компания уведомила Роскомнадзор, заблокировала доступ злоумышленникам и продолжила внутреннюю проверку; подтверждённый масштаб утечки в сообщении не указан.

Адреса и составы заказов помогают мошенникам составить убедительное обращение от имени сервиса. Знание адреса или последнего заказа само по себе личность владельца учётной записи не подтверждает, поэтому для восстановления доступа таких сведений недостаточно. Смена телефона, электронной почты и других реквизитов, которыми подтверждаются действия, требует дополнительного контроля.

BI.ZONE обнаружила предложения стилеров с ИИ-профилированием: в сентябре 2026 года исследователи зафиксировали два таких предложения. Такой стилер извлекает историю общения с ИИ-ассистентами и аутентификационные данные, а языковая модель составляет по ним профиль пользователя. По двум обнаруженным предложениям нельзя судить о массовом распространении функции.

Более 13 тыс. внутренних изображений разработчиков из более чем 300 организаций Glow Labs нашла в открытых репозиториях GitHub; исследование PixelLeak опубликовано 29 сентября 2026 года. По описанию исследователей, ИИ-агентам поручили показать изменения интерфейса; прикрепить скриншоты предусмотренным способом агенты не смогли и разместили их в публичных репозиториях. Среди изображений оказались клиентские расчётные данные и сведения о ещё не выпущенных функциях продуктов. Все цифры относятся к выборке Glow Labs.

Агенты выполняли обычную рабочую задачу, и выданных им прав хватило, чтобы вынести внутренние материалы за пределы контролируемой среды. В 93 % рассмотренных Glow Labs случаев изображения лежали в репозиториях под личными именами сотрудников. Аудит одной только корпоративной организации GitHub такие публикации пропустит.

Компаниям, которые используют ИИ в разработке и операционных задачах, нужен отдельный контроль за созданием публичных репозиториев, публикацией файлов и передачей данных в личные аккаунты. Glow Labs рекомендует проверять такие действия до исполнения, не одобрять их автоматически и проверять общие инструкции, которые агенты используют повторно. При подозрении на кражу аутентификационных данных BI.ZONE советует завершить активные сессии и отозвать токены: одной смены пароля может не хватить.

Что проверить бизнесу с октября 2026 года: 289-ФЗ, 149-ФЗ, приказ № 728 и ПОД/ФТ

• Разграничить действующие требования и проекты. Сверить авторизацию с частью 10 статьи 8 закона № 149-ФЗ. Трёхлетний учёт событий и передачу сведений о согласиях в ЕСИА оценивать отдельно, как проект, с учётом правила об авторизациях в ЕСИА. Планируемую идентификацию клиентов МФО только по лицу учесть при подготовке и тестировании процедуры.
• Проверить порядок заключения договора с продавцом. Убедиться, включена ли платформа в реестр посреднических цифровых платформ. Для каждой категории заявителя определить, какие способы проверки ему доступны, и выбрать способ; зафиксировать состав сведений, срок и начало его исчисления, форму решения и порядок повторного обращения. При реестровой проверке отдельно подтвердить факт представления сведений от имени заявителя. Проектную обязанность получать от иностранных партнёров-исполнителей абонентский номер и передавать его в государственную систему оценить отдельно.
• Подготовить порядок ответа на уведомления МВД. Сверить идентификаторы иностранных работников и начисления в расчётах по страховым взносам: по данным этих расчётов налоговые органы передают в МВД сведения о доходах. Назначить ответственного за подготовку документов. Сведения о доходе представляются в течение трёх рабочих дней со дня получения уведомления. По основаниям аннулирования патента и разрешения на работу порядок применяется к сведениям за периоды начиная с 2027 года.
• Оценить полноту документирования решений по операциям. Сохранять в досье ответы внешних сервисов, дату проверки, выявленные признаки риска и основания решения. Предлагаемое увеличение срока давности оценивать отдельно от действующих требований к хранению документов.
• Проверить процедуру восстановления доступа. Исключить возможность смены телефона или электронной почты только на основании сведений, которые могли быть скомпрометированы. При признаках компрометации аутентификационных данных предусмотреть отзыв токенов и завершение активных сессий.
• Пересмотреть полномочия ИИ-агентов. Установить отдельный контроль внешней передачи данных и создания публичных ресурсов. В пределах полномочий компании включить в аудит личные репозитории, которые используются для работы, вложения к релизам и общие инструкции агентов.