Данные под ударом: локализация, ИТ-аутсорсинг и резервная копия

Кратко:

• АКИТ предлагает временный режим для пострадавших компаний на период восстановления, но не позднее 1 марта 2028 года. Письмо ассоциации само по себе не разрешает перенос данных.
• Госдума приняла законопроект № 404786-8 об обработке данных внешними исполнителями, для вступления в силу закон должны одобрить сенаторы и подписать президент.
• 14 октября Минцифры попросило операторов отложить ограничения немаркированных звонков банков до начала ноября 2026 года.
• В протоколе Proof разрешение ИИ-агенту связано с проверенной личностью человека и подписанными им условиями операции.
• Банк России разъясняет: перевод цифровой валюты с цифрового счёта на собственный некастодиальный кошелек не разрешен ч. 9 ст. 31 закона № 282-ФЗ.

Что АКИТ предлагает для зарубежного резервирования данных

АКИТ 15 октября направила письмо председателю правительства Михаилу Мишустину, сообщил Forbes 16 октября со ссылкой на три источника. Ассоциация компаний интернет-торговли, которая объединяет Ozon, Wildberries, «Купер», «Яндекс Маркет» и другие компании, подтвердила отправку. АКИТ предлагает временно освободить компании, пострадавшие от масштабных аварий и повреждений цифровой инфраструктуры, от запрета ч. 5 ст. 18 152-ФЗ. С 1 июля 2025 года при сборе персональных данных граждан России эта норма запрещает их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами страны. Если обеспечить работу критически важных систем в России невозможно, ассоциация предлагает разрешить их перенос в резервные дата-центры дружественных стран. Предлагаемый срок действия режима ограничен периодом восстановления и датой 1 марта 2028 года.

По данным Forbes, АКИТ предлагает выдавать разрешение после официального подтверждения инцидента и невозможности работы систем в России. Требования информационной безопасности при этом сохраняются. Перечень стран определит уполномоченный орган, а порядок выдачи временных разрешений ассоциация предлагает разработать вместе с Минцифры и Роскомнадзором. После восстановления инфраструктуры компании вернутся к обычным требованиям закона. Текст письма не опубликован, позиция правительства по нему неизвестна. По оценке редакции, одного акта правительства для исключения из запрета может оказаться недостаточно: запрет установлен федеральным законом. Понятие «дружественные страны» в 152-ФЗ не используется: для трансграничной передачи закон различает государства по тому, обеспчивают ли они адекватную защиту прав субъектов персональных данных.

В начале октября беспилотники атаковали три дата-центра «Яндекса». Глава Минцифры Максут Шадаев 12 октября назвал атаку беспрецедентной по масштабу. Продолжение работы сервисов он объяснил проведённым резервированием. 14 октября Сбербанк подтвердил атаку на свой дата-центр в Саратовской области. Первый зампред правления Александр Ведяхин заявил, что все системы банка работают штатно.

В Ассоциации больших данных предложение АКИТ назвали логичной антикризисной мерой, но подчеркнули: зарубежные мощности должны дополнять российскую инфраструктуру и не могут её заменять. Эксперт по защите данных Алексей Мунтян указал Forbes на обратный эффект. По его оценке, разрешение держать зарубежный резерв только после подтверждённого инцидента фактически закрепит запрет создавать его заранее. Требование о локализации он относит к сбору персональных данных, зашифрованные копии, по его мнению, можно хранить за рубежом, оставляя ключи в России. Близкое толкование Роскомнадзор и Минцифры приводили в индивидуальных разъяснениях 2025 года: ч. 5 ст. 18 не ограничивает трансграничную передачу данных, которые уже собраны в российских базах. Такая передача подчиняется отдельным правилам ст. 12 152-ФЗ, включая предварительное уведомление Роскомнадзора.

Какие условия ИТ-аутсорсинга предусматривает законопроект

В законопроекте № 404786-8 об ИТ-аутсорсинге финансовых организаций, принятом во втором и третьем чтениях 14 октября, обработка данных за рубежом предусмотрена как исключение. По общему правилу информационные системы исполнителя должны находиться в России. Банки смогут поручать обработку банковской тайны и персональных данных клиентов аккредитованным ИТ-компаниям либо банкам с универсальной лицензией. Условие о российском контроле относится к банкам-исполнителям: более 50 % голосов в таких банках должны прямо или косвенно контролировать государство, регионы, муниципалитеты или граждане России без другого гражданства. Российские банки с универсальной лицензией под контролем иностранных банков смогут поручить обработку материнской структуре с использованием её систем при согласовании с ЦБ, ФСБ и Росфинмониторингом. Для этого иностранный банк должен работать не меньше трёх лет, у ЦБ должно быть соглашение об обмене информацией с регулятором его страны, а передача не должна угрожать стабильности банковской системы.

По законопроекту финорганизация заранее уведомляет ЦБ о привлечении исполнителя и прикладывает заключение об операционном аудите, проведённом организацией с лицензией ФСТЭК или ФСБ. Передача данных допускается через 60 дней, если регулятор её не запретит. Исполнитель ежегодно проходит аудит, сообщает заказчику об инцидентах в течение двух часов и отвечает за ущерб при разглашении данных. При нарушениях ЦБ вправе запретить обработку в его системах на срок до шести месяцев. Согласие клиентов не требуется, но договор с исполнителем должен соответствовать закону о персональных данных. Если Совет Федерации одобрит закон и президент его подпишет, он вступит в силу через год после опубликования. На приведение действующих договоров в соответствие предусмотрено 180 дней после вступления закона в силу. Совет Федерации документ пока не рассматривал.

По законопроекту ЦБ получает уведомление до передачи данных и вправе её запретить. Обработку в системах иностранного материнского банка заранее согласуют три ведомства. АКИТ предлагает выдавать временные разрешения компаниям, пострадавшим от аварий, уже после инцидента. Резервную площадку, способ шифрования копий и порядок переключения эксперты рекомендуют определить до случившегося сбоя. Решения на предложенное АКИТ послабление при подготовке аварийного плана на дату публикации нет. Принятие или отклонение этого предложения не влияет на необходимость резервирования нескольких площадках внутри России.

Как данные попадают к злоумышленникам при взломе подрядчика

По данным F6, за январь–сентябрь 2026 года злоумышленники выложили в открытый доступ 119 баз российских компаний против 198 годом ранее, на 40 % меньше. InfoWatch насчитала на 53,2 % меньше баз с данными россиян, обнаруженных в даркнете. F6 учитывает опубликованные базы российских компаний, InfoWatch учитывает базы с данными россиян в даркнете. Основатель «Интернет-Розыска» Игорь Бедеров объясняет снижение тем, что продавцы переходят в закрытые каналы с проверкой покупателя, а базы перепродают под обезличенными названиями, по которым трудно установить источник.

Тверской районный суд Москвы отправил под домашний арест до 8 декабря одного из обвиняемых по делу о кибератаке на «Додо Пиццу». Ему предъявлено обвинение по п. «а», «в» ч. 3 ст. 272.1 УК РФ: незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные. По версии следствия, данные клиентов передали для публикации в Telegram-канале. Участники группировки утверждают, что доступ к серверам компании получили из-за пароля, который подрядчик выложил в открытый репозиторий на GitHub; публичного подтверждения этой версии от компании редакция на 16 октября не нашла.

В Дании злоумышленник получил данные 8,8 млн нынешних и бывших жителей страны из реестра населения: у небольшой ИТ-компании с авторизованным доступом к реестру был пароль «123456». В Германии после атаки на ИТ-партнёра Volkswagen, поставляющего программы автодилерам, мошенники получили подлинные сведения о сделках. Эти данные пригодны для поддельных требований об оплате.

В законопроекте об аутсорсинге финорганизаций для исполнителя предусмотрены аудит, ответственный за безопасность и сообщение об инциденте за два часа. Снижение числа публичных публикаций баз само по себе не доказывает сокращения утечек. По объяснению Бедерова, часть торговли данными перешла в закрытые каналы, где пострадавшей компании труднее обнаружить утечку.

Как маркируют звонки банков и блокируют неверифицированные номера

Операторы связи разослали уведомления шести крупным банкам, на которые приходится около 95 % массовых вызовов кредитно-финансовых организаций. В уведомлениях они предупредили, что с 15 октября могут ограничить немаркированные звонки. По данным операторов «большой четвёрки», в их сетях ежемесячно проходит более 500 млн немаркированных массовых вызовов. Национальный совет финансового рынка попросил ФАС оценить требования операторов. 14 октября Минцифры обратилось к операторам с просьбой отложить ограничения до начала ноября, чтобы банки успели заключить договоры о маркировке.

Мировой судья судебного участка № 7 Санкт-Петербурга оштрафовал «Ростелеком» на 600 тыс. рублей по ч. 2 ст. 13.2.1 КоАП. Эта норма предусматривает ответственность за неисполнение обязанности прекратить оказание услуг связи или пропуск трафика в установленных законом случаях. По данным прокуратуры, в сентябре 2025 года оператор пропустил три вызова мошенников с неверифицированных номеров жительнице Томской области. Как выяснил CNews, «Ростелеком» запросил у поставщиков сведения о платформе анализа звонков с функциями распознавания речи, идентификации говорящего и выявления синтезированного голоса. Оператор собирает информацию о доступных решениях; закупку он не объявлял.

Google 14 октября объявила о необязательном режиме расширенной защиты в «Google Сообщениях». В этом режиме при переписке с незнакомым отправителем сообщения будут анализироваться с помощью облачных моделей Gemini для выявления признаков мошенничества. Режим будет доступен в ближайшие недели вместе с защитой от мошеннической переадресации звонков и демонстрации экрана.

По данным «Взгляда», мошенники звонят под видом сотрудников МФЦ, предлагают записаться на выдачу загранпаспорта и выманивают код от «Госуслуг». Неделей ранее правительство поручило Минцифры проработать дополнительные условия входа на «Госуслуги».

Банк заключает договор о маркировке с оператором, чтобы при звонке клиент видел название организации. Оператор обязан блокировать вызовы с неверифицированных номеров в случаях, установленных законом; за неисполнение этой обязанности «Ростелеком» оштрафовали по ч. 2 ст. 13.2.1 КоАП. Платформу для распознавания поддельного голоса «Ростелеком» пока изучает по предложениям поставщиков. Без маркировки клиенту сложнее отличить звонок банка от вызова мошенника, который представляется его сотрудником.

Как проверяют полномочия ИИ-агентов

Personal Agent Protocol подтверждает полномочия ИИ-агента, но не устанавливает, кто управляет учётной записью, с которой выдано разрешение. Механизм описан в выпуске за 3–9 октября.

JPMorgan Chase подтвердил CNBC, что блокирует внешних ИИ-агентов при обращении к счетам розничных клиентов и попытках совершить операции от их имени. Глава банка Джейми Даймон объяснил ограничения рисками для клиентов и банка. American Express представила Intent Intelligence Framework: в системе заранее фиксируется, какие покупки пользователь разрешил ИИ-агенту, затем каждая покупка сверяется с этим разрешением.

Компания Proof 15 октября запустила открытый протокол x401. Сайт с поддержкой протокола может запросить у агента сведения о подтверждённой личности человека, от имени которого выполняется операция, и подписанные этим человеком условия. При изменении суммы или получателя подпись не подтверждает новые условия операции. GoDaddy, Infoblox, Google и Cloudflare на конференции GovWare 2026 в Сингапуре показали открытую эталонную архитектуру Chain of Trust: агенты разных платформ обнаруживают друг друга, проходят идентификацию и проверку на каждом шаге сделки. В демонстрации операция с мошенническим продавцом и поддельными учётными данными была заблокирована до её проведения.

«ВкусВилл» обновил MCP-сервер: после авторизации пользователя ИИ-агенту доступны каталог с наличием товаров по его адресу, история онлайн-заказов, любимые продукты и персональные скидки.

Наличие учётных данных у ИИ-агента не подтверждает разрешение человека на конкретную операцию. JPMorgan блокирует доступ, в решении Amex покупка сверяется с заранее выданным разрешением, в протоколе Proof разрешение связано с проверенной личностью, а в архитектуре Chain of Trust участники проверяются на каждом шаге сделки. Для привязки разрешения к человеку по протоколу Proof требуется предварительная проверка его личности. Если её не было, связь между разрешением и конкретным человеком не подтверждена.

Как виртуальная камера подменяет видео при идентификации

По данным сервиса Smart Business Alert, опубликованным SecPost, мошенники распространяют под видом приложений для подработки APK-файлы со встроенным модулем виртуальной камеры. Жертве предлагают оформить счёт или карту «для выплат». При видеоидентификации изображение с камеры её телефона подменяется записью другого человека. Документы и устройство принадлежат реальному человеку, но для анализа поступает видео с чужим лицом. Как такая запись проходит сверку с фотографией в документе, в публикации не раскрывается. Исследователи нашли около десятка таких сайтов и оценивают число скачиваний в несколько сотен; схема, по их оценке, пока тестируется. Рекомендации по проверке живого присутствия при восстановлении доступа опубликованы в выпуске за 3–9 октября.

Депутат Госдумы Сергей Селезнёв со ссылкой на Росфинмониторинг сообщил, что 90 % людей не распознают дипфейк и что внешние признаки подделки уже не позволяют её выявить.

Что Банк России разъяснил о криптокошельках

На странице Банка России, обновлённой 15 октября, приведены ответы на вопросы о сделках и операциях с цифровой валютой. Сами ответы отмечены датой 12 октября. Перевод цифровой валюты с цифрового счёта на некастодиальный кошелёк того же физического лица, по разъяснению регулятора, не разрешён ч. 9 ст. 31 Федерального закона от 04.08.2026 № 282-ФЗ. Банк России дал толкование действующего закона; новых ограничений регулятор не вводил. По оценке Audit-it, разъяснение касается перевода с цифрового счёта на свой некастодиальный кошелёк и не запрещает владеть криптовалютой на личном кошельке.

Прямые сделки между физлицами (P2P), по ответу ЦБ, возможны только до 1 июля 2027 года. С этой даты вступает в силу ч. 1 ст. 30 закона: резиденты смогут совершать сделки с цифровой валютой только при посредничестве организаций, которые вправе организовывать её обращение, или с ними напрямую, например с брокерами и криптообменниками. Переводы цифровой валюты между физлицами по адресам, которые администрирует цифровой депозитарий, в том числе по итогам сделок между ними, ч. 5 ст. 31 закона не разрешает. Как в таком случае исполнять P2P-сделки до 1 июля 2027 года, в опубликованных ответах ЦБ прямо не поясняется.

Посредник, у которого учитывается криптовалюта, обязан идентифицировать клиента. Первые цифровые депозитарии и криптообменники уже включены в реестры Банка России. До 21 октября продолжается обсуждение проекта положения о правилах внутреннего контроля, в котором учтены цифровые депозитарии и организации, осуществляющие обмен цифровых валют. При этом обязанность идентифицировать клиента по 115-ФЗ остаётся у самой организации.

«РТК-ЦОД» и «Инфотекс Интернет Траст» подключили платформу ЦФА «Токеон» (группа ПСБ) к ЕСИА с помощью защищённого шлюза TrustGate. По данным компаний, регистрация и верификация новых пользователей сократились до нескольких секунд.

Что проверить в хранении данных, доступе подрядчиков и идентификации

• Компаниям, которые обрабатывают персональные данные клиентов. Составить перечень площадок обработки и резервного хранения данных, собственных и у подрядчиков. Для каждой указать, где находится резервная копия, кто управляет ключами шифрования и сколько времени занимает переключение сервиса при сбое. Решения правительства по предложению АКИТ нет; при подготовке аварийного плана исходить из действующих требований.
• Финансовым организациям, включая МФО и страховщиков. Перечислить внешних исполнителей, которые обрабатывают банковскую тайну и персональные данные клиентов, и оценить, подпадают ли они под режим ИТ-аутсорсинга. Если Совет Федерации одобрит закон и президент его подпишет, на приведение действующих договоров в соответствие будет 180 дней после вступления закона в силу. При подготовке договоров учесть аудит исполнителя, двухчасовой срок сообщения об инцидентах и ответственность за ущерб.
• Всем, кто работает с подрядчиками, имеющими доступ к данным. Проверить, как подрядчик хранит пароли и ключи доступа, нет ли их в открытых репозиториях, есть ли у него ответственный за безопасность и в какой срок он сообщает об инциденте. При смене подрядчика заранее решить, как перенести или удалить данные у прежнего исполнителя и как обновить документы для пользователей.
• Банкам и компаниям, которые звонят клиентам. Заключить договоры о маркировке с операторами, сверить список исходящих номеров и предупредить клиентов, под каким названием будут отображаться звонки. Просьба Минцифры отложить ограничения до начала ноября не отменяет проверку их фактического статуса на дату звонков.
• Площадкам, которые предоставляют доступ ИИ-агентам. Перед предоставлением истории заказов и персональных предложений определить порядок проверки владельца учётной записи и перечень операций, которые человек подтверждает сам.
• Сервисам с удалённой идентификацией по видео. Дополнить анализ лица в кадре проверкой устройства и среды видеосъёмки: искать признаки виртуальной камеры, эмулятора и установки приложения в обход магазина.
• Криптосервисам и их банкам-партнёрам. Учесть разъяснения ЦБ о переводах на некастодиальные кошельки и между физлицами, а также срок 1 июля 2027 года для P2P-сделок. Замечания к проекту правил внутреннего контроля принимаются до 21 октября.

IDX оценивает связь ФИО и номера телефона по источникам, в которых человек проходил идентификацию, и анализирует цифровой след устройства. По результатам анализа заказчик получает скоринговый балл с оценкой вероятности мошеннических действий. Эти сведения используются при оценке заявок с риском использования чужих данных.