Упрощённая идентификация ЭСП, «Антифрод 3.0» и ИИ-агенты: кто стоит за операцией

Упрощённая идентификация — установление ФИО и реквизитов документа клиента-физлица с подтверждением сведений способом из закона. В России регулируется ст. 3 и пп. 1.11–1.13 ст. 7 115-ФЗ. Применяется в случаях из закона, прежде всего при выдаче ЭСП и переводах без открытия счёта.

Кратко:

• Что предлагает МВД: по данным источника «Интерфакса», оставить для упрощённой идентификации при выдаче ЭСП только личную подачу документов и ЕСИА, исключив дистанционную подачу. ЦБ в таком виде инициативу не поддержал.
• Что меняет ЦБ: по подписанному тексту Указания № 7475-У ИНН станет обязательным для ряда договоров с цифровыми валютами и цифровыми правами. Указание вступит в силу через 10 дней после официального опубликования, а пока находится на государственной регистрации в Минюсте.
• Что напоминает ВС: по августовскому определению № 5-КГ26-78-К2 банк должен убедиться, что намерение заключить договор исходит от самого клиента; одного кода из СМС для этого может не хватить.
• Когда уходит IDnGo: обслуживание клиентов прекращается 31 декабря 2026 года в России и 30 ноября 2026 года в Казахстане.
• Как контролировать ИИ-агентов: отдельная учётная запись, права под задачу и срок, журнал действий, подтверждение человеком операций выше порога.

Сегодняшний выпуск объединяет один вопрос: действовал ли сам клиент, кто-то с доступом к его номеру или ИИ-агент от его имени? МВД, по данным источника «Интерфакса», предлагает оставить для упрощённой идентификации при выдаче электронных средств платежа только личную подачу документов и ЕСИА. Банк России меняет положения № 444-П и № 499-П: в сведениях о клиенте появятся новые обязательные данные. В отраслевых СМИ снова обсуждают августовское определение Верховного суда о кредите, подтверждённом кодом из СМС. Правительство предлагает со временем отказаться от простой электронной подписи для согласия пациента на медицинское вмешательство.

С российского рынка уходит KYC- и KYB-провайдер IDnGo, бизнес подсчитывает издержки «Антифрода 3.0», а Microsoft, Sumsub и Visa выпустили инструменты, которые выдают ИИ-агенту отдельную учётную запись и ограничивают его права. Уязвимости PHP2Shell исследователи Wiz Research нашли с помощью ИИ, а попытки атак на них в России, по данным BI.ZONE, начались ещё до выхода исправлений.

Что изменится в упрощённой идентификации при выдаче ЭСП

По данным источника «Интерфакса», МВД предлагает убрать из способов упрощённой идентификации при выдаче электронного средства платежа (ЭСП) дистанционную подачу документов, оставив только личную подачу и авторизацию в ЕСИА. Сообщение вышло 21 октября; источник знаком с ходом межведомственного обсуждения третьего антифрод-пакета, текст поправки не опубликован. Речь, по нашей оценке, идёт о способе из подп. 2 п. 1.12 ст. 7 115-ФЗ, при котором клиент направляет сведения о себе, в том числе в электронном виде, а организация проверяет их по государственным информационным системам (п. 1.13 ст. 7). Исключат ли этот способ целиком или только его дистанционную часть, из сообщения не следует. Инициативу, по данным источника, поддержал Росфинмониторинг. ЦБ в предложенном виде её не поддержал: по мнению регулятора, поправка затронет все ЭСП, включая дебетовые и кредитные карты, хотя на практике упрощённая идентификация используется прежде всего для электронных кошельков. Регулятор планирует обсудить её на совещании с участниками рынка. По данным источника, если пакет «Антифрод 3.0» примут, он вступит в силу 1 марта 2028 года.

Wildberries в отзыве на законопроект привёл цифры: упрощённую идентификацию прошли около 17 млн пользователей «WB Кошелька», а сторонние сервисы идентификации, по оценке компании, обеспечивают около 20 % подтверждений клиентов WB Банка. О каком правовом механизме идёт речь (о поручении идентификации по 115-ФЗ или о дополнительных проверках), из сообщения не следует. Если предложение примут, клиентам, по словам компании, останутся только «Госуслуги» или визит в офис. Компания просит либо убрать запрет, либо сохранить идентификацию по электронным данным с проверкой паспорта по запросу в СМЭВ. По нашей оценке, это тот же способ, о котором идёт речь в инициативе МВД. Минцифры ответило, что проработает порядок идентификации для платёжных средств с Центробанком.

Что меняет Указание № 7475-У

ЦБ меняет и сами правила идентификации по 115-ФЗ. Проект поправок регулятор выносил на обсуждение в августе, а 30 сентября подписал Указание от 30.09.2026 № 7475-У, которое меняет положения № 444-П и № 499-П. Указание вступит в силу через 10 дней после официального опубликования. На 23 октября документ, по данным Банка России, находится на государственной регистрации в Минюсте, и по её итогам в текст могут быть внесены изменения.

По обзору audit-it.ru, ИНН клиента станет обязательным при заключении ряда договоров с цифровыми валютами и цифровыми правами. Указание прямо распространит правила на банки, которые работают как цифровой депозитарий, обменник цифровых валют или оператор информационной системы ЦФА. Если человек вносит наличные в чужом банкомате, чтобы перевести их по СБП на свой счёт, банк, которому принадлежит банкомат, будет идентифицировать его по данным перевода: ФИО, ИНН при наличии, номер счёта и БИК. В сведения о юрлице организация будет вносить фактический адрес руководства, если он отличается от адреса в ЕГРЮЛ и известен организации.

Чего ВС ждёт от банка при выдаче кредита по коду из СМС

Мы подробно разбирали это определение в выпуске за 18–24 сентября; в октябре его снова обсуждают отраслевые СМИ, поэтому напоминаем главное. Определением от 18.08.2026 № 5-КГ26-78-К2 Верховный суд рассмотрел спор клиента «Хоум Кредит энд Финанс Банка». По версии заёмщика, кредит на 869 958 руб. оформило неустановленное лицо, а зачисленные 751 тыс. руб. меньше чем через пять минут ушли постороннему лицу. По сообщениям СМИ, коды из СМС клиент сам сообщил звонившему «сотруднику службы безопасности».

ВС указал, что простая электронная подпись должна подтверждать, что её сформировало определённое лицо (ч. 2 ст. 5 63-ФЗ), а банку надлежало убедиться, что намерение заключить договор исходит от надлежащего лица. Сославшись на определение Конституционного суда № 2669-О, суд напомнил: если кредит сразу после выдачи переводят третьему лицу, банк должен принимать повышенные меры предосторожности. Апелляционное и кассационное определения отменены, дело направлено на новое рассмотрение в суд апелляционной инстанции; договор недействительным не признан, итог спора пока неизвестен. Определение вынесено по конкретному делу и не отменяет простую электронную подпись.

Код из СМС подтверждает, что у кого-то был доступ к номеру. Если код выманили, показать, что действовал сам владелец, без дополнительных данных сложно. Тот же абонентский номер служит одним из элементов упрощённой идентификации по подп. 2 п. 1.12 и п. 1.13 ст. 7 115-ФЗ, поэтому спор о СМС-коде и предложение МВД касаются одного и того же слабого места. Перед выдачей кредита банк может провести проверку живого присутствия и сверить селфи с фотографией в паспорте.

Как изменится подписание медицинских согласий

Комитет Госдумы по охране здоровья 21 октября рекомендовал принять в первом чтении правительственный законопроект об электронном подписании медицинских документов, в том числе информированного добровольного согласия на вмешательство и отказа от него. Законопроект предусматривает переходный период до 1 марта 2028 года, когда такие документы можно будет подписывать простой электронной подписью. После этой даты, если закон примут, простая подпись для них отпадёт, а усиленная неквалифицированная подпись, например в «Госключе», станет дополнительным способом наряду с усиленной квалифицированной. Подписать согласие на бумаге пациент по-прежнему сможет.

Что делать клиентам IDnGo после ухода KYC-провайдера из России

ООО «Кабутек» (бренд IDnGo, до 2024 года Cyberity) прекращает работу в России, сообщил CNews 15 октября и дополнил материал 20 октября. Среди клиентов компании в разное время были Wildberries, BelkaCar и «Модульбанк». Генеральный директор Олег Рукинов объяснил решение сложной экономической обстановкой. Последних клиентов компания перестанет обслуживать 31 декабря 2026 года в России и 30 ноября 2026 года в Казахстане, ликвидирует оба юрлица и выведет программное обеспечение из эксплуатации. По данным открытой отчётности, которые привела гендиректор «Биорг» Дарья Джанкотти (компания работает на том же рынке), выручка «Кабутека» за 2025 год составила около 481 млн руб., на 21 % меньше, чем годом ранее.

Опрошенные CNews участники рынка связывают уход с более жёсткими требованиями к локализации, обороту биометрии и трансграничной передаче данных. Ещё одну причину они видят в том, что у провайдера стало меньше клиентов из финтеха, криптосервисов и компаний с иностранным участием. Клиенты уже ищут замену: одни планируют завершить переход в октябре, другие к 1 декабря. В Strategy Partners считают, что уход одного игрока рынок не сократит: нишу займут российские поставщики с сопоставимым набором сервисов.

При выборе замены заказчику полезно выяснить, где провайдер хранит данные и передаёт ли их за рубеж: требования к локализации (ч. 5 ст. 18 152-ФЗ) и трансграничной передаче участники рынка называют среди причин ухода IDnGo. Если обработку поручают иностранному лицу, перед субъектом за его действия отвечают и оператор, и сам обработчик ( ч. 6 ст. 6 152-ФЗ). Государственные каналы (ЕСИА и ЕБС) остаются альтернативой для части сценариев.

При переходе на нового KYC-провайдера компании придётся обновить договор поручения обработки ПДн, политику в отношении обработки ПДн, интеграции с госсистемами и пороги антифрода. До выбора замены полезно сверить, какой вид идентификации нужен в вашем сегменте (упрощённая, полная или удалённая с ЕБС) и какие проверки по 115-ФЗ должен поддерживать новый провайдер.

Как проверяют возраст пользователей в Греции и Германии

Парламент Греции поздно вечером 22 октября одобрил запрет соцсетей для детей до 15 лет с 1 января 2027 года. Возраст обязаны проверять сами платформы. Если сервис не может его определить, он показывает QR-код для государственного приложения Kids Wallet, которое сообщает только, старше пользователь 15 лет или нет, без имени и даты рождения. Ещё на стадии законопроекта Euronews отмечал, что текст технологически нейтрален: платформа вправе выбрать другой способ проверки, если он соответствует европейскому праву. В Германии, по данным Biometric Update, утверждены временные правила, по которым дети до 13 лет не получат доступ к платформам, пока те не докажут, что подходят детям. Возраст пользователи будут подтверждать в национальном кошельке d-you.

Платформа в такой модели получает от сервиса проверки один признак, «старше порога», без паспортных данных. Если окончательный текст греческого закона сохранит технологическую нейтральность, эту роль сможет выполнять и коммерческий провайдер: он сверит возраст по документу и передаст платформе только результат.

Какие нормы «Антифрода 3.0» о логах и SIM-картах оспаривает бизнес

18 октября Forbes разобрал отзывы ассоциаций на проект третьего антифрод-пакета, который Минцифры разместило на regulation.gov.ru 30 сентября. Больше всего возражений вызвали нормы о хранении логов и о блокировке SIM-карт.

По проекту владельцы сайтов должны будут три года хранить данные о регистрациях и авторизациях пользователей. Ассоциация больших данных считает издержки несоизмеримыми с пользой. АКИТ предлагает распространить требование только на публичные клиентские ресурсы и не дублировать режим организаторов распространения информации. Норма о SIM-картах допустит отключение всех SIM-карт абонента, если скомпрометирована одна из них, причём абонентом-юрлицом проект считает всю организацию. Об угрозе остановки касс, терминалов и M2M-устройств предупредили АКИТ, «Мосэнергосбыт» и Ассоциация эксплуатантов воздушного транспорта: у авиакомпаний на SIM-картах работают планшеты пилотов.

В августовской редакции проекта для межведомственного согласования нормы о хранении логов уже не было, но Минцифры снова включило её в опубликованный 30 сентября проект. На критику министерство ответило так: по его словам, блокировку всех номеров абонента уже ввёл закон 210-ФЗ от 26 июня 2026 года, а исключения для добросовестных компаний Минцифры пропишет в подзаконном акте. Тот же закон с 1 марта 2027 года меняет 161-ФЗ о национальной платёжной системе. Оператор по переводу денежных средств будет отказывать в операции, если есть данные о воздействии вредоносного ПО на устройство клиента, и предлагать провести перевод с другого устройства или лично.

Эксперт по ИБ, гендиректор Phishman Алексей Горелкин считает главным пробелом пакета то, что в нём нет механизма выхода из «пула блокировки» при ложном срабатывании. По его оценке, не ясен и объём логирования: факт входа или полная история действий. Результаты прежних мер привёл замглавы РКН Олег Терляков: к середине октября сверх лимита оставалось около 26 тыс. номеров примерно у тысячи абонентов, с начала года их число сократилось на 1,95 млн.

В ответе на критику Минцифры объяснило, что хранение данных нужно, чтобы быстрее находить причастных к преступлениям; другого способа восстановить историю действий пользователя ведомство не назвало, и норма о логах осталась в проекте. При блокировке всех номеров абонента ошибка по одной SIM-карте может отключить связь всей организации. Пока в проекте нет процедуры выхода из блокировки, компания рискует узнать о проблеме, когда остановятся её кассы или терминалы. В текущей редакции требования затронут операторов связи и, если предложение АКИТ не учтут, практически любого владельца сайта с формой авторизации.

Можно ли хранить персональные данные россиян в зарубежных ЦОДах

Основную базу данных за рубежом по-прежнему держать нельзя: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся с использованием баз данных на территории России (ч. 5 ст. 18 152-ФЗ). Новый перечень РКН из 88 государств касается только трансграничной передачи.

Роскомнадзор приказом от 16.09.2026 № 253 утвердил новый перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. В перечень вошли 88 государств. Приказ официально опубликован 19 октября и вступит в силу 30 октября 2026 года; с этой даты утратит силу прежний приказ от 05.08.2022 № 128. Ассоциация больших данных предложила разработать временные правила хранения ПДн россиян в дата-центрах дружественных стран на фоне атак беспилотников на ЦОДы «Яндекса», Сбербанка и VK, о которых в октябре сообщал РБК. По замыслу АБД, ответственность за безопасность данных останется на российской компании. АКИТ просила до 1 марта 2028 года разрешить пострадавшим компаниям временно использовать резервные площадки за рубежом; эту инициативу мы разбирали в выпуске «Данные под ударом».

Временные правила АБД пока остаются предложением. Перед началом трансграничной передачи оператор уведомляет Роскомнадзор ( ч. 3 ст. 12 152-ФЗ) независимо от того, входит ли страна в перечень; от перечня зависит, можно ли начинать передачу сразу после уведомления (ч. 10–11 ст. 12). Пока временных правил нет, любой сценарий с резервной площадкой за границей нужно проверять на соответствие требованию о локализации. За действия обработчика по поручению перед субъектом по-прежнему отвечает оператор ( ч. 5 ст. 6 152-ФЗ).

Какие утечки персональных данных расследуют МВД и суды

МВД 19 октября сообщило о задержании в Барнауле подозреваемого в доступе к базе крупной сети пиццерий. По версии следствия, он с помощью целевого фишинга и обхода средств защиты получил данные о заказах, адресах доставки и номерах телефонов клиентов и публиковал их в канале мессенджера. По данным МВД, задержанный был основным участником хакерской группировки, которая автоматизировала атаки с помощью ИИ и сократила подготовку взлома с нескольких недель до нескольких часов. Следователи возбудили дело по ч. 3 ст. 272.1 УК РФ; эта часть охватывает, в частности, деяния из корыстной заинтересованности или группой лиц по предварительному сговору. По другому делу, об атаке на «Додо пиццу», Тверской суд Москвы ещё 14 октября отправил под домашний арест обвиняемого; связаны ли эти дела, из сообщений не следует.

По данным исследования ГК ОТР, 29 % опрошенных хотя бы раз отказались от онлайн-кредита или займа из-за опасений за данные. При этом 42 % готовы потратить до двух минут на дополнительные шаги проверки.

Как Microsoft, Sumsub и Visa контролируют ИИ-агентов: модель KYA

Microsoft 19 октября расширила Entra Agent ID: агент получает собственную учётную запись, отдельную от записи сотрудника. В том же анонсе компания представила Dynamic Permissions: права агента ограничиваются задачей и сроком её выполнения, а для действий с высоким влиянием может требоваться подтверждение человеком. Механизмы Dynamic Agent Risk и Dynamic Conditional Access сужают права агента при росте риска, вплоть до его остановки. Entra теперь обнаруживает до 60 типов локальных агентов, включая Claude Code, OpenAI Codex и GitHub Copilot.

Sumsub в тот же день выпустила KYA Module for MCP. Модуль фильтрует запросы агента к корпоративным данным, удаляет из них персональные данные и ведёт журнал действий. Если агент пытается выполнить рискованную операцию, например согласовать счёт выше лимита, модуль запускает проверку живого присутствия человека. На старте модуль работает только с Amazon Bedrock AgentCore Gateway.

Visa, BILL и Billtrust 20 октября запустили пилотный проект оплаты счетов агентом на реальных платежах. Агент BILL зарегистрирован в Visa Trusted Agent Protocol и Agentic Directory. Он оплачивает одобренные покупателем счета на порталах поставщиков токенизированными реквизитами, без общих логинов. Axios в материале от 22 октября описал, что происходит, когда агенты входят под учётной записью клиента: крупнейшие банки США обнаруживают в клиентских счетах сторонних агентов. По данным источников издания, банки не всегда могут отличить агента, который действует по поручению клиента, от вышедшего из-под контроля. Morgan Stanley, по данным Axios, начал блокировать сторонних агентов, JPMorgan, Bank of America и Citi ограничивают им доступ.

Компания identifAI в отчёте от 13 октября оценила мошенничество с дипфейками в 40 млрд долл. На синтез видео, по её данным, приходится 42,7 % случаев, на клонирование голоса 21,9 %; синтетические медиа, по оценке компании, вызывают примерно одну из 100 неудачных проверок личности. Независимой проверки методики отчёта редакция в открытых источниках не нашла, поэтому цифры приведены как оценка компании.

В совокупности решения Microsoft, Sumsub и Visa описывают четыре элемента модели KYA (Know Your Agent). У агента отдельная учётная запись, права ограничены задачей и сроком, действия попадают в журнал, а операции выше порога подтверждает человек. Без такой модели банку или платформе сложнее отличить поручение клиента от атаки, а ситуация из материала Axios может возникнуть в любом сервисе, куда агент входит под учётной записью клиента. Когда агент передаёт операцию на подтверждение, сервис может проверить живое присутствие клиента. Требования к такой проверке редакция разбирала в материале о биометрических проверках и защите от дипфейков.

Что известно об уязвимостях PHP2Shell

Разработчики PHP 21 октября выпустили исправления двух критических уязвимостей интерпретатора, CVE-2026-109618 и CVE-2026-109619, объединённых под названием PHP2Shell (9,2 балла по CVSS 4.0). Уязвимости позволяют выполнять команды на сервере без авторизации. По данным SecurityLab, Wiz Research нашла их в августе с помощью собственных инструментов и ИИ-моделей. Перед выходом патчей власти Нидерландов, Финляндии и Франции, по тем же данным, превентивно отключили часть государственных порталов; подтверждённых случаев массовой компрометации нет. По данным BI.ZONE, в российском сегменте около 50 тыс. потенциально уязвимых PHP-приложений, а попытки эксплуатации начались ещё до выхода исправлений.

Что компаниям проверить после новостей 16–23 октября

Кредитные сценарии. Определение ВС № 5-КГ26-78-К2 вынесено по конкретному делу и не является разъяснением Пленума, но в похожем споре банку, вероятно, придётся показать, какие меры он принял, чтобы убедиться, что договор заключал сам клиент. Если кредитные деньги сразу уходят третьему лицу, суд ждёт от банка повышенных мер предосторожности, поэтому дистанционную выдачу кредитов полезно пересмотреть начиная с этого шага.

Каналы упрощённой идентификации. Эмитентам ЭСП и платформам с кошельками полезно посчитать долю клиентов, которые прошли упрощённую идентификацию дистанционно, направив сведения о себе. На случай, если этот способ исключат, разумно подготовить альтернативы: ЕСИА, личную явку и полную удалённую идентификацию с помощью ЕБС (отдельный режим со своими требованиями). ЦБ определит итоговую позицию по предложению МВД после совещания с рынком.

Медицинские согласия. Медицинским сервисам с онлайн-записью и телемедициной лучше заранее проверить, какие виды подписи поддерживает их сервис: по законопроекту после 1 марта 2028 года простая подпись для согласий на вмешательство отпадёт.

Анкеты под Указание № 7475-У. Банкам и НФО придётся подготовить анкеты: обязательный ИНН для ряда договоров с цифровыми валютами и цифровыми правами и поле фактического адреса руководства юрлица, если он отличается от адреса в ЕГРЮЛ и известен организации. Владельцам банкоматов понадобится идентифицировать вносителя наличных по данным СБП-перевода. Десять дней до вступления указания в силу отсчитываются с даты официального опубликования.

Миграция с IDnGo. Клиентам уходящего провайдера нужно завершить переход до 31 декабря 2026 года, в Казахстане до 30 ноября, и одновременно обновить договоры поручения обработки ПДн и политики в отношении обработки ПДн.

Логи и SIM-парки. Владельцам личных кабинетов и корпоративных SIM-парков разумно уже сейчас выяснить, где и как долго хранятся записи об авторизациях. Ещё два вопроса: как номера распределены по абонентам и есть ли резервный канал связи для касс, терминалов и M2M-устройств.

ИИ-агенты. Компаниям, которые подключают агентов к клиентским и корпоративным данным, полезно выдать каждому агенту отдельную учётную запись и ограничить его права задачей и сроком. Действия агента стоит записывать в журнал, а операции выше порога подтверждать у клиента. Список операций, которые агент выполняет без подтверждения, лучше утвердить до того, как открыть ему доступ к API или по MCP.

Серверы на PHP. Владельцам кабинетов и интеграций идентификации на PHP нужно проверить версию интерпретатора на сервере: обновление CMS уязвимость PHP2Shell не устраняет.