В России расширили защиту от мошенников сразу по двум линиям: президент подписал второй пакет профильных мер и отдельный закон о штрафах для владельцев российских сайтов. Для IT-рынка это не очередная абстрактная кампания «за всё хорошее», а набор вполне прикладных требований: от новых правил авторизации до поэтапного запуска базы IMEI и ограничений в телеком- и финтех-контуре.
Документ, о котором сообщает vc.ru, вносит изменения в закон «О связи» и ряд других актов. Это продолжение первого пакета мер, принятого в 2025 году. Во втором пакете прописаны несколько заметных новаций: граждане смогут установить самозапрет на входящие международные звонки, появятся «детские» SIM-карты, вводится ограничение на число банковских карт на одного человека — не более 20, а также механизм возмещения ущерба от мошеннических действий. Отдельно в тексте упомянуты «красная кнопка» на Госуслугах и создание базы идентификационных номеров мобильных устройств, то есть IMEI.
Сроки у этого пакета не общие, а растянутые на полтора года с лишним. Отдельные положения начнут действовать с 1 сентября 2026 года, другие — с 1 марта 2027-го, 1 сентября 2027-го и 1 января 2028 года. Для бизнеса это важная деталь: закон уже подписан, но внедрение будет идти волнами. Значит, командам, которые отвечают за авторизацию, антифрод, телеком-интеграции, мобильную идентификацию и клиентские сценарии в финтехе, не получится отложить тему в папку «разберёмся ближе к делу». Ближе к делу, как обычно, внезапно наступает быстрее, чем успевает обновиться дорожная карта.
Параллельно подписан и закон с поправками в КоАП. Он вводит штрафы до 700 тысяч рублей для владельцев российских сайтов за нарушение правил авторизации пользователей. Речь идёт о входе через зарубежные сервисы, в частности через Google и Apple ID. Сам запрет действует не с этого года, а с 2023-го, но теперь у него появляется более осязаемый стимул к соблюдению. При этом требований к электронной почте, которую пользователь использует как логин, в материале не указано: проблема касается именно способов авторизации, а не адреса почтового ящика как такового.
Для разработчиков и продуктовых команд здесь новость не только юридическая, но и архитектурная. Если на российском сайте до сих пор живёт кнопка входа через зарубежный идентификационный сервис, её наличие становится не просто спорным наследием прошлых релизов, а потенциальным источником прямого штрафного риска. Это заставит пересматривать пользовательские пути регистрации и входа, актуализировать внутренние policy, а где-то и чинить старый фронтенд, который годами никто не трогал из принципа «работает — не трогай». Теперь не трогать может оказаться дороже, чем переделать.
Есть и более широкий контекст. Государство последовательно собирает антимошеннический контур из нескольких слоёв: связь, госуслуги, банковские ограничения, идентификация устройств и правила цифрового входа. По отдельности меры выглядят разнородно, но логика у них одна — сократить пространство, в котором мошенник может быстро сменить номер, устройство, канал связи или способ доступа к аккаунту. База IMEI в этой конструкции выглядит как попытка привязать часть мобильной инфраструктуры к более жёсткой учётности. «Красная кнопка» на Госуслугах — как ставка на быстрый сценарий реагирования для пользователя, когда уже не до чтения длинных инструкций.
Для бизнеса это означает не только затраты на комплаенс, но и необходимость договариваться между юристами, безопасниками, продуктом и разработкой заранее. Одни будут смотреть на формулировки закона и дату вступления в силу конкретной нормы, другие — на то, как это ляжет в реальные процессы: какие события логировать, что считать нарушением, как перестраивать поддержку, как объяснять изменения пользователю, и что делать с мобильными и веб-приложениями, где авторизация исторически завязана на внешний SDK. Отдельная зона риска — компании, у которых российский сайт формально локальный, а стек входа остался глобальным по инерции международной разработки.
Защита от мошенников в этой версии выглядит уже не как серия точечных запретов, а как длинная программа перенастройки цифровой среды. Вопрос теперь не в том, появятся ли новые требования к сервисам и каналам идентификации, а в том, насколько аккуратно рынок успеет встроить их в продукт без потери пользователей и без очередного фестиваля «временно отключили удобный вход, потому что иначе штраф». Для российских IT-команд это тот случай, когда регуляторика напрямую диктует бэклог, а спорить с приоритетом задачи уже бессмысленно.