Новый закон о защите от мошенников: что изменится для россиян

Госдума приняла во втором и третьем чтениях закон «Антифрод 2.0» — второй пакет мер по защите граждан от телефонных и интернет-мошенников. Документ объединяет около 30 инициатив, вводит финансовую ответственность банков и операторов связи, ограничивает число банковских карт, создает базу IMEI-кодов и добавляет новые инструменты самозащиты. Закон поддержали 368 депутатов, против не проголосовал никто, один воздержался.

Контекст. Первый пакет антифрод-мер приняли в 2025 году. По данным вице-премьера Дмитрия Григоренко, за первые четыре месяца 2026 года число IT-преступлений снизилось более чем на 30%. Однако мошеннические схемы продолжают эволюционировать, что потребовало новых барьеров.

Когда и кому банк обязан вернуть деньги?

С 1 марта 2027 года банки обязаны возместить клиенту похищенные средства полностью, но только в одном случае: если банк нарушил установленные антифрод-правила.

Пример: банк проверил устройство клиента, обнаружил вредоносную программу, но не отклонил операцию и не предупредил пользователя. Тогда ответственность ложится на кредитную организацию.

Важно: если клиент сам перевел деньги мошенникам (под влиянием звонка, фишинговой ссылки или социальной инженерии), закон не предусматривает автоматической компенсации. Формулировка «банк вернет деньги всем пострадавшим» неверна.

Механизм проверки устройств: с разрешения клиента банк получит право проверять смартфон или компьютер на наличие вредоносного ПО. При обнаружении угрозы банк обязан:

• отклонить операцию;

• уведомить клиента;

• предложить провести перевод с другого безопасного устройства или в отделении.

Ответственность операторов связи

Операторы обязаны выявлять мошеннические звонки и блокировать подозрительные номера, передавая сведения в госсистему «Антифрод». Если из-за бездействия оператора (нарушения установленного порядка) абонент лишился денег, компания также обязана возместить ущерб.

Конкретный порядок возмещения для операторов определит правительство по согласованию с Банком России. Логика та же, что и для банков: не выполнил обязанности — компенсируй потери.

Лимит банковских карт: не более 20 на человека

С 1 сентября 2027 года один гражданин сможет оформить суммарно не более 20 платежных карт во всех банках. Мера направлена против дропперов — людей, которые оформляют карты для передачи мошенникам с целью вывода и обналичивания похищенных средств.

Что изменилось по сравнению с первым чтением? Изначально предлагалось ограничение в 5 карт на один банк. От этой нормы отказались. Также из финальной версии исключили требование об обязательной привязке банковского счета к ИНН.

Учет карт будет вести Национальная система платежных карт (НСПК). ЦБ по решению совета директоров сможет разрешать отдельным людям иметь более 20 карт. До 1 сентября 2027 года требование не действует — закрывать лишние карты срочно не нужно.

Самозапрет на международные звонки 

В финальной версии закона отказались от идеи автоматического запрета входящих звонков из-за рубежа. Теперь абонент может самостоятельно установить такой запрет у оператора связи. Снять его можно будет только при личном визите в МФЦ. Операторы также обязаны маркировать международные звонки.

«Красная кнопка» на «Госуслугах» и в «Максе»

Через портал «Госуслуги», мессенджер «Макс» и приложения банков можно будет мгновенно сообщить о мошенничестве. Сигнал поступит банкам, операторам и в систему «Антифрод», после чего запустится «период охлаждения» для всех значимых операций со счетами и аккаунтами.

Важно: «красная кнопка» — дополнение к звонку в банк, а не замена. Если деньги уже ушли, действовать нужно по всем каналам одновременно.

Борьба с «револьверной» заменой SIM-карт

Чтобы мошенники не могли моментально перевыпустить SIM-карту и скрыться, закон вводит правило: расторгнуть договор с оператором связи можно не ранее чем через 90 дней после его заключения.

При этом если абонент подал заявление о расторжении до истечения 90 дней, оператор обязан немедленно приостановить оказание услуг и не взимать плату. Для старых номеров и давних договоров это правило не действует — закрыть номер можно в любой момент по обычным условиям.

Единая база IMEI-кодов

Создается государственная база идентификаторов мобильных устройств (IMEI). При покупке SIM-карты абонент обязан сообщить оператору IMEI своего телефона. Устройства, нелегально ввезенные или числящиеся в розыске, попадут в «черный список» и перестанут работать в российских сетях вплоть до полной «кирпичной» блокировки.

Детские SIM-карты (добровольно)

Родители получат право (а не обязанность) уведомить оператора об использовании SIM-карты ребенком. Оператор после этого включит дополнительные меры защиты: фильтрацию трафика, невозможность регистрации на сайтах с возрастными ограничениями. Порядок работы детских карт установит отдельный подзаконный акт правительства.

Сроки хранения в антифрод-базе

Если реквизиты человека впервые попали в базу данных о мошеннических операциях, они хранятся один год. При повторном попадании — три года. Досрочное удаление возможно, если правоохранительные органы сообщат о прекращении уголовного преследования. Право оспорить включение в базу сохраняется.

Шестичасовая задержка подозрительных переводов

Банки получают право задерживать уже подтвержденные клиентом переводы на срок до шести часов. Речь идет о ситуации, когда банк ранее приостановил операцию как подозрительную, а клиент повторно подтвердил свое намерение. В течение шести часов с момента подтверждения банк вправе не исполнять распоряжение.

Массовые обзвоны: только по закону и с правом жалобы

Без предварительного согласия абонента массовые вызовы допускаются только в целях информирования, если такая обязанность прямо установлена федеральными законами, актами президента, правительства или ЦБ. Заказчик звонка обязан объяснить причину и предупредить, что абонент может пожаловаться оператору, если сочтет вызов неправомерным. Минцифры получило право устанавливать предельный тариф на такие массовые информирующие звонки.

Штрафы за авторизацию через зарубежные сервисы

Владельцы сайтов и приложений, которые допускают вход пользователей через иностранные сервисы (например, Google или Apple ID), заплатят штраф:

• граждане — от 10 000 до 20 000 рублей;

• должностные лица — от 30 000 до 50 000 рублей;

• организации — от 500 000 до 700 000 рублей.

Внесудебная блокировка вредоносного ПО

Информацию о продаже и установке вредоносного программного обеспечения будут блокировать без решения суда.

Что исключили из закона при доработке

Ко второму чтению депутаты существенно смягчили правительственную инициативу, чтобы не создавать неудобств для граждан. Из финальной версии убрали:

• обязательное подтверждение операций через мессенджер «Макс» (остались СМС и привычные способы);

• привязку всех банковских счетов к ИНН;

• требование регистрироваться на значимых интернет-ресурсах только с российской электронной почтой;

• автоматический (а не добровольный) запрет на международные звонки;

• обязательную для родителей, а не добровольную норму о детских SIM-картах;

• лимит в 5 карт на один банк (оставили общий лимит 20 карт на человека);

• ужесточение правил восстановления доступа к «Госуслугам» (текущий порядок сохранился, но добавлен 10-минутный период ожидания перед получением одноразового пароля).

Сроки вступления в силу разных мер

Нормы закона вводятся поэтапно, так как для их реализации требуется принятие дополнительных подзаконных актов, наиболее значимые изменения, касающиеся возврата денег и ограничения числа карт, начнут действовать в 2027 году.

Что дальше?

Депутаты уже анонсируют «Антифрод-3». По словам первого зампреда комитета по информполитике Антона Ткачева, третий пакет должен учесть технологии искусственного интеллекта, которые сейчас никак не регулируются. «Если мы примем закон об ИИ, я уверен, что в “Антифроде” должны появиться статьи по искусственному интеллекту», — заявил парламентарий.

Частые вопросы

Банк автоматически вернет деньги, если меня обманули?
Нет. Только если банк нарушил антифрод-обязанности (например, знал о вирусе на вашем устройстве, но провел операцию).

Когда заработает лимит 20 карт?
С 1 сентября 2027 года. До этой даты количество карт не ограничено.

Нужно ли срочно закрывать лишние карты?
Нет, требование еще не действует.

Кто такие дропперы?
Люди, которые за деньги оформляют карты на себя и передают их мошенникам для вывода похищенного. Лимит карт — удар по этой схеме.

Обязательно ли подтверждать операции через «Макс»?
Нет. Эту норму исключили. Остались СМС и привычные способы.