БЕЗ ПАНИКИ! VPN вне закона? Разбираем панику вокруг «вредоносного ПО» и банковских блокировок. Комментарий юриста.

Братья и сестры! Не давайте себя запугать. Некоторые каналы просто нагнетают обстановку, вырывая ситуацию из контекста. Закон борется с настоящими мошенническими программами, а не с любым софтом на вашем телефоне. Давайте откроем текст самого ФЗ от 26.06.2026 № 210-ФЗ и посмотрим, что же там написано на самом деле.

Есть ли в законе определение вредоносного ПО? Да, есть.

Закон не приводит список конкретных названий программ, но дает четкое функциональное определение. Оно сформулировано в статье 7 (изменения в ст. 8 закона «О национальной платежной системе»).

Вредоносными признаются только те программы, которые предназначены для совершенно конкретных преступных действий. Цитата:

Что это означает на простом языке?

Программа признается вредоносной, только если она создана для того, чтобы без вашего согласия:

✅ украсть данные (копирование),

✅ изменить реквизиты платежа (модификация),

✅ сделать данные недоступными (блокирование или уничтожение),

✅ отключить защиту банковского приложения (нейтрализация средств защиты).

Если программа не выполняет ни одного из этих действий, она не подпадает под определение вредоносного ПО, которое будет использоваться банками.

Попадают ли под это определение обычные VPN и прокси?

Обычный VPN-сервис шифрует трафик и направляет его через другой сервер. Он не занимается несанкционированным уничтожением, модификацией, копированием ваших данных и не отключает защиту банковских приложений.

Следовательно, сам по себе VPN не соответствует ни одному признаку вредоносного ПО, перечисленному в законе. То же самое относится и к прокси.

Разумеется, если в составе какого-либо приложения (неважно, называется оно VPN или как-то иначе) будет скрыт троян, стилер или кейлоггер, то такое приложение будет признано вредоносным — именно из-за встроенного вируса, а не из-за функции VPN.

А проверять телефон будут только с вашего согласия.

Это ключевой момент, который упускают панические посты. Закон разделяет два уровня защиты.

Первый уровень — защита самого банковского приложения. Банк обязан следить, чтобы никто не пытался взломать или обмануть его программу. На это ваше согласие не требуется. Второй уровень — проверка вашего устройства на наличие вирусов. И вот здесь закон прямо требует вашего согласия.

Цитата (ст. 7, новый пункт 1.3 статьи 27): «Оператор по переводу денежных средств обязан предоставить клиенту - физическому лицу возможность использования средств защиты информации от воздействия вредоносного программного обеспечения на пользовательском оборудовании (оконечном оборудовании) клиента, если указанный клиент предоставил согласие...».

Из этой формулировки следует, что если клиент не дал согласие, то у банка просто не возникает обязанности предоставлять ему это конкретное средство защиты. Но это никак не отменяет обязанности банка исполнять все остальные условия договора, включая проведение законных переводов.

Каким образом оператор (банк) будет проверять телефон, если клиент дал согласие? Написано ли это в 210-ФЗ?

Нет, конкретная техническая процедура проверки в самом Федеральном законе № 210-ФЗ не описана. Закон устанавливает обязанность банка и право клиента, но не прописывает пошаговый алгоритм сканирования устройства.

Вот что именно говорит закон:

Банк обязан предоставить клиенту возможность использовать средства защиты на его устройстве, если клиент согласен.

Цитата (ст. 7, ч. 1.3) (выше) означает, что выбор клиента — давать или не давать согласие на углублённую проверку устройства — является его законным правом, а не обязанностью. Отказ от согласия не может трактоваться как нарушение договора или основание для ограничения обслуживания, потому что закон прямо предусматривает оба варианта поведения как равноправные.

Более того, в норме, описывающей саму возможность такой проверки, согласие клиента указано как условие, а не как требование, невыполнение которого влечет отказ в обслуживании.

Из этой формулировки следует, что если клиент не дал согласие, то у банка просто не возникает обязанности предоставлять ему это конкретное средство защиты. Но это никак не отменяет обязанности банка исполнять все остальные условия договора, включая проведение законных переводов.

Более того, банк обязан зафиксировать ваше право отказаться от такой проверки прямо в договоре.

Цитата (ст. 7, новый пункт 1.4 статьи 27): «...обязан включать в договор... положения о праве клиента... дать согласие... либо отказаться от предоставления такого согласия».

Это означает, что никакого принудительного «сканирования всего телефона» не будет. Если вы не дадите согласие, банк будет защищать только свое приложение и не будет анализировать остальное содержимое вашего устройства.

Может ли каждый банк сам придумать, что считать опасным?

Закон обязывает банки применять средства защиты информации, «прошедшие в установленном порядке процедуру оценки соответствия» (статья 7, новый пункт 1.2 статьи 27). Эти средства настроены на выявление программ с тем самым функционалом — копирование, модификация, отключение защиты и т.д. Это не вопрос личного мнения сотрудника банка.

Далее закон уточняет, что это оформляется договором (ст. 7, ч. 1.4) (выше).

Единственное дополнительное требование к этим средствам защиты информации содержится в другой норме, которую вводит тот же закон:

Цитата (ст. 7, ч. 1.2):

На практике это означает, что 210-ФЗ определяет правовую рамку:

1. Вы даёте согласие (или отказываетесь).

2. Банк предоставляет вам средство защиты (скорее всего, это будет встроенная функция в самом мобильном приложении банка или отдельный программный модуль).

3. Это средство должно быть сертифицировано.

Что будет, если вы отказались?

Банк продолжит обслуживать вас в обычном режиме. При этом сохранится обязательный для банка первый уровень защиты — защита его собственного приложения от воздействия вредоносных программ (п. 1.2). Если в процессе работы приложение банка зафиксирует попытку воздействия на него (например, подмену экрана или перехват ввода), то банк приостановит операцию в соответствии с п. 3.4-1, но это произойдет не из-за вашего отказа, а из-за обнаружения реальной атаки, что абсолютно правомерно и не зависит от наличия согласия на сканирование телефона.

Таким образом, отказ от добровольной проверки телефона не влечет никаких ограничений на проведение операций. Ваше право отказаться прямо закреплено в законе, и банк не может вас за это наказывать.

Но каким именно техническим способом это средство будет выявлять вредоносное ПО (анализ процессов, проверка контрольных сумм, мониторинг поведения программ и т.д.) — 210-ФЗ не описывает.

Эти детали будут устанавливаться:

✅ подзаконными актами (нормативными актами Банка России, постановлениями Правительства);

✅ стандартами по защите информации;

✅ внутренними технологическими решениями банков в рамках тех самых сертифицированных средств.

Утверждать, что закон обязывает банк «полностью сканировать телефон» — некорректно. Закон обязывает банк предложить установить сертифицированное защитное средство на телефон и активировать его. Как именно это средство будет работать технически — предмет отдельных нормативных документов, а не самого 210-ФЗ. Сам же закон в этом вопросе защищает ваше право не соглашаться на такую проверку.

Краткий итог:

1. Определение вредоносного ПО в законе есть — оно четко привязано к конкретному криминальному функционалу.

2. Обычные, добросовестные VPN и прокси-сервисы этому определению не соответствуют.

3. Глубокая проверка устройства будет проводиться только с вашего явного согласия. Без него — только защита самого банковского приложения.

4. Банки не будут «сами решать» — они обязаны руководствоваться формальными признаками, указанными в законе.