Законопроект о значимых действиях и обязательная авторизация через Max: безопасность не растёт от количества каналов

Прямой ответ: с 1 сентября 2026 подтверждение «значимых действий» станет обязательным одновременно через SMS и мессенджер Max. Законопроект принят в первом чтении в феврале 2026. На практике это означает фиксированную двухканальную схему без чётких критериев и без альтернатив.

Это не просто юридическое требование. Это архитектурное изменение: точка доверия смещается от сервиса к операторам и платформам.

Увеличение числа каналов не повышает реальную безопасность; оно перераспределяет контроль и издержки.

Коротко о масштабах: аудитория Max >100 млн, население страны >146 млн, один пользователь может иметь до 20 SIM. Цена SMS не регулируется. Бизнес оценивает дополнительные затраты в сотни миллиардов рублей.

Что это значит на практике: сервисы вынуждены перестроить архитектуру авторизации, чтобы сохранить контроль над идентификацией, сохранить конверсию и не превратить требование в дорогостоящую формальность.

Законопроект о двухфакторной проверке

Законопроект вводит неопределённость. Текст не даёт чёткого определения «значимых действий».

Это значит, что сами сервисы будут решать, какие операции требуют двухфакторной проверки. Например: перевод денег, привязка или смена реквизитов карты, изменение номера телефона или массовое удаление аккаунта.

Такая неопределённость порождает два риска. Первый — сервис может оказаться под санкциями или штрафами за недокрытие операций. Второй — компании перестрахуются и начнут массовые подтверждения там, где раньше работала риск‑ориентированная логика.

Закон прошёл первое чтение в феврале 2026 и вступает в силу 1 сентября 2026. АКИТ и крупные ритейлеры уже сигналят о росте издержек и просят разъяснений.

Это прямо конфликтует с текущими антифрод‑процедурами. Современные системы оценивают риск и включают подтверждение выборочно. Жёсткая схема SMS+Max лишает эту гибкость и повышает число ложных срабатываний.

Технический эффект прост: точка доверия смещается от сервиса к операторам и платформам. При аудитории Max >100 млн и возможности иметь до 20 SIM это создаёт масштабные возможности для обходов и концентрацию контроля.

Вывод: проблема не в обязательном втором факторе сама по себе, а в навязанной архитектуре и неясных правилах. Пока это не изменят, сервисы будут платить за формальный контроль, а антифрод потеряет эффективность.

Кажется: второй фактор — прямая защита

На виду — усиление безопасности. На деле — смещение точки доверия от сервиса к операторам и платформе Max.

Фиксация двух конкретных каналов (SMS + Max) превращает проверку в аппаратно‑ориентированную процедуру: сервис больше не решает, кто и когда заслуживает подтверждения — это делает внешний канал.

Как каналы создают обходы и издержки

Больше каналов — не всегда больше защиты. При возможности иметь до 20 SIM и при аудитории Max >100 млн создаются массовые пути для фальшивых учёток и ротации номеров.

Простой пример обхода: атакующий регистрирует несколько SIM, привязывает к ним аккаунты Max и меняет номера в учётной записи, чтобы получать OTP на разные точки входа. Служба видит вал успешных подтверждений, но не видит единой личности за ними.

Кроме того, массовые подтверждения увеличивают операционные расходы: неопределённость в критериях «значимости» ведёт к избыточным запросам OTP и росту затрат на платные SMS.

Почему ломается риск‑ориентированный подход

Антифрод оценивает контекст и применяет меры по риску. Бинарное требование отключает адаптивность: любая операция, попавшая под «значимую», получает одинаковую процедуру вне зависимости от условий.

Это повышает число ложных срабатываний, ломает поведенческие сигналы и снижает эффективность детекции сложных схем мошенничества.

Что это значит для бизнеса — кратко

• Последствия: рост операционных расходов, падение конверсии и усиление зависимости от операторов.

• Практическое требование: сохранить контроль внутри сервиса — агрегировать сигналы (устройство, поведение, профиль привязок) и применять селективные подтверждения.

Если проверка формальная, безопасность формальна: потеря контекста означает рост обходов и затрат.

Фотореалистичная концептуальная иллюстрация: на переднем плане большой навесной замок, к скобе прикреплена связка множества ключей. Ключи двух типов: с фигурной головкой в форме конверта (намёк на SMS) и с головкой в форме облачка / чат‑пузыря (намёк на мессенджер). Все ключи висят снаружи у замка. Замок открыт — дужка повернута, виден зазор и тёплый свет изнутри. За замком — размытый силуэт руки или рычага, показывающий, что замок открывают с другой стороны. Без текста, без логотипов. Минималистичный нейтральный фон, мягкое боке, контровая подсветка, высокая детализация, горизонтальная композиция, крупный план.

Падение конверсии на оплате

Двойное подтверждение увеличивает число прерванных покупок: задержка одного канала или отказ пользователя пройти вторую валидацию — и транзакция не завершается. Это напрямую снижает доход и увеличивает нагрузку на поддержку.

Что делать на практике: вынесите решение о принудительной верификации в отдельный движок риска. Для операций с низким баллом риска — один канал или даже доверенный контекст (устройство, сессия). Для повышенного риска — требуйте оба фактора. Добавьте UX‑защиту: сохранение корзины, фоновая повторная отправка кода и понятные подсказки вместо ошибок.

Обход через несколько SIM и массовые привязки

Множественные SIM и аккаунты Max ослабляют значимость самого канала подтверждения: поддельные учётки будут проходить валидацию, если опираются только на SMS/Max.

Практика защиты: агрегируйте поведенческие и технические сигналы — устройство, история привязок, скорость привязок, шаблоны логинов. Включайте степ‑ап по аномалиям, ставьте лимиты на привязки и используйте граф привязок для выявления клонированных сетей аккаунтов.

Рост затрат на SMS при масштабировании

Массовые подтверждения ведут к ощутимым расходам из‑за платных SMS и дублирующихся отправок.

Практика снижения расходов: приоритизируйте push/внутренние уведомления, дедуплицируйте OTP в пределах короткого окна, отправляйте SMS только как резервную опцию и применяйте очереди с бэофом для сглаживания пиков.

Зависимость от Max как канала

Если Max перегружен или изменит правила, бизнес рискует потерять сервисность подтверждений.

Что делать: абстрагируйте интеграцию через адаптеры, но держите движок решений внутри. Логируйте все события подтверждений и вводите «circuit breaker» для автоматического переключения стратегий при проблемах с внешними каналами.

Параметр Вариант A — фиксированная авторизация (SMS+Max) Вариант B — гибридная идентификация Источник Комментарий Стоимость Высокая и пропорциональна числу подтверждений. АКИТ и рынок оценивают дополнительные издержки в сотни миллиардов рублей; стоимость SMS не регулируется. Управляемая. Снижение числа платных SMS за счёт селективных проверок, дедупликации и внутренних триггеров. АКИТ; факт: стоимость SMS не регулируется; оценки рынка Фиксированная схема масштабирует платные операции; гибридный подход переводит расходы в контролируемые процессы. Устойчивость к мошенничеству Низкая при массовых обходах. Один пользователь может иметь до 20 SIM и привязать к каждой аккаунт Max, что увеличивает векторы обхода. Выше при сборе совокупных сигналов: устройство, поведение, привязки и канал. Обходы сложнее обнаружить и масштабировать. Факт: до 20 SIM; аудитория Max >100 млн Контроль каналов сам по себе не равен идентификации. Гибридная модель делает акцент на цепочке идентификации, а не на канале. Влияние на конверсию Отрицательное. Массовые и синхронные подтверждения увеличивают число прерванных покупок и отказов. Минимальное при риск‑ориентированной логике: только высокому риску — оба фактора; низкому — упрощённый путь. Практика e‑commerce; сроки внедрения 1 сентября 2026 Жёсткая проверка повышает трение; адаптивность сохраняет продажи. Управление идентификацией и контроль Сдвиг контроля к каналам (операторы, платформа Max). Сервис теряет владельческую логику верификации. Сервис сохраняет контроль: логика решений внутри, каналы как адаптеры. ARTICLE_FACTS; аудитория Max 100 млн Решение не в количестве ключей, а в том, кто ими управляет. Операционная сложность Простая формально, но масштаб и интеграции увеличивают сложность и нагрузку на поддержку. Более сложная архитектурно, но экономичнее и гибче в работе антифрода. Оценки бизнеса; подготовка к 1 сентября 2026 Короткий путь к соответствию стоит дороже в эксплуатации.

Контроль цепочки идентификации важнее числа факторов

Пользователь → Каналы (SMS/Max) → Слой принятия решения → Риск

• Пользователь

• Каналы

• Слой принятия решения Фиксированная схема (SMS+Max)

• Гибридная идентификация

• Индикатор риска Высокая шкала риска (красный) / Низкая шкала риска (зелёный)

Гибридная архитектура авторизации

Гибридная архитектура авторизации сокращает количество платных SMS за счёт селективных проверок, дедупликации и использования внутренних триггеров вместо массовых одноразовых кодов.

Это уменьшает операционные расходы, которые при жёсткой фиксации каналов вырастут ощутимо.

Гибкая риск‑ориентированная логика сохраняет конверсию: для низкого риска достаточно одного канала, при аномалиях включается step‑up, при платёжных операциях — усиленная проверка.

На практике это значит: уменьшать лишние подтверждения, защищать путь покупки и снижать число прерванных транзакций.

Ключевая выгода — контроль цепочки идентификации остаётся у сервиса. Это сокращает возможности обхода через массовые SIM и фальшивые учётки и даёт возможность вводить лимиты по привязкам.

Что это значит на практике:

• Выносите логику в отдельный движок принятия решений — он определяет, когда нужен step‑up и какие каналы задействовать.

• Дедупликуйте OTP в пределах короткого окна, приоритизируйте push и внутренние уведомления; SMS держите как резерв.

• Логируйте все подтверждения, внедряйте circuit breaker и лимиты на привязки, чтобы быстро реагировать на сбои и массовые злоупотребления.

Такой подход позволяет соблюсти требования закона и одновременно контролировать расходы, сохранить конверсию и уменьшить риски обхода.

Управление Идентификацией

Выигрывают те, кто управляет идентификацией как системой, а не выполняет формальные инструкции извне.

Закон принят в первом чтении в феврале 2026; норма действует с 1 сентября 2026. Масштаб Max и нерегулируемая цена SMS превращают требование в экономическую и архитектурную нагрузку, а не просто в дополнительный шаг безопасности.

Это не косметика — это сдвиг точки доверия от сервиса к каналам связи. Если сервис отдаёт контроль, он теряет контекст, гибкость и способность предотвращать сложные схемы обхода.

Конкретный инструмент — движок принятия решений (risk engine).

Движок собирает и нормализует сигналы (device fingerprinting, поведение, история привязок, гео, скорость операций), вычисляет скор и применяет правила в реальном времени. Он решает, когда достаточно одного канала, а когда нужен step‑up; подключается через адаптеры к SMS и Max; ведёт лог и включает «circuit breaker» при сбоях внешних каналов.

Что это значит на практике:

• Внедрите отдельный decisioning‑слой, который агрегирует сигналы и принимает решение о step‑up.

• Используйте device fingerprinting и граф привязок в качестве ключевых сигналов, а SMS держите резервом, а не основным источником доверия.

• Логируйте каждое подтверждение и вводите автоматические переключатели при проблемах с Max/SMS.

Контроль над процессом идентификации — это одновременно защита и экономия.

Если сервисы успеют перестроить архитектуру до сентября 2026, они смогут соблюдать букву закона, сохранить конверсию и существенно сократить расходы и риски обхода. Выигрывают те, кто владеет процессом, а не те, кто формально его выполняет.

Часто Задаваемые Вопросы

Что считается «значимыми действиями»?

Законопроект не даёт чёткого определения. Пока сервисы будут самостоятельно решать границы: привычные примеры — перевод денег, привязка/смена карты, смена номера, массовое удаление аккаунтов.

Можно ли заменить SMS другим каналом?

Формально нет — требование подразумевает одновременное подтверждение через SMS и Max. Технически можно строить адаптеры, но оба канала нужно задействовать.

Как это повлияет на антифрод‑системы?

Жёсткая двухканальная схема отключает адаптивную логику и увеличивает ложные срабатывания. При множественных SIM и массовых аккаунтах злоумышленники получают больше точек для обхода.

Что делать с Max как каналом?

Рассматривать Max как источник сигнала, а не как единую точку доверия. Интегрируйте через адаптер, логируйте все события и оставляйте решение о step‑up внутри сервиса.

Как сократить расходы на подтверждения?

Перейдите на гибридную модель:

Что делать до 1 сентября 2026?

Аудитируйте текущую логику идентификации, подготовьте decision‑layer и точки интеграции с SMS/Max, чтобы к дате внедрить селективные проверки и минимизировать обрывы конверсии.