Мошенничество с Госключом и электронной подписью 2026: что могут подтвердить от вашего имени

«Я ничего не подписывал. Я только нажал “Подтвердить”». За последние годы эта фраза стала почти отдельным жанром цифровых происшествий. На бумаге человек хорошо понимает разницу между прочитать договор и поставить под ним фамилию. На смартфоне психологическая дистанция короче: пришёл документ, приложение знакомое, кнопка выглядит буднично, а в трубке кто-то уверенно объясняет, что это «для отмены», «для безопасности» или «просто техническое подтверждение».

В 2026 году такой автоматизм становится всё дороже. «Госключ» давно перестал быть нишевым инструментом для предпринимателей и бухгалтеров. По данным Минцифры на июнь 2026 года, сервисом пользовались уже свыше 40 млн человек, через него было подписано более 55 млн документов, а количество государственных услуг и сервисов, где применяется технология, превысило 640. Более четырёх тысяч компаний интегрировали её в собственные процессы. За первые месяцы 2026 года «Госключ» использовали в полтора раза чаще, чем за сопоставимый период 2025-го, а использование квалифицированной подписи выросло вдвое.

Для нормального пользователя это хорошая новость: меньше бумаги, поездок и очередей. Для мошенника массовость любого сервиса означает совсем другое — появился новый язык, которым можно разговаривать с жертвой.

Раньше человека пугали «подозрительным переводом». Теперь можно произнести «КЭП», «сертификат», «электронная доверенность», «заявление уже направлено вам в Госключ». Половина успеха такой атаки заключается в том, что слова звучат достаточно официально и одновременно достаточно непонятно.

Я бы поэтому начал не со страшилки о том, что «электронной подписью можно украсть всё», а с более полезного вопроса: что именно преступнику нужно получить, чтобы совершить юридически значимое действие от вашего имени? Ответ несколько сложнее одного кода из SMS.

Госуслуги, «Госключ» и электронная подпись — не одно и то же

Источник для изображения: gettyimages.com

В разговорах о мошенничестве эти понятия постоянно сваливают в одну корзину. Из-за этого появляются советы, которые звучат грозно, но мало помогают. Госуслуги — это учётная запись и инфраструктура доступа к государственным сервисам. «Госключ» — отдельное мобильное приложение для выпуска и использования электронной подписи. Электронная подпись, в свою очередь, бывает разных типов, и юридические возможности у них отличаются.

Если говорить об усиленной квалифицированной электронной подписи — УКЭП, или привычной многим КЭП, — её юридическая сила действительно высока. Но получение такой подписи в «Госключе» не сводится к тому, чтобы кому-то продиктовать четыре или шесть цифр.

ФНС прямо указывает, что ключ электронной подписи создаётся, хранится и применяется внутри приложения. USB-токен для этого не нужен, но не нужен и SMS-пароль как инструмент непосредственного подписания. Для выпуска сертификата УКЭП требуется подтверждённая учётная запись Госуслуг и дополнительная идентификация: через подтверждённую биометрию, NFC и биометрический загранпаспорт либо очно в МФЦ или банке. Перед подписанием пользователь может открыть файлы и ознакомиться с ними. Это важная техническая оговорка. Один украденный SMS-код не превращается автоматически в чужую квалифицированную подпись.

Однако облегчённо закрывать тему после этой фразы я бы не советовал. Код может дать доступ к Госуслугам, участвовать в восстановлении аккаунта, подтверждении телефона или другом сервисном действии. Если у преступника уже есть часть персональных данных, контроль над номером, устройством или другие компоненты, атака становится многоходовой. В материале о том, как мошенники получают доступ к Госуслугам через легенду о перерасчёте пенсии, хорошо видна эта механика: человеку объясняют не настоящую функцию кода, а правдоподобную бытовую историю вокруг него. В одном разговоре он «подтверждает запись в МФЦ», хотя технически подтверждается совсем другое. С «Госключом» используется тот же принцип, только последствия потенциально серьёзнее.

Что действительно можно подписывать через «Госключ»

Источник для изображения: gettyimages.com

Здесь тоже стоит убрать мистику. Сервис не является волшебной кнопкой «распорядиться всем имуществом человека», но спектр операций уже довольно широк. Минцифры сообщало, что среди наиболее распространённых документов, подписываемых УКЭП в «Госключе», находятся заявления на получение государственных услуг, документы для регистрации бизнеса, документы, отправленные пользователем самому себе для подписания, а также ряд сделок с недвижимостью с застройщиками при участии банков.

ФНС отдельно подтверждает возможность использовать УКЭП из «Госключа» при государственной регистрации юридического лица, регистрации физлица в качестве ИП, прекращении деятельности ИП и подаче некоторых заявлений, связанных с ЕГРЮЛ.

Есть и менее очевидные сценарии. Например, электронная подпись используется при снятии самозапрета на потребительские кредиты. Сам запрет существует именно как дополнительная защита от мошенничества, поэтому снять его одним обычным входом в Госуслуги нельзя. Банк России указывает, что заявление о снятии запрета через портал необходимо заверить усиленной электронной подписью; получить её можно, в частности, через «Госключ». После снятия действует период охлаждения.

Это очень показательный пример. Захваченный аккаунт Госуслуг ещё не означает автоматически полученный кредит: система специально добавляет следующий рубеж. Но для преступника, который собирает полноценный набор чужой цифровой личности, электронная подпись становится уже не красивой аббревиатурой, а способом пройти этот рубеж.

Последняя строка особенно интересна, потому что это уже не теория.

Продавали уже не пароль, а подготовленный аккаунт

Источник для изображения: gettyimages.com

12 августа 2026 года в Тверской области задержали 17-летнего жителя Торопца. По предварительным данным полиции, молодой человек с декабря 2025 года покупал через мессенджеры данные для доступа к чужим аккаунтам Госуслуг. Затем к таким учётным записям привязывались незарегистрированные абонентские номера, а через «Госключ» оформлялись электронные подписи для дальнейшего использования посторонними.

Готовые аккаунты с привязанным номером и электронной подписью, как сообщила полиция, продавались мошенникам. Следствие связывает их дальнейшее использование с оформлением кредитов на чужие имена и переводом средств в криптовалюту. Сам задержанный, по данным полиции, оценивал свой доход от такой деятельности в 40–150 тысяч рублей в месяц. Об уголовном деле подробно написал «АиФ-Тверь» со ссылкой на региональное УМВД. Возраст здесь, конечно, цепляет внимание. Но для меня гораздо интереснее устройство товара, который появился на таком рынке.

Раньше криминальные объявления часто продавали отдельные элементы: пароль, копию паспорта, SIM-карту, доступ к почте, аккаунт. В истории из Торопца фигурирует уже другая конструкция — учётная запись, в которой заранее соединены несколько полезных для преступника компонентов. Это похоже на разницу между коробкой автомобильных запчастей и машиной, в которой уже повернули ключ зажигания. Данные сами по себе тоже имеют цену, но по-настоящему удобным инструментом они становятся после сборки. Именно поэтому я постоянно возвращаюсь к теме цифровой личности. В отдельном разборе о поддельных документах и цифровых профилях мы уже говорили о том, что опасность возникает не только из-за одной утечки паспорта или телефона. Гораздо хуже, когда несколько достоверных фрагментов удаётся связать с подтверждённым аккаунтом, номером и механизмом совершения действий. Торопецкая история показывает, что это уже не красивый термин из презентаций по кибербезопасности. Такой комплект можно продавать.

Подпись понадобилась не для кредита, а для фабрики аккаунтов

Источник для изображения: gettyimages.com

Ещё один свежий пример появился двумя месяцами раньше. 11 июня 2026 года пресс-служба ГУ МВД по Санкт-Петербургу и Ленинградской области сообщила о задержании 23-летнего мужчины во Всеволожском районе.

По версии полиции, с сентября 2025 года он получал от сообщников SIM-карты российских операторов, персональные данные граждан, логины и пароли от Госуслуг, а также коды авторизации. Получая доступ к учётным записям, подозреваемый регистрировал SIM-карты с использованием электронной подписи, после чего создавал аккаунты в мессенджере и передавал данные для входа организаторам схемы. МВД говорит как минимум о 500 зарегистрированных профилях.

Эта история полезна тем, что разрушает ещё один слишком удобный стереотип: будто чужая электронная подпись преступнику нужна только затем, чтобы взять кредит. Не обязательно. Чужая подтверждённая цифровая личность может обслуживать инфраструктуру мошенничества: регистрацию номеров, создание аккаунтов, оформление юридически значимых действий, прохождение идентификации там, где одного анонимного телефона уже недостаточно. Кредит может появиться дальше, а может и не появиться вообще. Поэтому совет «посмотрите баланс карты, если деньги на месте — всё хорошо» в случае компрометации Госуслуг совершенно недостаточен.

Самая хитрая схема с «Госключом»

Источник для изображения: gettyimages.com

Есть другая категория атак, и она мне кажется психологически даже интереснее.

Человек получает письмо о том, что на его имя якобы оформлена доверенность. Документ выглядит официально: реквизиты, гербы, ФИО, иногда упоминание МВД, Росфинмониторинга, нотариуса или другой структуры. Затем раздаётся звонок. Собеседник сообщает, что доверенность опасна и теперь нужно срочно проверить Госуслуги, провести «диагностику», отменить операцию или поговорить со «специалистом безопасности».

В январе 2026 года МВД отдельно предупреждало о подобной схеме. ТАСС со ссылкой на материалы ведомства сообщал: сначала жертве отправляли письмо о зарегистрированной доверенности, затем звонили от имени чиновников и предлагали «диагностику личной страницы на Госуслугах». Если человек отказывался, давление усиливалось — подключались другие лжесотрудники госструктур и правоохранительных органов. Целью оставалось заставить жертву выполнять инструкции, которые в итоге приводили к хищению денег. МВД рекомендовало проверять уведомления Госуслуг только после самостоятельного входа на портал, не используя полученные от неизвестных ссылки.

Здесь возникает очень важная деталь, которую в публикациях часто пропускают. Поддельная доверенность может быть нужна мошенникам не как работающий юридический документ, а как реквизит спектакля.

Федеральная нотариальная палата ещё в октябре 2025 года предупреждала о новой волне мошенничества с сообщениями о фиктивных доверенностях. Ранее нотариусы отдельно разъясняли, что нотариальную доверенность нельзя просто оформить через «Госключ» вместо предусмотренной законом нотариальной процедуры. Иными словами, если человек увидел красиво оформленный PDF с гербом и страшным перечнем полномочий, это ещё не означает, что неизвестный действительно получил возможность распоряжаться банковскими счетами или квартирой.

Иногда документу вообще не требуется юридическая сила. Он должен лишь достаточно убедительно выглядеть, чтобы владелец испугался и начал делать то, чего от него добивается собеседник. Старый фокус, только декорации стали цифровыми.

Почему слово «отменить» работает лучше слова «подписать»

Источник для изображения: gettyimages.com

Я давно заметил одну особенность телефонных схем. Мошеннику гораздо труднее убедить осторожного человека разрешить опасную операцию, чем убедить его отменить её.

• «Подпишите доверенность» звучит подозрительно.
• «Подтвердите отмену доверенности» — уже гораздо спокойнее.
• «Снимите защиту с кредита» вызывает вопросы.
• «Отмените мошенническую заявку» выглядит разумным.
• «Предоставьте доступ» звучит грубо.
• «Пройдите диагностику аккаунта» напоминает обычную техническую процедуру.

Человек оценивает действие не по тексту на экране, а по объяснению, которое услышал двадцать секунд назад. В голове он уже защищается. Поэтому собственное нажатие на кнопку психологически воспринимает не как согласие, а как сопротивление преступнику.

Это одна из причин, по которой простого правила «не сообщайте SMS-коды» уже мало. В разборе современных схем с кодами подтверждения я подробно писал о сдвиге к атакам, где пользователю вообще не обязательно вслух диктовать цифры. В ход идут фишинговые страницы, вредоносные приложения, доступ к уведомлениям и другие способы встроиться между человеком и его смартфоном. Сам по себе «Госключ» эту проблему не создаёт. Он лишь повышает цену ошибки, если мошеннику удалось подменить смысл операции.

Настоящее приложение тоже можно использовать в мошеннической истории

Этот момент часто удивляет больше всего. Мы привыкли искать подделку. Неправильный домен, кривой логотип, странную форму входа, опечатку в названии банка. В материале о современном фишинге эти признаки по-прежнему остаются полезными: поддельные сайты никуда не исчезли. Но преступнику не обязательно делать фальшивый «Госключ», если он сумел привести человека к настоящему.

Представим совершенно легитимный документ, который действительно появился в официальном приложении. Пользователь видит знакомый интерфейс и делает вывод: раз программа настоящая, значит и операция безопасна. Вот здесь логика ломается. Приложение подтверждает происхождение сервиса и обеспечивает механизм подписания. Оно не знает, хотели ли вы заключать этот конкретный договор, почему его открыли именно сейчас и не разговаривает ли параллельно с вами человек, который полностью исказил содержание происходящего. Настоящий банковский перевод тоже можно совершить мошеннику добровольно. Настоящий терминал способен принять деньги за товар, которого нет. Настоящая электронная подпись способна заверить документ, который владелец подписал, не поняв его смысл. Инструмент остаётся легитимным. Обман находится на другом уровне.

Как отличить нормальный запрос на подпись от чужого сценария

Источник для изображения: gettyimages.com

Я использую простой принцип: уберите звонящего из цепочки и посмотрите, остаётся ли у операции смысл.

Допустим, вы сами оформляли услугу, подавали документы, заключали договор, регистрировали ИП или работали с банком. Вам приходит ожидаемый запрос. После самостоятельного входа в официальный сервис виден тот же документ, понятен отправитель, совпадают сумма и предмет договора. Можно закрыть телефонный разговор, прочитать файл через час и ничего не разрушится. Так обычно выглядит нормальная операция.

Совсем другое дело, если существование документа объясняет только неизвестный человек. Без его рассказа вы не понимаете, почему что-то подписываете, зачем «отзываете доверенность», откуда взялось заявление или почему название файла не совпадает с тем, что обсуждалось.

Есть ещё одна проверка, которая кажется мне почти универсальной. Попробуйте собственными словами закончить предложение: «После моей подписи юридически произойдёт…» Если вы не можете закончить его без помощи человека из телефонной трубки, документ пока лучше не подписывать.

А квартиру действительно можно потерять через электронную подпись?

Источник для изображения: gettyimages.com

Это вопрос, где особенно легко скатиться либо в панику, либо в опасное успокоение. С 1 июля 2026 года в России действительно изменился порядок некоторых дистанционных сделок с недвижимостью. Росреестр разъяснял, что при использовании усиленной квалифицированной электронной подписи и идентификации заявителя через Единую биометрическую систему электронная подача документов на регистрацию может происходить без ранее необходимой специальной отметки в ЕГРН о возможности электронной регистрации. Это важное изменение, и игнорировать его нельзя. Но из него не следует популярная страшилка: «Получили пароль от Госуслуг — за пять минут переписали вашу квартиру».

УКЭП остаётся отдельным инструментом, биометрическая идентификация — отдельным рубежом, а государственная регистрация права — отдельной юридической процедурой. Конкретные сделки дополнительно подчиняются требованиям закона, банка, нотариальной формы там, где она обязательна, и проверкам Росреестра. Именно поэтому я бы не пугал читателя несуществующей «кнопкой продажи квартиры». Реальная опасность неприятнее своей реалистичностью: преступники пытаются последовательно получить несколько компонентов, каждый из которых расширяет возможности следующего шага.

• Аккаунт.
• Номер.
• Данные.
• Доступ к устройству.
• Подтверждение личности.
• Сертификат.
• Подпись.

Здесь гораздо полезнее думать не о мгновенной краже квартиры, а о захвате цифровой идентичности по частям.

Номер телефона находится в центре этой истории

В июньском деле из Ленинградской области SIM-карты и электронная подпись существовали в одной преступной цепочке не случайно. Телефонный номер по-прежнему связан с авторизацией, восстановлением аккаунтов, банковскими уведомлениями и множеством сервисов. Поэтому внезапное исчезновение мобильной связи одновременно с непонятными уведомлениями я никогда не рассматриваю как мелкую техническую неприятность, пока не проверена более серьёзная версия. В отдельном материале о SIM-swap и eSIM-мошенничестве я разбирал, почему получение контроля над номером может оказаться первым шагом к захвату других аккаунтов. С 2026 года проверить SIM-карты, оформленные на своё имя, стало ещё важнее. Когда речь идёт о подозрительном доступе к Госуслугам, я бы смотрел туда почти одновременно с электронной подписью.

Что проверять, если вы уже что-то нажали

Источник для изображения: gettyimages.com

После подозрительного действия люди часто пытаются восстановить в памяти разговор: «А какой именно код я сказал?», «Я вроде не вводил данные карты», «Наверное, ничего страшного не успели». Это естественная реакция, но она съедает время. Если вы уже открывали чужую ссылку, называли код, подтверждали непонятный запрос, обнаружили чужой вход или подписали документ, лучше проверять последствия по системе, а не гадать, насколько убедительным был мошенник.

1. Начните с Госуслуг

Войдите самостоятельно — не через историю браузера и не через сообщение. Проверьте контактный телефон и почту, подозрительные входы, активные сессии, разрешения, доверенности, заявления и изменения профиля.

Если доступ был скомпрометирован, смените пароль и завершите неизвестные сессии. Официальная инструкция по действиям при взломе есть непосредственно на Госуслугах.

2. Посмотрите раздел электронной подписи

Нужно понять, какие сертификаты существуют и узнаёте ли вы их. Неизвестный сертификат — уже достаточная причина разбираться, где и когда он был выпущен. Госуслуги позволяют официально отозвать сертификат электронной подписи. Если есть основания считать ключ скомпрометированным, тянуть с отзывом не стоит.

При этом отзыв сертификата и отмена уже подписанного документа — не одно действие. Если подпись успели использовать, отдельно придётся выяснять, какой договор, заявление или регистрационное действие было совершено. Госуслуги прямо рекомендуют при причинённом ущербе обращаться в полицию, а последствия конкретной сделки разрешать в зависимости от её характера.

3. Проверьте кредитную историю и статус самозапрета

Если у вас установлен самозапрет на кредиты, убедитесь, что он остаётся действующим. Банк России специально сделал снятие такого запрета более сложным, чем установку: для онлайн-сценария требуется усиленная электронная подпись, а вступление снятия в силу происходит не мгновенно. Параллельно посмотрите кредитную историю: неизвестная заявка иногда появляется раньше, чем человек замечает финансовые последствия.

4. Проверьте SIM-карты и связь

Если телефон неожиданно терял сеть, появились уведомления оператора, новые договоры или незнакомые номера, выясняйте это непосредственно у оператора. В июньском деле МВД электронная подпись использовалась именно в цепочке регистрации SIM-карт на чужие данные.

5. Если история касалась бизнеса — посмотрите ЕГРЮЛ и ЕГРИП

ФНС официально позволяет использовать УКЭП «Госключа» для части регистрационных действий. Поэтому предпринимателю или человеку, чьи паспортные данные могли быть скомпрометированы, имеет смысл проверить, не появились ли неожиданные регистрационные изменения.

6. Если разговор был о недвижимости — проверяйте недвижимость

Не верьте звонящему на слово ни в одну сторону: ни когда он говорит «квартиру уже продают», ни когда после нескольких действий уверяет, что «операцию успешно отменили». Проверять нужно через официальные каналы Росреестра и сведения ЕГРН, особенно если вы обнаружили неизвестную подпись, заявление или использовали биометрическую идентификацию в непонятной процедуре.

7. Сохраните следы до того, как начнёте всё удалять

Письма, SMS, номера телефонов, сообщения, название документа, время звонков, уведомления Госуслуг, сведения о сертификате, скриншоты приложения. Если деньги уже ушли или обнаружено юридически значимое действие, эти мелочи внезапно перестают быть мелочами.

Я видел немало ситуаций, когда человек в первые минуты «чистит телефон от мошенников», а через день пытается вспомнить номер, с которого звонили, и точное время подтверждения. Удалить всегда успеете. Сначала зафиксируйте.

Есть ли смысл проверять номер звонившего

Источник для изображения: gettyimages.com

Да, но без завышенных ожиданий. История номера, жалобы пользователей, массовые упоминания и связь с конкретной организацией могут добавить контекст. Способы такой проверки я собирал в отдельном материале о том, как проверить неизвестный номер.

Однако чистая история номера не является сертификатом честности. Номера регистрируют на третьих лиц, используют временно, подменяют или быстро выводят из схемы. Российские уголовные дела 2026 года как раз показывают, зачем преступной инфраструктуре нужны сотни SIM-карт и аккаунтов.

Поэтому последовательность должна быть обратной той, которую часто выбирают пользователи. Сначала проверяем само действие и документ, затем канал связи и номер. Не наоборот.

Что говорит статистика 

Источник для изображения: gettyimages.com

Прямой официальной статистики только по мошенничеству с «Госключом» пока недостаточно, чтобы честно говорить о его доле среди всех дистанционных преступлений. И я бы не стал искусственно выдавать общую статистику телефонного мошенничества за статистику краж электронных подписей. Но общая среда хорошо показывает масштаб давления на цифровую идентичность.

По данным Банка России, в 2025 году количество операций без добровольного согласия клиентов увеличилось на 31,2%, а их объём — на 6,4%, достигнув примерно 29,3 млрд рублей. Средний размер одной операции снизился с 22,9 до 18,6 тысячи рублей. Банки вернули клиентам только 5,9% объёма таких операций — около 1,73 млрд рублей.

На мой взгляд, сочетание роста количества эпизодов и снижения среднего чека хорошо описывает изменение экономики мошенничества. Это всё меньше похоже на охоту за одним богатым человеком и всё больше — на промышленную обработку большого потока данных, аккаунтов и контактов.

В первом квартале 2026 года Банк России зафиксировал 495 761 операцию без добровольного согласия клиентов на сумму около 7,4 млрд рублей. Доля возвращённых средств составила 5,7%. Это не статистика «Госключа», но вполне наглядный фон, на котором сервисы подтверждения личности и подписи становятся для злоумышленников особенно интересными.

История из Торопца добавляет к цифрам недостающую деталь: на этом рынке уже появляются люди, которые не обязательно сами звонят жертвам и выманивают деньги. Их роль может заключаться в подготовке чужих аккаунтов для следующего звена.

У мошенничества появляется специализация. Один добывает доступ. Другой привязывает номер. Третий готовит инфраструктуру. Четвёртый разговаривает с жертвой. Пятый получает деньги. Это уже не тот «мошенник по телефону», которого мы привыкли представлять как одного человека с плохой дикцией и списком пенсионеров.

Подпись надо защищать не от хакера, а от чужого объяснения

Источник для изображения: gettyimages.com

Есть одна мысль, которую я бы хотел оставить читателю после всего этого разбора. Самая серьёзная ошибка — воспринимать электронную подпись как пароль. Пароль защищают секретностью: никому не сказал — хорошо. С подписью этого недостаточно. Её нужно защищать ещё и пониманием смысла документа.

Представьте обычный договор на бумаге. Незнакомый человек стоит рядом и говорит: «Не читайте второй лист, это техническая информация. Просто подпишите внизу, иначе вашу квартиру заблокируют». Большинство людей почувствуют неладное. Теперь перенесём тот же разговор в смартфон. На экране официальное приложение, зелёная кнопка, привычный государственный дизайн. В ухе уверенный голос. Времени якобы нет. Неожиданно совершенно нелепая просьба начинает выглядеть почти нормальной. Вот против этого и приходится строить новую привычку.

Настоящая цифровая безопасность здесь состоит не в том, чтобы выучить названия сертификатов и алгоритмов шифрования. Нужно вернуть себе несколько минут, которые бумажный документ когда-то давал автоматически.

1. Остановить разговор.
2. Открыть сервис самостоятельно.
3. Прочитать документ.
4. Понять, откуда он взялся.
5. Позвонить организации по номеру, который нашли вы сами.
6. И только потом решать, нужна ли ваша подпись.

Что изменилось за последний год

Источник для изображения: gettyimages.com

Если посмотреть на российские истории с осени 2025-го до августа 2026-го, я вижу довольно чёткую эволюцию.

Осенью Федеральная нотариальная палата предупреждала о волне фиктивных доверенностей, которыми людей пугали и подталкивали к дальнейшим действиям. В январе МВД уже описывало обновлённую версию этой легенды — «диагностику Госуслуг» после уведомления о якобы зарегистрированной доверенности. В июне полиция обнаруживает участника схемы, использовавшего доступы к чужим Госуслугам и электронную подпись для регистрации SIM-карт и сотен аккаунтов. В августе появляется история с продажей уже подготовленных учётных записей, где номер и электронная подпись были частью готового комплекта.

Эти эпизоды нельзя складывать в одну сенсацию «мошенники научились красть Госключ». Это было бы и технически неточно, и слишком примитивно.

Проблема интереснее: преступники учатся работать вокруг всей экосистемы подтверждённой цифровой личности. Где-то им нужен настоящий сертификат. Где-то достаточно украденного аккаунта. Где-то — SIM-карты. А иногда никакая подпись вообще не требуется: достаточно показать жертве убедительную подделку и заставить её испугаться. Чем больше государственных и коммерческих процессов становятся дистанционными, тем меньше смысла будет в старом вопросе «это настоящий сайт или мошеннический?». Всё чаще ответ окажется неудобным: сайт настоящий, приложение настоящее, документ действительно существует — мошенническим является то, зачем вас заставили его открыть и что вы думаете, будто сейчас подтверждаете.

Заключение

Источник для изображения: gettyimages.com

Когда-то родители учили нас простой вещи: не подписывай бумагу, которую не прочитал. Совет казался почти архаичным — из мира договоров мелким шрифтом, нотариальных кабинетов и папок с тесёмками. Оказалось, он пережил цифровизацию лучше многих новых правил безопасности.

«Госключ» сам по себе не враг и не слабое место, которое нужно бояться устанавливать. Напротив, квалифицированная электронная подпись получила дополнительные механизмы идентификации, ключ хранится в приложении, а государство постепенно расширяет возможности дистанционного подписания. Масштаб сервиса — более 40 млн пользователей и десятки миллионов документов — показывает, что электронная подпись уже стала обычной частью российской цифровой жизни. Именно поэтому мошенничество вокруг неё будет развиваться.

Я не ожидаю, что основной сценарий ближайших лет будет выглядеть как фантастический «взлом Госключа». Зачем атаковать криптографию, если гораздо дешевле воздействовать на человека, его аккаунт, телефон, восстановление доступа и понимание происходящего? Случай в Торопце особенно хорошо показывает направление. Ценность имеет уже не один пароль. Дороже становится собранная цифровая личность, в которой данные подкреплены действующим аккаунтом, номером и возможностью подтверждать операции. Для пользователя из этого следует не параноидальное «ничего никогда не подписывать», а гораздо более практичное правило.

Перед любой электронной подписью нужно установить четыре вещи: кто создал документ, почему он появился именно у вас, что конкретно изменится после подписания и можете ли вы независимо подтвердить эту историю без помощи человека, который требует нажать кнопку. Если хотя бы один пункт держится исключительно на словах звонящего, подпись откладывается. Не на пять минут «пока он ждёт». До самостоятельной проверки. Потому что мошенники в 2026 году всё меньше воруют подпись как предмет. Они пытаются украсть момент принятия решения: заменить ваше намерение своим и добиться того, чтобы юридически значимую кнопку нажали именно вы. Электронный документ способен пройти все технические проверки и всё равно стать частью мошенничества. Поэтому старая фраза «смотрите, что подписываете» теперь требует небольшого дополнения: смотрите ещё и на то, кто объясняет вам, зачем вы это подписываете. Иногда именно там и находится мошенник.

❗️ Материал носит исключительно информационный характер и не является юридической консультацией.

Частые вопросы

Можно ли оформить УКЭП в «Госключе», зная только SMS-код от Госуслуг?

Сам по себе SMS-код не равен УКЭП. Для получения квалифицированного сертификата в «Госключе» требуется подтверждённая учётная запись и дополнительная идентификация одним из предусмотренных способов. Однако переданный код может помочь злоумышленнику получить доступ к аккаунту или пройти другой этап атаки, поэтому сообщать его посторонним всё равно нельзя.

Что делать, если я обнаружил электронную подпись, которую не оформлял?

Проверьте сведения о сертификате, восстановите безопасность Госуслуг и отзовите подозрительный сертификат официальным способом. Одновременно нужно выяснить, использовалась ли подпись для каких-либо документов или заявлений. При наличии ущерба или действий от вашего имени обращайтесь в полицию и в организацию, где возникла операция.

Может ли неизвестная «доверенность» в Госуслугах дать мошеннику доступ ко всем моим счетам?

Сам факт появления файла с названием «доверенность» этого не означает. Федеральная нотариальная палата предупреждала о мошеннических схемах, где фиктивный документ используется именно для запугивания жертвы. Нотариальные доверенности оформляются по установленной законом процедуре, и красивый PDF в аккаунте не заменяет её.

Можно ли дистанционно провести сделку с недвижимостью с электронной подписью?

С 1 июля 2026 года возможности дистанционной электронной регистрации действительно расширились: при соблюдении условий применяются УКЭП и идентификация через Единую биометрическую систему. Но одного пароля от Госуслуг или SMS-кода для полноценной сделки недостаточно, а к конкретным сделкам могут применяться дополнительные требования.