I rischi reali dell'uso di una VPN in Russia a fine 2026

Circa il 40 percento delle persone in Russia usa ormai una VPN, e la quota di quelle a pagamento è salita dal 15 al 48 percento tra il 2024 e il 2026. Decine di milioni di persone hanno un'app VPN sul telefono, e una buona parte di loro ha un addebito per un abbonamento da qualche parte in un estratto conto. Ognuno di loro ha un motivo per chiedersi quanto potrebbero costare quell'app e quell'addebito.

Usare una VPN non è un reato in Russia a novembre 2026, e nemmeno pagarne una lo è. Anton Gorelkin, vicepresidente della commissione IT della Duma, ha detto a febbraio 2026 che una multa per l'uso di VPN non è prevista e non è nemmeno in discussione. Un'analisi legale pubblicata da Izvestia il 28 ottobre 2026 è giunta alla stessa conclusione.

Il rischio non riguarda più l'atto stesso della connessione. Ora si trova in due posti. Uno è tutto ciò a cui l'uso della VPN si aggancia, come una ricerca o un'accusa penale. L'altro sono le registrazioni. Un pagamento, un elenco di clienti o un registro di connessione viene conservato per anni, e può essere letto in seguito secondo regole che non esistevano quando la registrazione è stata creata. Tre di quelle regole sono entrate in vigore negli ultimi 14 mesi.

Usare una VPN in Russia è illegale?

No. La legge punisce qualcosa di più ristretto, e i dettagli contano.

Dal 1° settembre 2025, l'articolo 13.53 del Codice degli illeciti amministrativi, introdotto dalla Legge federale 281-FZ, punisce la ricerca deliberata e l'accesso a materiali presenti nell'elenco federale dei materiali estremisti. La multa va da 3.000 a 5.000 rubli, e l'articolo è stato scritto per coprire le ricerche effettuate tramite una VPN. La prima multa, di 3.000 rubli, è stata irrogata il 10 dicembre 2025 a un residente di Kamensk-Uralsky. A Myski un sedicenne è stato multato della stessa cifra da una commissione per i minorenni all'inizio del 2026, e un tribunale ha multato un residente di Dmitrov il 12 novembre 2026. Non è stato pubblicato alcun conteggio totale di queste multe.

Lo stesso pacchetto legislativo ha reso illecito amministrativo la pubblicità di servizi VPN, con multe fino a 500.000 rubli per le aziende. Da marzo 2024, pubblicare informazioni che popolarizzano strumenti per aggirare i blocchi è motivo per bloccare l'editore. I fornitori hanno una regola tutta loro: un servizio che rifiuta di connettersi alla lista di blocco statale viene a sua volta bloccato. Roskomnadzor ha riportato 469 servizi VPN bloccati a fine febbraio 2026, rispetto ai 258 di ottobre 2025. Al novembre 2026 non è stata pubblicata alcuna cifra ufficiale per l'autunno.

Una voce sorta in estate può essere chiusa. Il 7 luglio 2026 il ministero digitale ha negato di stare valutando un canone sul traffico estero, traffico VPN compreso.

Messe fianco a fianco, le regole che toccano un utente VPN o un pagamento VPN appaiono così. Il nostro registro delle regole VPN in Russia le segue mentre cambiano.

La terza riga è quella più facilmente fraintesa, perché è l'unica in cui lo strumento stesso compare nel Codice penale.

Cosa significa in pratica "l'uso di VPN come circostanza aggravante"?

Una circostanza aggravante è un fatto che non crea un reato ma consente a un tribunale di infliggere una pena più pesante per uno. La legge federale n. 282-FZ del 31 luglio 2025 ha aggiunto un fatto di questo tipo all'articolo 63, parte 1, del Codice penale. Si tratta della lettera «f» in traslitterazione, la lettera russa "ф", ed è in vigore dal 1° settembre 2025. La formulazione copre "la commissione di un reato mediante strumenti software e hardware di accesso a risorse informative e a reti informatiche e di telecomunicazioni il cui accesso è limitato". La procura ha pubblicato la propria spiegazione il 12 settembre 2025.

Due caratteristiche della norma ne definiscono la portata. Si trova nella Parte generale del codice, quindi può essere applicata a qualsiasi reato. Inoltre richiede un reato a cui agganciarsi. Una persona che usa una VPN e non commette alcun reato ne resta fuori. La norma non nomina le VPN. Descrive una categoria di strumenti, e una VPN usata per raggiungere una risorsa bloccata rientra in quella descrizione.

La legge ha 14 mesi e la prassi giudiziaria nota è scarsa. Nell'aprile 2026 Verstka ha individuato le prime due sentenze che l'hanno applicata, entrambe in casi di droga. A Novomoskovsk, nella regione di Tula, un tribunale nel dicembre 2025 ha condannato un uomo a 1 anno e 8 mesi in una colonia dopo che l'uomo aveva raggiunto tramite VPN il sito di un venditore bloccato. A Ukhta, in Komi, una sentenza del febbraio 2026 ha inflitto tre anni con la condizionale. I servizi di Meduza e Novaya Gazeta Europe notano che non è chiaro se lo strumento fosse una VPN o Tor. OVD-Info ha detto all'epoca di non conoscere casi politici che usassero la norma.

Due sviluppi successivi vanno collocati accanto alla norma, anche se nessuno dei due è legge. Il 28 ottobre 2026 Eva Merkacheva, membro del consiglio presidenziale per i diritti umani, ha detto a Fontanka che gli investigatori citano l'uso di VPN e i messaggi a scomparsa come "metodi di clandestinità" quando chiedono ai tribunali di disporre la custodia cautelare. Il suo racconto è aneddotico e non fornisce alcun conteggio dei casi. Riguarda le udienze di arresto, che sono una questione distinta dalla lettera «f». Il 28 luglio 2026 Alexander Bastrykin, capo del Comitato investigativo, ha dichiarato che era stato preparato un disegno di legge che avrebbe reso l'uso di intelligenza artificiale, VPN e proxy una nuova circostanza aggravante quando la tecnologia informatica è lo strumento principale del reato. Nessun numero di disegno di legge è stato pubblicato nella Duma a novembre 2026. Resta una proposta.

Per un utente comune, la norma conta solo se esiste un'accusa penale. L'uso di una VPN da solo non porta a nulla. Una volta che una persona si trova ad affrontare un'accusa di qualsiasi tipo, una VPN sul dispositivo o negli atti del caso è qualcosa che l'accusa può usare.

Cosa lascia dietro di sé il pagamento di una VPN?

Un'app si può cancellare. Un pagamento no, e spesso è la traccia più longeva di un abbonamento VPN.

In Russia quella traccia è interna. Visa e Mastercard hanno sospeso le operazioni in Russia a marzo 2022, quindi una carta emessa in Russia non può pagare direttamente un commerciante estero. Un servizio straniero che pubblicizza il pagamento con carta Mir o tramite SBP, il sistema di pagamenti istantanei della banca centrale, ha quindi un segmento russo da qualche parte nella catena. Le fonti pubbliche descrivono questi segmenti per categoria. Comprendono un acquirer russo dietro a un negozio online o a un bot, un agente di pagamento che incassa rubli e regola all'estero, un marketplace di rivenditori e un bonifico interno a una persona fisica. In ogni caso il denaro si trova sui circuiti di pagamento russi nel momento in cui il cliente paga. Il marchio straniero arriva dopo.

Quel segmento è leggibile a tre livelli.

Il livello centrale è quello nuovo. La legge 461-FZ è entrata in vigore il 1° settembre 2026, e da quella data l'autorità antiriciclaggio Rosfinmonitoring non ha più bisogno di chiedere separatamente a ogni banca. Il volume che copre è enorme. Solo SBP ha gestito 4,7 miliardi di operazioni per 26,5 trilioni di rubli nel primo trimestre del 2026.

I venditori di questo mercato spesso suggeriscono discrezione tramite nomi di esercente neutri o addebiti che sembrano bonifici a società o persone senza legami. A livello di registro contabile è solo cosmetico. La banca e NSPK riconducono qualsiasi destinatario a un soggetto registrato o a una persona verificata, qualunque cosa dica il nome visualizzato. Nei procedimenti penali per le donazioni alla Fondazione Anticorruzione di Alexei Navalny, la FBK, gli investigatori hanno abbinato gli estratti conto bancari tramite un identificatore di esercente ripetuto. Importi mensili identici verso lo stesso destinatario formano da soli uno schema da abbonamento.

Se qualcuno interroghi effettivamente il registro per gli abbonamenti VPN è un'altra questione. Nessuna fonte lo documenta, e nessun procedimento relativo a un pagamento VPN è documentato da nessuna parte. Con quasi la metà degli utenti VPN in Russia che ormai paga, i registri che potrebbero essere interrogati descrivono decine di milioni di persone.

Una regola attesa non è arrivata. In primavera 2026, i reportaggi di settore anticipavano un divieto di pagamento delle VPN con carte russe nell'ambito del disegno di legge "Antifrode 2.0", e almeno un grande acquirer russo avrebbe smesso di servire i fornitori di VPN, secondo quanto riportato. Il disegno di legge è diventato la legge 210-FZ del 26 giugno 2026, e il riassunto pubblicato della legge non mostra alcuna disposizione sui pagamenti VPN. A novembre 2026, un simile divieto non è stato emanato.

Conta chi prende i tuoi soldi?

Una traccia di pagamento ha due estremità, e la seconda può contare più della prima. La legge russa tratta alcuni destinatari in modo molto diverso dagli altri, e alcune sue regole puniscono chi paga mentre altre riguardano soltanto il destinatario.

Gli agenti stranieri sono il punto in cui la confusione è maggiore. Nessuna legge punisce il pagare o comprare da un agente straniero. Un servizio VPN è stato inserito per la prima volta nel registro degli agenti stranieri a novembre 2023. Gli avvocati intervistati all'epoca da Fontanka hanno detto che "avere rapporti finanziari con un agente straniero non è vietato". Uno di loro ha aggiunto che l'applicazione della norma in questo ambito è "assolutamente arbitraria". Le regole sul denaro che esistono vincolano l'agente. Dal 1° marzo 2025, il reddito di un agente straniero da fonti russe come vendite di immobili e affitti, pagamenti per proprietà intellettuale, interessi e dividendi va su un conto speciale in rubli che resta congelato finché la persona non viene rimossa dal registro. Stipendi e compensi sono esclusi. A novembre 2026, nessuna norma sanziona chi paga.

Altre designazioni arrivano invece a chi paga. Finanziare un'organizzazione dichiarata "indesiderabile" è un reato ai sensi dell'articolo 284.1 parte 2 del Codice penale. A febbraio 2026, Ksenia Belova è stata condannata a un anno e sei mesi in una colonia-insediamento per aver inviato 150.000 rubli sulla carta bancaria di un'attivista del movimento AllatRa. Il trasferimento è andato sulla carta personale di una persona fisica, e il tribunale l'ha considerato finanziamento dell'organizzazione. Lei ha detto di essere stata ingannata sul fine del denaro. Il tribunale l'ha considerata una "tattica difensiva".

Finanziare un'organizzazione dichiarata "estremista" è un reato ai sensi dell'articolo 282.3. Mediazona ha contato almeno 225 procedimenti penali in 64 regioni per donazioni alla FBK al 21 aprile 2026, che è il conteggio completo più recente. Le cifre possono essere piccole. A ottobre 2026 un residente di Mosca di nome Ainulin è stato condannato a tre anni per aver donato 2.100 rubli. Il 12 novembre 2026 i procuratori hanno chiesto cinque anni nel caso Leonovich. Tra i pagamenti perseguiti c'erano addebiti automatici arrivati dopo l'entrata in vigore della designazione, da sottoscrizioni che i donatori dicono di aver cancellato o di non aver mai attivato consapevolmente.

Un terzo meccanismo riguarda il destinatario e blocca il pagamento. Rosfinmonitoring mantiene un elenco di terroristi ed estremisti che a ottobre 2026 comprendeva circa 23.000 persone fisiche e 900 organizzazioni. Le persone vengono inserite quando sono incriminate, prima di qualsiasi condanna. I loro conti sono limitati e le banche congelano i loro fondi. Un trasferimento a una persona presente nell'elenco non costituisce reato di per sé, ma la banca lo blocca.

Nessuna di queste regole riguarda le VPN, e nessun caso collega un acquisto di VPN a una di esse. Spiegano comunque perché un venditore sotto il controllo dello Stato è una controparte scadente per l'acquirente. La traccia di pagamento dell'acquirente finisce nel fascicolo finanziario di una persona su cui lo Stato sta indagando, e quel fascicolo viene letto da persone che cercano altre cose. Le designazioni possono essere applicate in seguito, e i casi dei donatori mostrano che i pagamenti protrattisi oltre una designazione sono stati perseguiti. Un pagamento a una persona presente nell'elenco viene bloccato dalla banca, il che lascia l'acquirente senza il servizio. Anche il registro di un intermediario grigio può cambiare di mano. Quando la banca centrale ha revocato la licenza di QIWI Bank nel 2024, i suoi archivi sono finiti alle forze dell'ordine.

I venditori individuali nei messenger sono un caso a parte. Nessuna legge è specifica per l'acquisto di una VPN da un venditore di questo tipo. Il rischio descritto lì è la truffa e il ricatto, comprese minacce che invocano un "articolo del codice penale". Le fonti a riguardo sono scarse e limitate a pagine di domande e risposte di avvocati.

Le banche dati trapelate o copiate possono collegare una VPN a te?

I registri bancari sono un tipo di documentazione. Elenchi di clienti, elenchi di registrati e tabelle di utenti sono un altro tipo, e arrivano allo Stato attraverso due vie. Una è la fuga di dati. L'altra, dal 1° aprile 2026, è la copia legale.

Sulle fughe di dati, la posizione giuridica è chiara. A novembre 2026, nessuna legge consente alla polizia russa di usare banche dati trapelate per identificare persone o come prova. Nessuna legge pubblicata, decreto, sentenza della Corte Suprema o disegno di legge della Duma lo autorizza.

La pratica è più vecchia di qualsiasi legge recente. Il 17 agosto 2021, la polizia ha fatto visita a domicilio di moscoviti i cui indirizzi comparivano in banche dati trapelate di registrati al Voto Intelligente e sostenitori di Navalnyj, secondo OVD-Info. A febbraio 2025, nel caso di un pensionato processato per 3.500 rubli donati alla FBK, l'elenco trapelato del Voto Intelligente sarebbe stato usato, secondo le fonti, per trovarlo, mentre i documenti di pagamento erano la prova principale. Quella ricostruzione si basa sul racconto di una sola testata. A settembre 2025, Mediazona ha scritto nella sua copertura del caso di Dmitry Regush che le forze di sicurezza usano queste fughe di dati come prova aggiuntiva. Si tratta dell'interpretazione di Mediazona di casi simili, non di un accertamento giudiziario. Tutto questo è giornalismo sulle pratiche. Nessuna di queste cose è un permesso legale.

La legge sulle fughe di dati è andata nella direzione opposta. Dall'11 dicembre 2024, l'articolo 272.1 del Codice Penale punisce come reato l'uso, il trasferimento, la raccolta o la conservazione di dati personali ottenuti illegalmente. La pena arriva fino a quattro anni, e fino a dieci nei casi aggravati. L'articolo è stato applicato ai trafficanti di banche dati. A luglio 2025 un tribunale di Mosca ha mandato sette persone in detenzione o agli arresti domiciliari in un caso di traffico di banche dati, tra loro presunte dipendenti del centro dati del Ministero dell'Interno. Se le note all'articolo dicano qualcosa sull'uso da parte degli stessi investigatori non è stato accertato.

Il nuovo potere riguarda le banche dati legittime, ed è più ampio di tutto ciò che è stato detto sulle fughe di dati. Dal 1° aprile 2026, gli organi dell'FSB possono ottenere copie delle banche dati di qualsiasi organizzazione in Russia, o di parti di esse, gratuitamente e senza decisione del tribunale. L'ordine deve provenire dal direttore dell'FSB, dai suoi vice o dal responsabile di un ufficio regionale dell'FSB, e la banca dati deve contenere informazioni di cui il servizio ha bisogno per i propri compiti. L'emendamento è stato approvato dalla Duma il 16 dicembre 2025 ed è entrato in vigore il 1° aprile 2026. Le copie vanno distrutte una volta raggiunto lo scopo per cui sono state ottenute. Secondo la testata Agentstvo, non esiste alcun meccanismo per verificare che la cancellazione avvenga davvero. Prima di questo, l'accesso alle banche dati di un'organizzazione richiedeva in genere una decisione del tribunale al di fuori dei regimi di settore come il SORM. Nessuna relazione documenta l'uso di questo potere per identificare utenti di VPN.

Una banca dati copiata conta anche quando i nomi sono rimossi o quando contiene solo frammenti, e la ricerca sulla reidentificazione è coerente sul perché. Nel 2008, Narayanan e Shmatikov hanno preso il dataset "anonimizzato" del Netflix Prize con le valutazioni dei film e hanno reidentificato gli utenti confrontandolo con le valutazioni pubbliche di IMDb. Nel 2015, uno studio su Science ha esaminato tre mesi di transazioni con carta di 1,1 milioni di persone e ha scoperto che quattro transazioni con sole informazioni approssimative su luogo e data reidentificavano il 90 percento degli individui. Conoscere gli importi rendeva l'identificazione ancora più semplice. Il risultato si applica a qualsiasi grande dataset di transazioni. Rimuovere i nomi non rende anonima una carta.

Lo schema è lo stesso in ogni caso. Un dataset più una fonte di identità reidentifica le persone. L'elenco clienti di un rivenditore russo, il registro di un agente di pagamento, la tabella utenti di un provider di cloud e un elenco di registrati trapelato sono tutti dataset. I registri bancari, che collegano ogni pagatore a un passaporto, sono la fonte di identità.

Perché le VPN che passano attraverso la lista bianca russa portano rischi propri?

Il potere di accesso ai database si applica alle organizzazioni in Russia. Dal 2025, alcuni setup VPN sono arrivati a dipendere proprio da organizzazioni di questo tipo, e il motivo sono le interruzioni mobili.

Le interruzioni regionali di massa di internet mobile sono iniziate a maggio 2025, ufficialmente come misura contro i droni. L'8 luglio 2025 utenti in 77 regioni hanno segnalato interruzioni in una sola giornata, e in quel mese sono stati contati almeno 2.099 shutdown. Il progetto di monitoraggio Na Svyazi ha rilevato che entro il 2026 tutte le 83 regioni della Russia riconosciute a livello internazionale ne avevano subito almeno uno. Il traffico dati mobile è calato del 22 percento su base annua nel primo semestre del 2026, e nelle regioni più colpite, tra cui Ivanovo, è stato calato di oltre il 40 percento.

Ciò che resta raggiungibile durante un'interruzione è la lista bianca, un registro di servizi domestici approvati che il ministero digitale ha pubblicato per la prima volta a settembre 2025 con poche decine di voci. Ha superato quota 500 entro aprile 2026. Il suo nucleo riportato è costituito da portali governativi, servizi VK e Yandex, il sistema di pagamento Mir, grandi banche e marketplace. La modalità lista bianca rovescia la censura da una lista di ciò che è vietato a una lista di ciò che è consentito, quindi tutto ciò che è nuovo, straniero o non approvato è bloccato per impostazione predefinita. Il lato fisico di questo assetto è l'oggetto del nostro articolo sugli attacchi ai data center di Sber e VK e la lista bianca.

Alcuni setup VPN sono rimasti raggiungibili in questa modalità instradando attraverso infrastrutture che sono a loro volta in lista bianca, come server affittati all'interno di cloud russi. La prova più chiara che la pratica fosse diffusa è che lo Stato vi ha risposto tre volte nel 2026.

Nessun quarto giro ufficiale è stato confermato dal 31 agosto. Ondate di blocchi sono state segnalate a settembre e novembre 2026, e l'attribuzione è debole. Il nostro resoconto dell'ondata di blocchi di settembre 2026 illustra ciò che si sa.

Ognuno di quei giri ha interrotto connessioni funzionanti da un giorno all'altro, quindi la disponibilità è un problema di questi percorsi. Il problema più grande è legale. Instradare attraverso una piattaforma russa in lista bianca mette sul percorso un'entità giuridica russa, e la legge russa è esplicita su ciò che tale entità deve fare.

La colonna di destra non significa che un qualsiasi percorso sia sicuro. L'operatore russo dell'utente stesso conserva i metadati di connessione per un anno secondo le stesse regole. Il confronto mostra solo dove si trova un'azienda che può essere obbligata.

Le aziende nella colonna di sinistra hanno precedenti. Uno studio di Novaya Gazeta Europe ha contato più di 30.000 casi su post e meme su tutte le piattaforme, con VK dietro circa l'80 percento dei casi amministrativi e circa il 46 percento di quelli penali. Le consegne documentate hanno incluso la cronologia completa di accessi di un imputato per indirizzo IP. Yandex ha riportato 77.979 richieste di dati governative nel 2024 e ne ha soddisfatte il 74 percento. Ad aprile 2026 il cloud di Yandex ha iscritto il blocco dei clienti su direzione dello Stato nel suo contratto standard. Dal 1° aprile 2026, il potere dell'FSB di copiare database senza decisione del tribunale si applica a ognuna di queste organizzazioni.

Cosa potrebbe cambiare nei prossimi mesi?

Quattro misure sono in sospeso a novembre 2026, e nessuna di esse è legge.

La proposta di Bastrykin di luglio 2026 aggiungerebbe una seconda circostanza aggravante, più ampia, che coprirebbe l'intelligenza artificiale, le VPN e i proxy. Nessun numero di disegno di legge è stato pubblicato dalla Duma. Se compare un testo, la sua formulazione mostrerà se la clausola esistente lettera «f» viene ampliata o duplicata.

Il pacchetto "Antifrode 3.0" è una bozza del ministero digitale il cui periodo di consultazione pubblica si è concluso il 15 ottobre 2026. Come riportato da CNews, vieterebbe ai proprietari di servizi VPN l'accesso all'hosting russo, possibilmente dal 1° marzo 2028. Ciò avrebbe effetti sui fornitori e sui relay russi da cui dipende il routing basato sulla lista bianca.

Le prime regole formali per l'ammissione alla lista bianca sono state redatte a ottobre 2026. CNews ha riferito il 5 ottobre che la data di entrata in vigore è sconosciuta. Fino ad allora, ammissione ed esclusione restano informali.

La quarta riguarda i pagamenti. Nessun divieto di pagare una VPN con una carta russa è stato emanato, e la richiesta del FSB di accesso remoto ai sistemi bancari riportata dalle fonti ha un orizzonte del 2027 senza un testo pubblico.

Cosa significa tutto questo per un utente VPN in Russia?

La situazione di base è rimasta stabile nonostante due anni di nuova legislazione. Usare una VPN in Russia non è un reato, pagare per una non è un reato, e non risulta alcuna azione penale legata a un pagamento per una VPN.

Le regole attorno a questa situazione di base sono cambiate tre volte da settembre 2025. Dal 1° settembre 2025 una VPN può rendere più pesante qualsiasi condanna penale, e un resoconto di ottobre 2026 riferisce che gli investigatori lo menzionano quando chiedono l'arresto. Dal 1° aprile 2026 l'FSB può copiare il database di qualsiasi organizzazione russa senza decisione del tribunale. Dal 1° settembre 2026 il flusso dei pagamenti viene letto in modo centralizzato e senza preavviso al cliente. Ognuna di queste regole riguarda registrazioni o contesto. Nessuna riguarda il solo uso di una VPN.

Ecco perché la controparte conta quanto lo strumento. Ogni entità russa nella catena, che si tratti di chi incassa il pagamento, chi ospita il relay o chi rivende l'abbonamento, è un luogo in cui una registrazione sull'utente viene conservata secondo la legge russa. Un venditore sotto indagine o designato aggiunge al quadro il fascicolo di quel venditore. I casi dei donatori mostrano che la pratica russa rilegge vecchie registrazioni alla luce di nuove designazioni, quindi una registrazione effettuata legalmente nel 2026 non c'è garanzia che venga interpretata secondo le regole del 2026.

Per una persona in Russia, dunque, l'esposizione alla fine del 2026 raramente riguarda la connessione. Riguarda l'accumulo di registrazioni su chi è stato pagato, attraverso quale società russa, e accanto a cosa quella registrazione si troverà se dovesse mai aprirsi un caso di qualsiasi tipo.

Aggiorneremo questa pagina quando una delle misure in sospeso si muoverà, se dovesse emergere un caso documentato di applicazione basata sui pagamenti contro acquirenti di VPN, o se i tribunali iniziassero ad applicare la lettera «f» al di fuori dei casi di droga. La pagina paese sulla Russia raccoglie le nostre altre informazioni sull'argomento.