Реальные риски использования VPN в России в конце 2026 года

Около 40 процентов жителей России сейчас пользуются VPN, а доля платных среди них выросла с 15 до 48 процентов в период с 2024 по 2026 год. Десятки миллионов людей имеют приложение VPN на телефоне, и у многих из них где-то в банковской выписке есть списание за подписку. Каждый из них имеет основание спросить, чем могут обернуться такое приложение и такое списание.

Использование VPN в России в ноябре 2026 года не является правонарушением, и оплата таких сервисов тоже не является правонарушением. Антон Горелкин, заместитель председателя комитета Госдумы по информационной политике, заявил в феврале 2026 года, что штраф за использование VPN не планируется и даже не обсуждается. К такому же выводу пришёл юридический разбор, опубликованный «Известиями» 28 октября 2026 года.

Риск сместился с самого факта подключения. Теперь он находится в двух местах. Первое связано с тем, к чему привязывается использование VPN, например к поисковому запросу или уголовному делу. Второе касается записей. Платёж, список клиентов или журнал подключений хранятся годами, и позже их можно прочитать по правилам, которых не существовало в момент создания записи. Три из таких правил вступили в силу за последние 14 месяцев.

Использование VPN в России: это незаконно?

Нет. Закон наказывает за более узкие действия, и детали здесь важны.

С 1 сентября 2025 года статья 13.53 КоАП, добавленная Федеральным законом № 281-ФЗ, наказывает за умышленный поиск и доступ к материалам федерального списка экстремистских материалов. Штраф составляет от 3 000 до 5 000 рублей, и статья была написана так, чтобы охватывать поиск через VPN. Первый штраф, 3 000 рублей, был выписан 10 декабря 2025 года жителю Каменска-Уральского. Шестнадцатилетнего подростка в Мысках оштрафовали на ту же сумму по решению комиссии по делам несовершеннолетних в начале 2026 года, а суд оштрафовал жителя Дмитрова 12 ноября 2026 года. Общее количество таких штрафов нигде не публиковалось.

Тот же пакет законов сделал рекламу VPN-сервисов правонарушением со штрафами для компаний до 500 000 рублей. С марта 2024 года публикация информации, популяризирующей средства обхода блокировок, является основанием для блокировки самого издания. У провайдеров свое правило: сервис, который отказывается подключаться к государственному списку блокировок, блокируется сам. Роскомнадзор сообщил о 469 заблокированных VPN-сервисах к концу февраля 2026 года, против 258 в октябре 2025 года. Официальной цифры за осень по состоянию на ноябрь 2026 года не публиковалось.

Один слух лета можно закрыть. 7 июля 2026 года министерство цифрового развития опровергло, что рассматривает плату за иностранный трафик, включая VPN-трафик.

Если поставить рядом, правила, затрагивающие пользователя VPN или оплату VPN, выглядят так. Наша хроника российских правил о VPN отслеживает их изменения.

Третью строку легче всего понять неверно, потому что это единственная строка, где сам инструмент фигурирует в УК РФ.

Что означает «VPN как отягчающее обстоятельство» на практике?

Отягчающим обстоятельством называют факт, который не образует состава преступления, но позволяет суду назначить за него более строгое наказание. Федеральный закон № 282-ФЗ от 31 июля 2025 года добавил такое обстоятельство в часть 1 статьи 63 УК РФ. Это пункт «ф», он действует с 1 сентября 2025 года. Формулировка охватывает «совершение преступления с использованием программно-аппаратных средств доступа к информационным ресурсам и информационно-телекоммуникационным сетям, доступ к которым ограничен». Прокуратура опубликовала собственное разъяснение 12 сентября 2025 года.

Две особенности пункта определяют его сферу действия. Он находится в Общей части кодекса, поэтому может применяться к любому преступлению. При этом ему нужно преступление, к которому он привяжется. Человек, который пользуется VPN и не совершает преступления, вне его действия. Пункт не называет VPN. Он описывает категорию инструментов, и VPN, использованный для доступа к заблокированному ресурсу, попадает под это описание.

Закону 14 месяцев, и известная судебная практика скудна. В апреле 2026 года Верстка нашла первые два приговора, где пункт применялся, оба по делам о наркотиках. В Новомосковске Тульской области суд в декабре 2025 года приговорил мужчину к 1 году и 8 месяцам колонии после того, как он через VPN зашёл на сайт заблокированного продавца. В Ухте в Коми приговором от февраля 2026 года назначили три года условно. В публикациях Meduza и Novaya Gazeta Europe отмечается, что неясно, был ли инструмент VPN или Tor. ОВД-Инфо заявила тогда, что ей неизвестны политические дела с применением этого пункта.

Два более поздних события стоит упомянуть рядом с этим пунктом, хотя ни одно из них не является законом. 28 октября 2026 года Ева Меркачева, член Совета при Президенте РФ по развитию гражданского общества и правам человека, рассказала «Фонтанке», что следователи ссылаются на использование VPN и исчезающих сообщений как на «способы конспирации», когда просят суды избрать меру пресечения в виде заключения под стражу. Её рассказ основан на единичных свидетельствах и не даёт числа дел. Он касается заседаний об аресте, которые являются отдельной темой, не связанной с пунктом «ф». 28 июля 2026 года Александр Бастрыкин, глава Следственного комитета, сообщил, что подготовлен законопроект, который сделает использование ИИ, VPN и прокси новым отягчающим обстоятельством в случаях, когда информационные технологии являются основным инструментом преступления. Номер законопроекта в Думе не опубликован по состоянию на ноябрь 2026 года. Это остаётся предложением.

Для обычного пользователя пункт имеет значение только при наличии уголовного обвинения. Само по себе использование VPN ни к чему не ведёт. Как только человек сталкивается с обвинением любого рода, VPN на устройстве или в материалах дела становится тем, что может использовать обвинение.

Что остаётся после оплаты VPN?

Приложение можно удалить. Платёж нельзя, и он часто оказывается самым долговечным следом подписки на VPN.

В России этот след остаётся внутри страны. Visa и Mastercard приостановили работу в России в марте 2022 года, поэтому картой, выпущенной в России, нельзя напрямую оплатить иностранному продавцу. Если зарубежный сервис заявляет оплату картой «Мир» или через СБП, систему быстрых платежей Центробанка, значит, где-то в цепочке есть российское звено. Публикации описывают такие звенья по категориям. Среди них: российский эквайер за витриной или ботом, платёжный агент, принимающий рубли и рассчитывающийся за рубежом, маркетплейс перепродажи и перевод внутри страны физическому лицу. Во всех случаях в момент оплаты деньги проходят по российской платёжной инфраструктуре. Иностранная вывеска появляется позже.

Доступ к этому звену есть на трёх уровнях.

Средний уровень появился недавно. Закон 461-ФЗ вступил в силу 1 сентября 2026 года, и с этой даты Росфинмониторингу больше не нужно обращаться к каждому банку отдельно. Охватываемый им объём велик. Только через СБП в первом квартале 2026 года прошло 4,7 млрд операций на сумму 26,5 трлн рублей.

Продавцы на этом рынке часто создают впечатление конфиденциальности с помощью нейтральных названий продавцов или платежей, которые выглядят как переводы посторонним фирмам или физическим лицам. На уровне реестра это косметика. Банк и НСПК сопоставляют любого получателя с зарегистрированным юридическим лицом или верифицированным человеком, что бы ни было написано в отображаемом названии. В уголовных делах о пожертвованиях антикоррупционному фонду Алексея Навального, ФБК, следователи сопоставляли банковские выписки по повторяющемуся идентификатору продавца. Одинаковые ежемесячные суммы одному и тому же получателю сами по себе образуют шаблон подписки.

Запрашивает ли кто-то реестр на предмет подписок на VPN, это другой вопрос. Ни один источник этого не документирует, и нигде не зафиксировано преследование за платёж за VPN. С учётом того, что почти половина российских пользователей VPN теперь платит, записи, которые могли бы быть запрошены, описывают десятки миллионов человек.

Одно ожидаемое правило так и не появилось. Весной 2026 года отраслевые публикации предвещали запрет на оплату VPN российскими картами в рамках законопроекта «Антифрод 2.0», и по крайней мере один крупный российский эквайер, по сообщениям, прекратил обслуживание провайдеров VPN. Законопроект стал Законом 210-ФЗ от 26 июня 2026 года, и в опубликованном содержании закона нет положений об оплате VPN. По состоянию на ноябрь 2026 года такой запрет не принят.

Имеет ли значение, кому уходят ваши деньги?

У платежа есть два конца, и второй конец может оказаться важнее первого. Российское законодательство относится к разным получателям очень по-разному: одни нормы наказывают плательщика, другие затрагивают только получателя.

Больше всего путаницы возникает с иностранными агентами. Ни один закон не наказывает за оплату или покупку у иностранного агента. Впервые VPN-сервис внесли в реестр иностранных агентов в ноябре 2023 года. Юристы, опрошенные тогда «Фонтанкой», говорили, что «финансовые отношения с иноагентом не запрещены». Один из них добавил, что правоприменение в этой сфере «абсолютно произвольно». Существующие правила о деньгах связывают самого агента. С 1 марта 2025 года доходы иностранного агента из российских источников, таких как продажа недвижимости и аренда, выплаты за интеллектуальную собственность, проценты и дивиденды, поступают на специальный рублевый счет, который остается замороженным, пока человека не исключат из реестра. Зарплаты и гонорары это правило не охватывает. По состоянию на ноябрь 2026 года ни одна норма не предусматривает санкций для того, кто платит.

Другие статусы уже затрагивают плательщика. Финансирование организации, признанной «нежелательной», является преступлением по части 2 статьи 284.1 УК РФ. В феврале 2026 года Ксению Белову приговорили к году и шести месяцам в колонии-поселении за перевод 150 000 рублей на банковскую карту активистки движения «АллатРа». Перевод ушел на личную карту физического лица, но суд засчитал его как финансирование организации. Она заявила, что ее ввели в заблуждение относительно назначения денег. Суд расценил это как «защитную тактику».

Финансирование организации, признанной «экстремистской», является преступлением по статье 282.3 УК РФ. «Медиазона» насчитала не менее 225 уголовных дел в 64 регионах за пожертвования ФБК по состоянию на 21 апреля 2026 года, это последний полный подсчет. Суммы могут быть небольшими. В октябре 2026 года жителя Москвы по фамилии Айнулин приговорили к трем годам за пожертвование 2 100 рублей. 12 ноября 2026 года прокуратура запросила пять лет по делу Леоновича. Среди преследуемых платежей были автоматические списания, прошедшие уже после вступления статуса в силу, по подпискам, которые, по словам жертвователей, они отменили или никогда сознательно не оформляли.

Третий механизм затрагивает получателя и останавливает сам платеж. Росфинмониторинг ведет перечень террористов и экстремистов, в котором в октябре 2026 года было около 23 000 физических лиц и 900 организаций. Людей вносят в перечень уже при предъявлении обвинения, до любого приговора. Их счета ограничиваются, а банки замораживают их средства. Перевод человеку из перечня сам по себе не криминализован, но банк его блокирует.

Ни одна из этих норм не касается VPN, и ни одно дело не связывает покупку VPN с какой-либо из них. Тем не менее они объясняют, почему продавец, находящийся под вниманием государства, плохой контрагент для покупателя. Платежная история покупателя оказывается в финансовом досье человека, которого государство проверяет, и это досье читают люди, занятые поиском совсем другого. Статусы могут быть присвоены позже, а дела о пожертвованиях показывают, что платежи, продолжавшиеся после присвоения статуса, стали предметом преследования. Платеж человеку из перечня блокируется банком, и покупатель остается без услуги. Реестр серого посредника тоже может сменить владельца. Когда центральный банк отозвал лицензию QIWI Bank в 2024 году, его записи перешли к правоохранительным органам.

Частные продавцы в мессенджерах являются отдельным случаем. Ни один закон не касается именно покупки VPN у такого продавца. Описанный там риск является мошенничеством и шантажом, в том числе угрозами со ссылкой на «уголовную статью». Источники по этой теме скудны и ограничиваются страницами вопросов и ответов юристов.

Могут ли утёкшие или скопированные базы данных связать VPN с вами?

Банковские выписки являются одним видом записей. Списки клиентов, списки зарегистрировавшихся и клиентские таблицы являются другим, и до государства они доходят двумя путями. Первым путём является утечка. Вторым, с 1 апреля 2026 года, является законная копия.

Что касается утечек, правовая позиция ясна. По состоянию на ноябрь 2026 года ни один закон не позволяет российской полиции использовать утёкшие базы данных для установления личности людей или в качестве доказательств. Ни один опубликованный закон, указ, решение Верховного суда или законопроект Госдумы этого не разрешает.

Практика старше любого недавнего закона. 17 августа 2021 года полиция, по данным «ОВД-Инфо», приходила домой к москвичам, чьи адреса оказались в утёкших базах зарегистрировавшихся в «Умном голосовании» и сторонников Навального. В феврале 2025 года в деле пенсионера, преследуемого за пожертвование 3 500 рублей ФБК, утёкший список «Умного голосования», по имеющимся сообщениям, был использован для его поиска, а основными доказательствами стали платёжные документы. Этот материал опирается на сообщение одного издания. В сентябре 2025 года «Медиазона» в материале о деле Дмитрия Регуша написала, что силовики используют эти утечки как дополнительные доказательства. Это трактовка «Медиазоны» на основе похожих дел, а не судебный вывод. Всё это репортажи о практике. Ничто из этого не является юридическим разрешением.

Законодательство об утечках двигалось в противоположном направлении. С 11 декабря 2024 года статья 272.1 УК РФ объявляет преступлением использование, передачу, сбор или хранение персональных данных, полученных незаконным путём. Наказание составляет до четырёх лет лишения свободы, а при отягчающих обстоятельствах до десяти. Статья применялась к торговцам базами. В июле 2025 года московский суд отправил семерых человек в СИЗО или под домашний арест по делу о торговле базами данных, среди них предполагаемые сотрудницы дата-центра МВД. Не установлено, говорится ли что-либо в примечаниях к статье об использовании таких данных самими следователями.

Новое полномочие касается легальных баз данных, и оно шире всего сказанного об утечках. С 1 апреля 2026 года органы ФСБ могут получать копии баз данных любой организации в России или их частей на безвозмездной основе и без судебного решения. Запрос должен исходить от директора ФСБ, его заместителей или руководителя регионального управления ФСБ, а база должна содержать сведения, необходимые службе для её задач. Поправка была принята Госдумой 16 декабря 2025 года и вступила в силу 1 апреля 2026 года. Копии подлежат уничтожению после достижения цели их получения. По данным издания «Агентство», механизма проверки того, что удаление действительно происходит, не существует. До этого доступ к базам данных организации, как правило, требовал судебного решения, за исключением отраслевых режимов вроде СОРМ. Ни один материал не документирует использование этого полномочия для установления личности пользователей VPN.

Скопированная база данных имеет значение даже тогда, когда имена удалены или когда она содержит лишь фрагменты, и исследования по реидентификации последовательно объясняют почему. В 2008 году Нараянан и Шматиков взяли «обезличенный» набор данных Netflix Prize с оценками фильмов и реидентифицировали пользователей, сопоставив его с публичными оценками на IMDb. В 2015 году исследование в журнале Science изучило три месяца карточных транзакций 1,1 миллиона человек и установило, что четыре транзакции с лишь грубыми данными о месте и дате реидентифицируют 90 процентов людей. Знание сумм делало установление личности ещё проще. Этот вывод переносится на любой крупный набор транзакционных данных. Удаление имён не делает карту анонимной.

Схема одна и та же во всех случаях. Набор данных плюс источник идентификации реидентифицирует людей. Список клиентов российского реселлера, выписки платёжного агента, клиентская таблица облачного провайдера и утёкший список зарегистрировавшихся являются наборами данных. Банковские записи, которые привязывают каждого плательщика к паспорту, являются источником идентификации.

Почему VPN, работающие через российский «белый список», несут собственные риски?

Право ФСБ копировать базы данных распространяется на организации в России. С 2025 года некоторые схемы работы VPN стали зависеть именно от таких организаций, и причиной тому стали отключения мобильного интернета.

Массовые региональные отключения мобильного интернета начались в мае 2025 года, официально как мера против дронов. 8 июля 2025 года пользователи в 77 регионах сообщили об отключениях за один день, а за тот месяц было зафиксировано не менее 2 099 отключений. Мониторинговый проект «На связи» установил, что к 2026 году во всех 83 международно признанных регионах России произошло как минимум одно отключение. Мобильный трафик в первом полугодии 2026 года упал на 22 процента год к году, а в наиболее пострадавших регионах, включая Ивановскую область, снижение составило более 40 процентов.

Во время отключений остаётся доступным «белый список», реестр одобренных российских сервисов, который Минцифры впервые опубликовало в сентябре 2025 года с несколькими десятками позиций. К апрелю 2026 года их стало больше 500. По сообщениям, его основу составляют государственные порталы, сервисы VK и Яндекса, платёжная система «Мир», крупные банки и маркетплейсы. Режим «белого списка» переворачивает цензуру: вместо списка запрещённого действует список разрешённого, поэтому всё новое, иностранное или неодобренное блокируется по умолчанию. Физическая сторона этой схемы рассмотрена в нашей статье об ударах по дата-центрам Сбера и VK и «белом списке».

Некоторые схемы VPN оставались доступными в этом режиме за счёт маршрутизации через инфраструктуру, которая сама включена в «белый список», например серверы, арендованные в российских облаках. Самое наглядное свидетельство того, что такая практика была распространена: государство ответило на неё трижды в 2026 году.

Четвёртый официальный раунд после 31 августа не подтверждён. О волнах блокировок сообщалось в сентябре и ноябре 2026 года, но их атрибуция слабая. Наш разбор волны блокировок в сентябре 2026 года излагает то, что известно.

Каждый из этих раундов за одну ночь обрывал рабочие соединения, поэтому доступность является лишь одной из проблем таких маршрутов. Более серьёзная проблема носит юридический характер. Маршрутизация через российскую платформу из «белого списка» ставит в цепочку российское юридическое лицо, а российский закон прямо определяет, что оно обязано делать.

Правая колонка не означает, что какой-либо маршрут безопасен. Собственный российский оператор пользователя хранит метаданные соединений в течение года по тем же правилам. Сравнение показывает лишь, где находится компания, которую можно принудить выдать данные.

У компаний в левой колонке есть история. Исследование Novaya Gazeta Europe насчитало более 30 000 дел за посты и мемы по всем платформам, при этом на VK приходится около 80 процентов административных дел и около 46 процентов уголовных. Задокументированные передачи данных включали полную историю входов обвиняемого по IP-адресам. Яндекс сообщил о 77 979 запросах государственных органов в 2024 году и удовлетворил 74 процента. В апреле 2026 года облачный сервис Яндекса вписал блокировку клиентов по указанию государства в свой стандартный договор. С 1 апреля 2026 года право ФСБ копировать базы данных без суда распространяется на каждую из этих организаций.

Что может измениться дальше?

В ноябре 2026 года на рассмотрении находятся четыре меры, и ни одна из них пока не стала законом.

Предложение Бастрыкина от июля 2026 года предусматривает добавление второго, более широкого отягчающего обстоятельства, охватывающего ИИ, VPN и прокси. Номер законопроекта в Государственной Думе не публиковался. Если текст появится, его формулировки покажут, расширяется ли действующий пункт «ф» или дублируется.

Пакет «Антифрод 3.0» представляет собой проект Минцифры, публичное обсуждение которого завершилось 15 октября 2026 года. Как сообщает CNews, документ запретил бы владельцам VPN-сервисов размещаться на российском хостинге, возможно, с 1 марта 2028 года. Это затронет провайдеров и российские ретрансляторы, от которых зависит маршрутизация по «белому списку».

Первые официальные правила допуска в «белый список» были подготовлены в октябре 2026 года. CNews сообщил 5 октября, что дата их вступления в силу неизвестна. До этого момента включение в список и исключение из него остаются неформальными процедурами.

Четвертая мера касается платежей. Запрет на оплату VPN российской картой не введен, а сообщавшееся требование ФСБ о удаленном доступе к банковским системам имеет горизонт 2027 года, при этом публичного текста нет.

Что всё это значит для пользователя VPN в России?

Исходное положение не изменилось за два года нового законодательства. Использование VPN в России не является правонарушением, оплата VPN не является правонарушением, и ни одного случая преследования за оплату VPN не зафиксировано.

Правила вокруг этой базовой нормы менялись трижды с сентября 2025 года. С 1 сентября 2025 года использование VPN может отягчать любой приговор по уголовному делу, а в материале за октябрь 2026 года говорится, что следователи упоминают его при ходатайстве об аресте. С 1 апреля 2026 года ФСБ может копировать базы данных любой российской организации без решения суда. С 1 сентября 2026 года поток платежей считывается централизованно и без уведомления клиента. Каждое из этих правил касается записей или контекста. Ни одно из них не касается одного лишь использования VPN.

Именно поэтому контрагент имеет такое же значение, как и сам инструмент. Каждое российское звено в цепочке, будь то приём платежа, хостинг ретранслятора или перепродажа подписки, является местом, где по российскому законодательству хранится запись о пользователе. Продавец, находящийся под следствием или внесённый в перечень, добавляет к картине собственное досье этого продавца. Дела о пожертвованиях показывают, что российская практика перечитывает старые записи в свете новых статусов, поэтому запись, законно сделанная в 2026 году, не гарантированно будет истолкована по правилам 2026 года.

Для человека в России, таким образом, риск в конце 2026 года редко связан с самим подключением. Он связан с накопленной историей того, кому и через какую российскую компанию платили, и с тем, рядом с чем эта запись окажется, если будет возбуждено любое дело.

Мы обновим эту страницу, если сдвинется с места любая из ожидающих мер, если появится документированный случай принудительных мер на основе платежей против покупателей VPN или если суды начнут применять пункт «ф» части 1 статьи 63 вне дел о наркотиках. На странице о России собраны наши другие материалы.