Реальні ризики використання VPN у Росії наприкінці 2026 року

Приблизно 40 відсотків людей у Росії зараз користуються VPN, а частка платних сервісів серед них зросла з 15 до 48 відсотків між 2024 і 2026 роками. Десятки мільйонів людей мають VPN-застосунок на телефоні, і в значної частини з них у банківській виписці десь є списання за передплату. Кожен із них має підстави запитати, чим може загрожувати такий застосунок і таке списання.

Використання VPN у Росії станом на листопад 2026 року не є правопорушенням, і оплата таких сервісів також не є правопорушенням. Антон Горелкін, заступник голови комітету Держдуми з інформаційних технологій, у лютому 2026 року заявив, що штраф за використання VPN не планується і навіть не обговорюється. Юридичний огляд, опублікований газетою «Известия» 28 жовтня 2026 року, дійшов того самого висновку.

Ризик більше не пов'язаний із самим фактом підключення. Нині він зосереджений у двох місцях. Перше, це те, до чого може долучитися використання VPN, наприклад пошук або кримінальне звинувачення. Друге, це записи. Платіж, список клієнтів або журнал підключень зберігається роками, і пізніше його можуть прочитати за правилами, яких не існувало на момент створення запису. Три з таких правил набули чинності за останні 14 місяців.

Чи є використання VPN у Росії незаконним?

Ні. Закон карає за дещо вужче, і деталі тут важливі.

З 1 вересня 2025 року стаття 13.53 Кодексу про адміністративні правопорушення, додана федеральним законом 281-ФЗ, карає за умисний пошук та доступ до матеріалів із федерального списку екстремістських матеріалів. Штраф становить від 3 000 до 5 000 рублів, і статтю написали так, щоб вона охоплювала пошук через VPN. Перший штраф, 3 000 рублів, виписали 10 грудня 2025 року мешканцю Каменська-Уральського. Шістнадцятирічного підлітка з Мисок оштрафувала на таку саму суму комісія у справах неповнолітніх на початку 2026 року, а суд оштрафував мешканця Дмитрова 12 листопада 2026 року. Загальної кількості таких штрафів опубліковано не було.

Той самий пакет законів зробив рекламування VPN-сервісів правопорушенням зі штрафами до 500 000 рублів для компаній. З березня 2024 року публікація інформації, що популяризує інструменти обходу блокувань, є підставою для блокування самого видання. Провайдери мають власне правило. Сервіс, який відмовляється підключитися до державного списку блокування, блокують сам. За даними Роскомнагляду, станом на кінець лютого 2026 року заблоковано 469 VPN-сервісів, порівняно з 258 у жовтні 2025 року. Офіційної цифри за осінь станом на листопад 2026 року не опубліковано.

Одним літнім чуткам можна покласти край. 7 липня 2026 року міністерство цифрового розвитку заперечило, що розглядає плату за закордонний трафік, зокрема VPN-трафік.

Якщо поставити правила, що стосуються користувача VPN або оплати VPN, поруч, вони виглядають так. Наш перелік російських правил щодо VPN відстежує їхні зміни.

Третій рядок найлегше зрозуміти неправильно, бо це єдиний рядок, де сам інструмент згадується в Кримінальному кодексі.

Що на практиці означає «використання VPN як обставини, що обтяжує покарання»?

Обставина, що обтяжує покарання, є фактом, який сам по собі не створює злочину, але дозволяє суду призначити за нього суворіший вирок. Федеральний закон № 282-ФЗ від 31 липня 2025 року додав такий факт до статті 63 частини 1 Кримінального кодексу. Це пункт «ф», і він набув чинності 1 вересня 2025 року. Формулювання охоплює «вчинення злочину за допомогою програмних і апаратних засобів доступу до інформаційних ресурсів та інформаційно-телекомунікаційних мереж, доступ до яких обмежено». Прокуратура опублікувала власне роз'яснення 12 вересня 2025 року.

Дві властивості цього пункту визначають його сферу дії. Він міститься в Загальній частині кодексу, тому може застосовуватися до будь-якого злочину. Крім того, йому потрібен злочин, до якого можна приєднатися. Людина, яка користується VPN і не вчиняє злочину, під його дію не підпадає. Пункт не називає VPN. Він описує категорію інструментів, і VPN, використаний для доступу до заблокованого ресурсу, підпадає під цей опис.

Закону вже 14 місяців, а відома судова практика залишається мізерною. У квітні 2026 року видання Верстка знайшло перші два вироки, де його застосували, обидва у справах про наркотики. У Новомосковську Тульської області суд у грудні 2025 року засудив чоловіка до 1 року і 8 місяців колонії після того, як він через VPN потрапив на сайт заблокованого продавця. В Ухті, у Республіці Комі, вирок лютого 2026 року передбачив три роки умовно. У публікаціях Meduza та Novaya Gazeta Europe зазначається, що незрозуміло, чи був цим інструментом VPN, чи Tor. ОВД-Інфо тоді повідомила, що їй невідомі політичні справи, де застосували цей пункт.

Дві пізніші події варто згадати поруч із цим пунктом, хоча жодна з них не є законом. 28 жовтня 2026 року Єва Меркачева, член президентської ради з прав людини, розповіла виданню Фонтанка, що слідчі, просячи суди призначити арешт до суду, посилаються на використання VPN і повідомлень, що зникають, як на «способи конспірації». Її розповідь ґрунтується на окремих випадках і не містить кількості справ. Вона стосується засідань щодо арешту, а це окреме питання, не пов'язане з пунктом «ф». 28 липня 2026 року Олександр Бастрикін, голова Слідчого комітету, повідомив, що підготовлено законопроєкт, який мав би зробити використання технологій штучного інтелекту, VPN та проксі новою обставиною, що обтяжує покарання, у випадках, коли інформаційні технології є головним інструментом злочину. Станом на листопад 2026 року в Думі не опубліковано жодного номера законопроєкту. Це залишається пропозицією.

Для звичайного користувача цей пункт має значення лише тоді, коли існує кримінальне звинувачення. Саме по собі використання VPN ні до чого не призводить. Щойно проти людини висувають звинувачення будь-якого роду, VPN на пристрої або в матеріалах справи стає тим, що обвинувачення може використати.

Що залишається після оплати VPN?

Застосунок можна видалити. Платіж видалити не можна, і саме він часто є найдовшим слідом підписки на VPN.

У Росії цей слід залишається всередині країни. Visa і Mastercard призупинили роботу в Росії в березні 2022 року, тому карткою, випущеною в Росії, не можна напряму заплатити закордонному продавцю. Отже, якщо закордонний сервіс пропонує оплату карткою «Мир» або через СБП, систему швидких платежів центрального банку, у ланцюжку десь є російська ланка. Публічні матеріали описують такі ланки за категоріями. Це може бути російський еквайрер за вітриною магазину або ботом, платіжний агент, який приймає рублі й розраховується за кордоном, маркетплейс перепродавців або переказ фізичній особі всередині країни. В усіх випадках у момент оплати гроші перебувають на російській платіжній інфраструктурі. Закордонний бренд з'являється пізніше.

Цю ланку можуть бачити три рівні.

Середній рівень є новим. Закон 461-ФЗ набув чинності 1 вересня 2026 року, і від цієї дати Росфінмоніторингу більше не потрібно окремо запитувати кожен банк. Обсяг, який він охоплює, великий. Лише СБП у першому кварталі 2026 року провів 4,7 мільярда операцій на суму 26,5 трильйона рублів.

Продавці на цьому ринку часто натякають на дискретність нейтральними назвами продавця або платежами, що виглядають як перекази стороннім фірмам чи особам. На рівні бухгалтерської книги це косметика. Банк і НСПК співвідносять будь-якого отримувача із зареєстрованою організацією чи верифікованою особою, як би не називався платіж на екрані. У кримінальних справах про донати Фонду боротьби з корупцією Олексія Навального, ФБК, слідчі зіставляли банківські виписки за повторюваним ідентифікатором продавця. Однакові щомісячні суми тому самому отримувачу самі по собі утворюють шаблон підписки.

Чи хтось насправді шукає в бухгалтерській книзі платежі за VPN, це інше питання. Жодне джерело цього не документує, і ніде не зафіксовано жодного переслідування за платіж за VPN. Оскільки тепер майже половина користувачів VPN у Росії платять, записи, які потенційно можна перевіряти, стосуються десятків мільйонів людей.

Одне очікуване правило так і не з'явилося. Навесні 2026 року галузеві видання прогнозували заборону оплати VPN російськими картками в рамках законопроєкту «Антифрод 2.0», і принаймні один великий російський еквайрер, за повідомленнями, припинив обслуговувати постачальників VPN. Законопроєкт став законом 210-ФЗ від 26 червня 2026 року, і в опублікованому змісті закону немає положення про оплату VPN. Станом на листопад 2026 року таку заборону не прийнято.

Чи має значення, кому ви віддаєте гроші?

Платіжний запис має два кінці, і другий кінець може мати більше значення, ніж перший. Російське законодавство ставиться до різних одержувачів дуже по-різному, і деякі його норми карають платника, тоді як інші стосуються лише одержувача.

Найбільше плутанини виникає з іноземними агентами. Жоден закон не карає за оплату чи купівлю в іноземного агента. VPN-сервіс уперше внесли до реєстру іноземних агентів у листопаді 2023 року. Юристи, з якими тоді поспілкувалося видання Фонтанка, заявили, що «фінансові відносини з іноземним агентом не заборонені». Один із них додав, що правозастосування в цій сфері є «абсолютно довільним». Грошові правила, які існують, стосуються самого агента. З 1 березня 2025 року доходи іноземного агента з російських джерел, як-от продаж і оренда нерухомості, виплати за інтелектуальну власність, відсотки та дивіденди, надходять на спеціальний рублевий рахунок, який залишається замороженим, доки особу не вилучать із реєстру. Зарплати та гонорари не охоплюються. Станом на листопад 2026 року жодна норма не передбачає санкцій для того, хто платить.

Інші статуси вже зачіпають платника. Фінансування організації, визнаної «небажаною», є злочином за частиною 2 статті 284.1 Кримінального кодексу. У лютому 2026 року Ксенію Бєлову засудили до півтора року у колонії-поселенні за переказ 150 000 рублів на банківську картку активістки руху AllatRa. Переказ надійшов на особисту картку фізичної особи, а суд зарахував його як фінансування організації. Вона сказала, що її ввели в оману щодо призначення цих грошей. Суд розцінив це як «захисну тактику».

Фінансування організації, визнаної «екстремістською», є злочином за статтею 282.3. Медіазона підрахувала щонайменше 225 кримінальних справ у 64 регіонах за донати на користь ФБК станом на 21 квітня 2026 року, і це останній повний підрахунок. Суми можуть бути незначними. У жовтні 2026 року мешканця Москви на прізвище Айнулін засудили до трьох років за донат у 2 100 рублів. 12 листопада 2026 року прокурори попросили п'ять років у справі Леоновича. Серед переслідуваних платежів були автоматичні списання, які надійшли після того, як статус набув чинності, за підписками, які, за словами донаторів, вони скасували або ніколи свідомо не оформлювали.

Третій механізм зачіпає одержувача і блокує платіж. Росфінмоніторинг веде перелік терористів і екстремістів, який у жовтні 2026 року нараховував близько 23 000 осіб і 900 організацій. Людей вносять туди ще на етапі обвинувачення, до будь-якого вироку. Їхні рахунки обмежують, а банки заморожують їхні кошти. Переказ особі з переліку сам по собі не криміналізований, але банк його блокує.

Жодна з цих норм не стосується VPN, і жодна справа не пов'язує купівлю VPN із жодною з них. Вони все ж пояснюють, чому продавець під державним наглядом є поганим контрагентом для покупця. Платіжний запис покупця опиняється у фінансовій справі людини, яку розслідує держава, а цю справу читають люди, які шукають зовсім інше. Статуси можуть бути присвоєні пізніше, і справи донаторів показують, що платежі, які тривали після присвоєння статусу, стали предметом переслідування. Платіж особі з переліку блокується банком, через що покупець залишається без послуги. Реєстр сірого посередника також може змінити власника. Коли центральний банк відкликав ліцензію банку QIWI у 2024 році, його записи передали правоохоронцям.

Приватні продавці в месенджерах є окремим випадком. Жоден закон не стосується саме купівлі VPN у такого продавця. Описаний там ризик є шахрайством та шантажем, зокрема погрозами з посиланням на «кримінальну статтю». Джерел тут мало, і вони обмежуються сторінками юристів із питаннями та відповідями.

Чи можуть витіклі або скопійовані бази даних повʼязати VPN із вами?

Банківські реєстри є одним видом записів. Списки клієнтів, реєстрантів і клієнтські таблиці є іншим, і вони потрапляють до держави двома шляхами. Один шлях це витік. Інший, з 1 квітня 2026 року, це законна копія.

Щодо витоків правова позиція зрозуміла. Станом на листопад 2026 року жоден закон не дозволяє російській поліції використовувати витіклі бази даних для ідентифікації людей або як докази. Жоден опублікований закон, указ, рішення Верховного суду чи законопроєкт Думи цього не санкціонує.

Практика старіша за будь-який недавній закон. 17 серпня 2021 року поліція, за даними ОВД-Інфо, відвідувала москвичів удома, чиї адреси містилися у витіклих базах реєстрантів «Розумного голосування» та прихильників Навального. У лютому 2025 року у справі пенсіонера, якого переслідували за 3500 рублів, пожертвуваних ФБК, витіклий список «Розумного голосування», за повідомленнями, був використаний щоб його знайти, тоді як платіжні документи були головним доказом. Це повідомлення спирається на свідчення одного видання. У вересні 2025 року Медіазона писала у висвітленні справи Дмитра Регуша, що силовики використовують ці витоки як додаткові докази. Це тлумачення Медіазони подібних справ, а не судовий висновок. Усе це репортажі про практику. Жодне з них не є правовим дозволом.

Законодавство щодо витоків рухалося у протилежному напрямку. З 11 грудня 2024 року стаття 272.1 Кримінального кодексу робить злочином використання, передачу, збирання чи зберігання персональних даних, отриманих незаконно. Покарання до чотирьох років, а за обтяжуючих обставин до десяти. Статтю застосовували до торговців витоками. У липні 2025 року московський суд відправив сімох людей у слідчий ізолятор або під домашній арешт у справі про торгівлю базами даних, серед них ймовірні співробітники центру даних МВС. Чи кажуть щось примітки до статті про використання самими слідчими, не встановлено.

Нове повноваження стосується легітимних баз даних, і воно ширше за будь-що сказане про витоки. З 1 квітня 2026 року органи ФСБ можуть отримувати копії баз даних будь-якої організації в Росії або їхніх частин безоплатно і без судового рішення. Наказ має надійти від директора ФСБ, його заступників або керівника регіонального управління ФСБ, а база даних має містити інформацію, потрібну службі для її обовʼязків. Поправку ухвалила Дума 16 грудня 2025 року, і вона набула чинності 1 квітня 2026 року. Копії мають бути знищені після досягнення мети їх отримання. За даними видання Agentstvo, механізму перевірки того, що видалення відбувається, не існує. До цього доступ до баз даних організації загалом вимагав судового рішення поза галузевими режимами, як-от СОРМ. Жоден репортаж не документує використання цього повноваження для ідентифікації користувачів VPN.

Скопійована база даних має значення навіть тоді, коли імена видалено або коли вона містить лише фрагменти, і дослідження реідентифікації послідовно пояснюють чому. У 2008 році Нараянан і Шматіков взяли «анонімізований» набір даних Netflix Prize з кінооцінок і реідентифікували користувачів, зіставивши його з публічними оцінками IMDb. У 2015 році дослідження в Science проаналізувало три місяці карткових транзакцій 1,1 мільйона людей і виявило, що чотири транзакції лише з грубою інформацією про місце й дату реідентифікували 90 відсотків осіб. Знання сум робило ідентифікацію ще легшою. Цей висновок застосовується до будь-якого великого набору транзакційних даних. Видалення імен не робить картку анонімною.

Схема однакова в кожному випадку. Набір даних плюс джерело ідентичності реідентифікують людей. Список клієнтів російського реселера, реєстр платіжного агента, клієнтська таблиця хмарного провайдера і витіклий список реєстрантів є наборами даних. Банківські записи, які привʼязують кожного платника до паспорта, є джерелом ідентичності.

Чому VPN, що тунелюють через білий список Росії, несуть власний ризик?

Повноваження ФСБ копіювати бази даних поширюється на організації в Росії. Від 2025 року деякі схеми VPN почали залежати саме від таких організацій, а причина в масових відключеннях мобільного інтернету.

Масові регіональні відключення мобільного інтернету почалися в травні 2025 року, офіційно як захід проти дронів. 8 липня 2025 року користувачі в 77 регіонах повідомили про відключення за один день, а того місяця було зафіксовано щонайменше 2 099 відключень. Моніторинговий проєкт Na Svyazi встановив, що до 2026 року в усіх 83 міжнародно визнаних регіонах Росії сталося щонайменше одне відключення. Трафік мобільних даних у першій половині 2026 року впав на 22 відсотки в річному обчисленні, а в найбільш постраждалих регіонах, зокрема в Іванівській області, він був нижчим більш ніж на 40 відсотків.

Під час відключення доступним залишається білий список, реєстр схвалених вітчизняних сервісів, який міністерство цифрового розвитку вперше опублікувало у вересні 2025 року з кількома десятками записів. До квітня 2026 року він перевищив 500. Його ядром, як повідомлялося, є державні портали, сервіси VK і Яндекс, платіжна система Мир, великі банки та маркетплейси. Режим білого списку перевертає цензуру зі списку забороненого на список дозволеного, тож усе нове, іноземне або несхвалене блокується за замовчуванням. Фізична сторона цієї конструкції є темою нашої статті про удари по дата-центрах Сбер і VK та білий список.

Деякі схеми VPN залишалися доступними в цьому режимі, маршрутизуючи трафік через інфраструктуру, яка сама перебуває в білому списку, наприклад сервери, орендовані в російських хмарах. Найчіткіший доказ того, що ця практика була поширеною, полягає в тому, що держава тричі відповіла на неї у 2026 році.

Четвертого офіційного раунду з 31 серпня не підтверджено. У вересні та листопаді 2026 року повідомлялося про хвилі блокувань, але їхня атрибуція слабка. Наш опис хвилі блокувань у вересні 2026 року викладає відоме.

Кожен із цих раундів за одну ніч обрізав робочі з'єднання, тож доступність є однією проблемою таких шляхів. Більша проблема юридична. Маршрутизація через російську платформу з білого списку ставить на шляху російську юридичну особу, а російське законодавство чітко визначає, що така особа зобов'язана робити.

Права колонка не означає, що будь-який шлях безпечний. Власний російський оператор користувача зберігає метадані з'єднань протягом року за тими самими правилами. Порівняння показує лише, де перебуває компанія, яку можна примусити.

Компанії в лівій колонці мають відповідну історію. Дослідження Novaya Gazeta Europe нарахувало понад 30 000 справ за пости та меми на всіх платформах, причому за VK стояло близько 80 відсотків адміністративних справ і близько 46 відсотків кримінальних. Задокументовані передачі даних включали повну історію входів обвинуваченого за IP-адресами. Яндекс повідомив про 77 979 запитів держави за даними у 2024 році і задовольнив 74 відсотки. У квітні 2026 року хмара Яндекс вписала блокування клієнтів за вказівкою держави у свій стандартний договір. З 1 квітня 2026 року повноваження ФСБ копіювати бази даних без суду поширюється на кожну з цих організацій.

Що може змінитися далі?

У листопаді 2026 року на розгляді перебувають чотири заходи, і жоден із них не є законом.

Пропозиція Бастрикіна від липня 2026 року передбачає додання другої, ширшої обставини, що обтяжує покарання, і вона охоплює штучний інтелект, VPN і проксі. Номер законопроєкту в Думі оприлюднено не було. Якщо з'явиться текст, його формулювання покаже, чи розширюється наявний пункт «ф», чи дублюється.

Пакет «Антифрод 3.0» є проєктом міністерства цифрового розвитку, публічне обговорення якого тривало до 15 жовтня 2026 року. Як повідомляє CNews, він заборонив би власникам VPN-сервісів користуватися російським хостингом, можливо, з 1 березня 2028 року. Це вдарило б по провайдерах і по російських релеях, від яких залежить маршрутизація через російську інфраструктуру з білого списку.

Перші формальні правила для зарахування до білого списку були підготовлені в жовтні 2026 року. CNews повідомив 5 жовтня, що дата, коли вони набудуть чинності, невідома. Доти зарахування та виключення залишаються неформальними.

Четвертий стосується платежів. Заборону на оплату VPN російською карткою не було запроваджено, а заявлена вимога ФСБ щодо віддаленого доступу до банківських систем має горизонт 2027 року без оприлюдненого тексту.

Що все це означає для користувача VPN у Росії?

Базова ситуація залишилася незмінною впродовж двох років нового законодавства. Використання VPN у Росії не є правопорушенням, оплата таких послуг не є правопорушенням, і жодного документально підтвердженого переслідування за платіж за VPN не зафіксовано.

Правила навколо цієї базової ситуації змінювалися тричі з вересня 2025 року. З 1 вересня 2025 року VPN може зробити будь-який кримінальний вирок суворішим, а свідчення від жовтня 2026 року вказує, що слідчі згадують це, коли клопочуть про арешт. З 1 квітня 2026 року ФСБ може копіювати базу даних будь-якої російської організації без рішення суду. З 1 вересня 2026 року потік платежів зчитується централізовано і без повідомлення клієнта. Кожне з цих правил стосується записів або контексту. Жодне з них не стосується самого використання VPN.

Саме тому контрагент має таке ж значення, як і сам інструмент. Кожна російська структура в ланцюжку, чи то та, що приймає платіж, чи та, що розміщує релей, чи та, що перепродає підписку, є місцем, де за російським законодавством зберігається запис про користувача. Продавець, який перебуває під слідством або у відповідному переліку, додає до картини власне досьє цього продавця. Справи донаторів показують, що російська практика тлумачить старі записи за новими статусами, тому запис, зроблений законно у 2026 році, не гарантовано буде прочитаний за правилами 2026 року.

Отже, для людини в Росії ризик наприкінці 2026 року рідко полягає в самому з'єднанні. Він полягає в накопиченому записі про те, кому платили, через яку російську компанію, і про те, поруч із чим цей запис опиниться, якщо колись буде відкрито будь-яку справу.

Ми оновимо цю сторінку, коли будь-який із очікуваних заходів просунеться, якщо з'явиться документально підтверджений випадок примусу на основі платежів проти покупців VPN, або якщо суди почнуть застосовувати пункт «ф» поза справами про наркотики. Сторінка про Росію збирає наші інші матеріали на цю тему.