В современном цифровом мире телефонный номер давно перестал быть просто средством связи․ Он стал универсальным идентификатором личности, ключом к банковским приложениям, государственным сервисам (Госуслуги), мессенджерам и социальным сетям․ Соответственно, базы данных, содержащие телефонные номера, представляют собой критически важный актив для бизнеса, государства и, к сожалению, для киберпреступников․

Статья актуальна на 07 октября 2026 года․ Ниже представлен подробный разбор темы: от классификации баз до методов защиты от утечек․

Классификация баз данных телефонных номеров

Не все базы одинаковы․ Их легальность, ценность и степень опасности зависят от источника формирования и цели использования․

Легальные коммерческие и справочные базы

• Единые справочники абонентов (Традиционные «белые страницы»): Исторически публичные данные стационарной телефонии․ В мобильной связи открытые справочники практически отсутствуют из-за политики конфиденциальности операторов․
• Базы B2B (B2B-контакты): Номера компаний, ключевых лиц (ЛПР), отделов закупок․ Собираются из открытых источников (сайты компаний, реестры, выставки) или покупаются у агрегаторов (например, 2GIS, Яндекс․Справочник, Кодекс, Spark-Interfax)․ Использование легально при соблюдении 152-ФЗ․
• Базы для таргетированной рекламы (DMP/CDP): Анонимизированные или псевдонимизированные идентификаторы (хэши номеров, IDFA/GAID), используемые в Яндекс․Директе, VK Рекламе, myTarget для сегментации аудитории․ Прямые номера там обычно не хранятся в открытом виде․

Корпоративные и внутренние базы (CRM, ERP, Billing)

Это «золотой стандарт» качества данных․ Содержат не только номер, но и историю взаимодействий, теги, скоринг, записанные разговоры (Call Tracking)․ Утечка такой базы наносит максимальный репутационный и финансовый ущерб․

Государственные и ведомственные реестры

• ЕРАИ (Единый реестр абонентских номеров): Ведется операторами связи по требованию закона (в РФ — Федеральный закон № 126-ФЗ «О связи»)․ Содержит привязку Номер — Абонент (ФИО/Паспорт)․ Доступ строго ограничен (суд, следствие, спецслужбы, сам абонент)․
• Реестр «Не звоните» (Федеральный закон № 276-ФЗ): База номеров граждан, отказавшихся от рекламных звонков․ Обязательна к проверке перед любыми исходящими кампаниями․

«Теневые» и нелегальные базы (Darknet, Combolists, Dumps)

Самая опасная категория․ Формируются в результате:

1. Утечек (Data Breaches): Взлом CRM, утечки из колл-центров, небезопасные S3-бакеты, GitHub-репозитории с конфигами․
2. Парсинга (Scraping): Автоматический сбор с Авито, Авито․Работа, HH․ru, открытых профилей соцсетей, досок объявлений․
3. Социальной инженерии: Фишинг, вишинг (голосовой фишинг), подмена сайтов․
4. Энричмента (Enrichment): Обогащение «сырых» номеров данными из других утечек (ФИО, email, адрес, паспорт, СНИЛС)․

Правовой режим: 152-ФЗ, GDPR и ответственность

В России основным регулятором является Федеральный закон № 152-ФЗ «О персональных данных»․

Ключевые требования к обработке номеров телефонов:

• Согласие субъекта: Обязательно для любых маркетинговых целей (звонки, SMS, WhatsApp/Telegram-рассылки)․ Исключение — исполнение договора (доставка заказа, банковское уведомление)․
• Локализация: Базы с ПДн граждан РФ должны храниться на серверах, расположенных на территории РФ (ст․ 18 152-ФЗ)․
• Уведомление Роскомнадзора: Обработчик обязан уведомить регулятора о создании базы (кроме исключений: трудовые договоры, журналистика и т․д․)․
• Право на удаление (ст․ 21 152-ФЗ): Гражданин может потребовать удаления своих данных, если обработка незаконна или цель достигнута․ Оператор обязан выполнить это в течение 30 дней (или 10 дней для отзыва согласия на рассылку)․

Штрафы и санкции (актуальные на 2026 год):

• Административные (КоАП ст․ 13․11): до 18 млн руб․ за повторное нарушение (утечка, отсутствие согласия, игнорирование «Не звоните»)․
• Уголовная (УК РФ ст․ 137, 272, 273): до лишения свободы за неный доступ, сбор, распространение ПДн․
• Гражданско-правовая: возмещение морального вреда (суды все чаще взыскивают 10–50 тыс․ руб․ за один номер в утечке)․

Статистика утечек и векторов атак (Данные за 2025–2026 гг․)

По информации специализированных СМИ и отчетов SOC-центров, с начала 2025 года в России зафиксировано уже 37 крупных случаев утечек данных, в результате которых в сеть попало около 21,5 миллиона уникальных записей, содержащих телефонные номера в связке с ФИО, email и паспортными данными․

Основные векторы компрометации в 2025–2026 гг․:

• Колл-центры и аутсорсинг: Слабая защита рабочих мест операторов (отсутствие DLP, работа из дома на личных ПК)․
• API-уязвимости: Открытые эндпоинты для проверки номеров (HLR/LRN lookup), регистрации, восстановления пароля без rate-limiting и CAPTCHA․
• Поставщики ПО (Supply Chain): Взлом интеграторов CRM/телефонии (Bitrix24, AmoCRM, МТС Экстраверт и др․)․
• Инсайдеры: Продажа баз сотрудниками банков, микрозаймов (МФО), доставки, такси․

Инструменты противодействия мошенничеству: кейс «Сбер»

Крупнейшие игроки рынка внедряют системы краудсорсинга угроз․ Яркий пример — сервис «Сообщи о мошеннике» в мобильном приложении СберБанк Онлайн․

Статистика за 5 лет работы сервиса: клиенты направили в Сбер информацию о мошеннических номерах и схемах более N миллионов раз (точное число коммерческая тайна, но динамика роста заявок год к году составляет 30–40%)․

Как это работает технически:

1. Пользователь получает подозрительный звонок/SMS․
2. Нажимает кнопку в приложении → номер автоматически уходит в аналитическую систему банка․
3. Система коррелирует входящие жалобы: если на один номер поступило >N жалоб за единицу времени, номер попадает в общий черный список (Blacklist) операторов связи и антивирусов (Kaspersky Who Calls, Яндекс․Номерон, Truecaller, GetContact)․
4. Блокируется на уровне сети (по решению Роскомнадзора/оператора) или помечается как «Подозрительный/Мошенник» на экране входящего вызова․

Аналогичные механизмы есть у Т-Банка, Альфа-Банка, ВТБ, МТС, Билайн, МегаФон (сервисы «Защита от мошенников», «Антиспам»)․

Техническая архитектура хранения и защиты баз номеров

Если вы разработчик или CISO, проектирующий хранилище номеров, обязательны следующие меры:

Принцип минимальных привилегий и сегментация

• База номеров изолирована в отдельном VPC/подсети без прямого доступа в интернет․
• Доступ только через API-шлюз с mTLS и JWT-токенами с коротким TTL․
• Ролевая модель: Marketing (только чтение хэшей для таргетинга), Support (чтение полного номера по ID тикета), Billing (запись/обновление)․

Псевдонимизация и токенизация (Pseudonymization / Tokenization)

Никогда не храните «чистые» номера в основных аналитических таблицах․

-- Плохо
SELECT phone FROM users WHERE id = 123; -- +7 -161234567

-- Хорошо (Токенизация)
-- Таблица tokens: token_id (UUID) | phone_hash (bcrypt/argon2) | encrypted_phone (AES-256-GCM)
-- Основные таблицы хранят только token_id

• Хэширование (для поиска/дедупликации): Argon2id или bcrypt с солью․ Защищает от радужных таблиц․
• Шифрование (для восстановления): AES-256-GCM или ChaCha20-Poly1305․ Ключи в HSM / KMS (Yandex KMS, AWS KMS, HashiCorp Vault)․
• Формат-хранилище (Format-Preserving Encryption — FPE): Позволяет шифровать номер, сохраняя формат +7 (XXX) XXX-XX-XX для совместимости с легаси-системами без изменения схемы БД․

DLP и мониторинг аномалий

• Data Loss Prevention (DLP): Solar Dozor, InfoWatch, Falcongaze — контроль выгрузок в CSV/Excel, отправки в Telegram/Email, печати․
• SIEM / UEBA: Корреляция событий: «Скачивание > 1000 записей за минуту», «Доступ из нетипичной геолокации/подсети», «Обращение к таблице users полным сканом (Full Table Scan)»․
• Watermarking (Водяные знаки): Внедрение уникальных «канарок» (фейковых записей) в каждую выгрузку для аналитиков/партнеров․ При утечке сразу видно источник․

Защита API (OWASP API Top 10)

• Rate Limiting: строгие лимиты на эндпоинты /api/v1/users/lookup, /api/v1/auth/send-code․
• Bot Protection: reCAPTCHA v3 / hCaptcha / Cloudflare Turnstile / Яндекс SmartCaptcha․
• IDOR Prevention: проверка прав доступа к объекту (номеру) на уровне бизнес-логики, а не только ID в URL․

Легальные источники получения номеров для бизнеса (Lead Generation)

Покупка «баз с Авито/Хабра/Даркнета» — это уголовная статья и репутационное самоубийство․ Легальные пути:

Как гражданину проверить и защитить свой номер

Проверка на компрометацию (OSINT для себя)

• Have I Been Pwned (haveibeenpwned․com): Ввод email/телефона (в формате E․164)․ Показывает известные публичные утечки․
• DeHashed / LeakCheck / Intelligence X: Более глубокий поиск по закрытым дампам (часто платные)․
• Сервисы «Госуслуг» / «Мой профиль»: Раздел «Безопасность» → «Устройства и входы», «История доступа к данным»․
• Реестр «Не звоните» (nazovite․gov․ru): Проверка, есть ли ваш номер в реестре (должен быть, если вы подавали заявление)․

Активная защита

1. Виртуальные номера (eSIM / SIP / ВАТС): Для регистраций в сомнительных сервисах, доставке, досок объявлений (Авито, Юла, Циан)․ Основной номер — только для банка, Госуслуг, близких․ Сервисы: Телфин, МТС Exolve, Билайн Бизнес, Zadarma, Sipnet, виртуальные номера в Telegram․
2. Антиспам-приложения: Яндекс (с Алисой), Кто звонит (Kaspersky), Truecaller, GetContact, Sync․me․ Важно: при установке они запрашивают доступ к контактам — читайте политику конфиденциальности․
3. Настройка оператора: Подключение услуг «Черный список», «Антиспам», «Запрет переадресации» (защита от SIM-swap), «Второй номер» на одной SIM/eSIM․
4. Двухфакторная аутентификация (2FA): Только TOTP (Google Authenticator, Aegis, 2FAS) или FIDO2 (YubiKey)․ SMS-2FA уязвимо к SS7-атакам и SIM-swap․ Отключите SMS-вход везде, где возможно․
5. Минимизация цифрового следа: Не публикуйте номер в открытых профилях (LinkedIn, HH․ru — только в резюме с ограниченным доступом, Telegram — настройте «Никто» в «Кто видит мой номер»)․

Тренды 2026 года: Куда движется индустрия

От номеров к идентификаторам (Numberless Future)

RCS (Rich Communication Services), WhatsApp Business API, Telegram Bot API, VK Mini Apps — каналы связи привязываются к User ID, а не к MSISDN․ Номер становится лишь методом онбординга (верификации) на входе․

Zero Trust Architecture для телефонии

Проверка каждого вызова/сообщения: STIR/SHAKEN (подпись Caller ID) становится обязательной для операторов в РФ (по аналогии с США/FCC)․ Блокировка подмены номера (CLI Spoofing) на уровне сети․

ИИ в защите и атаке

• Атака: Voice Cloning (клонирование голоса за 3 сек), Deepfake-видеозвонки, генерация уникальных фишинговых скриптов под конкретную жертву (OSINT + LLM)․
• Защита: LLM-анализ разговоров в реальном времени (детект соц․ инженерии), поведенческая биометрия (keystroke dynamics, удержание телефона, голосовойпечаток), предиктивная блокировка номеров до первой жалобы (Graph Neural Networks на графе звонков)․

Регуляторное ужесточение

• Внедрение обязательной маркировки рекламных звонков (префиксы 8-800, 8-900 и др․ для роботов)․
• Штрафы за «холодные» звонки без проверки реестра «Не звоните» растут․
• Требование к банкам/финтехам: обязательный мониторинг мюль-аккаунтов и привязка SIM-карт к биометрии (ЕБС) при выдаче новых номеров․

Архив баз данных телефонов — это не просто набор цифр․ Это критическая инфраструктура, актив высокой ценности и главная мишень для атак․ Для бизнеса единственно верная стратегия — Data Minimization (минимизация сбора), Privacy by Design (приватность по умолчанию), токенизация, строгий контроль доступа и мониторинг аномалий․ Для гражданина, гигиена цифровой безопасности: виртуальные номера, 2FA без SMS, антиспам и осознанное отношение к предоставлению своего главного идентификатора․

Помните: Каждый утечка номера в связке с ФИО, это билет для мошенников к «взлому» вашего доверия․ Защищайте первичный идентификатор так же тщательно, как пароль от банка․

Материал подготовлен на основе открытых данных, отраслевых отчетов (Positive Technologies, Solar, Group-IB, Код Безопасности), законодательства РФ (152-ФЗ, 126-ФЗ, 276-ФЗ) и практики информационной безопасности на октябрь 2026 года․