Госдума в окончательном, третьем чтении приняла закон, который ограничивает общее количество банковских карт у одного человека и даёт кредитным организациям право задерживать подозрительные платежи до шести часов. Документ, внесённый правительством в декабре 2025 года, входит во второй пакет мер по борьбе с кибермошенниками.

Главное нововведение — лимит на количество платёжных карт. Согласно закону, физическому лицу в совокупности во всех банках может быть выдано не более 20 карт. Исключения возможны только по специальному решению совета директоров Банка России.

Как пояснил депутат Госдумы Илья Вольфсон, мера направлена против так называемых «дропперских» счетов, через которые мошенники обналичивают похищенные деньги. Имеющиеся у граждан карты никто не отнимет: правило начнёт действовать для новых выпусков.

Для контроля создаётся единая система учёта платёжных карт, оператором которой станет Национальная система платёжных карт (НСПК). Банки будут обязаны передавать туда информацию, и если у клиента уже набралось 20 карт, банк не сможет выпустить новую.

Второй ключевой элемент закона — право банка не исполнять перевод в течение шести часов после его подтверждения, если поступила информация о подозрительной операции или на устройстве клиента обнаружено вредоносное ПО.

Если банк нарушит это требование и вовремя не заблокирует перевод, в результате чего клиент потеряет деньги, кредитная организация обязана возместить ущерб. Выплата производится при наличии постановления о возбуждении уголовного дела. Однако если банк соблюдал все правила, а клиент самостоятельно перевёл деньги мошенникам, компенсация не предусмотрена.

В ходе подготовки законопроекта из него убрали норму об обязательном указании ИНН при выдаче карт. Получать пластик по‑прежнему можно без идентификационного номера налогоплательщика.