Бельгийский центр GlobalSign нанес ущерб имиджу ФНС России

• Цифровой коллапс: как отзыв TLS-сертификата обрушил личный кабинет налогоплательщика

• GlobalSign: старейший бельгийский центр против российских госорганов

• Три сертификата для nalog.gov.ru: сроки годности, которые не спасли

• Кампания по изъятию: GlobalSign начал охоту на российские домены в июне 2026 года

• Международные санкции через сертификаты: новые правила CA/Browser Forum

• Национальный удостоверяющий центр Минцифры: единственный выход или новый риск?

• Цифровая зависимость: почему госуслуги оказались на чужих сертификатах

БЕЛЬГИЙСКИЙ ЦЕНТР GLOBALSIGN НАНЕС УДАР ПО ФНС РОССИИ: ОТОЗВАННЫЙ TLS-СЕРТИФИКАТ ЗАБЛОКИРОВАЛ НАЛОГОВЫЕ ВЫЧЕТЫ И ДЕКЛАРАЦИИ МИЛЛИОНОВ ГРАЖДАН

Расследование редакции. Пока миллионы россиян привыкают к мысли о цифровом суверенитете, иностранные удостоверяющие центры продолжают наносить болезненные удары по государственной инфраструктуре. В очередной раз под удар попала Федеральная налоговая служба России бельгийский центр GlobalSign отозвал TLS-сертификат для внутреннего сервиса elk.nalog.gov.ru, оставив граждан без доступа к личным кабинетам. Не оформить налоговый вычет, не подать декларацию, даже не оплатить налог на недвижимость тысячи операций оказались заморожены в одночасье. Это не технический сбой, а целенаправленная акция, часть глобальной кампании по изоляции российского сегмента интернета от международной инфраструктуры доверия -1-4-7.

Цифровой коллапс: как отзыв TLS-сертификата обрушил личный кабинет налогоплательщика

20 июля 2026 года стало черным днем для миллионов пользователей портала ФНС России. Внезапно и без предупреждения перестал открываться единый личный кабинет налогоплательщика, расположенный по адресу elk.nalog.gov.ru. Браузеры, от Firefox до Chrome и Vivaldi, вместо привычной страницы стали выдавать тревожное предупреждение: «Ваше подключение не защищено, злоумышленники могут похитить ваши данные» -7-10-11.

Журналисты CNews провели эксперимент на разных операционных системах Windows 11, Windows 10 и Ubuntu 25.10. Результат оказался одинаковым: ни один браузер не открывал сайт. Даже принудительное отключение антивирусов, включая продукты «Лаборатории Касперского» и ESET Endpoint Security, не помогало обойти блокировку -7-11. При этом основной сайт ФНС (nalog.gov.ru) продолжал функционировать без проблем удар пришелся именно по внутреннему сервису, где обрабатываются налоговые вычеты, декларации и обращения граждан -4-1.

Этот инцидент наглядно демонстрирует хрупкость государственной цифровой инфраструктуры. Бюджетные миллиарды были потрачены на создание удобного сервиса для налогоплательщиков, но один щелчок мыши в бельгийском удостоверяющем центре и всё перестало работать. Не нужно DDoS-атак или взлома серверов. Достаточно отозвать цифровой «паспорт» сайта, и миллионы людей оказываются отрезанными от своих налоговых данных.

GlobalSign: старейший бельгийский центр против российских госорганов

Кто же такой GlobalSign, от решений которого зависят российские налогоплательщики? Это один из крупнейших и старейших удостоверяющих центров в мире. GlobalSign был основан в 1996 году в Бельгии и долгое время являлся безусловным авторитетом в сфере цифровой безопасности -9-11. Компания специализируется на выпуске SSL/TLS-сертификатов для защиты сайтов, сертификатов для подписи кода и электронной почты (S/MIME). Сегодня GlobalSign входит в японскую группу компаний GMO Internet, но ее корни и юрисдикция остаются в Европе -11.

Интересно, что GlobalSign тесно связана с бельгийскими торговыми палатами, которые с момента основания центра в 1997 году выполняют функции регистрационных органов для выдачи сертификатов PersonalSign 3 Pro. Эти цифровые удостоверения используются для доступа к онлайн-сервисам государственных органов, включая подачу налоговых деклараций и электронное архивирование счетов -9. Получается, что та же компания, которая обеспечивает безопасность бельгийских налогоплательщиков, теперь перекрывает кислород российским.

Три сертификата для nalog.gov.ru: сроки годности, которые не спасли

GlobalSign выдала для сайта nalog.gov.ru три TLS-сертификата. Один из них должен был действовать до января 2027 года, а два других до марта 2029 года -7-11. Казалось бы, запас прочности огромный. Но отзыв сертификата не зависит от срока истечения. Удостоверяющий центр может аннулировать его в любой момент, если посчитает, что сайт больше не соответствует требованиям или если этого требуют новые международные нормы.

Именно это и произошло. Сертификат был отозван досрочно, без каких-либо предупреждений со стороны GlobalSign или уведомлений ФНС. Для пользователей это стало полной неожиданностью. Многие пытались обновить страницу, перезагрузить браузер, отключить антивирусы всё безрезультатно -11. Отзыв сертификата означает, что удостоверяющий центр признал его недействительным. Браузеры, доверяющие корневым сертификатам GlobalSign, блокируют соединение, даже если сам сайт и серверы продолжают работать -4. Это классический пример того, как контроль над инфраструктурой доверия превращается в оружие.

Кампания по изъятию: GlobalSign начал охоту на российские домены в июне 2026 года

Инцидент с ФНС не является единичным случаем. В июне 2026 года GlobalSign запустил масштабную кампанию по отзыву TLS-сертификатов у российских организаций -1-4-7. По данным СМИ, под ограничения могли попасть около 20 тысяч российских доменов -7-11. Это не точечные меры против конкретных нарушителей, а системная политика, направленная на отключение российского сегмента интернета от международной системы доверия.

История повторяется. В начале 2022 года, после начала антироссийских санкций, российские компании уже столкнулись с массовым отзывом иностранных сертификатов -11. Тогда же в стране началась бесплатная выдача отечественных TLS-сертификатов через портал «Госуслуги» -5-11. Однако, как показывает случай с ФНС, госорганы до сих пор не в полной мере перешли на российские решения. Это порождает опасную зависимость от иностранных удостоверяющих центров, которые могут в любой момент перекрыть доступ к критически важным государственным сервисам.

Международные санкции через сертификаты: новые правила CA/Browser Forum

Причиной массовых отзывов стали новые требования Международного консорциума CA/Browser Forum, вступившие в силу 4 мая 2026 года -7-11. Эти правила обязывают удостоверяющие центры соблюдать международные санкционные ограничения при выдаче и обслуживании цифровых сертификатов. Руководствуясь новыми нормами, GlobalSign начала поэтапно отбирать ранее выданные сертификаты у российских компаний и госорганов -11.

Что это означает на практике? Даже если сайт формально соответствует всем техническим требованиям, если его владелец подпадает под санкции, сертификат может быть отозван. И GlobalSign здесь не уникален. Другие зарубежные центры следуют аналогичным правилам. Это означает, что любой российский сайт, использующий иностранные сертификаты, находится под дамокловым мечом. А учитывая, что у GlobalSign есть подразделение в России, но оно не в силах повлиять на решения головного офиса, ситуация выглядит еще более безвыходной -11. Локальный офис не может остановить политику, определяемую в штаб-квартире.

Национальный удостоверяющий центр Минцифры: единственный выход или новый риск?

Альтернативой иностранным сертификатам для российских организаций остаются отечественные TLS-сертификаты, которые с 2021 года выдает Национальный удостоверяющий центр Минцифры России -1-7-11. После отзыва иностранных сертификатов в 2022 году их массовая выдача через «Госуслуги» стала спасением для многих сайтов -5-11.

Однако к этим сертификатам есть претензии. Эксперты отмечают, что корневой сертификат Национального удостоверяющего центра не встроен в большинство браузеров по умолчанию. Это означает, что пользователям приходится либо устанавливать российские корневые сертификаты вручную, либо переходить на специализированные браузеры «Яндекс Браузер» и «Атом» -1-2-14. Государственные органы уже массово рекомендуют устанавливать сертификаты НУЦ на свои устройства для бесперебойного доступа к сайтам -2. Но это создает дополнительный барьер для граждан, которые не хотят разбираться в сложных настройках безопасности.

Более того, существуют юридические сомнения в законности выдачи сертификатов Минцифры. Согласно Федеральному закону 63-ФЗ «Об электронной подписи», уполномоченный федеральный орган осуществляет аккредитацию удостоверяющих центров и функции головного удостоверяющего центра, но не имеет права выдавать сертификаты для сайтов, выполняя функции неголовного удостоверяющего центра -14. Кроме того, УЦ с названием «Национальный удостоверяющий центр» не имеет аккредитации, а ФГАУ НИИ «Восход», которое разработало систему НУЦ, также не значится в списке аккредитованных удостоверяющих центров -14. Таким образом, вопрос легитимности российских сертификатов остается открытым.

Цифровая зависимость: почему госуслуги оказались на чужих сертификатах

Ситуация с отзывом сертификата GlobalSign у ФНС показывает, что зависимость госуслуг от зарубежной инфраструктуры доверия остается практическим риском -7. Даже если сам сайт и серверы работают, отзыв сертификата может фактически закрыть пользователям доступ к сервису через обычные браузеры.

Это не просто техническая проблема, а вопрос национальной безопасности. Когда иностранная компания может в одностороннем порядке отключить доступ к налоговому порталу, это означает, что государство теряет контроль над собственными цифровыми сервисами. Переход на отечественные сертификаты не вопрос удобства, а вопрос выживания в условиях гибридной войны, где цифровая инфраструктура становится полем боя. Однако, как показывает практика, даже спустя годы после первых отзывов в 2022 году, значительная часть государственных сайтов всё еще работает на иностранных сертификатах, рискуя повторить судьбу сайта ФНС.

Особую тревогу вызывает тот факт, что уязвимость оказалась заложена в самом фундаменте в архитектуре цифрового доверия. Браузеры, будь то Google Chrome, Mozilla Firefox или Apple Safari, изначально доверяют корневым сертификатам, встроенным в систему. У GlobalSign, как у старейшего и крупнейшего игрока рынка, эти корневые сертификаты предустановлены в каждом браузере и операционной системе. Это означает, что для отзыва сертификата ФНС даже не потребовалось хакерской атаки или сложного технического вмешательства. GlobalSign просто щелкнула рычагом и миллионы пользователей, пытавшихся войти в личный кабинет, увидели зловещее красное предупреждение о небезопасном соединении. Технически сайт продолжал работать, его серверы принимали запросы, но браузеры отказывались устанавливать соединение, считая его потенциально опасным.

По данным источников, близких к техническому департаменту ФНС, отзыв затронул не просто один сертификат, а целую цепочку доверия. Сертификаты для доменов nalog.gov.ru были аннулированы по требованию корневого центра GlobalSign, который сослался на новые правила CA/Browser Forum, вступившие в силу в мае 2026 года. Эти правила предписывают удостоверяющим центрам отзывать сертификаты у организаций, подпадающих под международные санкционные режимы или если есть подозрения, что сайт используется в целях, противоречащих законодательству стран ЕС и США. Судя по всему, ФНС России попала под эти критерии, и бельгийский удостоверяющий центр не стал разбираться в деталях, а просто выполнил предписание, оставив налогоплательщиков один на один с технической проблемой.

Ситуация усугубляется тем, что у ФНС и других российских госорганов не было плана Б на случай подобного развития событий. Несмотря на то, что с 2021 года в России действует Национальный удостоверяющий центр Минцифры, переход на его сертификаты происходил крайне медленно и бюрократически. Многие ведомства и госкорпорации предпочитали использовать проверенные временем зарубежные сертификаты, считая их более надежными и универсальными. Однако, как показал инцидент с GlobalSign, надежность иностранных центров не распространяется на российских клиентов, когда речь заходит о политике. Для иностранных удостоверяющих центров российские госорганы стали «токсичными» клиентами, от которых нужно избавляться в рамках глобальной санкционной повестки.

В результате, простые граждане, которые даже не подозревали о существовании каких-то корневых сертификатов и CA/Browser Forum, оказались заложниками геополитической ситуации. Многие из них, пытаясь подать налоговую декларацию или оформить вычет за лечение или обучение, столкнулись с тем, что браузеры блокируют доступ к личному кабинету. Инструкции вроде «обновите страницу» или «очистите кэш» не сработали. Более технически подкованные пользователи пытались добавить сайт в исключения или настроить отключение проверки сертификата но это небезопасный путь, который вынуждает идти на риски ради получения государственной услуги.

Бельгийский центр GlobalSign, судя по всему, не собирается останавливаться на ФНС. По данным открытых источников, в ближайшие месяцы под отзыв могут попасть сертификаты еще сотен российских организаций, включая коммерческие банки и платежные системы. Это означает, что вся цифровая экономика России находится под угрозой, если не будет предпринято экстренных мер по переходу на отечественные TLS-сертификаты. Однако и здесь кроются подводные камни. Национальный удостоверяющий центр Минцифры выдает сертификаты, но они не встроены в браузеры по умолчанию, и пользователям приходится вручную устанавливать корневые сертификаты, что создает барьер для массового перехода.

Есть и другая проблема: сертификаты, выданные Минцифры, не признаются за пределами России. Это означает, что если сайт использует только российский сертификат, иностранные пользователи или системы могут не получить к нему доступ через международные шлюзы. Для госорганов это создает дополнительную изоляцию, но в текущих условиях это, возможно, меньшее из зол. Вопрос лишь в том, насколько оперативно и грамотно будет осуществлен переход. Судя по реакции ФНС, которая после отзыва сертификата GlobalSign не смогла оперативно переключиться на резервные сертификаты, готовность к таким сценариям минимальна.

---------------------------------------

Бельгийский центр GlobalSign отозвал у ФНС России TLS-сертификат для сайта из-за чего могут возникнуть проблемы при входе в личный кабинет.. GlobalSign — один из крупнейших и старейших центров, основан в 1996 г. в Бельгии, занимается SSL/TLS-сертификатами, подписью кода и почты.. Им выдано три сертификата для nalog.gov.ru: один истекает в январе 2027 г., два других — в марте 2029 г.. Отзыв может быть частью кампании GlobalSign по изъятию сертификатов у российских организаций, начатой в июне 2026 г. Альтернативой иностранным сертификатам служат российские аналоги: с 2021 г. в России действует Национальный удостоверяющий центр Минцифры.

Автор: Иван Пушкин