ИИН утёк и не подлежит отзыву: на чём держится финансовый комплаенс Казахстана

16 июня 2025 года центр анализа и расследований кибератак TSARKA подтвердил утечку 16,3 миллиона записей с персональными данными казахстанцев Current Time, 17.06.2025. В базе — полные имена, даты рождения, ИИН, адреса, номера телефонов. Уголовное дело по статье 208 части 2 УК РК расследует КНБ Кодекс РК, ст. 208.

Вице-министр юстиции тогда заявил: перевыпуск ИИН и удостоверения личности от действий мошенников не защитит. Стенограмму ведомство не публиковало, слова передал Informburo.

Ведомство не уклонялось от ответа. ИИН перевыпуску не подлежит по конструкции: он «не подлежит какой-либо модификации или перегенерации с момента первоначального формирования» — так сказано в действующих Правилах формирования индивидуального идентификационного номера, утверждённых приказом МВД № 521 от 29 июня 2023 года.

При этом закон о противодействии отмыванию доходов делает ИИН основным идентификатором клиента-физлица. Финансовый комплаенс страны опирается на номер, который уже утёк и не может быть отозван.

Что зашифровано в двенадцати цифрах

Структуру ИИН описывает Программа перехода на единый номер физического (юридического) лица, утверждённая постановлением правительства от 11 июня 2003 года № 565. Документ действует до сих пор.

Номер разбит на четыре фасета. Разряды с первого по шестой — год двумя последними цифрами, месяц и дата рождения. Седьмой — пол и век рождения. С восьмого по одиннадцатый — порядковый номер регистрации. Двенадцатый — контрольный.

Нечётные значения седьмого разряда — мужские, чётные — женские: 1 и 2 для родившихся в XIX веке, 3 и 4 — в XX, 5 и 6 — в XXI. Значения 7, 8, 9 и 0 Программа помечает как резервные.

Порядковый номер проставляется «сплошной нумерацией в рамках одной группы (года рождения)». Четыре разряда правительство обосновало статистикой: максимальное количество родившихся в один день начиная с 1999 года — 1 229 человек.

Тот же документ объясняет, чем ИИН отличается от бизнес-идентификационного номера. Пятый разряд БИН не может быть 0, 1, 2 или 3 — именно потому, что в ИИН на этом месте стоит первая цифра дня рождения, а день начинается только с этих цифр. Пятая цифра разводит два двенадцатизначных номера, которые в формах постоянно путают местами.

Двенадцатая цифра, которую не считает никто

Публикации, разбирающие ИИН по цифрам, доходят до двенадцатого разряда и останавливаются на формуле «контрольная цифра, определяется автоматически». Алгоритм при этом опубликован — в подразделе 5 той же Программы, в редакции постановления правительства от 30 апреля 2007 года № 352 источник.

Расчёт идёт в два цикла:

a12 = (a1×b1 + a2×b2 + … + a11×b11) mod 11

где a — значение разряда, b — его вес. В первом цикле веса совпадают с номерами разрядов: 1, 2, 3 … 11. Если результат равен 10, расчёт повторяется с другой последовательностью весов: 3, 4, 5, 6, 7, 8, 9, 10, 11, 1, 2. Если и во втором цикле получается 10, Программа предписывает: «данный ИИН не используется».

Перебор всех ста миллиардов комбинаций первых одиннадцати цифр показывает, как часто срабатывают оба правила: второй цикл нужен в одном случае из одиннадцати, а отбрасывается один набор из ста двадцати одного. Среди номеров, которые государство действительно выдало, контрольный разряд посчитан вторым циклом у каждого двенадцатого. Валидатор, знающий только первый цикл, будет отклонять их все.

Разряд считается на бумаге. Возьмём одиннадцать цифр 99999990000 — седьмой разряд здесь 9, Программа держит это значение в резерве, поэтому гражданину такой номер не присваивается и на живого человека пример не укажет. Первый цикл: 9 × (1 + 2 + 3 + 4 + 5 + 6 + 7) = 252, остаток от деления на 11 равен 10. Идёт второй цикл: 9 × (3 + 4 + 5 + 6 + 7 + 8 + 9) = 378, остаток равен 4. Контрольный разряд — четвёрка.

Проверка ловит и опечатку, и выдумку. Статья safedeal.kz разбирает по цифрам ИИН 850315300123 и называет последнюю тройку контрольной цифрой. Для первых одиннадцати цифр этого номера контрольный разряд равен восьми. Опубликованный пример не проходит проверку, о которой сам же и рассказывает.

Локальных проверок номера несколько — длина, формат даты в первых шести цифрах, диапазон седьмого разряда. Опора в действующей норме есть только у контрольного разряда. Чужой настоящий ИИН он пропустит: номер сходится именно потому, что он настоящий.

26 августа 2013 года структуру вычеркнули

Постановлением правительства от 26 августа 2013 года № 853 пункт 3 Правил формирования идентификационного номера был изложен в новой редакции: «Индивидуальный идентификационный номер представляет собой уникальную комбинацию из 12 цифр, генерируется для физического лица при первичной регистрации в информационно-производственной системе изготовления документов». Дальше в пункте идёт только алгоритм контрольного разряда. Фасетов в этой редакции нет.

Само постановление № 853 утратило силу 1 сентября 2023 года, но формулировка пережила его дословно.Действующие Правила, утверждённые приказом министра внутренних дел от 29 июня 2023 года № 521, состоят из двух пунктов и повторяют текст 2013 года. Ни даты рождения, ни пола, ни века в них нет.

Действующий приказ приводит формулу и вторую последовательность весов, а первую — 1, 2, 3 … 11 — не приводит вовсе, ограничившись строкой «bi — вес i-го разряда». Правило «данный ИИН не используется» из него тоже исчезло. Воспроизвести алгоритм по действующему нормативному акту невозможно: полная версия сохранилась только в Программе 2003 года, которая по своей природе программный документ, а не правила.

Контрольный разряд опирается на действующую норму. Вычитывание даты рождения и пола из первых семи цифр нормой не подкреплено — это устойчивая закономерность, зафиксированная в Программе, но не требование к номеру. Строить на ней проверку возраста клиента или его пола нельзя, тем более что резервные значения седьмого разряда предусмотрены изначально.

Девять цифр против двенадцати

Второй номер, который бизнес получает от клиента, — номер самого удостоверения.

Удостоверение личности гражданина РК — смарт-карта размером 85,72 × 54,03 мм. Образец утверждён приказом министра внутренних дел от 30 июня 2023 года № 533, действующая редакция приложения введена приказом от 13 июня 2024 года № 491 с 15 июня 2024 года. Выданные раньше документы действительны до истечения их срока.

На лицевой стороне размещены фотография, подпись, фамилия, имя, отчество, дата рождения, пол и ИИН. Оборот разделён на две части. Верхняя — визуальная зона: закодированный в виде штрих-кода ИИН, контактная часть микросхемы, место рождения, национальность по желанию владельца, гражданство, дата выдачи, срок действия и орган выдачи. Нижняя — машиночитаемая зона с записью, которая содержит «в соответствии с международными требованиями и стандартами, предъявляемыми к машиночитаемым проездным документам, основную информацию, имеющуюся в этом документе» ICAO Doc 9303.

Пункт 4 того же приложения задаёт формат номера: девять цифровых символов, печатаются в верхней части оборота рядом со штрих-кодом. У паспорта номер устроен иначе — девять буквенно-цифровых символов, одна буква и восьмизначное число.

В форме регистрации поле «номер документа» ждёт девять цифр. Клиент вводит в него двенадцать цифр ИИН, потому что ИИН помнит наизусть, а номер карты — нет. Валидация, не различающая два формата, теряет заявки на этом месте.

В карту вживлена микросхема с контактным и бесконтактным интерфейсами и памятью не менее 64 Кб. Она хранит графическую и текстовую информацию о владельце, фотоизображение, подпись и отпечатки пальцев.

Где заканчивается самостоятельная проверка

Документ бывает настоящим и недействительным одновременно. Закон «О документах, удостоверяющих личность» в статье 22 перечисляет основания: истёк срок действия, невозможно идентифицировать данные или степень защиты, документ не соответствует правовому статусу владельца, сменился пол. И отдельным подпунктом — утрата документа «со дня подачи заявления владельцем в уполномоченный государственный орган».

Пластик при этом не меняется. Голограммы на месте, контрольные суммы машиночитаемой зоны сходятся, чип отвечает. Карта, объявленная утраченной вчера, выглядит так же, как выглядела позавчера, и любая офлайн-проверка подтвердит её подлинность.

Публичного сервиса, где компания сверила бы удостоверение с реестром недействительных документов, найти не удалось. Сервис check.egov.kz решает другую задачу — подтверждает подлинность цифрового документа по QR-коду из eGov Mobile.

Канал сверки с государственными базами в стране один. Закон «О платежах и платежных системах» определяет Центр обмена идентификационными данными как «цифровую систему, обеспечивающую взаимодействие с финансовыми и платежными организациями по обмену данными клиентов из доступных источников для проведения процедур идентификации, в том числе биометрической аутентификации клиентов». Норма называет финансовые и платёжные организации. Маркетплейсу, арендодателю и кадровой службе этот канал не открыт.

Как ЦОИД устроен изнутри, видно из совместного постановления правления АРРФР № 99 и правления Национального банка № 72, зарегистрированного в Минюсте 2 июля 2026 года под номером 39186. Пункт 19: организация передаёт в ЦОИД ИИН клиента и его изображение, полученное из видеоконференции или через технологию проверки достоверности изображения. Пункт 10 описывает другую сторону обмена: «доступные источники — государственные базы данных, включающие эталонные данные физических лиц, эталонные изображения физических лиц, а также индивидуальные идентификационные номера физических лиц».

ИИН здесь работает ключом запроса. На вопрос «тот ли это человек» отвечает лицо.

Что закон требует зафиксировать и сколько стоит промах

Статья 5 закона о противодействии отмыванию доходов, пункт 3, подпункт 1: надлежащая проверка включает «фиксирование сведений, необходимых для идентификации физического лица: индивидуальный идентификационный номер, данные документа, удостоверяющего его личность (в случае неприсвоения индивидуального идентификационного номера в соответствии с законодательством Республики Казахстан), а также юридический адрес».

Фамилии, имени и отчества в перечне нет. Данные документа стоят в скобках как замена ИИН для случая, когда номер не присвоен. По букве нормы ИИН — сам идентификатор, а не одно из полей анкеты.

Подпункт 6 того же пункта добавляет вторую обязанность: «проверка достоверности сведений, необходимых для идентификации клиента… и обновление сведений о клиенте». Записать номер недостаточно, его достоверность нужно проверить.

Статья 214 часть 8 Кодекса об административных правонарушениях: непринятие субъектом финансового мониторинга мер по надлежащей проверке клиентов влечёт штраф в 420 месячных расчётных показателей для крупного бизнеса. При МРП 4 325 тенге, установленном законом о республиканском бюджете на 2026–2028 годы, это 1 816 500 тенге.

Что закрывает Biometric.Vision

Проверка номера отвечает на вопрос о форме. Проверка личности требует документа, лица и подтверждения, что человек находится перед камерой.

Пункт 8 постановления № 99/№ 72 требует при проверке достоверности изображения направлять клиенту «не менее трех сигналов и (или) команд, направленных на создание визуальных изменений в кадре». Пассивный режим быстрее и мягче к конверсии. Активный закрывает букву требования. Что включать, зависит от того, подпадает ли сценарий компании под это правило.

Сверку ИИН с государственными базами выполняет ЦОИД, и доступ к нему определяет закон. Контур Biometric.Vision — сам документ и человек перед камерой: подлинность бланка, сходимость контрольных сумм, соответствие лица фотографии в документе. Отраслевые сценарии разобраны отдельно — как МФО проверяют заёмщика до выдачи займа и как банк открывает счёт дистанционно.

С чего начать на этой неделе

Первый шаг не требует внедрения и занимает день. Собственная база клиентов прогоняется на контрольный разряд по формуле из Программы 2003 года — это десять строк кода. Результат — доля записей, которые не сходятся.

Ноль несходящихся номеров закрывает гипотезу за день. Заметная доля означает, что через форму регистрации проходят номера, которых не существует, и дальше они лежат в отчётности для финансового мониторинга.

Проверку документов и лица Biometric.Vision разворачивает пилотом на живом потоке заявок и отдаёт отчёт: сколько документов отклонено и по какой причине.

Посмотреть распознавание документов и запросить пилот:

https://biometric.vision/ru/products/document-verification