Швейцарский Transparency Register должен быть запущен 1 октября 2026 года и будет содержать сведения о бенефициарных владельцах примерно 600,000 юридических лиц. Однако кибератака на почти идентичную систему в соседнем Лихтенштейне заставила швейцарских управляющих активами поставить вопрос: не стоит ли отложить запуск.

Хакеры взломали Register of Beneficial Owners Лихтенштейна, известный как VwbP, в ночь с 29 на 30 июля, похитив персональные данные, связанные примерно с 31,000 юридических лиц. Среди скомпрометированной информации были имена, даты рождения, национальности и страны проживания людей, стоящих за компаниями, фондами и трастами. Финансовые данные не были затронуты.

Что произошло в Лихтенштейне

Лихтенштейн запустил свой VwbP в 2021 году для соблюдения директив ЕС по противодействию отмыванию денег. 30 июля власти обнаружили нарушения в реестре, что положило конец его периоду безопасной работы. Правительство Лихтенштейна быстро отреагировало, отключив базу данных и создав кризисный штаб под руководством премьер-министра Brigitte Haas и министра юстиции Emanuel Schädler. К 31 июля или 1 августа чиновники были официально уведомлены. Публичные заявления, подтверждающие масштаб взлома, последовали в период с 2 по 4 августа.

Почему швейцарские управляющие активами обеспокоены

Швейцария и Лихтенштейн тесно связаны в сфере управления капиталом. Многие швейцарские клиенты используют зарегистрированные в Лихтенштейне структуры, особенно фонды и трасты, в рамках планирования владения активами. Поэтому взлом затрагивает не только людей в Vaduz; он распространяется через границу на Zurich, Geneva и все частные банковские офисы между ними.

Собственный Transparency Register Швейцарии будет работать по схожей модели с VwbP Лихтенштейна, собирая данные о бенефициарном владении юридическими лицами страны. Однако масштаб значительно больше: предполагается охват около 600,000 структур против 31,000 в Лихтенштейне — то есть примерно в 20 раз больше поверхность атаки, на что швейцарские финансовые посредники сейчас указывают с особой настойчивостью.

Позиция управляющих активами заключается не в том, что прозрачность сама по себе плоха. Они утверждают, что запуск крупной централизованной базы чувствительных персональных данных без надежной кибербезопасности является безрассудным шагом. По их мнению, взлом в Лихтенштейне служит наглядным примером атаки, которая может быть направлена на швейцарский реестр в гораздо большем масштабе.

Дискуссия вписывается в более широкий европейский пересмотр вопроса о том, кто вообще должен иметь доступ к данным о бенефициарных владельцах. В ноябре 2022 года Суд Европейского союза постановил, что всеобщий публичный доступ к таким реестрам нарушает право на частную жизнь, ограничив доступ лицами с законным интересом. Это решение изменило порядок работы реестров в странах ЕС — и в странах ЕЭЗ, таких как Лихтенштейн — и сегодня определяет обсуждение в Швейцарии о том, насколько строго следует ограничить доступ к Transparency Register после его запуска.

Напряжение между прозрачностью и безопасностью

Реестры бенефициарных владельцев существуют ради простой цели государственной политики: усложнить отмывание денег, обязав раскрывать, кто фактически контролирует корпоративные структуры. Лихтенштейн, хотя и не является членом ЕС, принял эту систему через участие в Европейской экономической зоне.

Похищенные данные Лихтенштейна, хотя и не содержат балансов счетов или истории транзакций, далеко не безобидны. Имена и даты рождения бенефициарных владельцев в сочетании с их национальностями и странами проживания дают достаточно информации для сложных атак социальной инженерии, кражи личности или даже угроз физической безопасности в отношении состоятельных лиц.

То, как швейцарские власти отреагируют на обеспокоенность управляющих активами в преддверии запуска в октябре 2026 года — будь то изменение правил доступа, ужесточение требований к безопасности или перенос сроков, — покажет, как страна намерена соотнести свои обязательства по борьбе с отмыванием денег с ожиданиями сектора private banking в области защиты данных.