Британская атака на VPN уперлась в цифру 3%

3% - слишком тонкая цифра, чтобы заставлять весь британский VPN-рынок собирать документы пользователей.

14 июля 2026 года Open Rights Group опубликовала открытое письмо госсекретарю против ограничений VPN под лозунгом защиты детей. Подписи под ним поставили 24 организации, и состав там говорящий: NordVPN, Surfshark, Proton, Mullvad, ExpressVPN, IPVanish, Mozilla, Internet Society, Amnesty International, Big Brother Watch, Reporters Without Borders.

Это не выглядит как привычная петиция про свободный интернет. Здесь одновременно вышли VPN-провайдеры, правозащитники, браузерный рынок и организации, которые каждый день имеют дело с рисками слежки. Их сообщение британскому правительству довольно жесткое: если вы начнете описывать VPN как лазейку для подростков, вы сломаете инструмент безопасности для взрослых людей, которым он нужен совсем по другим причинам.

Правительство целится в возрастные проверки, но задевает тех, кто прячется не от закона

Контекст понятен. Британия усиливает возрастные проверки для доступа к контенту для взрослых, а VPN быстро попали в политический фокус как очевидный способ обхода. Министр Лиз Кендалл ранее обещала сделать заявления по VPN в июле, и индустрия решила не ждать, пока фразы из интервью превратятся в готовую норму.

В письме Open Rights Group сильнее всего звучит линия про реальных пользователей. VPN используют журналисты, правозащитники, жертвы домашнего насилия, ЛГБТК+ люди, сотрудники компаний, исследователи безопасности. Для них VPN - не игрушка и не кнопка для доступа к запрещенному сайту. Это способ не светить IP-адрес, не оставлять лишний след у провайдера, безопаснее подключаться из публичных сетей и обходить локальную цензуру.

Я много раз видел, как в таких спорах власть сжимает технологию до самого неудобного сценария ее использования. Мессенджер превращают в канал для преступников, шифрование - в проблему для полиции, VPN - в обход возрастной проверки. Для пресс-релиза удобно. Для реальности плохо.

Один ярлык меняет весь регуляторный режим

Как только VPN начинают описывать как инфраструктуру обхода, меняется язык обсуждения. Вместо кибербезопасности появляются лицензирование, фильтрация, обязанность идентифицировать клиента, давление на магазины приложений. Это уже не спор о конкретном контенте для взрослых, а попытка переопределить целый класс privacy-сервисов.

Данные Ofcom портят главный аргумент сторонников запрета

Самый неудобный для правительства фрагмент письма - ссылка на данные Ofcom: около 3% детей использовали VPN для доступа к контенту для взрослых.

Эта цифра не говорит, что проблемы нет. Но она резко меняет масштаб. Если 97% детей не используют VPN для такого обхода, то регулирование всего VPN-рынка выглядит тяжелым инструментом для узкого кейса. Особенно когда цена решения - сбор чувствительных данных у миллионов взрослых пользователей.

Для VPN-бизнеса 3% становятся сильной оборонительной позицией. Не просьба оставить отрасль в покое из-за красивого слова приватность, а более жесткий аргумент: вы предлагаете системное вмешательство в рынок ради поведения небольшой доли пользователей, без гарантии результата.

Такие числа любят юристы, комплаенс-команды и GR-специалисты. Они позволяют говорить не лозунгами, а пропорциональностью меры. В британской регуляторной культуре это имеет вес.

Пропорциональность здесь важнее эмоций

Когда регулятор предлагает массовую идентификацию, он должен показать, что ущерб без нее серьезнее, чем ущерб от нее. С цифрой 3% это доказать сложнее. Нужны не общие опасения, а расчет: сколько детей реально будет защищено, сколько взрослых потеряют приватность, где окажутся данные и кто будет отвечать за утечки.

Возрастная проверка ломает саму модель VPN

Если VPN-сервису прикажут проверять возраст, он начнет собирать именно то, от чего пользователи уходят: документы, биометрию, подтверждение личности, платежные связки, метаданные проверки.

Даже если проверку передать внешнему провайдеру, риск не исчезнет. Появится новый слой инфраструктуры, где можно связать человека с фактом использования VPN. Для обычного пользователя это неприятно. Для журналиста в авторитарной стране, жертвы преследования или активиста - потенциально опасно.

У VPN-компаний здесь почти нет аккуратного компромисса. Их бренд построен на минимизации данных. Mullvad годами продает аккаунты без email, Proton и NordVPN вкладываются в независимые аудиты, крупные игроки говорят про no-logs как про основу доверия. Возрастной гейтинг тянет их в противоположную сторону: сначала докажите, кто вы, потом получите приватность.

Коммерчески это токсично. Пользователь, который покупает VPN из-за приватности, не хочет проходить KYC как на криптобирже.

Заблокировать VPN надежно не выйдет, зато побочные потери будут быстрыми

Вторая техническая линия письма проста: надежная блокировка VPN-трафика практически неосуществима.

Это правда, и регуляторы обычно приходят к ней поздно. Можно блокировать известные IP-адреса дата-центров. Можно давить протоколы. Можно требовать от магазинов приложений удалять клиенты. Но трафик маскируется под обычный HTTPS, адреса меняются, появляются мосты, обфускация, self-hosted VPN на VPS за несколько фунтов в месяц.

При жесткой блокировке быстро страдает легитимная инфраструктура. Под удар попадают корпоративные VPN, удаленная работа, администрирование серверов, исследовательские инструменты, CDN-сценарии, privacy-сервисы. Чем агрессивнее фильтр, тем больше нормального трафика он режет. Чем мягче фильтр, тем легче его обойти.

Китай и Иран показывают крайний вариант этой гонки. Британии придется объяснять бизнесу, зачем ради возрастной проверки строить уменьшенную версию инфраструктуры сетевой цензуры.

Технический фильтр всегда начинает спорить с экономикой

Компании используют VPN не ради анонимного просмотра сайтов, а для доступа к внутренним системам, защиты сотрудников в поездках, безопасного администрирования. Если фильтры начнут ошибаться, бизнес не будет благодарить государство за заботу о детях. Он спросит, почему закон о контенте ломает рабочие процессы.

Почему конкуренты подписали одно письмо

Для VPN-провайдеров британский рынок слишком крупный, чтобы молчать. Ограничения в UK создают прецедент для Австралии, Канады, ЕС и отдельных штатов США. Если крупная демократия нормализует возрастную проверку для VPN, другие регуляторы быстро получат готовый шаблон.

Поэтому письмо подписали конкуренты, которые обычно борются за одних и тех же подписчиков. NordVPN, Surfshark, Proton, Mullvad, ExpressVPN и IPVanish расходятся в маркетинге, ценах, архитектуре и аудитории. Но риск общий: VPN могут перевести из категории продукта кибербезопасности в категорию подозрительной инфраструктуры, которую надо лицензировать, фильтровать и принуждать к идентификации.

Для бизнеса это развилка не про косметические требования. Новые правила рекламы, прозрачности или аудита можно пережить. Обязанность собирать личности пользователей бьет по самой ценности сервиса, потому что эта ценность продается как отказ от лишней идентификации.

Аргументация индустрии уже собрана

Письмо Open Rights Group фактически дает VPN-рынку готовую линию на ближайшие месяцы.

VPN нужно описывать как инструмент кибербезопасности, а не как специальный механизм обхода возрастных проверок. Данные Ofcom про 3% позволяют настаивать на непропорциональности массовой идентификации. Техническая часть бьет по идее блокировок: результата они не гарантируют, а ущерб бизнесу, безопасности и уязвимым группам создают сразу. Наконец, возрастной гейтинг формирует базы чувствительных данных, которые сами станут целью для атак и злоупотреблений.

Самый интересный момент теперь - ответ правительства. Если июльские заявления Лиз Кендалл уйдут в осторожное изучение вопроса, коалиция выиграет время. Если появится конкретная идея обязательной проверки возраста или блокировки VPN-трафика, британский рынок получит первый крупный тест: готова ли страна защищать детей методами, которые заставляют взрослых пользователей доказывать личность перед входом в приватность.