Постановление Арбитражного суда Центрального округа от 10 декабря 2018 г. N Ф10-4189/18 по делу N А36-1780/2016

г.Калуга

10 декабря 2018 г.

Дело N А36-1780/2016

Резолютивная часть постановления объявлена 03.12.2018.

Постановление изготовлено в полном объеме 10.12.2018.

Арбитражный суд Центрального округа в составе:

Председательствующего	Ахромкиной Т.Ф.
Судей	Ипатова А.Н. Ивановой М.Ю.
При участии в заседании:
от ПАО Банк социального развития и строительства "Липецккомбанк"		Анненков А.В. - представитель (дов. от 15.01.2018, срок до 31.12.2018); Якубенко Т.Г. - представитель (дов. от 29.12.2017, срок до 31.12.2018); Волков А.В. - представитель (дов. от 15.06.2018, срок до 31.06.2019); Шишкина И.В. - представитель (дов. от 19.06.2018, срок до 31.06.2019);
от ООО "ТД "Антарес"		Белугин А.С. - представитель (дов. от 15.08.2018, срок до 01.06.2019); Емельянов В.С. - представитель (дов. от 09.01.2018, срок до 31.12.2018); Хасин К.В. - представитель (дов. от 09.01.2018, срок до 31.12.2018); Царев Е.О. - представитель (дов. от 01.11.2018, срок 3 мес.);
от иных лиц, участвующих в деле		не явились, извещены надлежаще;

рассмотрев в открытом судебном заседании кассационные жалобы ПАО Банк социального развития и строительства "Липецккомбанк" и ООО "ТД "Антарес" на постановление Девятнадцатого арбитражного апелляционного суда от 03.08.2018 по делу N А36-1780/2016,

УСТАНОВИЛ:

Общество с ограниченной ответственностью "Торговый дом "Антарес" обратилось в Арбитражный суд Липецкой области к публичному акционерному обществу Банк социального развития и строительства "Липецккомбанк" с иском (с учетом заявления о частичном отказе от иска и об увеличении размера исковых требований) о взыскании 77 698 494 руб. 83 коп., в том числе, 65 296 145 руб. 80 коп. убытков и 12 402 349 руб. 03 коп. процентов за пользование чужими денежными средствами за период с 12.09.2015 по 16.03.2017 с последующим начислением процентов по день фактической оплаты задолженности.

Решением Арбитражного суда Липецкой области от 20.03.2018 (судья А.А. Коровин) в удовлетворении исковых требований было отказано в полном объеме.

Постановлением Девятнадцатого арбитражного апелляционного суда от 03.08.2018 (судьи: Л.М. Мокроусова, А.А. Сурненков, Л.А. Серегина) решение Арбитражного суда Липецкой области от 20.03.2018 по делу N А36-1780/2016 отменено. С ПАО Банк социального развития и строительства "Липецккомбанк" в пользу ООО "Торговый дом "Антарес" взыскано 33 420 311 руб. 48 коп., в том числе 28 885 316 руб. 74 коп. убытков и 4 534 994 руб. 74 коп. процентов за временное пользование чужими денежными средствами с начислением процентов исходя из суммы долга и ключевой ставки Центрального банка Российской Федерации по день фактической уплаты. С ПАО Банк социального развития и строительства "Липецккомбанк" в пользу ООО "Торговый дом "Антарес" взысканы расходы по оплате государственной пошлины в сумме 86 000 руб. В остальной части иска отказано.

Не согласившись с указанными судебными актами, ПАО Банк социального развития и строительства "Липецккомбанк" и ООО "ТД "Антарес" обратились в Арбитражный суд Центрального округа с кассационными жалобами.

ПАО Банк социального развития и строительства "Липецккомбанк" просит постановление суда апелляционной инстанции отменить и оставить в силе решение суда первой инстанции. Заявитель жалобы считает, что судом апелляционной инстанций нарушены нормы материального права, выводы суда не соответствуют обстоятельствам дела, применен закон, не подлежащий применению.

ООО "ТД "Антарес" просит постановление суда апелляционной инстанции отменить в части отказа в удовлетворении исковых требований ООО "ТД "Антарес" о взыскании с ПАО "Липецккомбанк" убытков в сумме 36 710 000 руб., процентов на указанную сумму и принять в этой части новый судебный акт об удовлетворении исковых требований в полном объеме. ООО "ТД "Антарес" считает, что судом апелляционной инстанций нарушены нормы материального права, ссылается на неполное выяснение обстоятельств, имеющих значение для дела, противоречие выводов суда материалам дела.

В силу части 1 статьи 286 АПК РФ арбитражный суд кассационной инстанции проверяет законность решений, постановлений, принятых арбитражными судами первой и апелляционной инстанций, исходя из доводов, содержащихся в кассационной жалобе и возражениях относительно жалобы.

Судебное заседание по рассмотрению кассационной жалобы по настоящему спору было назначено на 16.10.2018 на 14 час. 30 мин. и проводилось судом в составе судей: Ахромкиной Т.Ф., Ипатова А.Н., Ивановой М.Ю.

В ходе рассмотрения кассационной жалобы суд округа пришел к выводу о невозможности рассмотрения жалобы в судебном заседании 16.10.2018, в связи с чем, определением суда от 16.10.2018 рассмотрение кассационной жалобы отложено на 12 ноября 2018 года на 15 час. 30 мин.

Определением Арбитражного суда Центрального округа от 12.11.2018 рассмотрение дела было отложено на 03.12.2018 на 16 час. 00 мин.

Представители ПАО Банк социального развития и строительства "Липецккомбанк" и ООО "ТД "Антарес" в судебном заседании поддержали доводы, изложенные в кассационных жалобах, в полном объеме.

Изучив материалы дела, оценив доводы кассационных жалоб, выслушав представителей сторон, судебная коллегия считает необходимым принятые по делу судебные акты отменить, дело направить в суд первой инстанции на новое рассмотрение, в связи со следующим.

Как следует из материалов дела, между открытым акционерным обществом Банк социального развития и строительства "Липецккомбанк" (в настоящее время переименован в публичное акционерное общество Банк социального развития и строительства "Липецккомбанк", банк) и обществом с ограниченной ответственностью "Торговый дом "Антарес" (клиент) заключен договор банковского счета N 3566 от 18.12.2003 (далее - договор банковского счета), согласно которому банк открывает клиенту расчетный/текущий счет в порядке и на условиях договора и обязуется принимать и зачислять поступающие на счет денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету.

Согласно пункту 2.4 договора банковского счета, оплата денежно-расчетных документов со счета клиента производится только в пределах наличия средств на счете клиента на начало операционного дня.

В силу пункта 2.5 договора банковского счета, списание средств со счета клиента производится только по его поручению или с его согласия, если иное не предусмотрено законодательством РФ или договором.

В соответствии с п. 3.1.3, банк принял на себя обязательства своевременно и правильно производить расчетные операции по поручениям клиента в строгом соответствии с действующим законодательством РФ и нормативными актами Центрального банка РФ.

Во исполнение обязательств по договору банковского счета ответчиком истцу открыт расчетный счет N 40702810600000001422.

Кроме того, между открытым акционерным обществом Банк социального развития и строительства "Липецккомбанк" (банк) и обществом с ограниченной ответственностью "Торговый дом "Антарес" (клиент) заключен договор N 184 о работе в режиме "Банк-Клиент" от 20.12.2013 (далее - договор "Банк-Клиент"), предметом которого является порядок осуществления передачи программного обеспечения системы "Банк-Клиент" (далее - АРМ Клиента) в пользование клиенту и порядок осуществления сторонами обмена электронными сообщениями (далее - ЭС) (включая расчетные ЭС), осуществления операций по счетам клиента на основании ЭС, передаваемых через коммуникационную сеть между банком и клиентом с использованием АРМ Клиента.

Пунктом 2.1 договора "Банк-Клиент" стороны предусмотрели, что все термины и положения Регламента по обращению с криптографическими средствами, Регламента по работе с системой Банк-Клиент, правил пользования услугами "SMS-информирование" и "email-информирование" являются неотъемлемой частью договора.

В пункте 3.5 договора "Банк-Клиент" указано, что стороны признают, что используемые во взаимоотношениях между клиентом и банком ЭС, заверенные усиленной неквалифицированной электронной подписью (далее - НЭП), имеют равную юридическую силу с документами на бумажном носителе, имеющими соответствующие собственноручные подписи и печати (независимо от того, существуют такие документы на бумажном носителе или нет). В случае, если в договорах и иных документах между сторонами используются термины "электронно-цифровая подпись", "ЭЦП" или "КА", под ними подразумевается НЭП.

В соответствии с пунктом 7.3 договора "Банк-Клиент", банк не несет ответственности за убытки, понесенные клиентом, которые явились следствием:

- доступа к АРМ Клиента лиц, не являющихся ответственными за его обслуживание;

- несоблюдения клиентом регламента по обращению с криптографическими средствами;

- несоблюдения клиентом правил пользования услугами "SMS-информирование" и "email-информирование";

- предоставления клиентом некорректной или непредставление актуальной информации о телефонных номерах и email адресах, необходимых для оказания услуг "SMS-информирование" и "email-информирование";

- отключения клиента от системы "Банк-Клиент".

Согласно пункту 3.4 Регламента по обращению с криптографическими средствами от 26.04.2011 N 19, клиент обязан:

- обеспечить надежное хранение КК способом, обеспечивающим их недоступность третьим лицам, включая сотрудников организатора СОЭС, а также немедленно уведомлять организатора СОЭС о подозрении, что КК могут быть использованы посторонними лицами;

- использовать ключевые носители только при работе с СОЭС;

- использовать ПО обмена ЭС и КК только для работы с СОЭС;

- не допускать распространения и копирования ПО обмена ЭС без уведомления организатора СОЭС;

- обеспечивать целостность и неизменность ПО обмена ЭС;

- осуществлять хранение копий всех полученных и переданных ЭС, вместе с КА, в течение срока, установленного соответствующими законами и нормативными актами для хранения бумажных документов;

- организовать внутренний режим функционирования рабочих мест с установленным ПО обмена ЭС таким образом, чтобы исключить возможность физического доступа или использования ПО обмена ЭС лицами, не допущенными к работе с СОЭС;

- производить модификацию ПО обмена ЭС только после подтверждения от СПИБ СОЭС о правомочности подобных действий;

- при разрешении конфликтных ситуаций, связанных с установлением подлинности и/или авторства спорного ЭС, предоставлять экспертной комиссии всю запрашиваемую информацию;

- оказывать полное содействие организатору СОЭС при проведении изменений в ПО обмена ЭС (в том числе и при плановой смене КК);

- для работы СОЭС использовать исправное и проверенное на отсутствие компьютерных вирусов оборудование.

В силу пункта 3.6 Регламента по обращению с криптографическими средствами клиент несет ответственность за:

- содержание ЭС, передаваемых по СОЭС и заверенных его КА;

- конфиденциальность, сохранность и неизменность КК и ПО обмена ЭС;

- модификацию ПО обмена ЭС без согласования со СПИБ СОЭС;

- сохранность и работоспособность ключевых носителей;

- работоспособность оборудования, носителей (включая ключевые носители) и программного обеспечения на ЭВМ, используемых для работы СОЭС;

- убытки, возникшие у организатора СОЭС, в результате порчи оборудования и/или программного обеспечения СОЭС клиентом (включая действия компьютерных вирусов на ЭВМ клиента);

- использование ПО обмена ЭС и/или КК в целях, отличных от работы с СОЭС;

- убытки, возникшие у организатора СОЭС в результате обработки ЭС, поступивших по СОЭС и заверенных КА клиента, в том числе переданных неуполномоченными лицами.

11.09.2015 с расчетного счета истца ответчиком произведено перечисление денежных средств согласно следующим платежным поручениям:

- N 1450 от 11.09.2015 на сумму 4 589 215 руб.;

- N 1451 от 11.09.2015 на сумму 5 892 132 руб.;

- N 1452 от 11.09.2015 на сумму 4 814 591 руб.;

- N 1453 от 11.09.2015 на сумму 4 725 610 руб.;

- N 1454 от 11.09.2015 на сумму 3 771 248 руб.;

- N 1455 от 11.09.2015 на сумму 5 752 197 руб.;

- N 1456 от 11.09.2015 на сумму 3 457 215 руб.;

- N 1457 от 11.09.2015 на сумму 5 781 244 руб.;

- N 1458 от 11.09.2015 на сумму 4 975 211 руб.;

- N 1459 от 11.09.2015 на сумму 4 872 144 руб.;

- N 1460 от 11.09.2015 на сумму 4 875 211 руб.;

- N 1461 от 11.09.2015 на сумму 4 753 284 руб.;

- N 1462 от 11.09.2015 на сумму 4 981 247 руб.;

- N 1463 от 11.09.2015 на сумму 5 871 245 руб.;

- N 1464 от 11.09.2015 на сумму 4 975 215 руб.;

- N 1465 от 11.09.2015 на сумму 4 865 219 руб.;

- N 1466 от 11.09.2015 на сумму 5 589 214 руб.;

- N 1467 от 11.09.2015 на сумму 4 987 572 руб.

Всего на общую сумму 89 529 014 руб.

По факту направления платежных поручений на перечисление денежных средств неизвестными лицами следователем следственной части СУ УМВД России по Липецкой области Лариным Р.Л. возбуждено уголовное дело N 031510586 (постановление о возбуждении уголовного дела и принятии его к производству от 12.09.2015).

ООО "ТД "Антарес" направил ответчику претензию от 25.01.2016 N 14, в которой указал, что не давал распоряжений по перечислению вышеуказанных сумм, в связи с чем, просил возместить убытки.

Письмом от 15.02.2016 N 799/13 ответчик отказал в удовлетворении претензии истца.

Неисполнение ответчиком обязанности по возмещению убытков послужило основанием для обращения истца в суд.

Суд первой инстанции сделал вывод о том, что ответчик не несет ответственности за убытки истца, которые возникли в результате копирования и использования криптографических ключей третьими лицами. При этом копирование и последующее использование криптографических ключей неизвестными лицами произведено в результате действий самого истца (его работников или иных лиц, которые имели доступ к персональному компьютеру). Доступ к компьютеру истца произведен в результате посещения пользователем "Оксана" сайта vidal.ru, который был заражен вирусным программным продуктом, что позволило неизвестным лицам получить право удаленного управления персональным компьютером и перехват клавиатурного ввода пользователя, а также доступ к содержимому жесткого диска.

Из представленной в материалы дела выдержки из файла журнала обработки, поступившего файла с посылками, сервера банка усматривается, что спорные платежные поручения были подписаны электронной цифровой подписью Мягкова Геннадия Александровича, которая была автоматически проверена системой банка и признана корректной. Таким образом, у ответчика отсутствовали правовые основания для отказа в исполнении спорных платежных поручений.

В соответствии с пунктами 1 и 2 статьи 393 Гражданского кодекса Российской Федерации, должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства.

Согласно пункту 1 статьи 845 Гражданского кодекса Российской Федерации, по договору банковского счета банк обязуется принимать и зачислять поступающие на счет, открытый клиенту (владельцу счета), денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету.

Банк не вправе определять и контролировать направления использования денежных средств клиента и устанавливать другие, не предусмотренные законом или договором банковского счета ограничения его права распоряжаться денежными средствами по своему усмотрению (пункт 3 статьи 845 Гражданского кодекса Российской Федерации).

В силу пункта 1 статьи 854 Гражданского кодекса Российской Федерации, списание денежных средств со счета осуществляется банком на основании распоряжения клиента.

Суды пришли к выводу о том, что в данном случае, в связи с тем, что, в нарушение условий договора N 3566 от 18.12.2003 ответчик выполнил распоряжение неустановленного лица о перечислении со счета клиента соответствующих сумм, ПАО Банк социального развития и строительства "Липецккомбанк" является должником, на которого должно возлагаться бремя доказывания отсутствия вины.

Вина должника в нарушении обязательства предполагается, пока не доказано обратное. Отсутствие вины в неисполнении или ненадлежащем исполнении обязательства доказывается должником (пункт 2 статьи 401 ГК РФ) (Постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств").

В пункте 5 Постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств" указано, что по смыслу статей 15 и 393 ГК РФ, кредитор представляет доказательства, подтверждающие наличие у него убытков, а также обосновывающие с разумной степенью достоверности их размер и причинную связь между неисполнением или ненадлежащим исполнением обязательства должником и названными убытками. Должник вправе предъявить возражения относительно размера причиненных кредитору убытков, и представить доказательства, что кредитор мог уменьшить такие убытки, но не принял для этого разумных мер (статья 404 ГК РФ).

Должник, опровергающий доводы кредитора относительно причинной связи между своим поведением и убытками кредитора, не лишен возможности представить доказательства существования иной причины возникновения этих убытков.

Судом первой инстанции было установлено, что перечисление денежных средств со счета истца по распоряжению третьих лиц стало возможным после посещения одним из работников истца сайта, зараженного вредоносной программой.

Установив наличие причинно-следственной связи между действиями истца, нарушение им п.2.1 договора "Банк-Клиент", п.3.4 и п3.6 Регламента по обращению с криптографическими средствами, суд первой инстанции пришел к выводу об отсутствии оснований для взыскания убытков с ответчика. С этой позицией не согласился суд апелляционной инстанции. Отменяя решение суда области и частичной удовлетворяя требования ООО "ТД "Антарес", Девятнадцатый арбитражный апелляционной суд исходил из следующего.

Совокупностью имеющихся в деле непротиворечивых доказательств подтверждается, что недостатки и уязвимости программного продукта, предоставленного ответчиком, не позволили распознать запрос на операции, поступивший не от истца. При этом, ни условия договоров, ни представленного ответчиком Регламента, не содержали требования использовать ПК, на котором было установлено программное обеспечение, только для связи с банком, не было предусмотрено права или обязанности клиента изменять браузер, менять программу, устанавливать какие-либо специализированные средства защиты. Кроме того, связь осуществлялась также по незащищенному каналу.

Исходя из механизма хищения, описанного в экспертном заключении, произошло считывание ключа с клавиатурного ввода и внедрение в канал связи. При наличии отклика программы на отсутствие физического носителя в момент набора или отправки поручений, списание денежных средств даже после заражения вирусом и действий третьих лиц не было бы возможным.

Таким образом, по мнению суда апелляционной инстанции, причинение убытков находится в причинно-следственной связи с действиями ответчика, программный продукт которого не отвечал необходимым актуальным требованиям безопасности. Неосторожные действия истца, не относящиеся к нарушениям условий договора, не привели бы к негативным последствиям при отсутствии в программе выявленных уязвимостей.

В связи с изложенным суд апелляционной инстанции пришел к выводу о наличии оснований для взыскания с Банка убытков за ненадлежащее исполнение обязательств.

Лицо признается невиновным, если при той степени заботливости и осмотрительности, какая от него требовалась по характеру обязательства и условиям оборота, оно приняло все меры для надлежащего исполнения обязательства (абзац второй п. 1 ст. 401 ГК РФ).

По смыслу правовой позиции, содержащейся в пункте 7 постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств", непроявление должником хотя бы минимальной степени заботливости и осмотрительности при исполнении обязательства признается умышленным нарушением обязательства.

Из материалов дела следует и не оспаривается сторонами, что 11.09.2015 неизвестные лица посредством электронного сообщения направили ответчику от имени истца платежные поручения NN 1450-1467 на перечисление денежных средств в сумме 89 529 014 руб. Платежные поручения на сумму 89 529 014 руб. были отправлены злоумышленниками 11.09.2015 в 12:34:00, воспользовавшимися уязвимостями системы ДБО ПАО "Липецккомбанк" (заключение экспертизы по уголовному делу от 26.12.2016 N 1036/16).

Согласно экспертному исследованию N 1256/15 от 07.12.2015, составленному в рамках расследования уголовного дела экспертом ООО Экспертное учреждение "Воронежский Центр Экспертизы" Музалевским Ф.А., программное обеспечение клиент-банка ПАО "Липецккомбанк" (установленное на исследуемом жестком диске по состоянию на 11.09.2015 - версия 4.0.0.10 и на исследуемом персональном компьютере - версия 6.0.0.16) имеет существенные недостатки с точки зрения безопасности и конфиденциальности, в том числе противоречащие федеральному законодательству, рекомендациям Центрального банка, и не обеспечивает безопасного совершения платежных операций.

Указанные недостатки могут послужить самостоятельным достаточным условием для несанкционированного доступа к счету заказчика и возможности совершения неправомерных платежных операций по списанию средств в сентябре 2015 г.

Недостатки безопасности проявляются в передаче данных по незащищенному каналу, возможности подписания платежного поручения при отсутствии ЭЦП, хранение ЭЦП на незащищенном носителе.

Использование всего комплекса стандартных методов обеспечения информационной безопасности (разграничение прав доступа, антивирусная защита, ограничение передаваемой по сети информации) не позволяет устранить указанные недостатки и обеспечить максимальную конфиденциальность и безопасность при использовании программного обеспечения клиент-банка ПАО "Липецккомбанк".

При этом эксперт исследовал жесткий диск HITACI Deskstar model HD722512SVLAT80 s|n CCDPRA8D.

При производстве комплексной компьютерно-технической экспертизы в рамках уголовного дела экспертом не было сделано иных выводов, опровергающих отмеченные недостатки программного обеспечения банка и возможность устранения их использованием стандартных или специальных антивирусных средств защиты. Кроме того, отмечено, что к моменту совершения спорных транзакций используемая версия СКЗИ была несертифицированной. Данный факт, а также "отсутствие проверки целостности криптобиблиотеки являет собой серьезную уязвимость безопасности всей системы".

Экспертами было установлено наличие антивирусного программного продукта AVZ (является прямым аналогом программ TrojanHunter и LavaSoft Ad-aware 6) и следы программного продукта Kaspersky Lab. При этом эксперт ответил, что установить более подробные сведения не представилось возможным по причине повреждения жесткого диска.

Анализ структуры базы данных клиентской части показал факт хранения ЭЦП без шифрования, а доступ к базе данных через обычный пароль.

Определением Арбитражного суда Липецкой области от 04.07.2017 по делу назначена судебная компьютерно-техническая экспертиза.

Суд первой инстанции не принял заключение эксперта Лизоркина А.М. от 18.10.2017 N 3137/21-3 в качестве надлежащего доказательства по делу, указав, что исследуемая папка "!OKSANA", содержащая аналогичный набор файлов и папок, характерный для установленной операционной системы Windows, является только копией содержимого диска, представляет собой логический образ этого диска. Информация о неразмеченном пространстве, удаленных файлах, служебных областях и секторах этого диска утеряна в процессе копирования. В связи с этим, а также учитывая распространенную практику удаления следов своего пребывания различными вредоносными программами, эксперт ответил, что исследование такой копии значительно снижает полноту ответов на поставленные вопросы, по сравнению с исследование оригинала НЖМД.

Допрошенный в судебном заседании 17.01.2018 эксперт Лизоркин А.М. подтвердил, что им исследовались копии файлов и папок жесткого диска компьютера общества с ограниченной ответственностью "Торговый дом "Антарес", а не сам оригинал жесткого диска.

Однако, данное заключение, в отсутствие сведений о недопустимости выводов на основе исследуемого материала, в части непротиворечащих иным собранным по делу доказательствам выводов может быть принято во внимание как допустимое и косвенное доказательство обстоятельств дела. Тем более, что суд признал, что по форме и содержанию заключение соответствует требованиям статьи 86 Арбитражного процессуального кодекса Российской Федерации.

Так, заключением эксперта Лизоркина А.М. от 18.10.2017 N 3137/21-3 также подтверждено, что программа "Банк-Клиент" запрашивала ключи электронной подписи и обращалась к usb-накопителю только при отправке сообщений. Если закрытый ключ хранится только на usb-накопителе (отсутствуют его копии вне этого usb-накопителя), подписать платежное поручение в программе "Банк-Клиент" публичного акционерного общества Банк социального развития и строительства "Липецккомбанк" в отсутствие в момент подписания usb-накопителя невозможно.

В связи с изложенным, отмеченное судом первой инстанции обстоятельство, что заключением экспертов Музалевского Ф.А. и Литвиновой Е.В. N 1036/16 от 22.12.2016 было установлено, что причиной заражения вирусным программным продуктом явилось посещение с ПК истца пользователем "Оксана" сайта vidal.ru (ip-адрес сайта на момент производства экспертизы - 195.62.52.105), также не опровергает сведений об уязвимости АРМ, предоставленной банком. При наличии защищенности каналов и проверки наличия носителя при отправке ключа ЭЦП, программа не приняла бы платежные документы, отправленные без носителя и с другого адреса.

В заключении эксперта от 18.10.2017 N 3137/21-3 указано, что на жестком диске компьютера общества с ограниченной ответственностью "Торговый дом "Антарес" по состоянию на 11.09.2015 использовалась операционная система Windows XP Service Pack 3. Использование данной операционной системы не являлось безопасным, в том числе, с точки зрения уязвимостей при работе сети "Интернет" и вследствие отсутствия своевременных обновлений, в том числе, критических.

На жестком диске компьютера общества с ограниченной ответственностью "Торговый дом "Антарес" по состоянию на 11.09.2015 использовался браузер Windows Internet Explorer 8, версия 8.00.6001.18702, без установленных расширений. Браузер не являлся актуальным на 11.09.2015, в том числе по причинам, изложенным в пункте 4 заключения (отсутствие своевременных обновлений, в том числе, критических).

На исследуемом НЖМД по состоянию на 11.09.2015 не имеется встроенных в операционную систему подсистем безопасности, обеспечивающих защиту от несанкционированного доступа посредством вирусных атак. Встроенные в операционную систему подсистемы безопасности, обеспечивающие защиту от несанкционированного сетевого доступа, отключены.

На жестком диске компьютера общества с ограниченной ответственностью "Торговый дом "Антарес" по состоянию на 11.09.2015 не установлены сторонние программные средства безопасности.

В силу п. 5.15 договора N 184 от 20.12.2013, клиента обязанность обновлять программное обеспечение исполняется после уведомления Банка. Электронные сообщения в адрес клиента об обновлениях программного обеспечения, согласно сведениям ответчика, направлялись 4 раза, последний - 04.02.2010.

Система Windows XP была совместима на момент установки банком АРМ, рекомендована им в качестве используемой. В дальнейшем, в том числе, и после окончания поддержки, Банк не уведомлял клиента о необходимости использования иной системы или замены браузера. В этой связи ссылки ответчика на использование устаревших версий не может быть принята во внимание, так как Банк, являясь в этих отношениях профессиональным участником, обязан был со своей стороны уведомить клиента о тех действиях, которые ему необходимо было совершить. Профиль безопасности рабочего места и требования к материальному обеспечению пользовательского ресурса не были прописаны в условиях договора и не могли определяться клиентом самостоятельно.

Согласно лицензионному договору от 14.07.2014, Приложению к нему и акту на передачу прав, ООО "ТД "Антарес" приобрел право пользования программами WinPro 8.1 SNGL OLP NL Legalization GetGenuine и Kaspersky Endpoint Security для бизнеса Стандартный.

Согласно пункту 3.4 Регламента по обращению с криптографическими средствами клиент обязан:

- обеспечить надежное хранение КК способом, обеспечивающим их недоступность третьим лицам, включая сотрудников организатора СОЭС, а также немедленно уведомлять организатора СОЭС о подозрении, что КК могут быть использованы посторонними лицами;

- использовать ключевые носители только при работе с СОЭС;

- использовать ПО обмена ЭС и КК только для работы с СОЭС;

- не допускать распространения и копирования ПО обмена ЭС без уведомления организатора СОЭС;

- обеспечивать целостность и неизменность ПО обмена ЭС;

- осуществлять хранение копий всех полученных и переданных ЭС, вместе с КА, в течение срока, установленного соответствующими законами и нормативными актами для хранения бумажных документов;

- организовать внутренний режим функционирования рабочих мест с установленным ПО обмена ЭС таким образом, чтобы исключить возможность физического доступа или использования ПО обмена ЭС лицами, не допущенными к работе с СОЭС;

- производить модификацию ПО обмена ЭС только после подтверждения от СПИБ СОЭС о правомочности подобных действий;

- при разрешении конфликтных ситуаций, связанных с установлением подлинности и/или авторства спорного ЭС, предоставлять экспертной комиссии всю запрашиваемую информацию;

- оказывать полное содействие организатору СОЭС при проведении изменений в ПО обмена ЭС (в том числе и при плановой смене КК);

- для работы СОЭС использовать исправное и проверенное на отсутствие компьютерных вирусов оборудование.

Суд апелляционной инстанции не установил нарушения какой-либо из приведенных обязанностей.

В пункте 2 Постановления Пленума Высшего Арбитражного Суда Российской Федерации от 19.04.1999 N 5 "О некоторых вопросах практики рассмотрения споров, связанных с заключением, исполнением и расторжением договоров банковского счета" разъяснено, что если иное не установлено законом или договором, банк несет ответственность за последствия исполнения поручений, выданных неуполномоченными лицами, и в тех случаях, когда с использованием предусмотренных банковскими правилами и договором процедур банк не мог установить факта выдачи распоряжения неуполномоченными лицами.

Суда отмечено, что условиями договора "Банк-Клиент" не предусмотрено ограничений по отправлению платежных поручений с конкретных ip-адресов. Однако, данное обстоятельство свидетельствует о том, что программное обеспечение, предоставленное банком, не обеспечивает идентификацию ip-адреса, что также возможно отнести к недостаткам программы.

В соответствии с пунктом 7.3 договора "Банк-Клиент" банк не несет ответственности за убытки, понесенные клиентом, которые явились следствием:

- доступа к АРМ Клиента лиц, не являющихся ответственными за его обслуживание;

- несоблюдение клиентом регламента по обращению с криптографическими средствами;

- несоблюдение клиентом правил пользования услугами "SMS-информирование" и "email-информирование";

- предоставление клиентом некорректной или непредставление актуальной информации и телефонных номерах и email адресах, необходимых для оказания услуг "SMS-информирование" и "email-информирование";

- отключения клиента от системы "Банк-Клиент".

По мнению суда апелляционной инстанции, факта нарушения приведенных требований ответчиком доказано не было.

Суд апелляционной инстанции пришел к выводу, что со стороны банка имело место нарушение условий договора банковского счета, при этом банк не доказал отсутствие своей вины в том, что списание денежных средств произошло не по поручению клиента, а вследствие неправомерных действий третьих лиц.

В соответствии с пунктом 6 Постановления N 7, по общему правилу стороны обязательства вправе по своему усмотрению ограничить ответственность должника (пункт 4 статьи 421 ГК РФ).

Заключение такого соглашения не допускается и оно является ничтожным, если нарушает законодательный запрет (пункт 2 статьи 400 ГК РФ) или противоречит существу законодательного регулирования соответствующего вида обязательства (например, ничтожными являются условия договора охраны или договора перевозки об ограничении ответственности профессионального исполнителя охранных услуг или перевозчика только случаями умышленного неисполнения или ненадлежащего исполнения обязательства).

Суд апелляционной инстанции указал, что условия договора и документов банка, на которые имеются ссылки в договоре, освобождающие банк от ответственности за необеспечение сохранности вверенных ему денежных средств, противоречат существу правового регулирования банковской деятельности вообще и договоров ведения банковского счета, в частности. Определением Верховного Суда РФ от 24.04.2018 N 5-КГ18-41 было разъяснено, что из положений, предусмотренных статьями 854, 847 Гражданского кодекса Российской Федерации, в их взаимосвязи следует, что при списании денежных средств со счета банк обязан убедиться, что распоряжение дано клиентом или уполномоченным им лицом, в том числе, в случае распоряжения денежными средствами при помощи электронных средств платежа с использованием кодов, паролей и иных средств, подтверждающих, что распоряжение дано уполномоченным на это лицом. Банк обязан доказать, что принял все меры для надлежащего исполнения обязательства при той степени заботливости и осмотрительности, какая от него требовалось по характеру обязательства и условиям оборота. В силу приведенных выше положений закона на банк возложена обязанность по надлежащему оказанию услуг, обеспечению их безопасности, по предотвращению несанкционированного доступа к услугам посторонних лиц, а также по списанию денежных средств только по распоряжению уполномоченных лиц.

Судом апелляционной инстанции сделан вывод, что в данном деле, помимо необеспечения безопасного ведения операций в программе "Банк-Клиент", вина ответчика выражается также в неосторожном осуществлении несанкционированных истцом операций по счету.

Давая оценку правомерности отказа суда первой инстанции в удовлетворении ходатайства ООО "ТД "Антарес" о фальсификации выписки со счета за 11.09.2015, выписки со счета по зачислению кредита за 11.09.2015, банковского ордера N 57743 от 11.09.2015, выписки из лицевого счета за 10.09.2015, выписки из лицевого счета за 11.09.2015, выписки из лицевого счета за 14.09.2015 и платежного поручения N 1446 от 10.09.2015, суд апелляционной инстанции указал, что данные доказательства имеют правовое значение по делу, в силу того, что суд ссылался на содержащиеся в них сведения при обосновании выводов. Отказ в удовлетворении ходатайства правомерен, поскольку содержащиеся в них сведения о датах совершения операций и обстоятельствах их совершения, которые оспаривал истец, были уже установлены судом, по ним даны пояснения ответчика и их достоверность подлежала оценке на общих основаниях в совокупности с иными собранными по делу доказательствами.

Так, в отношении зачисления кредита в сумме 36 710 000 руб. главным бухгалтером ответчика Зубенковой С.Ю. были даны пояснения, что в заявлении о предоставлении транша по договору истцом указана дата предоставления транша 11.09.2015, в связи с чем, данная операция была отражена ответчиком с указанной истцом датой. Согласно заключению судебно-бухгалтерской экспертизы, имела место фальсификация реального времени операций, тогда как операция должна была отражаться в соответствии с датой и временем ее фактического совершения.

Из пояснений истца следует, что по состоянию на начало дня 11.09.2015 остаток денежных средств на расчетном счете истца составлял 131 972 185 руб. 66 коп.

Истцом были даны поручения о перечислении денежных средств в сумме 46 000 000 руб. (получатель платежа ЗАО "ЗЕРОС", первый платеж), 36 710 000 руб. (получатель платежа индивидуальный предприниматель Поликутин И.Ю.) и 672 446 руб. 72 коп. (получатель платежа ООО "ТехФорс").

Кроме того, на расчетный счет истца поступили денежные средства в сумме 4 528 446 руб.

Таким образом, на момент хищения на расчетном счете истца имелись собственные денежные средства в сумме 53 118 184 руб. 94 коп. (131 972 185 руб. 66 коп. - 46 000 000 руб. - 36 710 000 руб. - 672 446 руб. 72 коп. + 4 528 446 руб.). Данное обстоятельство подтверждается заключением эксперта от 26.06.2017 N 278/17.

Сведения о том, что впоследствии истцом было отозвано платежное поручение о перечислении ЗАО "ЗЕРОС" 46 000 000 руб. (первый платеж) подтверждаются данными банка, однако, в электронном сообщении клиент просит сообщить причину просьбы об отзыве, что соответствует пояснениям истца о том, что такая просьба поступила от банка.

Таким образом, "отзыв первого платежа в сумме 46 000 000 руб." был невозможен технически, не осуществлялся истцом и был инициирован ответчиком.

Довод истца о безотзывности перевода денежных средств имеет правовое значение по делу, так как на момент исполнения платежных поручений о перечислении спорных сумм, направленных неустановленными лицами, денежные средства в размере 46 000 000 руб. уже находились на расчетном счете ООО "Зерос", оттуда не возвращались и были зачислены на счет истца из других средств. Данное обстоятельство свидетельствует о недобросовестном поведении ответчика, аккумулировавшем на счете истца излишнюю сумму, тогда как в ее отсутствие в операции было бы отказано, так как все платежные поручения на сумму 89 529 014 руб. поступили единым пакетом.

В ходе рассмотрения дела истцу на основании постановления Правобережного районного суда г. Липецка возвращены денежные средства в сумме 24 232 868 руб. 20 коп.

Истец уменьшил размер исковых требований до 65 296 145 руб. 80 коп. (89 529 014 руб. - 24 232 868 руб. 20 коп.). При этом, в сумму убытков им было включено 19 296 145, 80 коп. и 46 000 000 руб., вновь зачисленных и списанных ответчиком со счета.

Исходя из общей суммы похищенных 11.09.2015 средств истца (53 118 184 руб. 94 коп.), с учетом возвращенных денежных средств (24 232 868 руб. 20 коп.), сумма убытков составит 28 885 316, 74. При этом, в данную сумму включается 9 290 000 руб. из списанных 14.09.2015 в составе суммы 46 000 000 руб. помимо кредитного транша (36 710 000 руб.). 36 710 000 руб. (без процентов и комиссий) предоставленных банком по своей инициативе в виде заемных средств и списанных со счета истца в погашение кредита убытками истца являться не могут.

Истец также просил взыскать с ответчика проценты за пользование чужими денежными средствами за период с 12.09.2015 по 16.03.2017 в сумме 12 402 349 руб. 03 коп. с последующим начислением по день фактической оплаты задолженности.

Пунктом 1 статьи 395 Гражданского кодекса Российской Федерации (в редакции, действовавшей в период с 12.09.2015 по 31.07.2016) предусмотрено, что за пользование чужими денежными средствами вследствие их неправомерного удержания, уклонения от их возврата, иной просрочки в их уплате либо неосновательного получения или сбережения за счет другого лица подлежат уплате проценты на сумму этих средств. Размер процентов определяется существующими в месте жительства кредитора или, если кредитором является юридическое лицо, в месте его нахождения, опубликованными Банком России и имевшими место в соответствующие периоды средними ставками банковского процента по вкладам физических лиц. Эти правила применяются, если иной размер процентов не установлен законом или договором.

В пункте 1 статьи 395 Гражданского кодекса Российской Федерации (в действующей редакции) указано, что в случаях неправомерного удержания денежных средств, уклонения от их возврата, иной просрочки в их уплате подлежат уплате проценты на сумму долга. Размер процентов определяется ключевой ставкой Банка России, действовавшей в соответствующие периоды. Эти правила применяются, если иной размер процентов не установлен законом или договором.

Сделав вывод о том, что 12.09.2015 истец не имел возможности распоряжаться своими денежными средствами, а банк уклонился от их возврата, суд апелляционной инстанции произвел расчет процентов, подлежащих взысканию по правилам, предусмотренным ст. 395 ГК РФ. Согласно п. 1 ст. 395 ГК РФ в редакции, действовавшей 01.08.2016, размер процентов за пользование чужими денежными средствами, начисляемых за периоды просрочки исполнения денежного обязательства, имевшие место с 12.09.2015 по 31.07.2016 включительно, определяется исходя из существовавших в месте жительства (месте нахождения) кредитора в соответствующие периоды средних ставок банковского процента по вкладам физических лиц, опубликованных Банком России (11%).

Принимая во внимание разъяснения, данные в пункте 84 Постановления Пленума Верховного Суда Российской Федерации от 24 марта 2016 года N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств", с 24.03.2016 судом принято число дней в году принимается равным 365 дням. С 01.08.2016 по 16.03.2017 применена ключевая ставка Банка России (с 01.01.2016 значение ставки рефинансирования Банка России приравнивается к значению ключевой ставки Банка России, определенному на соответствующую дату (указание Банка России от 11.12.2015 N 3894-У "О ставке рефинансирования Банка России и ключевой ставке Банка России") - 10,5% с 01.08.2016 по 19.09.2016 и 10% с 19.09.2016 по 16.03.2017.

Таким образом, за период с 12.09.2015 по 16.03.2017 (542 дня), сумма процентов за время пользования чужими денежными средствами составит 4 534 994 руб. 74 коп.

В совокупности с суммой убытков, исковые требования были удовлетворены в размере 0,43 от суммы исковых требований (22 345 914 руб. 86 коп. / 77 698 494 суде.

Судом апелляционной инстанции было произведено распределение суммы судебных расходов между сторонами.

Суд округа полагает судебные акты принятыми без учета совокупности всех обстоятельств, характеризующих отношения сторон и без установления всех юридически значимых обстоятельств, в связи со следующим.

Суд первой инстанции, отказывая в удовлетворении исковых требований ООО "ТД "Антарес", исходил из обстоятельств несанкционированного списания денежных средств без ведома клиента, установленных заключением экспертов Музалевского Ф.А. и Литвиновой Е.В. N 1036/16 от 22.12.2016, представленного истцом в качестве письменного доказательства, согласно которому, доступ к компьютеру истца произведен в результате посещения пользователем "Оксана" сайта vidal.ru, зараженного вирусным программным продуктом, что позволило неизвестным лицам получить право удаленного управления персональным компьютером и перехват клавиатурного ввода пользователя, а также доступ к содержимому жесткого диска.

Судом первой инстанции сделан вывод, что копирование и последующее использование криптографических ключей неизвестными лицами произведено в результате действий самого истца (его работников или иных лиц, которые имели доступ к персональному компьютеру).

Из представленной в материалы дела выдержки из файла журнала обработки, поступившего файла с посылками, сервером банка усматривается, что спорные платежные поручения были подписаны электронной цифровой подписью Мягкова Геннадия Александровича, которая была автоматически проверена системой банка и признана корректной.

По мнению суда первой инстанции, у ответчика отсутствовали правовые основания для отказа в исполнении спорных платежных поручений.

Суд первой инстанции установил в действиях Клиента нарушения пунктов 3.4. и 3.6 Регламента по обращению с криптографическими средствами, за которые нести ответственность должен клиент.

При рассмотрении спора судом первой инстанции не было дано оценки доводам ООО "ТД "Антарес" о наличии недостатков и уязвимостей программного продукта, предоставленного Банком, которые не позволили распознать запрос на операции, исходящие не от истца. В частности, истец ссылался на передачу данных по системе "Банк-Клиент" по незащищенному каналу связи, возможность подписания платежного поручения при отсутствии ЭЦП, хранение ЭЦП на незащищенном носителе, отсутствие у ответчика на сентябрь 2015 года необходимой лицензии на разработку программного продукта. Кроме того ООО "ТД "Антарес" указал на отсутствие ЭЦП на спорных файлах. Судебные акты не содержат однозначного вывода о том, являлась ли ЭЦП на спорных платежных поручениях целостной, подлинной и корректной.

Суд апелляционной инстанции со ссылкой на имеющиеся в материалах дела экспертные заключения сделал вывод об уязвимости АРМ, предоставленной Банком, указав, что при защищенности каналов и проверке наличия носителя при отправке ключа ЭЦП, программа не приняла бы платежные документы, отправленные без носителя и с другого IP-адреса.

При этом судом апелляционной инстанции также было учтено, что Банк не уведомлял Клиента о необходимости использования иной системы или замены браузера. Ссылки ответчика об использовании ООО "ТД "Антарес" устаревших версий и об отсутствии на ПК Клиента встроенных или сторонних систем безопасности были отклонены.

Вместе с тем, судом апелляционной инстанции не учтено, что, в случае подписания платежных документов корректной подписью истца при обстоятельствах ее копирования, изложенных в указанном выше заключении эксперта, в действиях Клиента усматриваются нарушения условий Договора и Регламентов, регулирующих правоотношения сторон, в связи с чем, действия истца также создали возможность несанкционированного доступа к его ПО и последующего списания денежных средств.

По мнению судебной коллегии, в дополнительном обосновании нуждается также вывод суда апелляционной инстанции об исключении из суммы ущерба, причиненного несанкционированным списанием денежных средств, суммы 36 410 83 руб. Судами установлено и подтверждается материалами дела, что общая сумма списанных по спорным платежным поручениям денежных средств составляет 89 529 014 руб., при этом собственные средства истца на дату списания составляли 53 118 184 руб. Судом апелляционной инстанции сделан вывод о недобросовестном аккумулировании на счете ООО "ТД "Антарес" излишней суммы, позволившей исполнить указанные платежные документы в полном объеме. При этом основания зачисления на счет Клиента по состоянию на 11.09.2015 года этой излишней суммы не указаны, в связи с чем, нельзя сделать вывод о наличии или отсутствии у истца обязанности возвратить эту излишнюю сумму Банку, а, следовательно, о наличии или отсутствии у владельца счета убытков.

По мнению суда округа в рамках настоящего дела усматриваются нарушения условий договора банковского счета обеими сторонами. Согласно ст. 404 ГК РФ если неисполнение или ненадлежащее исполнение обязательства произошло по вине обеих сторон, суд соответственно уменьшает размер ответственности должника. Суд также вправе уменьшить размер ответственности должника, если кредитор умышленно или по неосторожности содействовал увеличению размера убытков, причиненных неисполнением или ненадлежащим исполнением, либо не принял разумных мер к их уменьшению.

Правила пункта 1 настоящей статьи соответственно применяются и в случаях, когда должник в силу закона или договора несет ответственность за неисполнение или ненадлежащее исполнение обязательства независимо от своей вины.

По смыслу указанной нормы права суд вправе уменьшить размер ответственности банка, когда будет установлено, что клиент своими действиями способствовал поступлению в банк не согласованных им платежных документов.

Суд округа полагает, что для правильного разрешения спора необходимо дать оценку всем заявленным доводам сторон о причинах несанкционированного списания со счета Клиента денежных средств а также представленным ими доказательствам, с учетом характера допущенных сторонами договора банковского счета нарушений и их влияния на наступившие последствия в виде списания денежных средств определить степень вины каждой из сторон и размер их ответственности.

При новом рассмотрении суду следует учесть изложенное, устранить указанные нарушения, дать оценку доводам участвующих в деле лиц, после чего разрешить спор в соответствии с требованиями норм материального и процессуального права.

Руководствуясь п. 3 ч. 1 ст. 287, ч. 1-3 ст. 288, ст. 289 Арбитражного процессуального кодекса Российской Федерации, суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Липецкой области от 20.03.2018 и постановление Девятнадцатого арбитражного апелляционного суда от 03.08.2018 по делу N А36-1780/2016 отменить. Дело направить на новое рассмотрение в Арбитражный суд Липецкой области.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в двухмесячный срок в Судебную коллегию Верховного Суда Российской Федерации в порядке, предусмотренном ст. 291.1 АПК РФ.

Председательствующий

Т.Ф. Ахромкина

Судьи

А.Н. Ипатов М.Ю. Иванова