Постановление Арбитражного суда Северо-Кавказского округа от 26 июня 2024 г. N Ф08-4612/24 по делу N А32-53134/2023

г. Краснодар

26 июня 2024 г.

Дело N А32-53134/2023

Резолютивная часть постановления объявлена 26 июня 2024 года.

Постановление изготовлено в полном объеме 26 июня 2024 года.

Арбитражный суд Северо-Кавказского округа в составе председательствующего Ташу А.Х., судей Алексеева Р.А. и Тамахина А.В., при участии в судебном заседании от истца - индивидуального предпринимателя Силкина Владимира Петровича (ИНН 233405004187, ОГРНИП 318237500351130) - Белохортовой А.И. (доверенность от 27.09.2023), от ответчика - коммерческого банка "Кубань Кредит" общество с ограниченной ответственностью (ИНН 2312016641, ОГРН 1022300003703) - Зеленской А.А. (доверенность от 05.12.2022), в отсутствие третьего лица - общества с ограниченной ответственностью "Юкра", надлежаще извещенного о времени и месте судебного разбирательства посредством размещения сведений в информационно-телекоммуникационной сети Интернет, рассмотрев кассационную жалобу индивидуального предпринимателя Силкина Владимира Петровича на решение Арбитражного суда Краснодарского края от 18.12.2023 и постановление Пятнадцатого арбитражного апелляционного суда от 29.02.2024 по делу N А32-53134/2023, установил следующее.

Индивидуальный предприниматель Силкин В.П. (далее - предприниматель) обратился в арбитражный суд с иском к КБ "Кубань Кредит" ООО (далее - банк) о взыскании 512 300 рублей необоснованно списанных средств и 15 453 рублей процентов за пользование чужими денежными средствами с 09.06.2023 по 29.09.2023.

К участию в деле в качестве третьего лица, не заявляющего самостоятельных требований относительно предмета спора, привлечено ООО "Юкра".

Решением от 18.12.2023, оставленным без изменения постановлением суда апелляционной инстанции от 29.02.2024, в удовлетворении иска отказано.

В кассационной жалобе предприниматель просит отменить судебные акты и удовлетворить иск. По мнению заявителя, операция по платежному поручению от 08.06.2023 N 285 имела признаки подозрительной, совершенной без согласия клиента, однако банк не принял необходимые, зависящие от него разумные меры к соответствующей проверке действительности распоряжения истца на совершение спорной операции в целях сохранения денежных средств клиента. Неустановление банком недостоверности расчетного документа и подложности электронной подписи вызвано исключительно нарушением ответчиком должностных функций, договорных обязательств и законодательных норм и правил. Ответчик не производил СМС-уведомления о входе в систему, контрольные звонки, не запрашивал документы по совершаемой операции, не направлял СМС-уведомления об одобрении совершаемой крупной сделки, не приостанавливал подозрительную операцию. Суды не применили положения Центрального банка Российской Федерации от 17.04.2019 N 683-П "Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента", в соответствии с которыми на банке лежит обязанность по обеспечению безопасности работы электронных систем дистанционного обслуживания от проникновения третьих лиц. Именно банк, являясь специалистом на рынке оказания таких услуг, должен определить достаточность надежности работы при приеме, передаче, обработке и хранении информации, а также защите информации, обеспечивающей разграничение доступа, шифрование, контроль целостности и других параметров. Отчет о результатах служебного расследования по факту несанкционированного доступа к счету предпринимателя от 16.06.2023 не может признаваться надлежащим доказательством, поскольку информация, содержащаяся в данном отчете, является хаотичной, нелогичной и противоречивой. Суды не дали оценки представленным ответчиком противоречивым сведениям, содержащимся в платежных документах и аудитах платежных документов.

В отзыве банк просит оставить судебные акты без изменения, кассационную жалобу - без удовлетворения.

Определением от 19.06.2024 в судебном заседании объявлен перерыв до 12 часов 00 минут 26.06.2024.

Изучив материалы дела, доводы кассационной жалобы и выслушав представителей сторон, Арбитражный суд Северо-Кавказского округа не находит оснований для отмены обжалуемых судебных актов.

Как следует из материалов дела, согласно заявлению предпринимателя от 30.10.2018 о присоединении к комплексному договору банковского обслуживания истец (клиент) и ответчик (банк) заключили комплексный договор банковского обслуживания РКО N 40802810900110001107 с открытием расчетного счета N 40802810900110001107 и подключением на основании договора к системе дистанционного банковского обслуживания (ДБО) с использованием усиленной неквалифицированной электронной подписи.

08 июня 2023 года в 15 часов 36 минут на номер мобильного телефона истца, подключенный для СМС-информирования событий по расчетному счету, пришло СМС-уведомление банка о списании с расчетного счета 512 300 рублей. В 17 часов 18 минут пришло еще два СМС-уведомления от ответчика об аннулировании платежного поручения N 283 на сумму 496 тыс. рублей и платежного поручения N 284 на сумму 578 900 рублей.

По сведениям личного кабинета в системе "Банк-Клиент" установлено, что 08.06.2023 в 15:36:05 с расчетного счета предпринимателя произошло списание денежных средств в размере 512 300 рублей на основании платежного поручения от 08.06.2023 N 285 в адрес ООО "Юкра" (ИНН 9704202722), банк получателя - КБ "Локо-Банк" (АО) г. Москва, расчетный счет - N 40702810200326869002, назначение платежа - "Оплата по счету 713 от 20.05.2023 за продуктовые наборы, в т.ч. НДС 20% - 85 383,33".

Аннулированное платежное поручение от 08.06.2023 N 283 сформировано на сумму 496 тыс. рублей в адрес Павлова С.С. (ИНН 525638235305), банк получателя - АО "Тинькофф Банк" г. Москва, расчетный счет - N 40817810500044183073, с указанием назначения платежа: "Перевод средств на покупку ТМЦ для нужд предприятия подотчет НДС не облагается".

Аннулированное платежное поручение от 08.06.2023 N 284 сформировано на сумму 578 900 рублей в адрес ООО "Юкра" (ИНН 9704202722), банк получателя - КБ "Локо-Банк" (АО) г. Москва, расчетный счет - N 40702810200326869002, с назначением платежа - "Оплата по счету 713 от 20.05.2023 за продуктовые наборы, в т.ч. НДС 20% - 96 483,33".

Как указывает истец, данные платежные поручения им не создавались, ни ООО "Юкра" (ИНН 9704202722), ни Павлов С.С. (ИНН 525638235305) ему не известны, названные лица никогда не являлись его контрагентами, договорных отношений с ними не имелось, аналогичные товары никогда не приобретались, поскольку они не соответствуют заявленным видам деятельности, отраженным в выписке из ЕГРИП в отношении предпринимателя, а в товарно-материальных ценностях никакой необходимости нет, при этом подозрительность вызывает то, что неизвестно, о покупке каких продуктовых наборах и товарно-материальных ценностях идет речь. Счет от 20.05.2023 N 713 истец не получал, ключом электронной подписи USB-ключ N 0951995404 указанные платежные документы не подписывал. Более того, USB-ключ (eToken) во всех случаях не использовался, во время, указанное как время составления и подписания платежных документов N 283, 284, 285, не являлся вставленным в компьютер, отправку документов в банк истец не осуществлял. СМС-уведомлений из банка для входа в систему ДБО истцу не поступало.

09 июня 2023 года в письме N 3 истец проинформировал ответчика о том, что банк произвел необоснованное списание денежных средств в размере 512 300 рублей по сомнительной операции, на подозрительный счет, без соответствующего распоряжения клиента; просил оказать содействие по возврату необоснованно списанных денежных средств.

В письме от 17.06.2023 N 7 истец снова обратился к ответчику с указанием на необоснованное списание с его расчетного счета денежных средств на сумму 512 300 рублей, просьбой предоставить результаты служебного расследования по данному факту с отражением полной информации, содержащейся в log-файлах за 08.06.2023 на сервере "Банк-Клиент" предпринимателя, приложением всех IP-адресов, с которых 08.06.2023 совершены входы (выходы) в систему ДБО истца и требованием о возврате необоснованно списанной денежной суммы.

Неисполнение банком требований истца по возврату денежных средств послужило основанием для обращения предпринимателя в арбитражный суд с иском.

Возражая против удовлетворения иска, ответчик указал, что платежное поручение от 08.06.2023 N 285 оформлено надлежащим образом и подписано корректной электронной подписью уполномоченного лица, в связи с чем принято банком к исполнению. 08 июня 2023 года ответчик отказал в исполнении платежных поручений истца N 283 и 284 в связи с недостаточностью средств на счете.

Поскольку операции по платежным поручениям истца от 08.06.2023 N 283, 284, 285 не подпадали под признаки подозрительных согласно приказу Банка России от 27.09.2018 N ОД-2525, реквизиты получателей в базе данных Банка России "О случаях и попытках осуществления перевода денежных средств без согласия клиента" отсутствовали, у банка не имелось оснований для неисполнения поступивших платежных документов.

16 июня 2023 года ответчик провел служебное расследование, в ходе которого установил, что поручение о переводе денежных средств поступило с IP-адреса компьютера истца. Предприниматель выполнил авторизацию в системе ДБО с помощью USB-ключа, путем подключения Рутокен ЭЦП 2.0 к ПК. Безопасность входа в личный кабинет в системе ДБО банка подтверждается сертификатом соответствия N 3753, выданным ФСТЭК России 30.05.2020, сроком до 30.05.2025, который удостоверяет, что программно-аппаратный комплекс аутентификации и хранения информации "Рутокен" версии 4 соответствует требованиям безопасности информации N РОСС RU.0001.01БИ00.

В соответствии с пунктом 4.1 Условий предоставления услуг дистанционного банковского обслуживания корпоративных клиентов банк не несет ответственность за убытки клиента, возникшие вследствие несоблюдения им требований, установленных данными условиями, правилами и рекомендациями, изложенными в памятке по мерам информационной безопасности, а также заражения технических средств клиента вредоносными программами и вирусами, сбоев в работе технических средств клиента.

На основании пункта 4.5 указанных условий банк не несет также ответственности за убытки, возникшие вследствие несанкционированного доступа к программному обеспечению системы ДБО клиента третьих лиц.

Пунктом 4.8 данных условий предусмотрено, что банк не несет ответственности за принятие к исполнению подложных и недостоверных электронных документов, если в результате контроля подлинности электронной подписи на электронном документе ответчик не мог установить их недостоверность или подложность.

Таким образом, по мнению банка, совершение указанных операций стало возможно исключительно по причине несоблюдения клиентом мер информационной безопасности.

В силу пункта 1 статьи 845 Гражданского кодекса Российской Федерации (далее - Кодекс) по договору банковского счета банк обязуется принимать и зачислять поступающие на счет, открытый клиенту (владельцу счета), денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету. Банк может использовать имеющиеся на счете денежные средства, гарантируя право клиента беспрепятственно распоряжаться этими средствами (пункт 2).

На основании статьи 15 Кодекса лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере. Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода).

В силу статьи 1064 Кодекса вред, причиненный личности или имуществу гражданина, а также вред, причиненный имуществу юридического лица, подлежит возмещению в полном объеме лицом, причинившим вред. Законом обязанность возмещения вреда может быть возложена на лицо, не являющееся причинителем вреда. Лицо, причинившее вред, освобождается от возмещения вреда, если докажет, что вред причинен не по его вине.

Как разъяснено в пункте 12 постановления Пленума Верховного Суда Российской Федерации от 23.06.2015 N 25 "О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации", по делам о возмещении убытков истец обязан доказать, что ответчик является лицом, в результате действий (бездействия) которого возник ущерб, а также факты нарушения обязательства или причинения вреда, наличие убытков. Размер подлежащих возмещению убытков должен быть установлен с разумной степенью достоверности.

Оценив представленные в материалы дела доказательства по правилам статьи 71 Арбитражного процессуального кодекса Российской Федерации, доводы и возражения сторон, установив, что у банка не имелось оснований для отказа в проведении операции, распоряжение на проведение которой поступило в рамках ДБО, суды пришли к выводу об отсутствии оснований для удовлетворения иска.

Так, 09.09.2023 в банк поступило обращение предпринимателя о списании денежных средств со счета N 40802810900110001107 в размере 512 300 рублей в пользу ООО "Юкра" на основании платежного поручения от 08.06.2023 N 285 при невыясненных обстоятельствах.

Банк провел служебное расследование, в ходе которого установлено, что 08.06.2023 ответчик исполнил в системе "Интернет-Банк для ЮЛ" платежное поручение N 285, сформированное и подписанное предпринимателем 08.06.2023 со следующими реквизитами: получатель денежных средств - ООО "Юкра", ИНН получателя - 9704202722, р/с получателя - 40702810200326869002, БИК получателя - 044525161, банк получателя - КБ "Локо-Банк" (АО) г. Москва, назначение платежа - "оплата по счету 713 от 20.05.2023 г. за продуктовые наборы", сумма - 512 300 рублей.

Согласно скриншоту аудита платежного поручения N 285, сделанного ответчиком из банковской части системы ДБО, предназначенной для обслуживания корпоративных клиентов, а также копии электронного платежного поручения платежное поручение N 285 создано истцом 08.06.2023 в 14:14:58, подписано и отправлено в 14:15:45, доставлено в банк в 14:15:50, исполнено в 15:36:05.

Также служебным расследованием установлено, что 08.06.2023 банк отказал в исполнении двух платежных поручений предпринимателя N 283 и 284 в связи с недостаточностью средств на счете.

В соответствии с приказом Банка России от 27.09.2018 N ОД-2525 "Признаки осуществления перевода денежных средств без согласия клиента" к признакам осуществления перевода денежных средств без согласия клиента относятся:

1. Совпадение информации о получателе средств с информацией о получателе средств по переводам денежных средств без согласия клиента, полученной из базы данных о случаях и попытках осуществления перевода денежных средств без согласия клиента, формируемой Банком России в соответствии с частью 5 статьи 27 Федерального закона от 27.06.2011 N 161-ФЗ "О национальной платежной системе".

2. Совпадение информации о параметрах устройств, с использованием которых осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления перевода денежных средств, с информацией о параметрах устройств, с использованием которых осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления перевода денежных средств без согласия клиента, полученной из базы данных.

3. Несоответствие характера, и (или) параметров, и (или) объема проводимой операции (время (дни) осуществления операции, место осуществления операции, устройство, с использованием которого осуществляется операция и параметры его использования, сумма осуществления операции, периодичность (частота) осуществления операций, получатель средств) операциям, обычно совершаемым клиентом оператора по переводу денежных средств (осуществляемой клиентом деятельности).

В силу отчета о проведении служебного расследования в момент формирования, подписания и обработки банком платежных документов от 08.06.2023 N 283, 284, 285 реквизиты получателей отсутствовали в базе данных Банка России "О случаях и попытках осуществления перевода денежных средств без согласия клиента". Несоответствия характера, и (или) параметров, и (или) объема проводимой операции операциям, обычно совершаемым клиентом оператора по переводу денежных средств (осуществляемой клиентом деятельности), не установлено.

Служебным расследованием определено, что поручение о переводе денежных средств поступило с IP-адреса компьютера предпринимателя, имеется подтверждение подлинности электронной подписи, установлено, что истцом выполнена авторизация в системе ДБО с помощью USB-ключа, то есть устройство (Рутокен ЭЦП 2.0) подключено к ПК, это подтверждается приложенными материалами служебной проверки и сведениями, содержащимися в log-файлах на сервере банка. Авторизация в системе ДБО выполнена 08.06.2023 в 13:39:07 с ПК с IP-адресом 193.0.155.80, характерным для персонального компьютера предпринимателя, с использованием имеющегося у него USB-ключа Рутокен ЭЦП 2.0 с серийным номером 0951995404 и активного сертификата ключа проверки электронной подписи: 50 00 00 е5 30 е9 4d fl 03 88 49 20 dd 00 04 00 00 е5 30.

Для формирования электронной подписи истец использует сертифицированное ФСБ России средство криптографической защиты информации Рутокен ЭЦП 2.0 с неизвлекаемым закрытым ключом электронной подписи. Формирование корректной электронной подписи невозможно без использования USB-ключа предпринимателя, что подтверждает подключение в момент совершения операции именно имеющегося у истца USB-ключа Рутокен ЭЦП 2.0 с серийным номером 0951995404 к его персональному компьютеру. Осуществление операции с IP-адреса клиента с использованием неизвлекаемого закрытого ключа электронной подписи свидетельствует о поступлении в банк соответствующего распоряжения клиента на осуществление денежного перевода.

Исходя из фактов, установленных служебным расследованием, суды пришли к выводу о том, что платежное поручение сформировано с автоматизированного рабочего места предпринимателя и подписано его USB-ключом самим истцом либо иными лицами в результате несоблюдения им требований хранения USB-ключа Рутокен ЭЦП 2.0; это исключает ответственность банка за осуществление перевода в пользу третьих лиц.

Довод истца о том, что в нарушение нормативных актов и условий договора банк не уведомил предпринимателя о входе в систему ДБО, отклонен, поскольку вход в систему ДБО осуществлен посредством использования USB-ключа (Рутокен ЭЦП 2.0), согласно банковским правилам и договору банк не обязан уведомлять клиента о произведенном входе в ДБО.

В приложении N 7 к Правилам предоставления услуг дистанционного банковского обслуживания корпоративных клиентов размещена Памятка по мерам информационной безопасности при использовании системы ДБО банка. Как указано в Памятке, банк рекомендует использовать дополнительные меры безопасности, такие как услуга "SMS-информирование" или устройства автоматической генерации одноразовых паролей. Из пояснений ответчика следует, что истец не подключил дополнительные механизмы защиты при работе в системе ДБО, соответственно, банк не обязан информировать предпринимателя о входе в систему ДБО с использованием USB-ключа.

При этом в заключенном сторонами договоре прямо предусмотрено, что банк не несет ответственности за убытки, возникшие вследствие несанкционированного доступа к программному обеспечению системы ДБО клиента третьих лиц и принятие к исполнению подложных и недостоверных электронных документов, если в результате контроля подлинности электронной подписи на электронном документе банк не мог установить их недостоверность или подложность.

Поскольку банком соблюдены все условия договора и осуществлены действия по проверке платежного поручения, а при контроле подлинности электронной подписи на электронных документах банк не мог установить их недостоверность или подложность, суды пришли к выводу об отказе в удовлетворении иска.

Согласно абзацу второму пункта 32 постановления Пленума Верховного Суда Российской Федерации от 30.06.2020 N 13 "О применении Арбитражного процессуального кодекса Российской Федерации при рассмотрении дел в арбитражном суде кассационной инстанции" наличие или отсутствие обстоятельств, имеющих значение для правильного рассмотрения дела, устанавливается судом на основании доказательств по делу (часть 1 статьи 64 Арбитражного процессуального кодекса Российской Федерации), переоценка судом кассационной инстанции доказательств по делу, то есть иные по сравнению со сделанными судами первой и апелляционной инстанций выводы относительно того, какие обстоятельства по делу можно считать установленными исходя из иной оценки доказательств, в частности, относимости, допустимости, достоверности каждого доказательства в отдельности, а также достаточности и взаимной связи доказательств в их совокупности (часть 2 статьи 71 названного Кодекса), не допускается.

Доводы жалобы по существу сводятся к переоценке доказательств, что в силу норм главы 35 Арбитражного процессуального кодекса Российской Федерации не допускается в суде кассационной инстанции.

Оснований для отмены или изменения судебных актов по доводам жалобы не имеется.

Руководствуясь статьями 274, 286, 287, 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Северо-Кавказского округа

ПОСТАНОВИЛ:

решение Арбитражного суда Краснодарского края от 18.12.2023 и постановление Пятнадцатого арбитражного апелляционного суда от 29.02.2024 по делу N А32-53134/2023 оставить без изменения, кассационную жалобу - без удовлетворения.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.

Председательствующий

А.Х. Ташу

Судьи

Р.А. Алексеев А.В. Тамахин