Постановление Девятнадцатого арбитражного апелляционного суда от 17 июля 2020 г. N 19АП-3366/18 по делу N А36-1780/2016

г. Воронеж

17 июля 2020 г.

Дело N А36-1780/2016

Резолютивная часть постановления объявлена 10 июля 2020 года.

Постановление в полном объеме изготовлено 17 июля 2020 года.

Девятнадцатый арбитражный апелляционный суд в составе:

председательствующего судьи Ореховой Т.И.,

судей Серегиной Л.А.,

Мокроусовой Л.М.,

при ведении протокола судебного заседания секретарем Дербичевой Е.А.,

при участии в судебном заседании:

от общества с ограниченной ответственностью "Торговый дом "Антарес" - Белугин А.С., представитель по доверенности от 09.01.2020, удостоверение адвоката N 744; Хасин К.В., представитель по доверенности от 09.01.2020, удостоверение адвоката N 2933;

от Банка ЗЕНИТ (публичное акционерное общество) - Кулешова Т.В., представитель по доверенности N 1759/2019 от 04.12.2019, удостоверение адвоката N 600; Якубенко Т.Г., представитель по доверенности N 017П/3 от 22.07.2019, паспорт гражданина РФ; Журавлев В.Ю., представитель по доверенности N1758/2019 от 04.12.2019, паспорт гражданина РФ,

рассмотрев в открытом судебном заседании апелляционную жалобу общества с ограниченной ответственностью "Торговый дом "Антарес" на решение Арбитражного суда Липецкой области от 25.10.2019 по делу N А36-1780/2016

по иску общества с ограниченной ответственностью "Торговый дом "Антарес" (ООО "ТД "Антарес"; ОГРН 1024800832430, ИНН 4825024465) к Банку ЗЕНИТ (публичное акционерное общество) (ПАО Банк Зенит; ОГРН 1027739056927, ИНН 7729405872) о взыскании 77 698 494 руб. 83 коп.

УСТАНОВИЛ:

Общество с ограниченной ответственностью "Торговый дом "Антарес" (далее - ООО "ТД "Антарес", истец) обратилось в Арбитражный суд Липецкой области с иском, уточненном в порядке статьи 49 Арбитражного процессуального кодекса Российской Федерации, к публичному акционерному обществу Банк социального развития и строительства "Липецккомбанк" (далее - ПАО "Липецккомбанк", ответчик) о взыскании 65296145 руб. 80 коп. убытков, 12 402 349 руб. 03 коп. процентов за пользование чужими денежными средствами до за период с 12.09.2015 по 16.03.2017 с последующим начислением процентов по день фактической оплаты задолженности.

Решением Арбитражного суда Липецкой области от 20.03.2018 в удовлетворении исковых требований отказано.

Постановлением Девятнадцатого арбитражного апелляционного суда от 03.08.2018 решение Арбитражного суда Липецкой области от 20.03.2018 по делу N А36-1780/2016 отменено, с ответчика в пользу истца взыскано 28885316 руб. 74 коп. убытков и 4 534 994 руб. 74 коп. процентов за пользование чужими денежными средствами с начислением процентов, исходя из суммы долга и ключевой ставки Центрального банка Российской Федерации по день фактической уплаты. В остальной части иска отказано.

Постановлением Арбитражного суда Центрального округа от 10.12.2018 решение Арбитражного суда Липецкой области от 20.03.2018 и постановление Девятнадцатого арбитражного апелляционного суда от 03.08.2018 по делу N А36-1780/2016 отменены. Дело направлено на новое рассмотрение в Арбитражный суд Липецкой области.

При новом рассмотрении дела решением Арбитражного суда Липецкой области от 25.10.2019 в удовлетворении исковых требований отказано.

Не согласившись с принятым судебным решением, ссылаясь на его незаконность и необоснованность, истец обратился в Девятнадцатый арбитражный апелляционный суд с апелляционной жалобой, в которой просит отменить решение суда и принять по делу новый судебный акт, удовлетворив исковые требования полностью.

В ходе рассмотрения дела в суде апелляционной инстанции определением от 31.01.2020 произведена замена ответчика публичного акционерного общества Банк социального развития и строительства "Липецккомбанк" (ОГРН 1024800001852, ИНН 4825005381) его правопреемником Банком ЗЕНИТ (публичное акционерное общество) (ОГРН 1027739056927, ИНН 7729405872).

Представители истца поддержали доводы апелляционной жалобы с учетом представленных дополнений, просили обжалуемое решение отменить и принять по делу новый судебный акт.

Представители ответчика возражали против доводов апелляционной жалобы по основаниям, указанным в отзыве на апелляционную жалобу и дополнениях к нему.

Согласно части 1 статьи 268 АПК РФ при рассмотрении дела в порядке апелляционного производства арбитражный суд по имеющимся в деле и дополнительно представленным доказательствам повторно рассматривает дело.

Изучив материалы дела, обсудив доводы апелляционной жалобы, с учетом дополнений, и возражений на нее, заслушав объяснения представителей истца и ответчика, судебная коллегия не находит оснований для отмены судебного акта в связи со следующим.

Как следует из материалов дела, между открытым акционерным обществом Банк социального развития и строительства "Липецккомбанк" (в настоящее время переименован в публичное акционерное общество Банк социального развития и строительства "Липецккомбанк", банк) и обществом с ограниченной ответственностью "Торговый дом "Антарес" (клиент) заключен договор банковского счета N 3566 от 18.12.2003, согласно которому банк открывает клиенту расчетный/текущий счет в порядке и на условиях договора и обязуется принимать и зачислять поступающие на счет денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету.

Пунктом 2.1 договора банковского счета стороны предусмотрели, что операционный день устанавливается банком с 09 час. 30 мин. до 13 час. московского времени. Продолжительность операционного дня может быть изменена банком, о чем клиенты извещаются путем вывешивания объявления.

Согласно пункту 2.4 договора банковского счета оплата денежно-расчетных документов со счета клиента производится только в пределах наличия средств на счете клиента на начало операционного дня.

В силу пункта 2.5 договора банковского счета, списание средств со счета клиента производится только по его поручению или с его согласия, если иное не предусмотрено законодательством РФ или договором.

В соответствии с пунктом 3.1.3 банк принял на себя обязательства своевременно и правильно производить расчетные операции по поручениям клиента в строгом соответствии с действующим законодательством РФ и нормативными актами Центрального банка РФ.

Во исполнение обязательств по договору банковского счета ответчик открыл истцу расчетный счет N 40702810600000001422.

Кроме того, между открытым акционерным обществом Банк социального развития и строительства "Липецккомбанк" (банк) и обществом с ограниченной ответственностью "Торговый дом "Антарес" (клиент) заключен договор N 184 о работе в режиме "Банк-Клиент" от 20.12.2013, предметом которого является порядок осуществления передачи программного обеспечения системы "Банк-Клиент" (далее - АРМ Клиента) в пользование клиенту и порядок осуществления сторонами обмена электронными сообщениями (далее - ЭС) (включая расчетные ЭС), осуществления операций по счетам клиента на основании ЭС, передаваемых через коммуникационную сеть между банком и клиентом с использованием АРМ Клиента.

Пунктом 2.1 договора "Банк-Клиент" стороны предусмотрели, что все термины и положения Регламента по обращению с криптографическими средствами, Регламента по работе с системой Банк-Клиент, правил пользования услугами "SMS-информирование" и "email-информирование" являются неотъемлемой частью договора.

В пункте 3.5 договора "Банк-Клиент" указано, что стороны признают, что используемые во взаимоотношениях между клиентом и банком ЭС, заверенные усиленной неквалифицированной электронной подписью (далее - НЭП), имеют равную юридическую силу с документами на бумажном носителе, имеющими соответствующие собственноручные подписи и печати (независимо от того, существуют такие документы на бумажном носителе или нет). В случае, если в договорах и иных документах между сторонами используется термины "электронно-цифровая подпись", "ЭЦП" или "КА", под ними подразумевается НЭП.

Как следует из материалов дела, с расчетного счета истца ответчиком произведено перечисление денежных средств на основании следующих платежных поручений:

- N 1450 от 11.09.2015 на сумму 4 589 215 руб.;

- N 1451 от 11.09.2015 на сумму 5 892 132 руб.;

- N 1452 от 11.09.2015 на сумму 4 814 591 руб.;

- N 1453 от 11.09.2015 на сумму 4 725 610 руб.;

- N 1454 от 11.09.2015 на сумму 3 771 248 руб.;

- N 1455 от 11.09.2015 на сумму 5 752 197 руб.;

- N 1456 от 11.09.2015 на сумму 3 457 215 руб.;

- N 1457 от 11.09.2015 на сумму 5 781 244 руб.;

- N 1458 от 11.09.2015 на сумму 4 975 211 руб.;

- N 1459 от 11.09.2015 на сумму 4 872 144 руб.;

- N 1460 от 11.09.2015 на сумму 4 875 211 руб.;

- N 1461 от 11.09.2015 на сумму 4 753 284 руб.;

- N 1462 от 11.09.2015 на сумму 4 981 247 руб.;

- N 1463 от 11.09.2015 на сумму 5 871 245 руб.;

- N 1464 от 11.09.2015 на сумму 4 975 215 руб.;

- N 1465 от 11.09.2015 на сумму 4 865 219 руб.;

- N 1466 от 11.09.2015 на сумму 5 589 214 руб.;

- N 1467 от 11.09.2015 на сумму 4 987 572 руб.

Всего на общую сумму 89 529 014 руб.

По факту направления платежных поручений на перечисление денежных средств неизвестными лицами следователем следственной части СУ УМВД России по Липецкой области Лариным Р.Л. возбуждено уголовное дело N 031510586 (постановление о возбуждении уголовного дела и принятии его к производству от 12.09.2015).

ООО "ТД "Антарес" направил ответчику претензию от 25.01.2016 N 14, в которой указал, что не давал распоряжений по перечислению вышеуказанных сумм, в связи с чем просил возместить убытки.

Письмом от 15.02.2016 N 799/13 ответчик отказал в удовлетворении претензии истца.

Неисполнение ответчиком обязанности по возмещению убытков послужило основанием для обращения истца в суд с настоящим иском.

Отказывая в удовлетворении исковых требований, арбитражный суд первой инстанции исходил из следующего.

Проанализировав условия заключенных между сторонами договоров, суд пришел к правомерному выводу, что в рассматриваемом случае взаимоотношения сторон регулируются нормами главы 45 Гражданского кодекса Российской Федерации (далее - ГК РФ).

Согласно пункту 1 статьи 845 ГК РФ по договору банковского счета банк обязуется принимать и зачислять поступающие на счет, открытый клиенту (владельцу счета), денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету.

Банк не вправе определять и контролировать направления использования денежных средств клиента и устанавливать другие, не предусмотренные законом или договором банковского счета ограничения его права распоряжаться денежными средствами по своему усмотрению (пункт 3 статьи 845 ГК РФ).

Списание денежных средств со счета осуществляется банком на основании распоряжения клиента. Без распоряжения клиента списание денежных средств, находящихся на счете, допускается по решению суда, а также в случаях, установленных законом или предусмотренных договором между банком и клиентом (статья 854 ГК РФ).

В силу статьи 866 ГК РФ банк несет ответственность за необоснованное списание денежных средств со счета клиента.

В соответствии с пунктами 1 и 2 статьи 393 ГК РФ должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства. Убытки определяются в соответствии с правилами, предусмотренными статьей 15 ГК РФ.

Пунктами 1 и 2 статьи 15 ГК РФ предусмотрено, что лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере. Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода).

В пункте 5 постановления Пленума Верховного Суда Российской Федерации от 24.03.2016 N 7 "О применении судами некоторых положений Гражданского кодекса Российской Федерации об ответственности за нарушение обязательств" (далее - постановление Пленума ВС РФ от 24.03.2016 N 7) указано, что по смыслу статей 15 и 393 ГК РФ, кредитор представляет доказательства, подтверждающие наличие у него убытков, а также обосновывающие с разумной степенью достоверности их размер и причинную связь между неисполнением или ненадлежащим исполнением обязательства должником и названными убытками. Должник вправе предъявить возражения относительно размера причиненных кредитору убытков, и представить доказательства, что кредитор мог уменьшить такие убытки, но не принял для этого разумных мер (статья 404 ГК РФ).

Должник, опровергающий доводы кредитора относительно причинной связи между своим поведением и убытками кредитора, не лишен возможности представить доказательства существования иной причины возникновения этих убытков.

Из материалов дела следует и не оспаривается сторонами, что 11.09.2015 неизвестные лица посредством электронного сообщения направили ответчику от имени истца платежные поручения N N 1450-1467 на перечисление денежных средств в сумме 89 529 014 руб. Платежные поручения на сумму 89 529 014 руб. были отправлены 11.09.2015 в 12:34:00 лицами, воспользовавшимися уязвимостями системы ДБО ПАО "Липецккомбанк" (заключение экспертизы по уголовному делу от 26.12.2016 N1036/16).

По данному факту СУ УМВД России по Липецкой области было возбуждено уголовное дело N 031510586 (постановление о возбуждении уголовного дела и принятии его к производству от 12.09.2015).

Как следует из экспертного исследования N 1256/15 от 07.12.2015, составленного в рамках расследования уголовного дела экспертом ООО Экспертное учреждение "Воронежский Центр Экспертизы" Музалевским Ф.А., программное обеспечение клиент-банка ПАО "Липецккомбанк" (установленное на исследуемом жестком диске по состоянию на 11.09.2015 - версия 4.0.0.10 и на исследуемом персональном компьютере - версия 6.0.0.16) имеет существенные недостатки с точки зрения безопасности и конфиденциальности, в том числе, противоречащие федеральному законодательству, рекомендациям Центрального банка, и не обеспечивает безопасного совершения платежных операций. Указанные недостатки могут послужить самостоятельным достаточным условием для несанкционированного доступа к счету заказчика и возможности совершения неправомерных платежных операций по списанию средств в сентябре 2015 г. Недостатки безопасности проявляются в передаче данных по незащищенному каналу, возможности подписания платежного поручения при отсутствии ЭЦП, хранение ЭЦП на незащищенном носителе.

Использование всего комплекса стандартных методов обеспечения информационной безопасности (разграничение прав доступа, антивирусная защита, ограничение передаваемой по сети информации) не позволяет устранить указанные недостатки и обеспечить максимальную конфиденциальность и безопасность при использовании программного обеспечения клиент-банка ПАО "Липецккомбанк".

При этом эксперт исследовал жесткий диск HITACI Deskstar model HD722512SVLAT80 s|n CCDPRA8D.

Из заключения экспертов Музалевского Ф.А. и Литвиновой Е.В. N 1036/16 от 22.12.2016, также составленного в рамках уголовного дела, следует, что согласно журналам работы браузера Internet Explorer, пользователь "Оксана" посетила сайт vidal.ru (ip-адрес сайта на момент производства экспертизы - 195.62.52.105, установить адрес на сентябрь 2015 г. не представляется возможным), который был заражен вирусным программным продуктом. В результате действия вируса были выполнены скрипты (программы) с ip-адреса 188.120.227.104. Скрипт выполнил загрузку файла, содержащего средства для удаленного управления персональным компьютером. С их помощью были осуществлены перехват клавиатурного ввода пользователя и получен доступ к содержимому жесткого диска. Данное программное обеспечение взаимодействовало с адресами 37.140.192.183 и 194.58.115.29. Завершающим этапом стала отправка платежных поручений от имени ООО "ТД "Антарес" с ip-адреса 176.106.156.158.

Таким образом, вирусная атака на персональный компьютер ООО "ТД "Антарес" является не единичным действием, а организованной последовательностью операций.

Определением Арбитражного суда Липецкой области от 04.07.2017 по делу назначена судебная компьютерно-техническая экспертиза.

Экспертом Лизоркиным А.М. в заключении от 18.10.2017 N 3137/21-3 установлено, что программа "Банк-Клиент" запрашивала ключи электронной подписи и обращалась к usb-накопителю только при отправке сообщений. Если закрытый ключ хранится только на usb-накопителе (отсутствуют его копии вне этого usb-накопителя), подписать платежное поручение в программе "Банк-Клиент" ПАО "Липецккомбанк" в отсутствие в момент подписания usb-накопителя невозможно.

В заключении эксперта от 18.10.2017 N 3137/21-3 также указано, что на жестком диске компьютера ООО "ТД "Антарес" по состоянию на 11.09.2015 использовалась операционная система Windows XP Service Pack 3. Использование данной операционной системы не являлось безопасным, в том числе, с точки зрения уязвимостей при работе сети "Интернет" и вследствие отсутствия своевременных обновлений, в том числе, критических.

На жестком диске компьютера ООО "ТД "Антарес" по состоянию на 11.09.2015 использовался браузер Windows Internet Explorer 8, версия 8.00.6001.18702, без установленных расширений. Браузер не являлся актуальным на 11.09.2015, в том числе по причинам, изложенным в пункте 4 заключения (отсутствие своевременных обновлений, в том числе, критических).

На исследуемом накопителе на жестких магнитных дисках (НЖМД) по состоянию на 11.09.2015 не имеется встроенных в операционную систему подсистем безопасности, обеспечивающих защиту от несанкционированного доступа посредством вирусных атак. Встроенные в операционную систему подсистемы безопасности, обеспечивающие защиту от несанкционированного сетевого доступа, отключены.

На жестком диске компьютера ООО "ТД "Антарес" по состоянию на 11.09.2015 не установлены сторонние программные средства безопасности.

Данных об осуществлении пользователями доступа к почтовому ящику astra888@inbox.ru по состоянию на 11.09.2015 на исследуемом жестком диске компьютера ООО "ТД "Антарес" не имеется.

Информация о вредоносном программном обеспечении, установленном на жестком диске компьютера, принадлежащего ООО "ТД "Антарес", по состоянию на 11.09.2015, указана в пункте 6 заключения. Механизмы его работы заключаются в предоставлении удаленного доступа и фиксации набранного текста (в том числе, паролей). Поскольку совокупность этих механизмов позволяет осуществить денежный перевод с удаленного компьютера, то в случае, если хищение денежных средств с расчетного счета ООО "ТД "Антарес" имело место, вероятно, оно было осуществлено с использованием этих механизмов.

Вредоносное программное обеспечение, установленное экспертом при ответе на десятый вопрос, не эксплуатирует какие-либо уязвимости, а использует специализированное, не вредоносное по изначальному предназначению, программное обеспечение.

Удаленный доступ к файлам, содержащимся на исследуемом жестком диске компьютера ООО "ТД "Антарес", а также на других носителях, подключенных к компьютеру, в том числе, флеш-накопителях, осуществлялся через специализированное программное обеспечение.

Функционал обеспечения безопасности совершения транзакций программного обеспечения ПАО "Липецккомбанк", установленного на жестком диске компьютера ООО "ТД "Антарес" по состоянию на 11.09.2015, описан в пункте 7 заключения.

При отправке сообщений банку фиксируются контрольные суммы, рассчитанные на основании установленного на АРМ Клиента исполняемого файла, идентификатора процессора и серийного номера жесткого диска.

В составе АРМ Клиента имеется функция обязательного шифрования передаваемых сообщений, повышающая безопасность совершения транзакций с использованием сети "Интернет".

В пункте 2 постановления Пленума Высшего Арбитражного Суда Российской Федерации от 19.04.1999 N 5 "О некоторых вопросах практики рассмотрения споров, связанных с заключением, исполнением и расторжением договоров банковского счета" разъяснено, что если иное не установлено законом или договором, банк несет ответственность за последствия исполнения поручений, выданных неуполномоченными лицами, и в тех случаях, когда с использованием предусмотренных банковскими правилами и договором процедур банк не мог установить факта выдачи распоряжения неуполномоченными лицами.

Исходя из указанных разъяснений, установлена презумпция ответственности банка за последствия исполнения поручений, выданных неуполномоченными лицами. В то же время, законом или договором данная презумпция может быть перераспределена между сторонами.

Пунктом 1 статьи 401 ГК РФ установлено, что лицо признается невиновным, если при той степени заботливости и осмотрительности, какая от него требовалась по характеру обязательства и условиям оборота, оно приняло все меры для надлежащего исполнения обязательства.

В соответствии с пунктом 7.3 договора "Банк-Клиент" банк не несет ответственности за убытки, понесенные клиентом, которые явились следствием:

- доступа к АРМ Клиента лиц, не являющихся ответственными за его обслуживание;

- несоблюдение клиентом регламента по обращению с криптографическими средствами;

- несоблюдение клиентом правил пользования услугами "SMS-информирование" и "email-информирование";

- предоставление клиентом некорректной или непредставление актуальной информации и телефонных номерах и email адресах, необходимых для оказания услуг "SMS-информирование" и "email-информирование";

- отключения клиента от системы "Банк-Клиент".

Согласно пункту 3.4 Регламента по обращению с криптографическими средствами клиент обязан:

- обеспечить надежное хранение криптографических ключей (КК) способом, обеспечивающим их недоступность третьим лицам, включая сотрудников организатора системы обмена электронными сообщениями (СОЭС), а также немедленно уведомлять организатора СОЭС о подозрении, что КК могут быть использованы посторонними лицами;

- использовать ключевые носители только при работе с СОЭС;

- использовать программное обеспечение, предназначенное для обмена сообщениями, информация о которых предоставлена в электронно-цифровом виде (ПО обмена ЭС) и КК только для работы с СОЭС;

- не допускать распространения и копирования ПО обмена ЭС без уведомления организатора СОЭС;

- обеспечивать целостность и неизменность ПО обмена ЭС;

- осуществлять хранение копий всех полученных и переданных ЭС, вместе с кодом аутентификации (КА) в течение срока, установленного соответствующими законами и нормативными актами для хранения бумажных документов;

- организовать внутренний режим функционирования рабочих мест с установленным ПО обмена ЭС таким образом, чтобы исключить возможность физического доступа или использования ПО обмена ЭС лицами, не допущенными к работе с СОЭС;

- производить модификацию ПО обмена ЭС только после подтверждения от сотрудника подразделения информационной безопасности СОЭС (СПИБ СОЭС) о правомочности подобных действий;

- при разрешении конфликтных ситуаций, связанных с установлением подлинности и/или авторства спорного ЭС, предоставлять экспертной комиссии всю запрашиваемую информацию;

- оказывать полное содействие организатору СОЭС при проведении изменений в ПО обмена ЭС (в том числе и при плановой смене КК);

- для работы СОЭС использовать исправное и проверенное на отсутствие компьютерных вирусов оборудование.

В силу пункта 3.6 Регламента по обращению с криптографическими средствами клиент несет ответственность за:

- содержание ЭС, передаваемых по СОЭС и заверенных его КА;

- конфиденциальность, сохранность и неизменность КК и ПО обмена ЭС;

- модификацию ПО обмена ЭС без согласования со СПИБ СОЭС;

- сохранность и работоспособность ключевых носителей;

- работоспособность оборудования, носителей (включая ключевые носители) и программного обеспечения на ЭВМ, используемых для работы СОЭС;

- убытки, возникшие у организатора СОЭС, в результате порчи оборудования и/или программного обеспечения СОЭС клиентом (включая действия компьютерных вирусов на ЭВМ клиента);

- использование ПО обмена ЭС и/или КК в целях отличных от работы с СОЭС;

- убытки, возникшие у организатора СОЭС в результате обработки ЭС, поступивших по СОЭС и заверенных КА клиента, в том числе переданных неуполномоченными лицами.

Проанализировав вышеуказанные положения договора "Банк-Клиент", судом сделан верный вывод о том, что ответчик не несет ответственности за убытки истца, возникшие в результате копирования и использования криптографических ключей третьими лицами.

Ссылка истца на пункт 11 постановления Пленума Высшего Арбитражного Суда Российской Федерации от 14.03.2014 N 16 "О свободе договора и ее пределах" обоснованно отклонены арбитражным судом области, поскольку исходя из его буквального толкования, данные положения применим в случае неясности условий договора и невозможности установить действительную общую волю сторон с учетом цели договора, в том числе, исходя из текста договора, предшествующих заключению договора переговоров, переписки сторон, практики, установившейся во взаимных отношениях сторон, обычаев, а также последующего поведения сторон договора. В рассматриваемом случае из буквального содержания условий договора "Банк-Клиент" во взаимосвязи с регламентом по обращению с криптографическими средствами следует, что банк не несет ответственности за убытки клиента, возникшие в результате копирования и использования криптографических ключей третьими лицами.

Из заключения экспертов Музалевского Ф.А. и Литвиновой Е.В. N 1036/16 от 22.12.2016 следует, что доступ к компьютеру истца произведен в результате посещения пользователем "Оксана" сайта vidal.ru, который был заражен вирусным программным продуктом, что позволило неизвестным лицам получить право удаленного управления персональным компьютером и перехват клавиатурного ввода пользователя, а также доступ к содержимому жесткого диска. Таким образом, копирование и последующее использование криптографических ключей неизвестными лицами произведено в результате действий самого истца (его работников или иных лиц, которые имели доступ к персональному компьютеру).

Учитывая изложенное, арбитражный суд области пришел к обоснованному выводу, что истец не обеспечил надежное хранение криптографических ключей, в связи с чем нарушил обязанность, предусмотренную пунктом 3.4 Регламента по обращению с криптографическими средствами.

В пункте 7.3 договора "Банк-Клиент" стороны предусмотрели, что банк не несет ответственности за убытки, понесенные клиентом, которые явились следствием несоблюдения клиентом регламента по обращению с криптографическими средствами.

В соответствии с пунктом 1.9. Положения Центрального Банка Российской Федерации от 19.06.2012 N 383-П "О правилах осуществления перевода денежных средств" (далее - Положения Банка России от 19.06.2012 N 383-П) перевод денежных средств осуществляется банками по распоряжениям клиентов, взыскателей средств, банков (далее - отправители распоряжений) в электронном виде, в том числе, с использованием электронных средств платежа, или на бумажных носителях.

Согласно пункту 1.24 Положения Банка России от 19.06.2012 N 383-П распоряжение плательщика в электронном виде, реестр (при наличии) подписываются электронной подписью (электронными подписями), аналогом собственноручной подписи (аналогами собственноручных подписей) и (или) удостоверяются кодами, паролями и иными средствами, позволяющими подтвердить, что распоряжение (реестр) составлено (составлен) плательщиком или уполномоченным на это лицом (лицами).

Удостоверение права распоряжения денежными средствами при приеме к исполнению распоряжения в электронном виде осуществляется банком посредством проверки электронной подписи, аналога собственноручной подписи и (или) кодов, паролей, иных средств, позволяющих подтвердить, что распоряжение в электронном виде подписано и (или) удостоверено в соответствии с пунктом 1.24 настоящего Положения (пункт 2.3 Положения Банка России от 19.06.2012 N 383-П).

На основании пункта 1 статьи 6 Федерального закона от 06.04.2011 N 63-ФЗ "Об электронной подписи" информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, и может применяться в любых правоотношениях в соответствии с законодательством Российской Федерации, кроме случая, если федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами установлено требование о необходимости составления документа исключительно на бумажном носителе.

Согласно выдержке из файла журнала обработки поступившего файла с посылками сервером банка спорные платежные поручения были подписаны электронной цифровой подписью Мягкова Геннадия Александровича, которая была автоматически проверена системой банка и признана корректной. Кроме того, согласно заключению эксперта N 2107/21-3-19 от 29.08.2019, составленному экспертом Титовым В.А., электронная цифровая подпись, использованная при подписании платежных поручений NN 1450-1467 от 11.09.2015 в файле "XML11092015_409/092", принадлежит владельцу сертификата открытого ключа подписи Мягкову Геннадию Александровичу.

При приемке к исполнению распоряжений ООО "ТД "Антарес" Банком выполнены контроль целостности, структурный контроль, контроль значений реквизитов распоряжений и контроль достаточности денежных средств (пункты 2.1-2.3 Положения Банка России от 19.06.2012 N 383-П), в результате чего было установлено, что спорные платежные поручения содержат все необходимые реквизиты, подписаны электронной цифровой подписью Мягкова Г.А., служащей для целей подтверждения его подлинности и идентификации владельца этой ЭЦП, признанной системой подлинности (корректной), в связи с чем при отсутствии оснований к отказы для их исполнения спорные распоряжения были исполнены Банком.

Действия Банка в данном случае носили характер стандартной процедуры по исполнению электронного платежного поручения истца и не могут быть признаны неправомерными.

Кроме того, согласно положениям пункта 3 статьи 845 ГК РФ банк не вправе определять и контролировать направления использования денежных средств клиента и устанавливать другие, не предусмотренные законом или договором банковского счета, ограничения его права распоряжаться денежными средствами по своему усмотрению.

Согласно названной норме для зачисления денежных средств на счет получателя банк не проверяет фактические обстоятельства, не определяет и не контролирует направления использования денежных средств клиента, а лишь осуществляет проверку поступивших платежных документов по формальным признакам.

Доказательства несанкционированного доступа к системе истца по вине банка истцом в материалы дела не представлено.

В материалах дела также отсутствуют безусловные доказательства, свидетельствующие о том, что ответчик с использованием предусмотренных банковскими правилами и договором процедур мог установить факт выдачи распоряжений неуполномоченными лицами (статьи 9, 65 АПК РФ).

Возражения истца о недопустимости заключения эксперта N 2107/21-3-19 от 29.08.2019 ввиду применения экспертом при составлении заключения программного продукта "VIPNet CriptoFile", распространение которого прекращено разработчиком с 1 сентября, не приняты судом во внимание, поскольку из заключения эксперта следует, что экспертиза окончена 29.08.2019, то есть в период действия указанного программного продукта.

Довод истца об исследовании экспертом Титовым В.А. 17 платежных поручений вместо 18 обоснованно отклонен арбитражным судом области, как опровергаемый материалами дела.

Из заключения эксперта Титова В.А. следует, что им исследовались платежные поручения N N 1450-1467 от 11.09.2015, то есть 18 платежных поручений. В судебном заседании обозревался файл "XML11092015_409/092", который содержит 18 платежных поручений. В связи с чем указание в заключении эксперта на исследование 17 платежных поручений вместо 18 является технической опечаткой.

Таким образом, спорные платежные поручения N N 1450-1467 от 11.09.2015 подписаны электронной цифровой подписью руководителя истца и у ответчика отсутствовали правовые основания для отказа в исполнении спорных платежных поручений.

Довод истца о возможности определения ответчиком факта поступления спорных электронных платежных поручений с ip-адреса, ранее не использовавшегося истцом, обоснованно отклонен судом области, так как условиями договора "Банк-Клиент" не предусмотрено ограничение поступления платежных поручений с определенных ip-адресов.

Доводы истца о недостатках и уязвимостях программного продукта, предоставленного банком (передача данных по незащищенному каналу связи, возможности подписания платежного поручения при отсутствии ЭЦП, хранение ЭЦП на незащищенном носителе), носят субъективный характер и не нашли своего подтверждения в ходе рассмотрения дела. Экспертное исследование N 1256/15 от 07.12.2015, составленное Музалевским Ф.А., не содержит ссылок на обязательные к применению требования к обеспечению защиты информации при осуществлении переводов денежных средств, выводы об уязвимости программного обеспечения являются его субъективным мнением. РС БР ИББС-2.6-2014, на которые имеется ссылка в экспертном исследовании N 1256/15 от 07.12.2015, являются рекомендациями, кроме того, из буквального содержания пунктов 6.5, 6.7, 7.1, 8.1, 8.4, 10.1 - 10.4 не следует законодательно установленный запрет на открытое хранение файлов цифровой подписи, а также запрет на передачу данных по незащищенному каналу связи.

Пункт 3 статьи 4 Федерального закона от 06.04.2011 N 63-ФЗ "Об электронной подписи", на который также имеется ссылка в экспертном исследовании N 1256/15 от 07.12.2015, не содержит запрета на возможность отправки платежного поручения при отсутствии носителя с цифровой подписью в момент подписания.

В то же время, положением Центрального Банка Российской Федерации от 09.06.2012 N 382-П утверждены Требования к обеспечению защиты информации при осуществлении переводов денежных средств.

Согласно пункту 3.1 указанного положения контроль за соблюдением операторами платежных систем, операторами услуг платежной инфраструктуры, операторами по переводу денежных средств требований к обеспечению защиты информации при осуществлении переводов денежных средств осуществляется Банком России.

Арбитражный суд области истребовал от Главного управления Центрального Банка Российской Федерации по Центральному федеральному округу материалы проверки, проведенной в отношении ответчика, по факту исполнения платежных поручений N N 1450-1467 от 11.09.2015, направленных неустановленными лицами, о списании с расчетного счета истца денежных средств в сумме 89 529 014 руб., а также материалы проверки о соответствии программного обеспечения "Банк-Клиент" ответчика (актуального по состоянию на 11.09.2015) требованиям к обеспечению защиты информации при осуществлении переводов денежных средств, утвержденным Положением Центрального Банка Российской Федерации от 09.06.2012 N 382-П.

Из выписки из акта проверки Центрального Банка Российской Федерации от 29.09.2017 следует, что для защиты информации ответчиком используются средства защиты информации от несанкционированного доступа, средства сетевой информационной безопасности, средства защиты от воздействия вредоносного кода, а в системе ДБО "Банк-Клиент" используются средства криптографической защиты информации.

Более того, в программном обеспечении Банка использовалось СКЗИ (средство криптографической защиты информации) "Крипто-КОМ 3.3", которое имеет сертификацию ФСБ в соответствии с требованиями к КСЗИ класса КС1 и КС2, и которое обеспечивало защиту системы "Банк-Клиент" от перехвата и замены трафика посередине (атака Man of Middle).

Довод истца об отсутствии у ответчика необходимой лицензии на разработку программного продукта также опровергается материалами дела (сублицензионным договором N СК-321-13 от 23.07.2013, лицензиями на использование программного продукта Компании "Сигнал-КОМ", лицензией УФСБ России по Липецкой области ЛСЗ N 0006808 от 03.12.2013).

Из письма УФСБ России по Липецкой области от 26.09.2016 N 102/6/9/1332 следует, что включать в лицензию ФСБ России услуги по разработке защищенных с использованием шифровальных (криптографических) средств (далее - СКЗИ) информационных систем нет необходимости, так как ответчик использует сертифицированные СКЗИ и разработку собственных средств шифрования не осуществляет.

Более того, на официальном сайте банка размещены рекомендации по защите для клиентов, использующих систему "Банк-Клиент", которые являются общедоступными. Истец вправе был с ними ознакомиться и соблюдать.

Довод истца о возникновении убытков в результате неправомерного увеличения ответчиком денежных средств на расчетном счете истца в сумме 46 000 000 руб. также обоснованно отклонен судом области ввиду следующего.

Из пояснений истца следует, что по состоянию на начало дня 11.09.2015 остаток денежных средств на расчетном счете истца составлял 131 972 185 руб. 66 коп. Истцом перечислены денежные средства в сумме 46 000 000 руб. (получатель платежа ЗАО "ЗЕРОС", первый платеж), 36 710 000 руб. (получатель платежа ИП Поликутин И.Ю.) и 672 446 руб. 72 коп. (получатель платежа ООО "ТехФорс"). Кроме того, на расчетный счет истца поступили денежные средства в сумме 4 528 446 руб.

Таким образом, на расчетном счете истца имелись денежные средства в сумме 53 118 184 руб. 94 коп. (131 972 185 руб. 66 коп. - 46 000 000 руб. - 36710000 руб. - 672 446 руб. 72 коп. + 4 528 446 руб.).

Впоследствии истцом было отозвано платежное поручение о перечислении ЗАО "ЗЕРОС" 46 000 000 руб. (первый платеж).

Из протокола дополнительного допроса представителя потерпевшего от 18.11.2016 усматривается, что генеральным директором истца Мягковым Г.А. было дано распоряжение бухгалтеру Кузнецовой О.В. об отзыве первого платежа в сумме 46 000 000 руб., предназначенного ЗАО "ЗЕРОС", которая, в свою очередь, направила в банк документ об отзыве платежа.

Протокол дополнительного допроса представителя потерпевшего от 18.11.2016 подписан руководителем истца (Мягковым Г.А.) без замечаний, при допросе присутствовал адвокат Камахин О.В., который также подписал указанный протокол без замечаний.

Таким образом, последующее изменение в ходе рассмотрения дела объяснений истца в части отсутствия распоряжения на отзыв платежа, расценены судом как противоречивое поведение, направленное на искажение фактических обстоятельств, что является недопустимым.

Учитывая изложенное, отзыв первого платежа в сумме 46 000 000 руб. произведен ответчиком по воле истца и на основании его распоряжения.

Довод истца о безотзывности перевода денежных средств не имеет правового значения по делу, поскольку на момент исполнения платежных поручений о перечислении спорных сумм, направленных неустановленными лицами, денежные средства в размере 46 000 000 руб. находились на расчетном счете истца.

В ходе рассмотрения дела истцом было заявлено о фальсификации доказательств по делу, а именно:

- выписки со счета за 11.09.2015 (т. 4, л.д. 85-88);

- выписки со счета по зачислению кредита за 11.09.2015 (т. 4, л.д. 89);

- банковского ордера N 57743 от 11.09.2015 (т. 4, л.д. 90);

- выписки из лицевого счета за 10.09.2015 (т. 8, л.д. 86-90);

- выписки из лицевого счета за 11.09.2015 (т. 8, л.д. 91-94);

- выписки из лицевого счета за 14.09.2015 (т. 8, л.д. 95-97);

- платежного поручения N 1446 от 10.09.2015 (т. 8, л.д. 98).

В рамках проверки заявления о фальсификации доказательств главным бухгалтером ответчика Зубенковой С.Ю. даны пояснения, из которых следует, что платежное поручение о перечислении денежных средств в сумме 46 000 000 руб. (второй платеж) отражено ответчиком в выписке из лицевого счета за 10.09.2015 по причине указания истцом даты платежного поручения - 10.09.2015. В отношении зачисления кредита в сумме 36 710 000 руб. главный бухгалтер пояснил, что в заявлении о предоставлении транша по договору истцом указана дата предоставления транша 11.09.2015, в связи с чем данная операция была отражена ответчиком с указанной истцом датой.

Вместе с тем, отражение ответчиком даты второго платежа в сумме 46000000 руб. как 10.09.2015, а также указание ответчиком даты предоставления кредитного транша в сумме 36 710 000 руб. - 11.09.2015, не имеет правового значения по делу, так как перечисление денежных средств в сумме 46 000 000 руб. (второй платеж) и зачисление денежных средств в сумме 36 710 000 руб. было произведено после исполнения ответчиком платежных поручений от неизвестных лиц о перечислении денежных средств в сумме 89 529 014 руб.

Таким образом, заявления истца о фальсификации доказательств по делу обоснованно не принято судом во внимание, так как данные доказательства не имеют правового значения по делу.

В ходе рассмотрения дела истцу на основании постановления Правобережного районного суда г. Липецка возвращены денежные средства в сумме 24 232 868 руб. 20 коп. В связи с чем, истец уменьшил размер исковых требований до 65 296 145 руб. 80 коп.

В силу части 1 статьи 65 АПК РФ каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается как на основание своих требований и возражений.

Вместе с тем, в нарушение статьи 65 АПК РФ истец не представил доказательств, подтверждающих, что возникновение убытков в размере 65296145 руб. 80 коп. произошло в результате противоправных действий ответчика.

Оценив имеющиеся в материалы дела доказательства в порядке статьи 71 АПК РФ, суд пришел к выводу, что копирование и последующее использование криптографических ключей неизвестными лицами произошло в результате действий самого истца, а условиями договора стороны предусмотрели, что ответчик не несет ответственности за убытки, возникшие в результате подобных действий, в связи с чем в удовлетворении исковых требований правомерно отказал.

Суд апелляционной инстанции считает, что истцом не доказаны ни факт нарушения банком своих обязательств по исполнению договора банковского счета, ни наличие причинно-следственной связи между действиями ответчика и возникшими у истца убытками.

Поскольку в удовлетворении основного требования отказано, производное требование о взыскании процентов за пользование чужими денежными средствами за период с 12.09.2015 по 16.03.2017 в размере 12402349 руб. 03 коп., начисленных на заявленную сумму долга, с последующим начислением по день фактической оплаты задолженности в порядке статьи 395 ГК РФ, также подлежит отклонению.

В апелляционной жалобе истец ставит под сомнение заключение эксперта N 2107/21-3-19 от 29.08.2019, составленное Титовым В.А., указывая на его недопустимость и недостоверность в связи с предоставлением ответчиком для исследования на экспертизу файла XML11092015_409/092, который, по мнению истца, не является первоначальным файлом, а представляет собой файл, полученный в результате преобразования банком первоначального файла.

Криптографическая подсистема системы опирается на российское законодательство в области электронной подписи, инфраструктуры открытых ключей и защиты информации, в том числе, на действующие ГОСТ и руководящие документы ФСБ, а также на международный стандарт Х.509, определяющий принципы и протоколы, используемые при построении систем с открытыми ключами.

Инфраструктура открытых ключей - это система, в которой каждый пользователь имеет пару ключей - закрытый (секретный) и открытый. При этом по закрытому ключу можно построить соответствующий ему открытый ключ, а обратное преобразование неосуществимо или требует огромных временных затрат. Каждый пользователь Системы генерирует себе ключевую пару, и, сохраняя свой закрытый ключ в строгой тайне, делает открытый ключ общедоступным. С точки зрения инфраструктуры открытых ключей, шифрование представляет собой преобразование сообщения, осуществляемое с помощью открытого ключа получателя информации. Только получатель, зная свой собственный закрытый ключ, сможет провести обратное преобразование и прочитать сообщения, а больше никто сделать этого не сможет, в том числе - и сам отправитель шифрограммы. Электронная подпись в инфраструктуре открытых ключей - это преобразование сообщения с помощью закрытого ключа отправителя. Любой желающий может для проверки подписи провести обратное преобразование, применив общедоступный открытый ключ (ключ проверки ЭП) автора документа, но никто не сможет имитировать такой документ, не зная закрытого ключа (ключа ЭП) автора.

Следовательно, обладатель открытого ключа, получив сформированный с использованием закрытого ключа файл, производит его дешифрование, проверяет аутентичность электронной подписи и при наличии установленных программных комплексом соответствий допускает файл в качестве подлинного файла, принадлежащего конкретному отправителю - клиенту, обладающему закрытым ключом. Таким образом, после использования открытого ключа, первоначальный файл утрачивается физически, будучи преобразованным программными средствами в файл, подлежащий исполнению программой банка.

Исходя из вышеизложенного, довод истца является несостоятельным, поскольку в экспертном заключении от 18.10.2017 N 3137/21-3 речь идет о материальном носителе и отсутствии на нем информации об ЭЦП, а в экспертизе N 2107/21-3-19 от 29.08.2019, составленной экспертом Титовым В.А., выводы эксперта касаются непосредственно самого файла, содержащегося на носителе.

При этом необходимо отметить, что первоисточник, содержащий информацию о программных средствах, используемых ООО "ТД "Антарес", и установленном закрытом ключе системный блок (жесткий диск) на экспертное исследование так и не был представлен, а значит определить достоверно фактическое использование оригинальной ЭЦП путем создания файлов на ПК Клиента или путем мошеннических действий третьих лиц, достоверно установить невозможно, что и констатировано экспертом Лизоркиным А.М. при допросе судом 17.01.2018, который проводил первичное экспертное исследование.

Доводы истца о необходимости удовлетворения исковых требований в части возмещения убытков в размере 46 000 000 руб. подлежат отклонению, исходя из следующего.

Как следует из материалов дела, истцом не оспаривался факт предоставления в банк платежного поручения N 1446 от 10.09.2015 в бумажном варианте, которым клиент дал поручение банку на перечисление денежных средств в размере 46 000 000 руб. в пользу ООО "Зерос".

Фактическое перечисление спорной суммы было произведено банком единожды, несмотря на то, что 11.09.2015 ООО "ТД "Антарес" направило повторно платежное поручение N 1446 от 10.09.2015 в электронном виде, которое впоследствии было им же и отозвано. Между тем, в рассматриваемом случае момент зачисления денежных средств в пользу ООО "Зерос" не имеет правового значения, а тем более не наделяет истца правом на требование данной суммы к возврату.

Согласно выписке из лицевого счета ООО "ТД "Антарес" за период с 10.09.2015 по 14.09.2015 все поручения клиента исполнялись в пределах денежных средств, имеющихся на счете. При этом необходимо учесть, что наличие денежных средств на счете ООО "ТД "Антарес" на начало 11.09.2015 являлось достаточным для осуществления всех платежей, которые осуществлял клиент, за исключением платежей, списанных мошенническим способом в размере 89 529 014 руб.

В связи с чем, заявление ООО "ТД "Антарес" о предоставление транша по договору в размере 36 710 000 руб. с указанием срока предоставления - 11.09.2015, может свидетельствовать о намерении клиента совершать и иные платежи, в том и несанкционированные, для осуществления которых на расчетном счете клиента денежных средств было недостаточно в размере предоставленного банком транша. ООО "ТД "Антарес" не представило достаточных и прямых доказательств, позволяющих однозначно утверждать об отсутствии волеизъявления на совершение действий по направлению в банк распоряжений о перечислении денежных средств в размере 85972175,66 руб.

Также истец не представил в материалы дела доказательств того, что в момент совершения мошеннических платежей на компьютере истца отсутствовали вредоносные файлы, позволившие совершить спорные платежи путем удаленного доступа. Не подтверждено достоверно и факта наличия у истца установленного программного обеспечения, задачей которого являлось бы воспрепятствование несанкционированного доступа злоумышленников к компьютеру. Следовательно, ООО "ТД "Антарес" фактически не обеспечил необходимый уровень безопасности (технической защищенности) своего программного обеспечения, используемого при работе с системой "Банк-Клиент".

Ссылка ООО "ТД "Антарес" на несовершенство и отсутствие обеспечения защищенности и безопасности системы "Банк-Клиент" ответчика, что якобы привело к нарушению его прав, также подлежит отклонению как несостоятельная, поскольку истцом не представлено доказательств, подтверждающих такое заявление.

Иные доводы заявителя апелляционной жалобы не содержат фактов, которые не были бы проверены и учтены судом первой инстанции при рассмотрении дела по существу спора, опровергали бы выводы суда первой инстанции, либо влияли на обоснованность и законность принятого по делу решения.

Приведенные в жалобе доводы свидетельствуют о несогласии заявителя с выводами суда первой инстанции, основанным на оценке доказательств; иное толкование норм права, подлежащих применению в настоящем деле, не свидетельствуют о наличии в принятом судебном акте существенных нарушений норм материального и (или) процессуального права, повлиявших на исход судебного разбирательства или допущенной судебной ошибки.

При указанных обстоятельствах оснований для удовлетворения апелляционной жалобы и для отмены обжалуемого судебного акта не имеется.

Нарушений норм процессуального законодательства, являющихся в силу части 4 статьи 270 АПК РФ безусловным основанием для отмены принятого судебного акта, судом области не допущено.

Государственная пошлина за рассмотрение апелляционной жалобы в сумме 3 000 руб. на основании статьи 110 АПК РФ относится на ее заявителя.

Руководствуясь статьями 266-269, 271 Арбитражного процессуального кодекса Российской Федерации, суд

ПОСТАНОВИЛ:

Решение Арбитражного суда Липецкой области от 25.10.2019 по делу N А36-1780/2016 оставить без изменения, а апелляционную жалобу общества с ограниченной ответственностью "Торговый дом "Антарес" - без удовлетворения.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в кассационном порядке в Арбитражный суд Центрального округа в двухмесячный срок через арбитражный суд первой инстанции согласно части 1 статьи 275 Арбитражного процессуального кодекса Российской Федерации.

Председательствующий судья

Т. И. Орехова

Судьи

Л. А. Серегина Л. М. Мокроусова