Постановление Девятого арбитражного апелляционного суда от 21 апреля 2022 г. N 09АП-21831/22 по делу N А40-261612/2021

г. Москва

21 апреля 2022 г.

Дело N А40-261612/21

Резолютивная часть постановления объявлена 19 апреля 2022 года.

Постановление изготовлено в полном объеме 21 апреля 2022 года.

Девятый арбитражный апелляционный суд в составе:

председательствующего судьи Яниной Е.Н.,

судей: Валиева В.Р., Петровой О.О.

при ведении протокола судебного заседания секретарем Кан В.И.,

рассмотрев в открытом судебном заседании апелляционную жалобу КИВИ БАНК (АО)

на решение Арбитражного суда города Москвы от 25.02.2022 г

по делу N А40-261612/2021

по иску КИВИ БАНК (АО) (МОСКВА ГОРОД, ОГРН: 1027739328440, ИНН: 3123011520)

к ПАО АКБ "АВАНГАРД" (Г. МОСКВА, ОГРН: 1027700367507, ИНН: 7702021163)

о взыскании 5 347 335,78 руб.

и по встречному иску ПАО АКБ "АВАНГАРД"

к КИВИ БАНК (АО)

о взыскании неиспользованного аванса в размере 5 358 010,53 руб.,

при участии в судебном заседании:

от КИВИ БАНК (АО) - Просветов Ю.А. по доверенности от 13.04.2021 г., Пухарева Е.М. по доверенности от 18.04.2022 г.;

от ПАО АКБ "АВАНГАРД" - Тизенгольт Д.О. по доверенности от 10.12.2021 г., Маковеева Е.В. по доверенности от 10.12.2021 г.;

УСТАНОВИЛ:

КИВИ БАНК (АО) обратилось в Арбитражный суд г. Москвы с иском к ПАО АКБ "АВАНГАРД" о взыскании основного долга в размере 3 960 989 руб. 47 коп., сумму процентов в размере 1 386 346 руб. 31 коп.

ПАО АКБ "АВАНГАРД" заявлен встречный иск к КИВИ БАНК (АО) о взыскании неиспользованного аванса в размере 5 358 010 руб. 53 коп.

Решением Арбитражного суда города Москвы от 25.02.2022 г по делу N А40-261612/2021 в удовлетворении первоначального иска отказано полностью; встречный иск удовлетворен; с КИВИ БАНК (АО) в пользу ПАО АКБ "АВАНГАРД" взыскана 5 358 010 руб. 53 коп. - сумма неиспользованного аванса, 49 790 руб. - государственная пошлина.

Не согласившись с принятым по делу судебным актом, КИВИ БАНК (АО)обратилось в Девятый арбитражный апелляционный суд с апелляционной жалобой, в которой просило указанное решение суда первой инстанции отменить и принять по делу новый судебный акт, которым в удовлетворении встречных исковых требований отказать в полном объеме, удовлетворив первоначально заявленный иск.

В обоснование доводов жалобы заявитель ссылается на неполное выяснение обстоятельств, имеющих значение для дела, допущение нарушение норм материального и процессуального права.

Информация о принятии апелляционной жалобы к производству вместе с соответствующим файлом размещена в информационно-телекоммуникационной сети Интернет на сайте www.kad.arbitr.ru в соответствии положениями части 6 статьи 121 Арбитражного процессуального кодекса Российской Федерации (далее- АПК РФ).

В судебном заседании Девятого арбитражного апелляционного суда представитель КИВИ БАНК (АО) поддержал доводы апелляционной жалобы, просил ее удовлетворить.

В судебном заседании Девятого арбитражного апелляционного суда представитель ПАО АКБ "АВАНГАРД" возражал относительно удовлетворения апелляционной жалобы, в том числе, по доводам, изложенным в отзыве на апелляционную жалобу, приобщенного к материалам дела в порядке ст. 262 АПК РФ.

Законность и обоснованность обжалуемого судебного акта проверены в апелляционном порядке.

Как следует из материалов дела и установлено судом первой инстанции, 10.08.2011 между КИВИ БАНК (АО) и ПАО АКБ "АВАНГАРД" заключен договор об информационно-технологическом взаимодействии 1200144/ДБ, являющийся договором присоединения, условия которого определены и включены в Правила работы для кредитных организаций.

19.09.2021 от ПАО АКБ "АВАНГАРД" в КИВИ БАНК (АО) в электронном виде с использованием корректных и известных исключительно ответчику идентификационных данных (логин, номер терминала, пароль) истцу передана информация о принятых ответчиком переводах на сумму 9 437 219,88 руб.

19.09.2021 исх. Письмом N 016/76000 ответчик сообщил о выявленном факте компроментации логина и пароля доступа к платежной системе КИВИ и просил произвести замену логина и пароля, а также ограничить доступ к платежному сервису из сети интернет только с определенного IP-адреса.

По результатам проведенного расследования произошедшего инцидента, установлено, что платежи 19.09.2021 выполнены с корректными аутентификационными данными в связке с логином и номером приложения (процессинга QD).

Истец в личном кабинете ответчика разместил Акт за сентябрь 2012 года.

Ответчик в соответствии с заключенным договором возражений к акту о проведенных операциях за сентябрь 2021 года не предоставил, тем самым признав задолженность по договору в размере 3 960 989,47 руб.

Поскольку обязательство по перечислению сумм переводов, не позднее 23:59 20.09.2021, ответчиком не выполнено истец просит взыскать с ответчика установленную заключенным договором неустойку в размере 0,5 процентов в день от суммы задолженности за период с 21.09.2021 г по 29.11.2021 г в сумме 1 386 346,31 руб.

ПАО АКБ "АВАНГАРД", не согласившись с доводами первоначального иска, заявило встречный иск о взыскании неиспользованного аванса в размере 53 580 110,53 руб. мотивировав его тем, что в период действия договора вплоть до 19.09.2021 г Банк осуществлял денежные переводы своих клиентов в системе КИВИ Банк, вносил авансовые платежи, предусмотренные договором.

На начало 17.09.2021 г нарастающим итогом положительный баланс авансовых платежей, перечисленных Банком в КИВИ Банк, составлял 3 003 411,20 руб. (на начало дня), также 17.09.2021 переведен аванс в размере 4 076 896,95 руб., что подтверждается Актом об оказании услуг за август 2021 года, платежными поручениями за период с 01.09.2021 г по 17.09.2021 г, а также указано в электронной переписке между истом и ответчиком.

По информации КИВИ Банк 19.09.2021 им к исполнению приняты переводы от имени Банка на сумму 9 319 000 руб. с IP-адреса 85.236.25183, не принадлежащего Банку.

Однако в период с 17.09.2021 по 19.09.2021 Банком совершены переводы клиентов на сумму 1 722 297,62 руб.: 17.09.2021 на сумму 917 524,86 руб., 18.09.2021 на сумму 686 552,88 руб., 19.09.2021 г на сумму 118 219,88 руб., 9 319 000 руб. к переводам Банка отношения не имеют.

В этой связи, начиная с 11 часов 36 минут 19.09.2021, Банком прекращены переводы клиентов банка через систему КИВИ Банка, 01.10.2021 в соответствии с п.7.2 Правил в адрес КИВИ Банк направлено письменное уведомление о расторжении Договора от 10.08.2011.

По расчету истца по встреченному иску, на конец дня 19.09.2021 сумма неиспользованного аванса, остающегося у КИВИ Банк, составляет разницу между суммой перечисленного ранее Банком аванса (3 003 411,20 руб. + 4 076 896,95 руб.) и суммой денежных переводов клиентов Банка за 17-19 сентября 2021 года (1 722 297,62 руб.) и равна 5 358 010,53 руб.

Поскольку в рамках Договора от 10.08.2011 г полномочия Банка по переводу денежных средств прекращены, истец считает, что подлежит возврату неиспользованный аванс, перечисленный Банком в пользу КИВИ Банк (АО) в размере 5 358 010,53 руб., в противном случае указанная сумма является неосновательным обогащением КИВИ Банк (АО).

Удовлетворяя встречные заявленные исковые требования, и отказывая в удовлетворении первоначального иска, суд первой инстанции исходил из доказанных материалами обстоятельств дела, что Объективные доказательства, что спорные переводы на сумму 9 319 000 руб. произведены с согласия клиента, истцом по первоначальному иску, суду не представлены.

Как указал суд первой инстанции, истцом по первоначальному иску в материалы дела не представлено доказательств, свидетельствующих о том, что спорные переводы от 19.09.2021 на сумму 9 319 000 руб. приняты истцом с соблюдением п. 3.3 Правил, то есть, однозначно и бесспорно подтверждены аналогом собственноручной подписи (логин, пароль, номер Банкомата/Банкомата XML) ПАО АКБ "АВАНГАРД", так как существует техническая возможность совершения платежей, используя аутентификационные данные ответчика из базы данных самого истца, без использования пароля, предоставленного ответчику

Как установлено судом первой инстанции, доказательств компрометации аутентификационых данных на стороне ответчика в материалах дела отсутствуют, указывая на то, что в ходе служебного расследования компрометации аутентификационных данных на стороне ПАО АКБ "АВАНГАРД" не обнаружено.

Суд первой инстанции в оспариваемом решении отразил, что в материалы дела ответчиком представлены убедительные и не опровергнутые истцом доказательства использования статического IP-адреса 193.222.109.145, с которого происходило взаимодействие сторон договора.

Суд принял во внимание, что представленные истцом данные об использовании иных IP-адресов относятся к периоду и операциям 2016 года, в связи с чем, не опровергают довод ответчика, что IP-адрес 193.222.109.145 на протяжении длительного времени являлся единственным.

Доводы истца о возможности ПАО АКБ "АВАНГАРД" закрепить за собой статический IP-адрес суд признал несостоятельным, так как в Правилах работы для кредитных организаций, разработанных КИВИ Банк (АО), такой возможности для кредитной организации не предусмотрено.

Суд указал, что вопреки доводам истца по первоначальному иску о том, что КИВИ Банк (АО) не был известен IP-адрес ответчика в материалы дела представлена электронная переписка от 29.06.2020, из которой следует, что истец до проведения спорных операций запрашивал у ответчика IP-адрес, с которого происходит взаимодействие и ответчик в ответе сообщил IP-адрес 193.222.109.145.

Удовлетворяя встречные исковые требования, суд первой инстанции пришел к убеждению о том, что поскольку в рамках договора от 10.08.2011 полномочия КИВИ БАНК (АО) по переводу денежных средств прекращены, сумма неиспользованного аванса, перечисленного ПАО АКБ "АВАНГАРД" в размере 5 358 010,53 руб. подлежит возврату.

Расчет исковых требований по встречному иску судом проверен, материалами дела не опровергнут, судом признается верным.

Апелляционный суд, повторно исследовав и оценив, представленные в дело доказательства, доводы апелляционной жалобы истца по первоначальному иску, не находит оснований для переоценки выводов суда первой инстанции по примененным нормам материального права и переоценке фактических обстоятельств дела в виду следующего.

Из материалов дела следует, что настоящий спор возник относительно платежей на общую сумму 9 319 000 рублей, осуществленных КИВИ Банк как оператором платежной системы 19 сентября 2021 года (спорные платежи).

КИВИ Банк считает, что поручения на совершение спорных платежей поступили от ПАО АКБ "АВАНГАРД" и требует компенсации своих расходов.

Довод КИВИ Банка состоит в том, что сообщения о спорных платежах содержали данные о логине, пароле и номере банкомата, что согласно договору является бесспорным подтверждением совершения платежей Ответчиком.

В апелляционной жалобе КИВИ Банка заявлен довод о том, что представленные им в дело сообщения о спорных платежах (лог- файлы) являются свидетельствами однозначного и бесспорного подтверждения совершения операций ПАО АКБ "АВАНГАРД", поскольку содержат уникальные данные о логине, пароле и номере банкомата.

КИВИ Банк оспаривает выводы суда в части оценки лог- файлов, считает, что "лог- файлам" судом не дана какая-либо оценка.

Вместе с тем, отклоняя данные доводы истца по первоначальному иску, апелляционная коллегия исходит из тех обстоятельств, что оценка судом технических аспектов обстоятельств спора, основана на имеющихся в материалах дела заключениях специалистов:

-Отчет по итогам расследования инцидента КИВИ Банк (АО) от 14.10.21г. (т. 1 л.д.48-51)

-Акт служебного расследования ПАО АКБ "АВАНГАРД" от 14.01.22г. (т. 3 л.д. 94-97)

-Заключение специалиста ООО "Информационные технологии будущего" от 04.02.22г. (т.4 л.д. 36-46)

-Заключение эксперта ООО "Секью" от 15.02.2022 г (т. 6 л.д.81-94).

При этом, апеллянтом возражений против выводов специалистов не заявлено.

Из анализа выводов специалистов по обстоятельствам дела следует:

-Указание хэша пароля в Сообщении не свидетельствует о том, что запрос создан с использованием пароля. Для направления Сообщения о переводе не требуется знать пароль. Данных, которые хранятся у КИВИ Банк (АО), достаточно для формирования Сообщения о переводе от имени ПАО АКБ "АВАНГАРД". (Заключение специалиста ООО "Информационные технологии будущего, т.4 л.д. 36-46)

-Обладая данными о хэше пароля ПАО АКБ "АВАНГАРД", но не зная самого пароля, возможно оформить сообщение о переводе в системе КИВИ Банк (АО) от имени ПАО АКБ "АВАНГАРД". Пример механизма и условия формирования и отправки такого сообщения представлены в главе 2 Исследование. (Заключение эксперта ООО "Секью" т. 6 л.д.81-94)

-Сгенерированный пароль отправляется Агенту, запросившему этот пароль. Параллельно с этим, процессинг применяет необратимую хэш-функцию на сгенерированный пароль и сохраняет полученный хэш в базу данных,.происходит сравнение полученного хэша с хэшем из базы данных. В случае совпадения хэшей запрос считается аутентифицированным и далее запускается процесс проведения платежа". (Отчет по итогам расследования инцидента КИВИ Банка т. 1 л.д.48-51)

-Получение НТТР- запроса с 1Р-адреса, ранее не использовавшегося отправителем, является признаком несанкционированности запроса". (Заключение специалиста ООО "Информационные технологии будущего т.4 л.д. 36-46)

-Компрометации аутентификационных данных на стороне ПАО АКБ "АВАНГАРД" не обнаружено. (Акт служебного расследования ПАО АКБ "АВАНГАРД" т. 3 л.д. 94-97)

На указанных выводах специалистов основаны выводы суда об обстоятельствах инцидента.

Ввиду изложенного, судом установлено, что технически доказано, что лог-файлы, на которые ссылается КИВИ Банк, не содержат доказательств подписания сообщений о переводах с использованием пароля ПАО АКБ "АВАНГАРД".

На основании указанных обстоятельств, довод апелляционной жалобы о том, что хэша пароля не достаточно для создания и передачи информации о платеже (п. 2) противоречит заключению специалистов.

Оспариваемый вывод суда об отсутствии доказательств компрометации аутентификационных данных на стороне ответчика подтвержден актом служебного расследования (т. 3 л.д. 94-97).

Письмо ПАО АКБ "АВАНГАРД" от 19.09.2021 (т. 1 л.д. 43), вопреки мнению истца по первоначальному иску, не содержит утверждений о компрометации аутентификационных данных на стороне ПАО АКБ "АВАНГАРД".

Из материалов дела следует, что в электронной переписке 19.09.21г. (т. 5 л.д. 92) на вопрос КИВИ Банк: "Правильно ли мы понимаем, что на вашей стороне произошла компрометация логина и пароля для доступа к платежной системе КИВИ?" от Банка АВАНГАРД направлен ответ: "Где именно произошла компрометация нам пока не известно".

Данное обстоятельство обоснованно принято судом первой инстанции.

Оспаривая вывод суда первой инстанции о том, что КИВИ Банк не проявил должной осмотрительности, апеллянт ссылается на отсутствие в решении ссылок на нормы права, и не верную интерпретацию отношения сторон как Банка и Клиента, что исключает проверку со стороны КИВИ Банк (АО) сообщений клиентов ПАО АКБ "АВАНГАРД" по признакам осуществления переводов без согласия клиента.

Вместе с тем, отклоняя данный довод истца, коллегия указывает на то, что в Приказе Банка России N ОД-2525 от 27.09.2018 г. "Об установлении признаков осуществления перевода денежных средств без согласия клиента" перечислены признаки осуществления переводов без согласия клиента, в том числе: несоответствие характера, и (или) параметров, и (или) объема проводимой операции (время (дни) осуществления операции, место осуществления операции, устройство, с использованием которого осуществляется операция и параметры его использования, сумма осуществления операции, периодичность (частота) осуществления операций, получатель средств) операциям, обычно совершаемым клиентом оператора по переводу денежных средств (осуществляемой клиентом деятельности).

Спорные платежи имели признаки переводов без согласия клиента:

-необычный характер и объем операций,

-дробление операций,

-высокая частота операций,

-совершение операций с ранее не использовавшегося 1Р-адреса,

-нестандартная структура сообщений о переводах, никогда не используемая ПАО АКБ "АВАНГАРД",

-нарушение логики работы системы (выявленная системой КИВИ Банк ошибка 215).

Данные признаки установлены судом и их наличие со стороны КИВИ Банк (АО) не оспорено

Судом принимается во внимание, что КИВИ Банк не воспользовался своим правом не принимать переводы в случае обоснованности сомнений в правомерности действий кредитной организации.

На основании вышеизложенного, суд первой инстанции пришел к обоснованному выводу, что нарушений ст. 309, 310 ГК РФ со стороны ПАО АКБ "АВАНГАРД" не допущено.

Судом первой инстанции, верно установлено, что поскольку КИВИ Банк оказывает совместно с ПАО АКБ "АВАНГАРД" услуги по переводу денежных средств плательщиков (физических лиц) поставщикам услуг и является оператором по переводу денежных средств (п. 2.2; 2.3 Правил), нет правовых оснований с его стороны не применять вышеуказанный Приказ ЦБ РФ о признаках несанкционированных операций.

Отправка Сообщений с IР- адреса, не принадлежавшего ПАО АКБ "АВАНГАРД" и ранее никогда банком не использовавшимся, обоснованно оценено (наряду с иными признаками) судом первой инстанции как один из признаков несанкционированности платежей, а также как факт, не позволяющий КИВИ БАНК (АО) однозначно идентифицировать спорные платежи как отправленные от ПАО АКБ "АВАНГАРД".

Вывод суда основан на п. 2.12 Правил, в котором установлено, что сообщения, поступающие от ПАО АКБ "АВАНГАРД"- это информация, содержащая сумму перевода и параметры, позволяющие однозначно идентифицировать Перевод в системе Кредитной организации (ответчик) и Оператора (истец).

Доводы апеллянта о не значимости IР- адреса отправки спорных Сообщений для надлежащего рассмотрения настоящего спора опровергаются тем, что судом обоснованно установлено, что в соответствии с приложением N 9 к Правилам работы для кредитных организаций от ответчика требовалось использовать статический 1Р-адрес при взаимодействии с истцом.

В материалы дела представлены доказательства (справки об 1Р-адресах т. 6 л.д. 50-52, л.д. 75-76), подтверждающие, что Банком АВАНГАРД использовался, с 2017 года, исключительно IР- адрес 193.222.109.145, то есть IР- адрес был статическим (не изменялся).

Материалами дела и пояснениями ответчика подтверждается, что до проведения спорных операций, 29 июня 2020 года, Банк АВАНГАРД в электронной переписке (т. 6 л.д.27) сообщил по запросу КИВИ Банк (АО) что взаимодействие осуществляется с 1Р-адреса 193.222.109.145.

Ввиду изложенного, довод КИВИ Банк (АО) о том, что IР- адрес 193.222.109.145 Банка Авангард был ему не известен, опровергнут доказательствами.

Довод апеллянта о возможности ПАО АКБ "АВАНГАРД" "официально уведомить" КИВИ Банк (АО) о необходимости принимать платежи только с определенного IР- адреса 193.222.109.145, ранее рассмотрен в суде первой инстанции и обоснованно отклонен судом, поскольку в Правилах, разработанных КИВИ Банк (АО) даной возможности не предусмотрено.

В Правилах не предусмотрена обязанность ответчика согласно ГОСТу2 ежегодно или ежеквартально менять пароли.

Судом принимается во внимание, что истец, как профессиональный участник финансового рынка, разработавший Правила работы кредитных организаций, заключение договора с которым возможно только в форме присоединения к данным Правилам (ст.428 ГК РФ), самостоятельно установил требования к информационной безопасности (Приложение N 9), которые Банком соблюдены.

Описание "ошибки 215" содержится на сайте КИВИ Банк (АО) в документе "Начало работы с ХМ1. протоколом вер. 4,76 Руководство пользователя вер. 2.2" (т. 6 л.д. 28-49): "Транзакция с таким номером уже есть в базе. Нарушение логики работы. Ошибка возникает, когда под одним и тем же номером терминала работают несколько пользователей. Платеж, на котором возникла эта ошибка, нужно провести снова".

Таким образом, интерпретация судом "ошибки 215" как нарушение логики работы основана на официальных документах КИВИ Банк (АО).

Довод апелляционной жалобы о том, что только Банк АВАНГАРД может знать истинную причину возникновения той или иной ошибки в процессинге, противоречит фактическим обстоятельствам дела, поскольку именно КИВИ Банк располагал информацией об одновременной работе 19.09.2021 г. двух пользователей с разных IР- адресов (суть ошибки 215).

ПАО АКБ "АВАНГАРД" 19.09.2021 г. формировал Сообщения в обычном режиме, направляя их с одного постоянного статического IР- адреса 193.222.109.145 и узнал об использовании иного 1Р-адреса 85.236.25.183 от КИВИ Банк в претензионной переписке по факту несанкционированных платежей на сумму 9 139 000 руб.

Учитывая, что спорные платежи в КИВИ Банк от ПАО АКБ "АВАНГАД" не направлялись, контроль данных платежей мог быть осуществлен исключительно со стороны КИВИ Банк, при этом, денежные средства переведены в три КИВИ-кошелька внутри КИВИ Банка. В сложившейся ситуации КИВИ Банк являлся "первичным звеном" контроля спорных платежей.

Судом принимается во внимание, что истец не оспаривает, что аутентификация платежей от ПАО АКБ "АВАНГАРД" на основании логина, пароля и номера Банкомата/Банкомата ХМ1. полностью соответствует условия договора (п. 3.3. Правил), иные способы аутентификации сторонами договора в течение срока его действия не применялись, в связи с чем, довод о наличии такой возможности не относится к рассматриваемому спору.

В части незаконности удовлетворения судом встречного иска в апелляционной жалобе аргументы, надлежащим образом подтвержденные доказательствами, отсутствуют.

На основании изложенного, КИВИ Банк не доказал, что сообщения о спорных платежах подписаны паролем ПАО АКБ "АВАНГАРД", и исполнил платежи, поступившие с неизвестного IР- адреса, игнорируя признаки перевода без согласия клиента.

Аргументы заявителя апелляционной жалобы проверены судом апелляционной инстанции, однако они признаются несостоятельными, поскольку не опровергают законности принятого по делу судебного акта и не подтверждаются материалами дела.

Доводы, изложенные в апелляционной жалобе, не содержат фактов, которые не были бы проверены и не учтены судом первой инстанции при рассмотрении дела и имели бы юридическое значение для вынесения судебного акта по существу, влияли на обоснованность и законность судебного акта, либо опровергали выводы суда первой инстанции, в связи с чем, признаются апелляционным судом несостоятельными и не могут служить основанием для отмены оспариваемого решения.

Нарушений норм процессуального права, являющихся основанием для отмены судебного акта на основании части 4 статьи 270 АПК РФ, судом апелляционной инстанции не установлено.

Судебные расходы по оплате государственной пошлины по апелляционной жалобе подлежат распределению в соответствии с частью 1 статьи 110 АПК РФ и в силу оставления апелляционной жалобы без удовлетворения относятся на апеллянта.

На основании изложенного и руководствуясь статьями ст.ст. 176, 266-268, п. 1 ст. 269, 271 Арбитражного процессуального кодекса Российской Федерации, Девятый арбитражный апелляционный суд,

ПОСТАНОВИЛ:

Решение Арбитражного суда г. Москвы от 25.02.2022 г. по делу N А40-261612/2021 оставить без изменения, апелляционную жалобу - без удовлетворения.

Постановление Девятого арбитражного апелляционного суда вступает в законную силу со дня его принятия и может быть обжаловано в течение двух месяцев со дня изготовления постановления в полном объеме в Арбитражном суде Московского округа.

Председательствующий судья

Е.Н. Янина

Судьи

В.Р. Валиев О.О. Петрова