Постановление от 31 января 2023 г. по делу № А19-9179/2021

Арбитражный суд Восточно-Сибирского округа

ул. Чкалова, дом 14, Иркутск, 664025, www.fasvso.arbitr.ru

тел./факс (3952) 210-170, 210-172; e-mail: info@fasvso.arbitr.ru



ПОСТАНОВЛЕНИЕ

Дело № А19-9179/2021
31 января 2023 года
город Иркутск



Резолютивная часть постановления объявлена 25 января 2023 года.

Полный текст постановления изготовлен 31 января 2023 года.

Арбитражный суд Восточно-Сибирского округа в составе:

председательствующего Белоножко Т.В.,

судей: Ламанского В.А., Тютриной Н.Н.,

с участием представителя ФИО1 (доверенность № 28 от 05.02.2021, паспорт, диплом ИВ-I № 332480),

рассмотрев в открытом судебном заседании кассационную жалобу Банка Союз (акционерное общество) на решение Арбитражного суда Иркутской области от 13 мая 2022 года по делу № А19-9179/2021, постановление Четвертого арбитражного апелляционного суда от 21 ноября 2022 года по тому же делу,

установил:

общество с ограниченной ответственностью «Иркутская фармацевтическая компания» (ОГРН <***>, ИНН <***>, далее – ООО «ИФК», компания, истец 1) и общество с ограниченной ответственностью «Юнилэнд» (ОГРН <***>, ИНН <***>, далее – ООО «Юнилэнд», общество, истец 2) обратились в арбитражный суд с иском к Банку Союз (акционерное общество) (ОГРН <***>, ИНН <***>, далее – Банк Союз (АО), банк, ответчик) о взыскании 2 263 074 рублей 47 копеек ущерба в пользу ООО «ИФК» и 1 232 627 рублей 96 копеек ущерба в пользу ООО «Юнилэнд», судебных расходов на оплату услуг представителя: в размере 15 000 рублей в пользу ООО «ИФК» и 15 000 рублей пользу ООО «Юнилэнд».

Решением Арбитражного суда Иркутской области от 13 мая 2022 года оставленным без изменения постановлением Четвертого арбитражного апелляционного суда от 21 ноября 2022 года, исковые требования удовлетворены.

Не согласившись с принятыми по делу судебными актами, банк обратился в Арбитражный суд Восточно-Сибирского округа с кассационной жалобой, в которой, ссылаясь на нарушение судами норм материального и процессуального права, просит их отменить и направить дело на новое рассмотрение.

По мнению заявителя кассационной жалобы, судами не дана оценка доводам ответчика о том, что спорные платежные документы направлены в банк с компьютера истцов, с IP адреса клиентов, подписаны корректной электронной цифровой подписью (далее - ЭЦП) истцов; не учтено, что по условиям заключенных сторонами договоров от 04.06.2009 № 94 и № 95 на обслуживание в системе «Клиент-Банк» обеспечение сохранности ключей, паролей для входа в систему и другой конфиденциальной информации от несанкционированного доступа является обязанностью клиента.

Заявитель также указывает, что спорные банковские операции были осуществлены вследствие несанкционированного доступа неустановленных лиц к компьютеру истцов, а не посредством взлома систем информационной безопасности банка; судами неверно истолкованы условия договоров относительно прав и обязанностей сторон; договорами предусмотрено освобождение банка от ответственности за последствия исполнения поручений, выданных неуполномоченными лицами (пункт 5.5 договоров); непредставление ответчиком лицензии на использование и распространение шифровальных алгоритмов и средств (сведения о ее наличии содержатся в выписке из ЕГРЮЛ), а также сертификатов не является достаточным основанием для взыскания с банка убытков; копии сертификатов представлены в суд апелляционной инстанции и приобщены судом к материалам дела.

Представленный ООО «ИФК» и ООО «Юнилэнд» нарочно в суд округа 23.01.2023 отзыв на кассационную жалобу, подписанный представителем по доверенности ФИО2, судом кассационной инстанции во внимание не принимается в силу следующего.

Согласно части 3 статьи 279 Арбитражного процессуального кодекса Российской Федерации отзыв подписывается лицом, участвующим в деле, или его представителем. К отзыву, подписанному представителем, прилагается доверенность или иной документ, подтверждающие его полномочия на подписание отзыва.

Между тем, доверенность к отзыву не приложена, в его тексте имеется указание на наличие таковой в материалах дела, однако из копий доверенностей от 11.04.2022 (том 3, л.д. 20, 21; том 4, л.д. 2, 3) следует, что срок действия данных доверенностей истек 30.12.2022.

В судебном заседании представителем ФИО2 в подтверждение своих полномочий на представление интересов ООО «Юнилэнд» и ООО «ИФК» представлены доверенности также от 11.04.2022, из которых следует, что названные общества уполномочивают указанного представителя представлять их интересы в органах полиции по уголовному делу.

По этой причине суд округа отказывает в приобщении поступившего отзыва к материалам дела, а также в допуске данного лица к участию в судебном заседании как представителя ООО «Юнилэнд» и ООО «ИФК», в связи с чем, ФИО2 присутствует в открытом судебном заседании по рассмотрению кассационной жалобы банка в качестве слушателя.

Представитель банка в судебном заседании кассационной инстанции доводы и требования кассационной жалобы поддержал в полном объеме.

Кассационная жалоба рассматривается в порядке, предусмотренном главой 35 Арбитражного процессуального кодекса Российской Федерации.

Проверив соответствие выводов судов первой и апелляционной инстанций о применении норм права установленным ими по делу фактическим обстоятельствам и имеющимся в деле доказательствам, правильность применения судами норм материального и процессуального права при рассмотрении дела и принятии обжалуемых судебных актов и исходя из доводов, содержащихся в кассационной жалобе, Арбитражный суд Восточно-Сибирского округа приходит к следующим выводам.

Как установлено судами первой и апелляционной инстанций, между банком и истцами заключены договоры банковского счета от 25.09.1998 и от 28.04.2000.

К указанным выше договорам сторонами были подписаны дополнительные соглашения от 01.03.2018, согласно которым истцы присоединились к Правилам открытия и ведения банковских счетов клиентов юридических лиц и индивидуальных предпринимателей и правоотношения банка и клиента стали регулироваться указанными Правилами, а не договорами.

04.05.2009 между банком и ООО «ИФК», между банком и ООО «Юнилэнд» заключены договоры № 95 и № 94 соответственно на обслуживание в системе «Клиент-Банк», предметом которых является определение порядка ведения счета клиента в системе электронных расчетов «Клиент-Банк» с применением электронных документов (далее - договоры).

В соответствии с пунктом 1.3. названных договоров стороны признают используемую по настоящему договору систему «Клиент-Банк» систему защиты информации и ЭЦП достаточной для защиты от несанкционированного доступа, подтверждения авторства и подлинности информации, содержащейся в получаемых электронных документах. ЭЦП представляет собой вид аналога собственноручной подписи и позволяет подтвердить ее принадлежность владельцу на основании «Акта признания открытого ключа (сертификата) для обмена электронными документами». Наименование и версия используемой системы защиты информации и ЭЦП: Крипто-КОМ 3.2.

На основании поступивших в банк платежных поручений от 14.05.2018 № 145, № 128 и от 15.05.2018 № 131 от имени истцов третьим лицам банком перечислено 5 277 400 рублей.

Ссылаясь на то, что спорные платежные поручения истцами в банк не направлялись, несанкционированное списание денежных средств стало возможным в результате ненадлежащего исполнения банком своих обязательств по договорам, истцы обратились в арбитражный суд с настоящим иском о взыскании убытков.

Суды первой и апелляционной инстанций, удовлетворяя заявленные требования, пришли к выводу о ненадлежащем исполнении банком обязательств по договору. При этом суд первой инстанции исходил из того, что списание денежных средств по спорным платежным поручениям произошло в результате несоблюдения банком обязательных требований к обеспечению информационной безопасности. Суд апелляционной инстанции отметил, что возможность совершения несанкционированных операций от имени клиентов явилась следствием использования последними программного обеспечения, имеющего значительные уязвимости в системе защиты информационной безопасности.

Суд округа считает, что принятые по делу судебные акты подлежат отмене по следующим основаниям.

В силу пункта 1 статьи 393 Гражданского кодекса Российской Федерации должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства.

Основанием для возложения гражданско-правовой ответственности за неисполнение обязательств в форме возмещения убытков является совокупность следующих обстоятельств: наличие убытков, вина ответчика, противоправность действий, причинно-следственная связь между допущенными нарушениями обязательства со стороны ответчика и возникшими у истца убытками.

Согласно статье 854 Гражданского кодекса Российской Федерации списание денежных средств со счета осуществляется банком на основании распоряжения клиента.

Договором может быть предусмотрено удостоверение прав распоряжения денежными суммами, находящимися на счете, электронными средствами платежа и другими документами с использованием в них аналогов собственноручной подписи (пункт 2 статьи 160 Гражданского кодекса Российской Федерации), кодов, паролей и иных средств, подтверждающих, что распоряжение дано уполномоченным на это лицом (пункт 3 статьи 847 этого же Кодекса).

Электронным документом признается информация в электронной форме, подписанная квалифицированной или простой электронной подписью (части 1 и 2 статьи 6 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее – Закон № 63-ФЗ)). Электронная подпись - это информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию (пункт 1 статьи 2 данного Закона).

Возражая против исковых требований, банк ссылался на то, что поступившие по каналам электронной системы «Клиент-Банк» спорные платежные поручения были подписаны корректной цифровой подписью руководителя истцов ФИО3 Платежные поручения направлены с компьютера (ПЭВМ) истцов; с IP адреса, принадлежащего клиентам.

В нарушение пункта 2 части 4 статьи 170, пункта 12 части 2 статьи 271 Арбитражного процессуального кодекса Российской Федерации судами не указаны мотивы, по которым данные доводы банка отклонены, и доказательства, на которых основаны выводы судов о том, что списание денежных средств по спорным платежным поручениям произошло в результате несоблюдения банком обязательных требований к обеспечению информационной безопасности либо из-за использования банком программного обеспечения, имеющего значительные уязвимости в системе защиты информационной безопасности. При этом суды не установили, что спорные платежные поручения имели признаки подозрительности.

В соответствии с разъяснениями, содержащимися в абзацах 3, 4 пункта 2 постановления Пленума Высшего Арбитражного Суда Российской Федерации от 19.04.1999 № 5 «О некоторых вопросах практики рассмотрения споров, связанных с заключением, исполнением и расторжением договоров банковского счета», если иное не установлено законом или договором, банк несет ответственность за последствия исполнения поручений, выданных неуполномоченными лицами, и в тех случаях, когда с использованием предусмотренных банковскими правилами и договором процедур банк не мог установить факта выдачи распоряжения неуполномоченными лицами. Суд вправе уменьшить размер ответственности банка, когда будет установлено, что клиент своими действиями способствовал поступлению в банк указанных распоряжений (пункт 2 статьи 404 Гражданского кодекса Российской Федерации).


Вместе с тем, в пунктах 5.5 договоров стороны предусмотрели, что банк не несет ответственности за списание средств со счета клиента в случае, если по причинам, не зависящим от банка, электронные документы были отправлены в банк без ведома клиента, при условии, что электронные документы были составлены правильно и соответствовали требованиям системы защиты от НСД и содержали правильные ЭЦП, а также если банк не был своевременно информирован об обстоятельствах, предусмотренных пунктами 3.3.4, 3.3.5, 3.3.6 договоров.

Судами не указаны доказательства обращения истцов к банку в установленном договорами и дополнительным соглашением к ним порядке с информацией о неработоспособности системы «Клиент-Банк» и о компрометации ЭЦП в спорный период (как следует из отзыва банка, с заявлением о компрометации генеральный директор истцов обратился только 15.08.2018 после 18:05 местного времени, в то время как поручения были направлены в банк 14 и 15.05.2018).

Ссылаясь на неисполнение банком договорных обязательств, предусмотренных пунктами 3.2.1, 3.2.3, 3.2.7, 3.2.8, суды не учли, что в названных пунктах заключенных сторонами договоров установлены права, а не обязанности банка.

Вместе с тем, в соответствии с пунктами 3.3.1 заключенных сторонами договоров клиент обязуется предоставить технические средства для установки и настройки клиентского рабочего места системы «Клиент-Банк». Технические средства, в том числе компьютер, указаны в пунктах 7.1 договоров.

В пункте 3.3.3 договоров предусмотрена обязанность клиента по обеспечению конфиденциальности собственных секретных ключей ЭЦП и пароля, используемых для защиты данных и определения авторства ЭД.

Как установлено судами, согласно заключению № 2868 ГУМВД РФ по Иркутской области проведенной в рамках уголовного дела, возбужденного по факту несанкционированного списания денежных средств истцов экспертизы, экспертами сделан вывод, что на представленном твердотельном накопителе информации «Smartbuy», изъятом в ходе ОМП по адресу: <...>, в корневом каталоге в каталоге с именем «1 файлы вирусов» имеется файл, определяемый антивирусным программным обеспечением, как «модифицированный Win32/Spy.Pavica.CV троянская программа» («BackDoor.TeamViewer.1 44»).

Согласно описанию на официальном сайте Dr/Web, программы семейства «BackDoor» - это «класс вредоносных программ, способных выполнять поступающие от удаленного сервера команды и предоставлять злоумышленникам возможность дистанционного управления инфицированным устройством».

Судами не дана оценка показаниям директора истцов ФИО3 и их бухгалтера ФИО4, содержащихся в постановлении о приостановлении предварительного следствия от 25.08.2018, в том числе, относительно условий хранения электронного ключа и его пропажи (был украден), а также установленной экспертомненадежности установленной на компьютере истцов антивирусной программы.

Ссылаясь на недоказанность ответчиком доведения до клиентов информации о возможных рисках получения несанкционируемого доступа к защищаемой информации, суды не учли, что Закон № 63-ФЗ и условия заключенных сторонами договоров (пункты 3.3.3.) возлагают на участников электронного взаимодействия обязанности, связанные с использованием ключа электронной подписи, в том числе соблюдения его конфиденциальности.

Не представление ответчиком лицензии на использование и распространение шифровальных алгоритмов и средств и сертификата на системы защиты информации и ЭЦП само по себе не может являться безусловным основанием для вывода о нарушении банком условий договора. Кроме того, из представленной в материалы дела выписки из ЕГРЮЛ в отношении банка следует, что последний имеет действующую, как на момент проведения спорных операций по счету, так и в настоящее время лицензию, а сертификаты были представлены в суд апелляционной инстанции и приобщены им к материалам дела.

С учетом изложенного суд кассационной инстанции полагает, что выводы судов о доказанности совокупности условий, необходимых для наступления ответственности ответчика (факта возникновения убытков именно только вследствие действий банка, причинно-следственной связи между действиями банка по исполнению поступивших от клиента распоряжений о перечислении денежных средств третьим лицам и понесенными истцами убытками) сделаны при неполном исследовании совокупности обстоятельств, необходимых установлению при рассмотрении настоящего спора, и являются преждевременными.

При таких обстоятельствах принятые по делу судебные акты на основании пункта 3 части 1 статьи 287, частей 2, 3 статьи 288 Арбитражного процессуального кодекса Российской Федерации подлежат отмене с направлением дела на новое рассмотрение в суд первой инстанции.

При новом рассмотрении дела суду следует учесть вышеизложенное, исследовать и оценить все имеющиеся в деле доказательства в их совокупности и взаимосвязи, установить все существенные обстоятельства спора исходя из предмета заявленных исковых требований и приведенных сторонами доводов и возражений и с учетом установленного принять законное и обоснованное решение; распределить расходы по уплате государственной пошлины, в том числе за рассмотрение дела в суде кассационной инстанции.

На основании пункта 4 статьи 283 Арбитражного процессуального кодекса Российской Федерации меры по приостановлению исполнения обжалуемого решения от 13 мая 2022 года, принятые определением Арбитражного суда Восточно-Сибирского округа от 09 декабря 2022 года, подлежат отмене.

Руководствуясь статьями 274, 283, 286 - 289 Арбитражного процессуального кодекса Российской Федерации, Арбитражный суд Восточно-Сибирского округа

ПОСТАНОВИЛ:

Решение Арбитражного суда Иркутской области от 13 мая 2022 года по делу № А19-9179/2021, постановление Четвертого арбитражного апелляционного суда от 21 ноября 2022 года по тому же делу отменить. Дело направить на новое рассмотрение в Арбитражный суд Иркутской области.

Постановление вступает в законную силу со дня его принятия и может быть обжаловано в Судебную коллегию Верховного Суда Российской Федерации в срок, не превышающий двух месяцев со дня его принятия, в порядке, предусмотренном статьей 291.1 Арбитражного процессуального кодекса Российской Федерации.


Председательствующий

Судьи


Т.В. Белоножко

В.А. Ламанский

Н.Н. Тютрина