Решение от 21 июня 2017 г. по делу № А65-4246/2016

196/2017-120136(2)

АРБИТРАЖНЫЙ СУД РЕСПУБЛИКИ ТАТАРСТАН

ул.Ново-Песочная, д.40, г.Казань, Республика Татарстан, 420107 E-mail: info@tatarstan.arbitr.ru http://www.tatarstan.arbitr.ru тел. (843) 533-50-00

Именем Российской Федерации
РЕШЕНИЕ

г. Казань Дело № А65-4246/2016

Дата принятия решения – 22 июня 2017 года Дата объявления резолютивной части – 19 июня 2017 года.

Арбитражный суд Республики Татарстан в составе председательствующего судьи Салимзянова И.Ш., при ведении протокола судебного заседания помощником судьи Карповой О.А.,

рассмотрев в открытом судебном заседании дело по иску Региональной общественной организации "Готов к труду и обороне", г.Казань, (ОГРН <***>, ИНН <***>) к Акционерному обществу "Инвестиционный коммерческий Банк", г.Казань (ОГРН <***>, ИНН <***>), при участии третьих лиц - ФИО1, г.Казань, (далее третье лицо № 1), ФИО2, г.Казань (далее третье лицо № 2), ФИО3, г.Тверь (далее третье лицо № 3), Министерства по делам молодежи и спорту по РТ, г.Казань (далее третье лицо № 4) и ФИО4 (далее третье лицо № 5) о взыскании суммы ущерба в размере 27 915 915 руб. 95 коп.

с участием: от истца - ФИО1, руководитель, паспорт,

от ответчика – ФИО5, представитель по доверенности, ФИО6, представитель по доверенности, ФИО7, представитель по доверенности

при участии третьего лица № 1 – ФИО1, паспорт от третьего лица №№ 2,3, 4, 5 – не явились, извещены.

УСТАНОВИЛ:

Региональная общественная организация "Готов к труду и обороне", г.Казань (далее - истец), обратилась в Арбитражный суд Республики Татарстан с исковым заявлением к Акционерному обществу "ИК Банк", г.Казань (далее - ответчик) о взыскании суммы ущерба в размере 28 149 647 руб.

Определением от 21.04.2016г. в порядке статьи 51 Арбитражного процессуального кодекса Российской Федерации к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора, привлечены: ФИО1, г.Казань, (далее третье лицо № 1), ФИО2, г.Казань (далее третье лицо № 2), ФИО3, г.Тверь (далее третье лицо № 3).

Определением от 14.06.2016г. в порядке статьи 51 Арбитражного процессуального кодекса Российской Федерации к участию в деле в качестве третьих лиц, не заявляющих самостоятельных требований относительно предмета спора, привлечены: Министерство по

делам молодежи и спорту по РТ, г.Казань (далее третье лицо № 4) и Валеева М.Г. (далее третье лицо № 5).

Решением Арбитражного суда Республики Татарстан от 16.08.2016, оставленным без изменения постановлением Одиннадцатого арбитражного апелляционного суда от 03.11.2016, в удовлетворении иска отказано.

Постановлением Арбитражного суда Поволжского округа от 06.02.2017г. Решение Арбитражного суда Республики Татарстан от 16.08.2016г. и Постановление Одиннадцатого арбитражного апелляционного суда от 03.11.2016г. отменены, дело направлено на новое рассмотрение.

В судебное заседание 19.06.2017г. на запрос суда из Управления МВД Российской Федерации по Республике Татарстан поступила заверенная копия заключения эксперта от 01.06.2017г. по уголовному делу № 88935.

Третьи лица №№ 2,3,4,5 в судебное заседание не явились, о времени и месте рассмотрения дела извещены в порядке статьи 123 Арбитражного процессуального кодекса Российской Федерации.

В порядке статьи 156 Арбитражного процессуального кодекса Российской Федерации суд определил провести судебное заседание в отсутствие указанных третьих лиц.

Истец представил письменные возражения на отзыв ответчика и доказательства направления возражений в адрес третьих лиц.

Ответчик представил письменные возражения по представленным истцом доказательствам и заключения эксперта в рамках уголовного дела.

Истец исковые требования поддержал, просит взыскать с ответчика 27 915 915 руб. 95 коп. реального ущерба.

В порядке статьи 49 Арбитражного процессуального кодекса Российской Федерации уточнение судом принято.

Ответчик иск не признал по мотивам, изложенным в отзывах.

Исследовав представленные документы, суд с учетом статьи 71 Арбитражного процессуального кодекса Российской Федерации пришел к следующим выводам.

Как следует из материалов дела, между Банком и РОО ГТО 26.06.2013г. был заключен договор банковского счета и банковского обслуживания № 5396/13.

05.08.2013г. между банком и РОО ГТО заключен договор на банковское обслуживание с использованием электронного документооборота по системе «Клиент-Банк» № 2334.

24.06.2015г. в Банк от имени РОО ГТО по системе электронного документооборота «Клиент-Банк» поступили следующие платежные поручения, подписанные аналогом собственноручной подписи (АСП) руководителя истца:

- № 27 от 24.06.2015г. на сумму 9 827 347 руб. в адрес ООО «ДИНЭРО»; - № 28 от 24.06.2015г. на сумму 9 751 880 руб. в адрес ООО «Горизонт-МК»;

- № 30 от 24.06.2015г. на сумму 7 725 320 руб. в адрес ООО «Сократ»; - № 31 от 24.06.2015г. на сумму 4 823 710 руб. в адрес ООО «Гафур+»;

- № 33 от 25.06.2015г. на сумму 845 100 руб. в адрес ООО «ДИНЭРО», всего на общую сумму 32 973 357 руб.

По факту хищения денежных средств возбуждено уголовное дело № 88849, где истец является потерпевшим. Приговором Вахитовского районного суда г. Казани от 18.12.2015г. был осужден ФИО3 по ч.3 ст.159.6 УК РФ и денежные средства похищенные платежным поручением № 31 в сумме 4 823 710 руб. были возвращены истцу.

Указывая на то, что распоряжений ответчику о списании указанных денежных средств со своего счета не давал, истец обратился в суд с настоящим заявлением о взыскании с ответчика 28 149 647 руб. в качестве убытков.

В ходе рассмотрения дела было установлено, что истцу были возвращены денежные

средства в размере 1 987 175 руб.

Таким образом, сумма ущерба составила 26 162 472 руб. а с учетом начисленных

процентов – 27 915 915 руб. 95 коп.

В силу статьи 856 Гражданского кодекса Российской Федерации в случаях несвоевременного зачисления на счет поступивших клиенту денежных средств либо их необоснованного списания банком со счета, а также невыполнения указаний клиента о перечислении денежных средств со счета либо об их выдаче со счета банк обязан уплатить на эту сумму проценты в порядке и в размере, предусмотренных статьей 395 настоящего Кодекса.

Как указал истец, списание денежных средств с его расчетного счета осуществлено Банком в отсутствие соответствующего распоряжения клиента и стало возможным в результате несовершенства системы защиты предоставленной Банком услуги «Электронный банк».

В силу пункта 1 статьи 393 Гражданского кодекса Российской Федерации должник обязан возместить кредитору убытки, причиненные неисполнением или ненадлежащим исполнением обязательства.

Согласно статье 15 Гражданского кодекса Российской Федерации лицо, право которого нарушено, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено возмещение убытков в меньшем размере.

Под убытками понимаются расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права, утрата или повреждение его имущества (реальный ущерб), а также неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода).

В соответствии с пунктами 12, 13 постановления Пленума Верховного Суда Российской Федерации от 23.06.2015 № 25 "О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации" по делам о возмещении убытков истец обязан доказать, что ответчик является лицом, в результате действий (бездействия) которого возник ущерб, а также факты нарушения обязательства или причинения вреда, наличие убытков (пункт 2 статьи 15 Гражданского кодекса Российской Федерации).

По договору банковского счета банк обязуется принимать и зачислять поступающие на счет, открытый клиенту (владельцу счета), денежные средства, выполнять распоряжения клиента о перечислении и выдаче соответствующих сумм со счета и проведении других операций по счету (пункт 1 статьи 845 Гражданского кодекса Российской Федерации).

В силу пункта 1 статьи 854 Гражданского кодекса Российской Федерации списание денежных средств со счета осуществляется банком на основании распоряжения клиента.

Согласно пункту 1 статьи 847 Гражданского кодекса Российской Федерации права лиц, осуществляющих от имени клиента распоряжения о перечислении и выдаче средств со счета, удостоверяются клиентом путем представления банку документов, предусмотренных законом и установленными в соответствии с ним банковскими правилами и договором банковского счета.

Договором может быть предусмотрено удостоверение прав распоряжения денежными суммами, находящимися на счете, электронными средствами платежа и другими документами с использованием в них аналогов собственноручной подписи, кодов, паролей и иных средств, подтверждающих, что распоряжение дано уполномоченным на это лицом (пункт 3 статьи 847 Гражданского кодекса Российской Федерации).

Как разъяснено в пункте 2 постановления Пленума Высшего Арбитражного Суда Российской Федерации от 19.04.1999 N 5 «О некоторых вопросах практики рассмотрения споров, связанных с заключением, исполнением и расторжением договоров банковского счета», проверка полномочий лиц, которым предоставлено право распоряжаться счетом, производится банком в порядке, определенном банковскими правилами и договором с клиентом.

По условиям договора стороны согласовали осуществлять обмен электронными платежными документами (ЭПД), содержащими все реквизиты платежного документа на бумажном носителе, и иными документами произвольного содержания (письмами), подписанными (заверенными) аналогом собственноручной подписи, (АСП) (пункт 1.3 договора).

Стороны признают, что передача получателю ЭПД, подписанных АСП по открытым каналам связи, при условии положительного результата проверки правильности АСП, обеспечивает подлинное содержание документа; ЭПД, подписанный АСП служит основанием для проведения операций и при этом не требуется дополнительного утверждения в форме документа на бумажном носителе (пункт 1.5. договора).

Согласно пункту 2.3.2. договора клиент обязан назначить приказом уполномоченное лицо по системе «Клиент-Банк», предоставить доверенность для получения ключей АСП, подписи документов АСП и определения подлинности ЭПД.

Из материалов дела следует, что уполномоченным лицом истца по системе «Клиент- Банк» являлся сам президент Организации - ФИО1

ФИО1 является единственным обладателем ключа АСП, уполномоченным для работы в системе «Клиент-Банк».

Ключ АСП (на ключевом носителе (КН)) от имени Организации получен самим ФИО1 12.08.2013г.

Заключив с Банком договор и получив на руки оригинал ключа АСП, ФИО1 принял на себя обязательство оригиналы и рабочие копии КН хранить в сейфе или закрывающемся на ключ металлическом шкафу, с целью исключения несанкционированного доступа к КН (пункт 4 Памятки уполномоченного лица Клиента по обеспечению информационной безопасности при работе с ключевым носителем системы «Клиент-Банк» - Приложение № 2 к договору).

Пунктом 2.3.7. договора на клиента возложена обязанность не менять без согласования с Банком уполномоченных (ого) лиц (а) по системе «Клиент-Банк».

В соответствии с пунктом 2.3.5. договора клиент обязан не допускать возможности несанкционированного доступа к ключам АСП посторонних лиц, для получения пароля доступа к системе «Клиент-Банк».

Пунктами 3.1. и 3.2. договора установлено, что клиент несет полную ответственность за правильность оформления и передачи ЭПД, а также за сохранность ключей АСП.

В силу пункта 3.3. договора Банк несет ответственность за проведение платежа по ЭПД в соответствии с условиями договора банковского счета и банковского обслуживания, если уполномоченное лицо Банка признала его подлинным и приняло к исполнению.

В соответствии с пунктом 3.6. договора Банк не несет ответственности за ущерб, возникший вследствие утери или разглашения клиентом информации, касающейся средства информирования и проверки АСП, ключа АСП, других компонентов программного обеспечения, а также в результате несанкционированного доступа к информации клиента, возникшего не по вине Банка.

Пунктом 11 статьи 9 Федерального закона от 27.06.2011 № 161-ФЗ «О национальной платежной системе» предусмотрено, что в случае утраты электронного средства платежа и (или) его использования без согласия клиента клиент обязан направить соответствующее уведомление оператору по переводу денежных средств в предусмотренной договором форме незамедлительно после обнаружения факта утраты электронного средства платежа и (или) его использования без согласия клиента, но не позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.

Данное требование закона закреплено и в пункте 2.3.6 названного договора сторон, неисполнение которого, исключает ответственность Банка за ущерб, который может быть причинен клиенту.

Однако, материалы дела не содержат доказательств, свидетельствующих об утере клиентом ключа АСП, разглашении им информации, касающейся средств формирования и проверки АСП, других компонентов программного обеспечения.

В вышеуказанном пункте 2 Постановления Пленума Высшего Арбитражного Суда Российской Федерации от 19.04.1999 № 5 разъяснено, что если иное не установлено законом или договором банк несет ответственность за последствия исполнения поручений, выданных неуполномоченными лицами, в тех случаях, когда с использованием предусмотренных банковскими правилами и договором процедур банк не мог установить факта выдачи распоряжения неуполномоченными лицами.

Буквальное толкование пункта 3.6 договора не позволяет прийти к выводу о том, что Банк освобождается от ответственности за исполнение платежных поручений, сформированных лицами, которым не вручались ключи АСП и которые не уполномочивались на совершение соответствующих операций без согласия банка (п.2.3.7 договора).

В силу пунктов 2.2.1, 2.2.7 договора Банк имеет право отказать клиенту в проведении ЭПД и отключить его от системы в случаях: попытки посторонних лиц использовать в своих целях электронные платежи от имени клиента; при возникновении ситуации, свидетельствующей о компрометации ключа АСП либо его утрате; в случае поступления информации об отсутствии по своему местонахождению юридического лица, его постоянно действующего органа управления (руководителя), иного лица, которые могут действовать от имени юридического лица без доверенности; в этом случае Банк переходит на прием от клиента расчетных документов только на бумажном носителе.

В свою очередь согласно пунктов 2.3.5, 2.3.7, 2.3.10 клиент обязан не допускать возможности несанкционированного доступа к ключам АСП посторонних лиц, получения пароля доступа к системе; не менять без согласия с Банком уполномоченных (ого) лиц (а) по названной системе, а при замене такого лица - немедленно сообщить об этом Банку. При этом замена уполномоченного лица осуществляется по письменному заявлению клиента.

Положение Банка России от 9 июня 2012 N 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств" содержит следующие требования для исполнения кредитными учреждениями, осуществляющими в своей деятельности применение подобных электронных систем.

Так, при разработке программного обеспечения, предназначенного для использования клиентом при осуществлении переводов денежных средств, самостоятельно или с привлечением сторонних организаций, а также при разработке изменений указанного программного обеспечения оператор по переводу денежных средств обеспечивает реализацию в указанном программном обеспечении функций, связанных с выполнением требований к защите информации при осуществлении переводов денежных средств и с предотвращением несанкционированного доступа к защищаемой информации, передаваемой по информационно- телекоммуникационным сетям, в частности, по сети "Интернет" (п. 2.5.7. Положения).

Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры (п.2.7.1. Положения).

В случае обнаружения вредоносного кода или факта воздействия вредоносного кода оператор по переводу денежных средств, банковский платежный агент (субагент), оператор платежной системы, оператор услуг платежной инфраструктуры обеспечивают принятие мер, направленных на предотвращение распространения вредоносного кода и устранение последствий воздействия вредоносного кода.

Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор платежной системы, оператор услуг платежной инфраструктуры приостанавливают при необходимости осуществление переводов денежных средств на период устранения последствий заражения вредоносным кодом (п. 2.7.5. Положения).

Оператор по переводу денежных средств, принимает и фиксирует во внутренних документах решения о необходимости использования пароля многоразового действия и одноразового кода подтверждения в целях аутентификации клиента при осуществлении переводов денежных средств с использованием системы Интернет-банкинга, а также при подтверждении клиентом права доступа к системе Интернет-банкинга (п.2.8.2. Положения).

При эксплуатации объектов информационной инфраструктуры оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают: защиту электронных сообщений от искажения, фальсификации, переадресации, несанкционированного ознакомления и (или) уничтожения,

ложной авторизации; взаимную (двустороннюю) аутентификацию участников обмена электронными сообщениями; выявление фальсифицированных электронных сообщений, в том числе имитацию третьими лицами действий клиентов при использовании электронных средств платежа, и осуществление операций, связанных с осуществлением переводов денежных средств, злоумышленником от имени авторизованного клиента (подмена авторизованного клиента) после выполнения процедуры авторизации (п. 2.10.4. Положения).

Как усматривается из рапорта старшего оперуполномоченного Отдела «К» МВД по Республике Татарстан от 25.07.2015 года, спорные платежные поручения были сформированы и даны с различных IP-адресов, обслуживаемых различными Интернет-провайдерами, зарегистрированными, в том числе, на территории Украины.

В ходе рассмотрения дела истец указал, что в спорный период времени на территории Украины не был, в доказательства чего представил копию загранпаспорта.

В рамках уголовного дела № 88935, выделенного 20.11.2015г. по признакам преступления, предусмотренного ч.4 ст.159.6 УК РФ из уголовного дела № 88849, была проведена экспертиза по разрешению вопроса: имеются ли в конфигурации ПО ДБО «Клиент- банк» банка АО «ИК Банк», установленного на объекте исследования (ноутбук «Samsung»), значения параметров его работы, способные снизить уровень защищенности от несанкционированного доступа к системе ДБО «Клиент-банк».

Согласно выводам заключения эксперта от 01.06.2017г., в конфигурации ПО ДБО «Клиент-банк» банка АО «ИК Банк», установленной на объекте исследования, имеются следующие значения параметров его работы, снижающие уровень защищенности от несанкционированного доступа к системе ДБО «Клиент-банк»:

- открытый сетевой порт и учетная запись с паролем по умолчанию;

- отсутствие механизма защиты от несанкционированного доступа к настройкам приложения;

- наличие используемых для доступа к ПО ДБО «Клиент-банк» аутентификационных данных в доступных пользователям конфигурационных файлах;

- отсутствие поддержки механизмов защиты от несанкционированного доступа к публичному и секретному ключам асимметричной криптографии;

Указание на снижение уровня защищенности системы ДБО «Клиент-банк» продиктовано подтвержденной в исследовании практической возможностью воспользоваться представленными выше значениями параметров конфигурации ПО ДБО «Клиент-банк» для выполнения действий, позволяющих осуществить неправомерный доступ к охраняемой законом компьютерной информации, уничтожение, блокирование, модификацию либо копирование компьютерной информации.

В конфигурации ПО ДБО «Клиент-банк» банка АО «ИК Банк», установленной на объекте исследования, также имеются типовые функциональные недостатки (отсутствие определенных функций защиты информации), способные снизить уровень защищенности от несанкционированного доступа к системе ДБО «Клиент-банк».

Таким образом, заключением эксперта установлено наличие слабой системы безопасности по программе «Клиент-банк» и несоответствие ее Положениям Банка России от 09 июня 2012 № 382-11 «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

Доводы ответчика о том, что сам факт поступления в Банк платежных документов подписанных электронной цифровой подписью (ЭЦП), доступ к которым имеет исключительно уполномоченное лицо клиента, не может свидетельствовать о соблюдении Банком требований по проверке поручений согласно требований Федерального закона № 115- ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем и финансированию терроризму».

Принимая во внимание изложенные обстоятельства, суд приход к выводу о том, что требования истца документально подтверждены, а в ходе рассмотрения настоящего дела установлены все обстоятельства необходимые для удовлетворения заявленных требований и взыскания с ответчика причиненных истцу убытков.

Расходы по оплате государственной пошлины, суд, в соответствии с правилами статьи 110 Арбитражного процессуального кодекса Российской Федерации, относит на ответчика.

Руководствуясь статьями 110, 167 – 169, 176 Арбитражного процессуального кодекса Российской Федерации,

Р Е Ш И Л :

Исковые требования удовлетворить.

Взыскать с Акционерного общества "Инвестиционный коммерческий Банк", г.Казань (ОГРН <***>, ИНН <***>) в пользу Региональной общественной организации "Готов к труду и обороне", г.Казань, (ОГРН <***>, ИНН <***>) 27 915 915 руб. 95 коп. ущерба, 162 580 руб. расходов по госпошлине.

Выдать Региональной общественной организации "Готов к труду и обороне", г.Казань, (ОГРН <***>, ИНН <***>) справку на вовзрат из бюджета 9 935 руб. 45 коп. излишне уплаченной госпошлины.

Исполнительный лист и справку выдать после вступления решения в законную силу.

Решение может быть обжаловано в Одиннадцатый Арбитражный апелляционный суд в месячный срок.

Судья И.Ш. Салимзянов