Хищение по системе ДБО и суд с клиентом: к чему готовиться банку?

В суде клиент может сослаться на то, что банк при оказании услуг
ДБО не выполнил требования Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи», предшествовавшего ему Федерального закона от 10.01.2002 № 1-ФЗ «Об электронной цифровой подписи» или договора на ДБО:
— применяемая форма сертификата ключа проверки ЭП не соответствует форме, установленной в законодательстве (дела № А60-9936/2011, № А40-9857/2013);
— количество ЭП под электронным документом не соответствует количеству ЭП в карточке с образцами подписей и печати (дело № А40-3188/2012);
— банк нарушает порядок, в котором должен быть зарегистрирован сертификат ключа проверки ЭП (дело № А53-19532/2011);
— банк не выполнил требования к процедуре разбора конфликтной ситуации, установленные в договоре на ДБО (дело № А40-3188/ 2012).
В основном суды делают вывод, что доводы клиента о несоответствии услуги ДБО законодательству об электронной подписи не указывают на нарушение банком своих обязательств по договору на ДБО. При условии подлинности ЭП клиента под спорным платежным поручением суд обычно встает на сторону банка. Однако известно дело (№ А72-2496/2015), в котором банк проиграл клиенту по совокупности факторов. Одним из факторов было несоответствие договора на ДБО, заключенного с клиентом еще в середине 2000-х годов, требованиям Федерального закона № 63-ФЗ «Об электронной подписи», вступившего в силу в 2011 г. Банк после изменения законодательства об электронной подписи не обновил условия действующего договора на ДБО с клиентом: не установил порядок проверки ЭП клиента, а также не указал в сертификате ключа проверки ЭП срок его действия. Поэтому важно отслеживать изменения законодательства в области электронной подписи и технологий, применяемых при ДБО. При изменении законодательства или технологий необходимо своевременно вносить изменения в договоры с клиентами.

За прошедший год регулятор выпустил несколько документов, устанавливающих новые требования по защите информации для финансовых организаций. Это связано с вступлением в силу Федерального
закона от 27.06.2018 № 167-ФЗ (Закона об антифроде), который внес изменения в том числе в Закон № 161-ФЗ[1]. Этот же закон предоставил для организаций финансового сектора меры защиты, которые раньше считались рекомендованными или относились к «лучшим практикам», теперь обязательны:
— в Положениях № 683-П[2] и № 684-П[3] установлены требования к кредитным и некредитным финансовым организациям по противодействию хищениям денежных средств;
— Указание № 4926-У[4] теперь обязывает банк направлять в Банк России сведения о хищениях или попытках хищений денежных средств клиентов;
— в Приказе Банка России от 27.09.2018 № ОД-2525 определены признаки перевода без согласия клиента.
Но и до 2018 г. в законодательстве и актах Банка России содержались требования и рекомендации по обеспечению безопасности услуги ДБО:
— в ст. 9 Закона № 161-ФЗ — требования, касающиеся информирования клиентов о рисках при ДБО и об операциях по счету;
— в Положении № 382-П[5] — требования к механизмам безопасности систем ДБО, внешней оценке соответствия требованиям по информационной безопасности, ежегодному тестированию платежной инфраструктуры на проникновение;
— в Письме № 172-Т[6] — рекомендации, связанные с информированием клиента о рисках, мерах по безопасному использованию электронного средства платежа, со способами информирования клиентов об операциях;
— в Письме № 49-Т[7] — рекомендации по защите от вредоносного кода, в том числе при оказании услуг ДБО;
— в Стандарте Банка России СТО БР ИББС-1.0-2014[8] — требования к механизмам безопасности систем ДБО.
А если есть законодательные требования или рекомендации регулятора в области информационной безопасности, то клиент может заявить в суде, что в ходе оказания услуги ДБО эти требования не были выполнены, а банк оказал небезопасную услугу.

Еще до появления новых требований в области информационной безопасности клиенты заявляли в суде:
— о небезопасности предоставленной услуги ДБО (дела № А14-13543/2011, № А40-16859/2015);
— о несовершенстве системы ДБО (дело № 2-2877/2015);
— о том, что банк не уведомил клиента о дополнительных рисках при ДБО и возможности хищения средств (дело № А53-19532/2011);
— о невыполнении обязанности информировать клиента об операции, совершенной по системе ДБО (дела № 2-408/12 (от 25.05.2012), № А60-3508/2014, № А53-21833/14);
— о невыполнении требований разработчика системы ДБО в области информационной безопасности (дело № А40-94841/12-156-886);
— о невыполнении требований Стандарта Банка России СТО БР ИББС-1.0-2014 (дело № А40-16913/2012).
В последнее время также появляются судебные дела, в которых клиент заявляет о небезопасности предоставленной услуги ДБО, и исходы таких дел складываются не в пользу банков. Банки проигрывают клиентам многомиллионные иски из-за того, что
эксперт признает систему ДБО «соответствующей низкому уровню безопасности», или из-за того, что не могут доказать факт уведомления клиента по требованиям законодательства о национальной платежной системе.

В арбитражном деле № А40-216859/2015 по иску ООО «Электросервисмонтаж» к Московскому кредитному банку на 4 682 230 руб. причинами удовлетворения исковых требований стали недостатки договора на обслуживание счетов с использованием электронной системы «Ваш банк в вашем офисе». В договоре не был детализирован порядок информирования клиента о списании денежных средств (ст. 9 Закона № 161-ФЗ). Это позволило клиенту и суду утверждать, что банк не исполнил договорные обязательства по надлежащему уведомлению клиента об операции. Дело длилось до 2017 г., прошло апелляционную и кассационную инстанции. Банк проиграл дело во всех инстанциях и заплатил в итоге: 4 682 230 руб. — убытки, 46 411 руб. — расходы на госпошлину, 165 000 руб. — услуги эксперта.
Другой пример: арбитражное дело № А72-2496/2015 по иску ООО «Сити» к Бинбанку на 632 987 руб. Стороны заключили договор банковского счета и отдельное соглашение о проведении платежей с использованием системы «Банк–Клиент». Клиент оспаривал операцию, которую он якобы не совершал. Одним из доводов клиента, который суд посчитал убедительным, стало то, что банк нарушил условия собственного соглашения на использование системы «Банк–Клиент». Система присвоила платежу статус «Подозрительный». Банк, руководствуясь п. 3.2 соглашения, должен был немедленно закрыть прием платежных документов с ACII клиента и связаться с ним. Прием спорного платежного документа, как и предыдущего, банк не приостановил, с истцом не связался. Примечательно, что в первой инстанции суд отклонил требования истца и встал на сторону банка, а вот апелляционная и кассационная инстанции встали на сторону ООО «Сити».

Уже сейчас клиенты могут потребовать предъявить в суде доказательства, что банк выполняет требования в области информационной безопасности:
— проводит внешнюю оценку выполнения требований Положения № 382-П;
— выполняет требования Положения № 683-П;
— тестирует на проникновение платежный сегмент банковской ИТ-инфраструктуры;
— использует систему фрод-мониторинга и выявляет установленные Банком России признаки перевода без согласия клиента;
— выполняет требования ГОСТ 57580.1-2017[9].
С введением новых требований по информационной безопасности мы прогнозируем увеличение количества дел, в которых клиент будет поднимать вопрос о небезопасности предоставленной услуги ДБО. Поэтому будет расти и количество дел, в которых суды встанут на сторону клиента из-за того, что банк не сможет доказать выполнение требований информационной безопасности.

1. Применяйте систему фрод-мониторинга, которая выявляет платежи клиентов, отвечающие установленным Банком России признакам подозрительности.
2. Применяйте средства мониторинга вредоносной активности на клиентском устройстве.
3. Проводите тестирование на проникновение и анализ уязвимостей платежного сегмента банковской ИТ-инфраструктуры, исправляйте выявленные недостатки.
4. Проводите внешнюю оценку выполнения требований Банка России, исправляйте выявленные недостатки[10].
5. Используйте защищенные носители клиентских ключей ЭП.
6. Используйте одноразовые пароли для дополнительного подтверждения платежей клиентом.
7. Используйте механизмы, разделяющие контуры создания и подписания электронных сообщений, или устанавливайте ограничения по параметрам операций.

Выполняя эти рекомендации, можно не только кардинально снизить риск хищений, но и доказать в суде, что банк выполнил требования по информационной безопасности и оказал клиенту безопасную услугу ДБО.

Когда договор требует доработки

Обычно договор на ДБО дорабатывается в двух случаях:
1. При изменении законодательства — когда новый нормативный правовой акт прямо обязывает банки внести изменения или разработать новые документы. Например, в этой статье уже упоминались системы фрод-мониторинга. Их использование предусмотрено Законом № 167-ФЗ. Банки также обязаны доработать свои документы в части определения критериев операций, не свойственных клиентам.
2. При изменении функциональности в системе ДБО. Если разработчик вносит изменения в систему (добавляет новые модули, механизмы безопасности, встраивает новую криптографию и т.п.), то банку нужно внести изменения в свои документы, чтобы применять эти механизмы.

Примеры ошибок в договорах

В небольших банках договоры часто содержат множество недочетов, которые могут привести к финансовым потерям. Одна из важнейших частей договора на ДБО — положение о разборе спорных ситуаций, которое представляет собой порядок досудебного урегулирования споров, возникающих из договора об использовании системы «Банк–Клиент». С этим положением связано больше всего ошибок.
Некоторые банковские договоры вовсе не содержат положения о разборе спорных ситуаций, но содержат оговорку, что «все споры разрешаются в соответствии с действующим законодательством РФ». Поскольку банковское обслуживание с использованием удаленных каналов имеет свои особенности (электронные документы, электронная подпись и др.), то и урегулирование споров ведется по-особенному. Отсутствие положения о разборе может привести к разрешению спора не в пользу банка и возврату средств клиенту.
Другая распространенная ошибка — использование договоров, «скачанных из интернета». Банки применяют различные системы «Банк–Клиент», и у каждой есть свои технические особенности. Например, некоторые системы используют простую электронную подпись на базе SMS-кодов, другие — усиленную неквалифицированную подпись. Одни используют облачную подпись, другие — «серверную», третьи — мобильный банк со своими видами подписей, а четвертые — все механизмы одновременно. Это влияет на процедуру разбора спорных ситуаций: под каждый вид подписи, под каждый механизм банк должен разработать свою процедуру.
Все примеры в одной статье мы охватить не можем, поэтому просто рекомендуем банкам проанализировать свои договоры на систему «Банк–Клиент» и выяснить, содержат ли они следующие условия:
— состав разрешительной комиссии и порядок ее формирования;
— этапы разбора спорной ситуации, включая оспаривание подлинности ЭП и факта уведомления клиента о совершенной операции;
— подведение итогов разбора спорной ситуации;
— проверка экспертом подлинности ЭП;
— требования к эксперту, экспертной организации и экспертному заключению.

Примечания: