Незаконное списание средств со счета путем мобильного банкинга: кто возместит убытки?

Как известно, для получения услуги мобильного банкинга необходимо, чтобы банковский счет лица был «привязан» к его абонентскому номеру сотовой связи: владелец номера с мобильного устройства подтверждает движение денежных средств на своих счетах, получая пароли и уведомления от банка о совершенных операциях. Банк заключает с клиентом соответствующий договор, где предусматриваются условия мобильного банкинга. Между банком и оператором сотовой связи заключается также договор, регламентирующий их взаимодействие и функционирование услуг мобильного банкинга. Правоотношения клиента банка и оператора сотовой связи строятся, в свою очередь, на основании договора об оказании услуг телефонной связи.

Казалось бы, при таких условиях риск мошеннических действий, связанных с хищением третьими лицами чужих денежных средств посредством мобильного банкинга, сведен к минимуму, но, к сожалению, такие ситуации тем не менее встречаются.

Несмотря на то что списание денежных средств осуществляет банк, ответчиком в спорах о несанкционированном списании денежных средств с банковского счета в первую очередь является оператор связи.

Когда ответственность несет сотовый оператор

Так, в 2015 г. Верховный Суд РФ вынес прецедентное решение, в котором указал, что к ответственности за несанкционированное списание денежных средств со счета, к которому подключена услуга мобильного банкинга, должен быть привлечен не банк, а оператор сотовой связи (Определение от 8 декабря 2015 г. № 5-КГ15-164).

Как следовало из фабулы дела, между Ш.К. и банком в сентябре 2013 г. было заключено соглашение об открытии счета и выдаче банковской карты. Ранее (в 2003 г.) между Ш.К. и оператором мобильной связи был заключен договор об оказании услуг мобильной связи по абонентскому номеру, к которому впоследствии был подключена услуга «мобильный банк». 9 декабря 2013 г. оператор связи выдал неустановленному лицу дубликат сим-карты с абонентским номером, принадлежавшим Ш.К., вследствие чего обслуживание сим-карты последней с вечера 9 декабря прекратилось и было восстановлено только на следующей день по ее заявлению. Заявление о выдаче сим-карты и расписка неустановленного лица о ее получении оформлены не были, сведения об этом лице и документе, удостоверяющем его личность, также отсутствовали.

В период, когда действие сим-карты Ш.К. было приостановлено, неустановленное лицо, у которого находился дубликат, получило возможность пользоваться услугами связи с абонентского номера Ш.К. и оплачивать их путем списания денежных средств с лицевого счета Ш.К. Кроме того, это лицо получило доступ к управлению банковским счетом и одноразовым паролям на списание денег со счета Ш.К. В итоге за указанный период деньги со счета Ш.К. были переведены на счета третьих лиц. Узнав об этом, женщина обратилась в банк. Тот не нашел оснований для удовлетворения ее требований. Тогда Ш.К. обратилась в суд к банку и сотовому оператору как солидарным ответчикам с иском, в котором просила признать незаконными действия оператора связи по передаче третьему лицу сим-карты и СМС-сообщений по абонентскому номеру истца, а также взыскать с ответчиков незаконно списанные с банковского счета денежные средства и проценты за незаконное пользование ими.

Суды также отказали в удовлетворении исковых требований, однако Верховный Суд с ними не согласился. Как указал ВС, отношения между оператором сотовой связи и абонентом регулируются гл. 39 ГК РФ, Законом о связи и Правилами оказания услуг телефонной связи, утвержденными Постановлением Правительства РФ от 9 декабря 2014 г. № 1342 (далее – Правила). Кроме того, на данный вид правоотношений распространяются положения Закона о защите прав потребителей.

Разрешая спор, Суд учел, что по условиям договора между истцом и банком на обслуживание международной банковской карты банк обязан списать (перевести) денежные средства со счетов клиента в банке на счета физических и юридических лиц в случае получения от клиента распоряжения, каковым является СМС-сообщение с номера, указанного в заявлении на подключение услуги «мобильный банк». Согласно письмам банка со счета карты истца были списаны денежные средства по 19 операциям, совершенным в сети «Интернет» с использованием одноразовых СМС-паролей. Пароли были введены верно, поэтому банк правомерно произвел указанные операции, что свидетельствует об отсутствии виновности кредитной организации в причинении убытков истцу, – заключил ВС, вернув дело на пересмотр.

При повторном рассмотрении дела суд апелляционной инстанции вынес решение в пользу истца, взыскав причиненные ей убытки с оператора связи. Так, судебная коллегия согласилась с доводом истца о том, что в результате выдачи дубликата сим-карты неустановленному лицу истец была лишена доступа к сообщениям, направлявшимся банком. При этом неустановленное лицо получило возможность пользоваться услугами связи с абонентского номера истца и управлять ее банковским счетом, в том числе получать данные одноразовых паролей, необходимых для списания денежных средств с банковского счета. В результате неправомерных действий неустановленного лица, которые стали возможны вследствие нарушения оператором связи правил оказания услуг связи, истцу были причинены убытки в размере суммы списанных со счета средств без ее на то волеизъявления. В обоснование своей позиции суд руководствовался п. 4 ч. 1 ст. 330 ГПК РФ, ст. 28, 29, 31 Закона РФ «О защите прав потребителей». В действиях банка суд не нашел нарушений и освободил его от ответственности (Апелляционное определение Мосгорсуда № 33-1147/2016).

Суд не усмотрел оснований для привлечения как банка, так и оператора связи к ответственности

В другом споре со схожими обстоятельствами владельцем банковского счета выступало юридическое лицо.

В частности, между банком и организацией был заключен договор об открытии счета. Для проведения операций, связанных с деятельностью клиента, был дополнительно заключен договор о расчетном обслуживании с использованием системы «Банк-клиент Онлайн».

27 июля 2015 г. со счета общества было незаконно списано более 588 тыс. руб. В отсутствие разрешения (уведомления) клиента по дубликату сим-карты произошла одновременная смена логина, пароля, перерегистрация номера телефона для СМС-кодов, о чем общество не было проинформировано. Банк при списании спорных сумм не удостоверился в полномочиях плательщика, не оповестил истца о смене номера в системе «Банк-клиент Онлайн», не обеспечил безопасность хранения денежных средств.

Мобильный оператор в свою очередь нарушил условия договора об оказании услуг связи и не обеспечил защиту от несанкционированного использования абонентского номера. Как было установлено позднее, при проведении операций был активирован дубликат сим-карты мобильного номера клиента, выданный неустановленному лицу. Согласно информации от следственного органа 27 июля 2015 г. в 10:40 был активирован дубликат сим-карты мобильного номера истца, а в 10:54 в личном кабинете номер был изменен. Платежные поручения были созданы в системе «Банк-клиент Онлайн» в результате несанкционированного доступа третьих лиц к носителю ключа электронной подписи, логину и паролю для входа в систему. Частично удовлетворяя исковые требования, суд заключил, что оператор связи, выдав дубликат сим-карты, предоставил неустановленному лицу возможность сменить абонентский номер, что повлекло неблагоприятные для истца последствия в виде списания средств с банковского счета.

Взыскивая в пользу истца сумму ущерба, арбитражный суд указал на нарушение оператором сотовой связи условий договора, Закона о связи, а также Правил. Суд пришел к выводу о фактическом соответствии платежных поручений требованиям, предъявляемым к документам в электронном виде, и об отсутствии у банка оснований для отказа в исполнении распоряжения на перечисление денежных средств. В привлечении банка к солидарной ответственности было отказано. Решение устояло в апелляции.

Тем не менее кассационная инстанция сочла жалобу оператора связи подлежащей удовлетворению и отменила обжалуемые судебные акты в части удовлетворения исковых требований. Как пояснил кассационный суд, для осуществления операций по платежным поручениям необходимо последовательно ввести в систему «Банк-клиент Онлайн» логин, пароль, путь к каталогу ключевого носителя СКЗИ и пароль секретного ключа, после чего для подтверждения операции – ввести код из СМС-сообщения, полученного на телефонный номер абонента. Таким образом, прямая причинно-следственная связь между действиями оператора связи по выдаче дубликата сим-карты и убытками, причиненными клиенту вследствие формирования платежных поручений в соответствии с условиями договора банковского счета и установленной системой, подписанных с использованием данных действующего ключа электронной подписи, зарегистрированного на имя уполномоченного лица, не прослеживается. Соответственно, отсутствует и состав правонарушения, необходимый и достаточный для привлечения как банка, так и оператора мобильной связи к ответственности в виде возмещения убытков (постановление АС Западно-Сибирского округа от 1 февраля 2017 г. № Ф04-6474/2016 по делу № А27-20863/2015).

Рассмотрим еще один спор, связанный с выдачей оператором сотовой связи неустановленному лицу дубликата сим-карты и последующим незаконным списанием чужих денежных средств.

27 марта 2015 г. с расчетного счета общества было проведено 12 платежей контрагентам. Спустя несколько дней бухгалтер, к мобильному номеру которого был привязан счет, при попытке войти в программу «банк-клиент» обнаружила, что пароль недействителен. После получения нового пароля из выписки по счету было установлено, что помимо 12 платежей, проведенных 27 марта, с расчетного счета организации были несанкционированно списаны денежные средства на общую сумму свыше 1,2 млн руб.

Общество обратилось в суд с иском о возмещении убытков к банку и оператору сотовой связи как солидарным ответчикам.

Суды двух инстанций отказали в удовлетворении требований, аргументировав отсутствием прямой причинно-следственной связи между действиями ответчиков и причиненным истцу ущербом.

1 февраля 2017 г. решения по делу были отменены и спор направлен на новое рассмотрение, поскольку в утверждении суда о том, что при обращении с заявлением о замене сим-карты истец представил оператору нотариальную доверенность и документ, удостоверяющий личность ее предъявителя (паспорт), не указано, на основании каких доказательств сделан такой вывод – в материалах дела отсутствуют как доверенность, так и доказательства, подтверждающие факт ее выдачи и предъявление паспорта лицом, явившимся с доверенностью; равно как нет и самого заявления о замене сим-карты (постановление АС Московского округа от 19 января 2017 г. № Ф05-21060/2016 по делу № А40-186578/2015).

Когда ответственность несет банк

В январе 2017 г. Верховный Суд рассмотрел еще один спор по иску гражданина к банку. Участником спора также выступал оператор сотовой связи (Определение от 10 января 2017 г. № 4-КГ16-66). Ранее решением суда от 3 декабря 2015 г. исковые требования были удовлетворены: суд распределил риски между банком и оператором связи, возложив ответственность за несанкционированное списание денежных средств на кредитную организацию.

Так, между Е.О. и банком в марте 2012 г. был заключен кредитный договор и выдана банковская карта с кредитным лимитом в 150 тыс. руб., впоследствии увеличенным до 180 тыс. Договор предусматривал подключение услуги «Мобильный банк» к абонентскому номеру клиента. Е.О. воспользовалась кредитом, впоследствии полностью погасив задолженность. В связи с отсутствием в течение 180 дней операций по электронному счету абонента телефонный номер, к которому была подключена услуга «Мобильный банк», был отключен и впоследствии передан оператором связи в пользование третьему лицу.

В период с 29 апреля по 7 мая 2014 г. деньги со счета банковской карты посредством мобильного банкинга, подключенного к данному абонентскому номеру, неизвестным лицом были переведены на счета других лиц. В результате по счету карты Е.О. образовалась задолженность в 176 тыс. руб. Е.О. неоднократно обращалась в банк с заявлениями о списании неправомерно начисленной задолженности, но безуспешно, и в итоге обратилась в суд.

Удовлетворяя исковые требования, суд исходил из того, что истец в спорный период не пользовалась услугой «Мобильный банк», денежные средства со счета банковской карты не получала, а задолженность возникла из-за действий третьего лица и в отсутствие воли истца, в связи с чем последняя не обязана гасить эту задолженность. Суд также указал, что ответчик не исполнил обязанность по обеспечению сохранности конфиденциальной информации о банковской карте истца и защите денежных средств от хищения.

Отменяя данное решение и принимая по делу новое – об отказе в удовлетворении исковых требований – апелляционный суд заметил, что истец в нарушение условий договора выпуска и обслуживания кредитной карты не проинформировала банк о прекращении использования абонентского номера, к которому подключена услуга мобильного банкинга, и не предприняла своевременных действий по ее отключению.

Судебная коллегия по гражданским делам Верховного Суда с позицией апелляции не согласилась. Возвращая дело на пересмотр, ВС указал, что у истца в спорный период не было возможности выразить в какой-либо форме волеизъявление на получение кредита, а также распоряжение о совершении операций по счету, как и технических возможностей осуществить такие распоряжения посредством услуги «Мобильный банк». Следовательно, вывод о наличии у истца долга, вытекающего из кредитного договора, противоречит нормам материального права.

При новом рассмотрении дела исковые требования были удовлетворены, а с кредитной организации взысканы убытки (Апелляционное определение судебной коллегии по гражданским делам Мособлсуда от 20 февраля 2017 г. по делу № 33-4214/2017).

Как видим, в данном случае клиент своевременно не уведомил банк о прекращении использования абонентского номера, к которому подключена услуга мобильного банкинга. Верховный Суд отказался рассматривать вопрос о причинении банку убытков вследствие ненадлежащего исполнения клиентом обязанности уведомить его о прекращении использования абонентского номера и передаче его оператором сотовой связи третьему лицу. Как указал ВС, к предмету рассмотрения иска данный вопрос не относится. Иными словами, оператор сотовой связи фактически был выведен из круга лиц, ответственных за причинение клиенту ущерба, несмотря на то, что сим-карту третьему лицу выдал именно он, а банк объективно не мог знать, что у абонентского номера сменился владелец.

Здесь стоит обратить внимание на вывод Верховного Суда о статусе неперсонифицированных паролей, которые требуют введения определенной комбинации символов для подтверждения ранее направленного распоряжения. Как указал ВС, такие меры направлены главным образом на предотвращение исполнения ошибочных и случайных распоряжений, однако из этого не следует, что таким образом идентифицируется владелец счета либо его доверенное лицо, которому известен соответствующий код или пароль. Операция по введению направленного банком одноразового неперсонифицированного пароля доступна любому лицу, использующему в данный момент соответствующее мобильное устройство. Данный вывод был сделан Судом несмотря на то, что соглашением между банком и клиентом предусматривалось, что полученное банком СМС-сообщение рассматривается как распоряжение (поручение) на проведение операций по счетам (вкладам) клиента.

Таким образом, практика по спорам о взыскании убытков из-за несанкционированного списания денежных средств с банковского счета клиента в системе мобильного банкинга в связи с выдачей оператором сотовой связи дубликата сим-карты неустановленному лицу неоднозначна: в одних случаях к ответственности привлекается оператор сотовой связи, в других – банк, в третьих – в удовлетворении исковых требований суд отказывает.

Банк добровольно возместил ущерб клиенту, а затем предъявил регрессный иск оператору связи

Проанализируем еще одно дело, в котором банк добровольно возместил ущерб клиенту в размере суммы несанкционированного платежа, а впоследствии предъявил регрессный иск оператору сотовой связи как субъекту, выдавшему дубликат сим-карты неустановленному лицу.

В арбитражный суд обратился банк с исковым заявлением к оператору сотовой связи о взыскании убытков на сумму 606 тыс. руб. Как следует из материалов дела, гражданин Б. (клиент) имел два банковских счета. Услуга «Мобильный банк» была подключена к номеру, указанному клиентом в заявлении о ее подключении. 2 декабря 2015 г. в банк поступила информация об операциях, имеющих признаки мошеннических действий, совершенных третьими лицами в отношении денежных средств клиента посредством системы мобильного банкинга на общую сумму 606 тыс. руб.

12 декабря того же года Б. обратился в банк по поводу незаконного списания денег. Проверка установила, что Б. не совершал и не одобрял оспариваемые операции. Банк посчитал, что вина клиента в совершении операций по счетам и нарушение с его стороны правил совершения операций с использованием удаленных каналов обслуживания отсутствуют, и зачислил на счет клиента денежные средства в объеме похищенной суммы за счет собственных средств. Согласно информации, полученной от оператора сотовой связи, 26 ноября 2015 г. с 14:24 до 14:26 были проведены автоматическая блокировка, разблокировка и замена сим-карты с абонентским номером, зарегистрированным на имя Б. Вместе с тем, согласно устным пояснениям Б., данным сотрудникам банка, он в этот день находился за пределами России, поэтому не мог лично заменить сим-карту у оператора связи. При этом обслуживание первоначально выданной сим-карты оператором связи было прекращено, а все СМС-сообщения, направленные ему через систему мобильного банкинга и содержащие банковскую тайну, получило неустановленное лицо.

Банк полагал, что в связи с разглашением по вине оператора связи информации о паролях клиента на совершение операций с использованием удаленных каналов банковского обслуживания в тот же день, 26 ноября 2015 г., на карту Visa Gold, открытую клиенту Б., было зарегистрировано банковское мобильное приложение. СМС-сообщения с паролями, требуемыми для регистрации мобильного приложения, поступали на «подмененную» сим-карту, последствием чего и стало хищение денежных средств по счетам Б. Банк счел, что причиной возможности хищения послужила неправомерная замена сим-карты на имя клиента. Из-за неправомерных действий оператора связи банк потерпел убытки на сумму 606 тыс. руб., что послужило основанием для обращения в суд.

Арбитражный суд в удовлетворении требований банка отказал. Апелляционный суд в свою очередь отметил, что согласно ст. 15 и 1064 ГК возмещение вреда, причиненного имуществу гражданина или юридического лица, допускается при доказанности факта причинения вреда и его размера (наличие вреда), противоправности действий (бездействия), наличии прямой причинной связи между противоправными действиями (бездействием) и наступившими последствиями и вины причинителя ущерба. В отсутствие хотя бы одного из этих условий обязанность лица возместить причиненный вред не возникает.

Апелляция учла, что согласно внутренней инструкции, разработанной оператором связи, замена сим-карты осуществляется при личном обращении абонентов в офис компании или к дилеру с документом, удостоверяющий личность, или при обращении лица, имеющего нотариальную доверенность, при предъявлении удостоверения личности (паспорта) и письменного заявления на бланке установленного образца. При обращении абонента с заявлением о замене сим-карты дилер идентифицирует его путем проверки паспорта, формирует заявку на автоматическую замену сим-карты и отправляет ее на выполнение. После успешного выполнения заявки абоненту выдается новая сим-карта. Привязка телефонного номера абонента к новой сим-карте осуществляется автоматически при полном совпадении идентификационных данных. В противном случае заявка автоматически отклоняется и замена карты не производится.

В рассматриваемом случае идентификационные данные абонента, указанные в заявке, полностью совпали с данными, содержащимися в договоре об оказании услуг мобильной связи. Таким образом, как заключил суд, данные абонента были внесены в заявку на основании предъявленного документа, удостоверяющего личность, в связи с чем идентификация лица, обратившегося с заявлением о замене сим-карты, произведена надлежащим образом. Суд обратил внимание, что правилами оказания услуг подвижной связи установлен только порядок идентификации гражданина посредством проверки и сличения фотографии с документа, удостоверяющего личность, а обязанность оператора связи копировать данные документы ни при заключении договора, ни при замене сим-карты законом не установлена. Кроме того, в соответствии с порядком предоставления банком услуг через удаленные каналы обслуживания доступ клиента к банковским услугам осуществляется при условии его успешной идентификации и аутентификации на основании идентификатора пользователя и постоянного пароля.

Таким образом, резюмируется в судебном акте, для списания денежных средств со счета через систему мобильного банкинга необходимо иметь не только сим-карту с номером, подключенным к данной услуге, но и владеть информацией об открытых счетах абонента и наличии банковских карт, в том числе полные номера карт, срок их действия и CVV-код. При этом замена сим-карты представляет собой выдачу новой карты, и дополнительная информация одновременно с выдачей дубликата не переносится. При выдаче новой сим-карты номер телефона, баланс и все подключенные услуги остаются для абонента неизменными, но все абонентские данные, хранившиеся на сим-карте, восстановлению не подлежат.

То есть суд не усмотрел причинно-следственной связи между действиями оператора по замене сим-карты и последующим списанием денег со счетов Б. При таких обстоятельствах, как указано в решении, банком не представлено доказательств противоправности поведения оператора связи, сопряженного с причинением вреда в заявленном размере, поэтому исковые требования не могут быть удовлетворены (постановление Двенадцатого арбитражного апелляционного суда от 13 сентября 2016 г. № 12АП-8863/2016 по делу № А12-9847/2016).

В заключение отмечу, что количество споров, когда со счетов клиентов списываются деньги после того, как сотовый оператор выдает дубликат сим-карты неустановленному лицу, растет¹. Единообразия судебной практики по данной категории дел пока не наблюдается. Таким образом, можно говорить о появлении нового вида мошенничества со стороны лиц, намеренно через подельников получающих дубликаты сим-карт и реализующих корыстный умысел.