РЕШЕНИЕ

№ 1534

гр. София, 30.10.2025 г.

В ИМЕТО НА НАРОДА

СОФИЙСКИ ГРАДСКИ СЪД, ТО VI-6, в публично заседание на седемнадесети юни през две хиляди двадесет и пета година в следния състав:

Председател: Елена Радева при участието на секретаря Константина Д. Рядкова като разгледа докладваното от Елена Радева Търговско дело № 20231100900466 по описа за 2023 година за да се произнесе, взе предвид следното:

В исковата си молба ищецът „МИГ ДИМ“ ООД, ЕИК 110565593, твърди, че е клиент на ответната банка „УНИКРЕДИТ БУЛБАНК“ АД, ЕИК 831919536 и има сключен договор с нея за открито кредитна линия през 2014 година. Твърди, че този договор се подновява ежегодно и във връзка с него е открито разплащателна сметка на ищеца от банката с IBAN BG ••••••••. Твърди, че ползва тази кредитна линия при заплащане на по-големи по стойност фактури и при условията на сключения договор, като към него е предоставена и услугата електронно банкиране.

Ищецът твърди, че на 10.02.2020 година, чрез мобилно онлайн банкиране към ответника, чрез своя управител Г.Т.Г., е извършил обичайно плащане на съдоговорител във връзка с търговската дейност, при което е следвало да бъде заплатена сума в размер на 31 037, 64лв. от сметка на дружеството с IBAN BG •••••••• по фактура №13205/03.02.2020г. по сметка на „Тобако Импорт“ ООД, като управителят имал запаметен „образец“, чрез който веднъж направен превод към сметката на контрагента, тази сметка се явява запаметена и може да бъде редактирана само сумата и основанието на плащането.

Ищецът твърди, че при така запаметен образец с IBAN BG 20 UNCR •••••••• на „Тобако Импорт“ ООД, наредил плащане на упомената сума.

Твърди, че на 17.02.2020г. стоката, за която заплати тази сума не пристигнала и след проведен разговор относно причината за това с „Тобако Импорт“ ООД, ищецът узнал, че преводът на парите, който направил не е постъпил по сметката на „Тобако Импорт“ ООД. След извършена справка в банката- ответник, се установило, че злонамерен софтуер е пренасочи плащането към друга банкова сметка, а именно BG 33 ••••••••, към „Банка ДСК“ АД.

Твърди, че на 19.02.2020г. е подал жалба да ответника, който с писмо, без дата и подпис е дал отговор, че от страна на банката не са открити нарушения и потребителите следва да следят за правилно нанасяне на банковите сметки и суми и сумата, която е преминала в непозната банка няма да бъде възстановена на ищеца. Посочено е, че е потърсена „Банка ДСК“ АД, към чиято сметка е изпратена процесната сума от 31 037, 64лв., но становището на тази банка за възстановяване на неправомерно постъпили суми е негативно.

Ищецът твърди, че ответникът не му е възстановил преждепосочената сума, но е започнал да начислява такси, лихви и комисиони върху нея, все едно тя е била на разположение на ищеца и е била усвоена и ползвана от него.

Ищецът твърди, че е е образувано наказателно производство, прокурорска преписка №27348/2020г. по описа на СРП и досъдебно производство №5200/2020г. по описа на СДВР за престъпление по чл.212а НК, което не е приключило.

Ищецът твърди, че в този случай ответникът, като доставчик на услугата “мобилно банкиране“ носи отговорност пред клиентите си за сигурността на извършваните от тях плащания. Самият той се явява потребител на тази услуга, който извършва основно плащанията си чрез онлайн банкиране и не се касае за неопитност или непознаване на системата и тока как тя работи. Твърди, че при осъществяване на тази операция не е допуснал грешка при изписване на банковата сметка, още повече, че се касае за използване на образец, чиято цел е да се улесни потребителя, който вече е нанесъл тази банкова сметка и не се налага същата да бъде изписване за всеки превод. В случая ищецът се е доверил на предоставения от банката софтуер, както и възможността да използва създадения вече „образец“ на банковата сметка и преводното нареждане. Ето защо счита, че банката- ответник носи отговорност, при получаване на неправомерен достъп до банкова информация и транзакции на клиенти и голяма сума, която е насочена неправомерно към непозната за клиента банкова сметка.

Твърди, че ответникът носи отговорност в качеството му на доставчик на платежна услуга по ЗПУПС, чиято сигурност е неправомерно нарушена, поради което е налице основание да бъде ангажирана неговата отговорност. Твърди, че измамата спрямо платеца, включително под формата на фишиниг измама, следва да с разгледа на плоскостта на умишленото или поради груба небрежност неизпълнение на едно или няколко задължения по чл.75 ЗПУПС. Ето защо не следва да допуска кракване/хакване при използване на предлагания от банката продукт, при липса на проявена от потребителя груба небрежност.

Моли съда, след като се убеди в основателността на изложеното, да постанови решение, с което осъди ответника да му заплати 31 037, 64лв., представляваща стойност на извършена на 10.02.2020г. неразрешена платежна операция, ведно със законната лихва от датата на подаване на исковата молба до окончателното и заплащане и сумата от 2 770, 11лв., представляваща начислени такси, комисиони и лихви по неизползваната по вина на ответника част от кредитна линия сума от 31 037, 64лв., ведно със законната лихва върху нея от датата на завеждане на исковата молба в съда. Претендира разноските по делото.

В срока за отговор на исковата молба ответникът „УНИКРЕДИТ БУЛБАНК“ АД, ЕИК 831919536, депозира такъв, с който въвежда следните възражения по исковете.

По отношение на главния иск по ЗПУПС.

Твърди неоснователност на тази претенция, защото от изложението в обстоятелствената част на исковата молба, не се установява по какъв начин е извършено плащането на 10.02.2020г. Твърди, че плащане извършено онлайн не е идентично с мобилно банкиране. За последното твърди, че по отношение на ищеца е налице дневен лимит от 8 000лв., поради което няма как да извърши плащане на сума, която надвишава този лимит.

Твърди, че при онлайн банкирането и ползване на образец след изписването му в система се иска изрично потвърждение, които се извършва или чрез електронен подписи или чрез мобилен тоукън. Твърди, че конкретната операция е извършена чрез мобилен тоукън. Действието му се изразява в следното – системата за онлайн банкиране генерира еднократен код, който след въвеждането му в мобилен тоукън от своя страна генерира еднократен код за потвърждение на плащането.

Твърди, че при превод, извършен с образец на системата се дава възможност за редакция на образеца, като по време на редактирането цялото платежно нареждане, в това число IBAN и името на банката стои на екрана на ползваното устройство. Ето защо, дори и да бъдат забелязани разлики в буквите и цифрите в банковата сметка на получателя, то написаното име на банката е очевидно. В случая получателят е имал сметка в „УНИКРЕДИТ БУЛБАНК“ АД, а в платежното нареждане за банка на получател е написано „БАНКА ДСК“ АД.

В този случай ищецът не е следвало да потвърди плащането.

Твърди, че образецът като съдържание се създава от ползвателя на услугата, на негов компютър и се ползва от него, а не от банката. Плащането се извършва в реално време и евентуално възстановяване е възможно преди получателят да е усвоил сумата. В настоящия случай ищецът е уведомил банката 7 дни след извършване на плащането по телефона и два дни по- късно е подал жалба.

Ответникът твърди, че още при първия сигнал, на 17.02.2020г., преди получаване на жалбата е информирал „БАНКА ДСК“ АД, че плащането е предмет на неразрешена платежна операция и същият ден „БАНКА ДСК“ АД е отговорило, че по сметка на получателя няма средства и сумата не може да бъде възстановена. Твърди, че в резултат на осъществената кореспонденция между двете банки и оказаното съдействие от „БАНКА ДСК“ АД получателят на процесната сума е установен и за това и информиран ГД „БОП“.

Твърди, че ищецът неправилно се позовава на разпоредбата на чл.75 ЗПУПС, тъй като тази норма регламентира неговите задължения, но твърди, че банката е оказала необходимото съдействие на ощетеното дружество.

Позовава се на нормата на чл.90 ЗПУПС, съгласно която доставчикът на платежни услуги не носи отговорност за платежна операция при погрешно посочен идентификатор, като твърди, че в случая ищецът е посочил не само погрешен идентификатор -IBAN, но и погрешна банка.

Твърди, че в края на деня ищецът - между 16: 30 и 16: 57ч. - е ползвал системата за онлайн банкиране, проверявайки извършени плащания и е следвало да види и да сигнализира незабавно за неправилната операция, тъй като съгласно сключения на 12.05.2011г. договор за услугата онлайн банкиране, е бил длъжен да предприеме всички възможни мерки за защита, включително технически, както и всички мерки за гарантиране недосегаемостта от неоторизиран достъп, да ползва защитен софтуер, незабавно да сигнализира банката при опит за неоторизиран достъп и други мерки за защита, посочени в текста на договора. Твърди, че ищецът сам признава, че е допуснал действие, бездействие, груба небрежност по сметка.

По претенцията за 2 770, 11лв.

Твърди, че в тази част исковата молба е нередовна, поради което следва да се остави без движение.

Прави искане по чл.219 ГПК като моли съда да конституира като негов помагач „БАНКА ДСК“ АД.

Искането е уважено от състав на ОС – Ловеч, с определение №249/01.11.2022година и 28.11.2022година, след осъществена процедура по чл.63 ГПК, помагачът на ответника „БАНКА ДСК“ АД подава отговор на исковата молба.

С него помагачът заявява, че поддържа възраженията на главната страна, ответник по делото „УНИКРЕДИТ БУЛБАНК“ АД.

Твърди, че извършеният от ищеца превод на сумата от 31 037, 64лв. е с получател посоченото от ищеца лице „Тобако Импорт“ ООД, по сметка в „БАНКА ДСК“ АД, а именно BG33••••••••, на която сметка това дружество не е титуляр.

Въвежда аналогични с твърденията на ответника, чийто помагач е.

Твърди, че след получаване уведомление от ответника „УНИКРЕДИТ БУЛБАНК“ АД е извършен анализ и на 24.02.2020 година е върнато съобщение до ответника от помагача, че е установено, във връзка с искането МТ 192/17.02.2020г., че по посочената банкова сметка няма наличност и сумите не могат да бъдат възстановени.

Твърди, че основание чл.87, ал.2 ЗПУПС доставчикът на платежни услуги е длъжен да завери банковата сметка на получателя със сумата на платежната операция до края на следващия работен ден, след момента на получаване на платежното нареждане. Ето защо, при извършен превод на 10.02.2020г., на 12.02.2020г. получателят на сумите е могъл да се разпорежда с тях. Тъй като SWIFT съобщението на „УНИКРЕДИТ БУЛБАНК“ АД е изпратено на 17.02.2020г., то титулярът на сметката е могъл да се разпореди със средствата и към 17.02.2020г. не е останала наличност по сметката.

Твърди, че преводът на сумата е извършен в съответствие с посочения в платежното нареждане уникален идентификатор и по смисъла на чл.90 ЗПУПС същият е изпълнен точно от ответника, въз основа на редовно от външна страна платежно нареждане от лице, което е било успешно идентифицирано.

Ето защо твърди, че и ответник и негов помагач са действали при спазване на всички законово установени задължения, поради което не са налице основания да се ангажира отговорността им съгласно ЗПУПС. Ето защо не е налице и неразрешена платежна операция. Позовава се и на чл.7 от Наредба №13/18.08.2016г.

Моли съда да отхвърли претенциите на ищеца, като претендира разноски по делото.

Моли съда да разкрие банкова тайна касателно титуляр, постъпления и движенията по банкова сметка в „БАНКА ДСК“ АД с IBAN BG33••••••••.

В допълнителната искова молба ищецът заявява, че поддържа тезата, изложена в исковата молба.

Уточнява, че плащането е извършено чрез „онлайн банкиране“.

Твърди, че използването на тази услуга не предполага опитност в по- сложните технологии, нито пък знания от страна на ищеца относно възможностите за влияние от други устройства по злонамерени причини и тяхното противодействие. Твърди, че е взел стандартните мерки за защита- устройството има инсталирана и работеща антивирусна програма, паролата за банкирането не е разпространявана и само оправомощени лица боравят с нея. Всичко това покрива обичайната грижа на ползвателя на услугата.

Твърди, че при попълване на данните в платежното нареждане пред него не се е изписвала друга банкова сметка или името на друга банка, освен на ответника. Твърди, че сметката, по която е получена сумата му е изцяло непозната.

Твърди, че ответникът, след получаване на сигнала, е направил признание, че е налице неразрешена платежна операция, което се потвърждава и от действията на ответника чрез изпратени сигнали до ГД „БОП“ и ОД на МВР- Ловеч.

Оспорва да е допуснал грешка при изписване на банката и банковата сметка на получателя на парите, поради което твърди, че не е налице хипотеза по чл.90, ал.1 и 2 ЗПУПС.

Оспорва да е налице небрежност от негова страна при изпълнение на договорните му задължения, както и че е бил обвързан от срок за уведомяване на банката- ответник По отношение на претенцията за 2 770, 11лв., прави следните уточнения.

Твърди, че върху сумата от 31 037, 64лв. му е начислена лихва, както и такси и комисиони, чиито конкретен размер не може да уточни, защото му липсват специални знания.

В срока за допълнителен отговор ответникът и неговият помагач заявяват, че претенциите са неоснователни и следва да бъдат отхвърлени.

Ответникът оспорва претенцията за сумата от 2 770, 11лв., като твърди, че не е налице основание да се дири от ищеца заплащане на тази сума, защото сумата от 31 037, 64лв. е използвана от ищеца, поради което по договора за кредит- овърдрафт тази сума е дължима.

Страните са направили своите доказателствени искания.

Съдът, преценявайки събраните по делото доказателства, поотделно и в съвкупността им, намери за установено следното:

По делото страните не спорят, а това се установява от събраните писмени доказателства, че ищецът е депозирал пред ответника искане за ползване на Булбанк Онлайн за юридически лица, което касае банкова сметка на дружеството с IBAN BG ••••••••, левова с права за плащане. Това заявление съдържа изявление, че дружеството е запознато с Общите условия за ползване на Булбанк Онлайн и инструкциите за работа.

Въз основа на това заявление на 12.05.2011 година страните са сключили договор за предоставяне на услугата „БУЛБАНК ОНЛАЙН“, с който банката осигурява на клиента електронно банково обслужване за услугата електронна банкиране - чл.1, ал.1.

Според нормата на ал.2 от цитирания текст с тази услуга на клиента се предоставя възможност чрез електронни заявления, скрепени с електронен подпис на пълномощника/представляващия клиента в системата „БУЛБАНК ОНЛАЙН, предадени чрез електронните средства за обработка, съхраняване и възпроизвеждането им, да могат да се нареждат и извършват операциите и действията, посочени в искането, съобразно действащия регламент между страните, който се гради въз основа на посочените документи.

С нормите на този договор са регламентирани правата и задълженията на страните в материално-правната връзка.

Съгласно чл.4 от договора банката има задължения, посочени в текста на договора, като според ал.3 има задължение да осъществява електронно идентифициране на клиента, които намират израз в посочените проявни форми. Една от тези форми е да изпълнява операции, след като идентифицира наредителя и правата му да се разпорежда по сметката чрез онлайн банкиране и идентификаторите за това; да осигури нормалното функциониране на услугата по ред и начин, определени в договора и ОУ; Да осъществи коригираща платежна операция, когато има законно основание и обективни възможности за това, като в случай на дебитиране на сметка въз основа на неоторизирина или грешно извършена разплащателна операция, клиентът може да изиска корекция от банката само в случай, когато е информирал банката за това незабавно след установяване на неоторизираната или грешна разплащателна операция, най- късно 13 месеца след датата на дебитиране.

В раздела от договора „Отговорности, средства за идентификация и автентичност на платежната операция“ е очертан кръг и граници на отговорността на банката и основания за възникване на такава отговорност, като извън тези основания е за вреди, причинени от действия на самия клиент и неговата недобросъвестност.

Представено е искането за ползване на тази услуга и др. По делото не е налице спор относно това, че сума от 31 037, 64лв., която е предназначена да постъпи в банковата сметка на „ТОБАКО ИМПОРТ“ ООД, находяща се в ответната банка е постъпила по банкова сметка IBAN BG33••••••••, с основание фактури а- цигари, с наредител на сумата от 31 037, 64лв.Преводът е извършен от сметката на настоящия ищец, открита в настоящия ответник „УНИКРЕДИТ БУЛБАНК“ АД с дата на изпълнение 10.02.2020г., като в създадения документ е отбелязано, че е той е подписан от Г.Т.Г. с мобилен тоукън – управителят на ищцовото дружество.

По делото не е налице спор относно това, че тази платежна операция е извършена въз основа на създаден документ в електронна среда, представляващ платежно нареждане, съобразно което настоящият ищец се разпорежда от неговата сметка, която се намира в ответната банка да се извърши превод в полза на „ТОБАКО ИМПОРТ“ ООД на сума от 31 037, 64лв., като този документ е генериран в електронна система на банката- ответник.

По делото не е налице спор относно това, че след извършване на превод на сумата от 31 037, 64лв. в сметка, находяща се в „БАНК ДСК“ЕАД ищецът е сезирал настоящия ответник, че това представлява неразрешена платежна операция и е отправил искане банката да предприеме действия. Увдомяването е извършена по телефон чрез колцентъра на банката.

Искането е останало неудовлетворено, тъй като авоарите са постъпили по сметка, която е в друга банката и за това свидетелствува разменената между страните кореспонденция, представена по делото от ответника и чиято истинност не е оспорена в процеса.

Представени са документи във връзка с образуваното наказателно производство, за което по делото не са налице данни да е приключило и документиу, изходящи от трети за делото лица – част от структурата на МВР.

От тези изходящи от ответника документи- писмо от 19.02.2020г., изх.№ 16 – 000799, с което банката уведомява органите на МВР за проблема и за това, че клиентът и настоящ ищец е констатирал, че преведената от него сума е по сметка на друга банка- ДСК, което установил от разпечатване на авизото, създадено от него по вече утвърнет образец.

Представен е договор за овърдрафт – кредит, сключен между главните страни в процесуалната връзка.

Във връзка с основния спорен по делото въпрос, а именно дали ищецът е наредил осъществяване на платежна опирация към трето лице, чиято сметка е в ответната банка или не, съдът е допуснал СТЕ, която да даде отговор на осъществените действия във връзка със създаване на платежното нареждане от ищеца до ответника.

От основното заключение, прието като годно доказдателствено стредство по делото, изготвено от в.л. инж. Д. С., изготвено въз основа на извършена проверка при ответника, следва да бъдат отбелязани следните констатации на вещото лице и неговите изводи:

Относно онлайн банкирането.

Сочи, че това е процесът на използване на интернет технологии за управление на финансовите сметки и извършване на банкови транзакции през уебсайтове или мобилни приложения на банката.

Това включва достъп до информация за баланса, преглед на транзакциите, преводи, плащания на сметки и други банкови операции, които могат да бъдат извършвани чрез електронни устройства, свързани с интернет. Този вид услуга обикновено е защитен с различни мерки за сигурност, като лични кодове, двуфакторна аутентикация и криптиране, за да се гарантира защитата на личната информация на клиента.

Въпреки предоставеното удобство на онлайн банкирането, съществуват и определени рискове, които потребителите трябва да вземат предвид. Някои от основните рискове включват:

Сигурност на пароли и данни. Риск от компрометиране на пароли и лични данни чрез фишинг атаки, където хакери се опитват да привлекат потребителите да предоставят свои лични и финансови данни, като се представят за банкови институции.

Мобилна сигурност: В случай на загуба или кражба на мобилното устройство, което се използва за онлайн банкиране, може да се злоупотреби с чуствителната информация, ако не са взети подходящи мерки за сигурност.

Молуер и вируси: Вируси и злонамерен софтуер могат да заразят компютрите или мобилните устройства на потребителите и да предизвикат загуба на лична информация.

Несигурни Wi-Fi мрежи: Използването на незащитени или обществени Wi-Fi мрежи може да увеличи риска от нежелани достъпи и атаки.

Социални инженерни техники: Хакерите могат да използват социални инженерни техники, за да заблудят потребителите и да ги накарат да предоставят чувствителна информация.

Технически проблеми: Възможни са технически грешки, прекъсвания на интернет връзката или проблеми с банковите системи, които могат да предизвикат прекъсвания в обслужването.

Риск от финансови измами: Онлайн мошеници могат да използват различни измамни схеми, за да измамят потребителите и да ги накарат да предоставят пари или лична информация. За да се намали рискът, потребителите трябва да следват най- добрите практики за сигурност, като използват силни пароли, активират двуфакторна аутентикация, избягват използването на обществени Wi-Fi мрежи за финансови транзакции и редовно проверяват сметките си за неправомерни активности.

Ответникът „Уникредит Булбанк“ АД предлага на своите клиенти онлайн банкиране, като продуктът на банката е “Булбанк Онлайн”, както десктоп достъп през браузер, така и мобилно приложение.

В случая е използван достъп през браузер. В системата “Булбанк Онлайн” са взети необходимите мерки, които да осигурят безопасност при извършване на онлайн транзакции от потребителите. Тези мерки включват: SSL Криптиране: Зашифроване на комуникацията между потребителите и уебсайта чрез SSL (Secure Socket Layer) или TLS (Transport Layer Security) протокол, което предпазва данните от нежелани поглеждания.

Двуфакторна аутентикация (2FA): Изискване за два отделни начина за потвърждение на самоличността, като например парола и код от токен, SMS или мобилно приложение.

Мониторинг на транзакции: Автоматизирано следене на транзакциите за ненормални или подозрителни дейности.

Активно мониториране на сигурността: Постоянен мониторинг на потенциални заплахи и реакция при откриване на атаки.

Биометрични методи на идентификация: Възможност за използване на биометрични данни като отпечатъци, разпознаване на лице или други методи за потвърждение на самоличността (за мобилното приложение).

За достъпване на онлайн банкирането Булбанк използва двуфакторна аутентикация.

Това означава, че след като клиентът впише потребителско име (уникално) и парола следва да въведе специална комбинация от символи, които получава с СМС или одобрява влизането през софтуерен тоукън, инсталиран на мобилно устройство.

Вещото лице отбелязва, че от няколко проведени разговора с Булбанк става ясно, че банката не може да предостави вариант на системата такава, каквато е била към процесният период.

От уеб архивите в интернет пространството стана ясно от кога банката използва двуфакторна идентификация. През 2019 година двуфакторната аутентикация вече е била въведена. Това се осъществява по следният начин - след въвеждане на потребителско име и парола на клиента се изпраща допълнителен код, който следва да бъде въведен в приложението “БУЛБАНК ОНЛАЙН”. Този код може да бъде изпратен с SMS или чрез тоукън на банката. От техническите задания на системата в банката стана ясно кога е разработен модулът за шаблон и че функционалността му не е била изменяна до момента на изготвяне на експертизата. За процесният превод на 10.02.2020, клиентът е използвал онлайн банкиране през компютър “БУЛБАНК ОНЛАЙН”.

За целите на експертизата вещото лице е изготвило процеса на създаване на платежно нареждане от шаблон в приложението:

Зарежда се един от предварително запаметени образци (шаблони).

Образците се правят, когато се налагат често плащания до едно и също лице. В образеца се запаметява банкова сметка, име на лицето, сума на превода и др., които могат да се променят от потребителя по всяко време. В конкретният случай за целите на експертизата беше направена промяна на IBAN за плащане, както и за сумата за плащане към съответния получател на паричната сума. Системата изписва, че има разлики от предварително зададения шаблон.

За да продължи потребителят е необходимо изрично да потвърди с бутон.

В системите на банката за дата процесното плащане на 10.02.2020 е запазена следната последователност от действия:

В 13: 04: 49 ч. е направено платежното от темплейт. В 13: 05: 41 са показани разликите с предварително зададения темплейт. В 13: 05: 53 платежното с промените е записано и подписано. Плащането е подписано на 10.02.2020г.в 13: 09: 46 с мобилен токен от ID 177089 (Г.Т.Г.) и е за сума от 31 037.64лв.

Въз основа на тези констатации вещото лице инж. С. е направило следните изводи:

Дава принципен отговор, че е възможно компютърът, от който се използва онлайн банкирането да е бил заразен със зловреден софтуер, който може да промени данните, въведени от потребителя, включително банковата сметка за плащане. Това може да стане чрез софтуерни атаки като манипулиране на уеб страници, фишинг атаки, вредни програми (малуер) и други методи. Безопасността на онлайн банкирането зависи от различни фактори, включително сигурността на самото приложение за онлайн банкиране, сигурността на компютъра и устройството, което се използва за достъп до онлайн банкирането и от поведението на потребителя.

От преди 2019 г. Булбанк използва двуфакторна автентикация. Това означава, че през 2020 г. банката също използва такава или по-висока защита. В случая е използван мобилен токен с ID 177089. Това означава, че при всяко влизане, потребителят въвежда потребителско име и парола, като в допълнение вписва допълнителен код, генериран от токена. За извършване на плащане, потребителят подготвя платежно нареждане през системата на банката. Платежното може да се изготви в момента или да се използва предварително запазен образец. В конкретния случай е използван предварително запазен образец. Направени са промени по образеца. Потребителят е одобрил промените и е подписал плащането с мобилен тоукън. Потвърждаване на плащането се извършва отново с двойна автентикация. Веднъж потребителят натиска бутон за потвърждение, в допълнение с мобилния тоукън утвърждава плащането. Ако плащането не бъде потвърдено с тоукъна, то не се изпраща от банката към получателя.

В детайли действията на потребителя Г.Т.Г.: В 13: 04: 49 ч. е направено платежното от темплейт.

В 13: 05: 41 са показани разликите с предварително зададения темплейт. В 13: 05: 53 платежното с промените е записано и подписано. Плащането е подписано на 10.02.2020 13: 09: 46 с мобилен токен от ID 177089 (Г.Т.Г.) и е за сума от 31037.64.

В 14: 12: 55 е изтрит шаблон (образец). В 16: 29: 14 е последното влизане от IP 93.123.51.89, като при това влизане е извършена проверка на направените плащания през деня, които са изобразени в таблицата на листове 90-92 от делото.

В дадените пред съда обяснения в.л. инж.С. подробно сочи как се отразява промяна на шаблона и че тази промяна се запазва в лог файла на банката, който сочи поредността и вида на тези промени чрез обозначаването им с уникални номера, като всички промени, включително и изтриване на изготвения за конкретната операция шаблон са осъществени от един и същи ай пи адрес. В дадените пред съда обяснения вещото лице сочи и, че не е успяла да разбере дали програмата на банката предвижда опция да се даде сигнал, че IBAN- а, който е част от съдържанието на платежното нареждане вече е в друга банка, но в създадената програма се сочат разликите от вече създадения образец/шаблон, а в случая те касаят името на получателя, IBAN- а, BIG, титуляр на сметката, но допълнителна сигнализация няма. Банката ограничава времево сесията, в която може да се провери създадения документ платежно нареждане; всяка промяна, която е въведена в шаблона изисква потвърждение. Вещото лице уточнява и това, че запазените от банката лог файлове не дават възможност да се даде отговор на въпроса дали промяната е касаела IBAN- а и че това е било видимо само за потребителя към момента на извършване на операцията и проверка на създадения платежен документ; че програмата, която банката е създала за осъществяване на онлайн банкирането не е променяна от 2019 година и че изтритият шаблон вече се явява недостъпен и не може да бъде видян дори и от потребителя на услугата По искане на ищеца е допусната повторна експертиза по част от въпросите, която е изготвена от в.л. инж.П. Х., който да даде отговор на въпрос №4 и на допълнителни въпроси, които са поставени от страните.

Според това заключение причината преводът да бъде определен от ответника като „неразрешена операция“ два дни след извършването има следния генезис:

Съгласно установените данни „Уникредит Булбанк“ уведомява „Банка ДСК“ на 17.02.2020 г. в 10: 07: 47, след като получава сигнал в Център за контакт с клиенти, подаден от представител на дружеството. Сигналът е подаден от лице представило се за Я.Г. от Миг – Дим ООД гр. Ловеч, след което превода е посочен като „неразрешена операция.

По отношение на автентичността на логовете в експертизата, като се има предвид необичайното съхранение на символи на кирилица в тях; дали информацията е била модифицирана или е била предоставена от банката в този вид, вещото лице дава следните отговори – няма записи за промяна на IBAN. Експертизата потвърждава автентичността на логовете, както и че същите са резултат от хронологичният одит на банковата система, воден по автоматичен път от самата нея, което е заложена функционалност в нейното ядрото при самото изграждане. Данните от този информационен одит се съхраняват в системата за определен период с цел информационен характер, като същите не подлежат на редакция от служители на банката. Този тип информация служи при необходимост от вътрешно банкови анализи с различна насоченост – от вида на оптимизиране на системата, контрол на нивата на достъп и на самите служители в банката, проверка за уязвимости, технически, софтуерни и комуникационни проблеми, анализи на финансовите операции на клиентите.

Относно това възможна ли е уязвимост в онлайн банкирането на банката, която да позволява различни атаки тип „Cross-site Scripting“ или друга, която да е не е показвала промяната видимо за крайният потребител, понеже логовете в експертизата не индикират, че е имало промяна на IBAN. Отвореност ли е на банката да защити уеб приложенията си към подобни атаки като „Cross-site Scripting“; то инж. Х. сочи, че банковата система се анализира поточно и регулярно от човешки ресурс по „Информационна сигурност“, на годишна база банката е задължена да се извършват и тестове за проникване в системата от трета независима страна. Банката притежава архитектурно защити на няколко нива: засягащи трафика към приложенията, клиентските обръщения към приложенията, зониране и разделение на обръщенията между съставните части на приложенията (интерфейс, приложение, данни) със изрична технологична забрана за директна комуникация между интерфейсна част и данни, следене и реакция за забрана при наличие на аномалии в мрежовия трафик чрез прилагането и зониране на различните нива в архитектурата на защитни стени, прилагането на специализирана защитна стена на приложен слой специално за WEB базирани приложения и не на последно място ползването на софтуер за защита от неправомерен софтуер и ползването на злонамерен такъв (антивирусна защита и защита от заплахи). Последната система представлява занитен модул от вида IDS/IPS (установяване на заплахи/защита от заплахи) който се обновява автоматични и непрекъснато, също подлежи и на настройки от служители по информационната сигурност в банката. Относно „логовете в експертизата не индикират, че е имало промяна на IBAN“ Обективираните „логове“ за това какво и как са действали клиентите се записват отделно на ниво данни в системата, където се обхваща всички параметри на потребителското поведение и действия до степен да може да се отговори кой, от къде, какво, кога и как е извършил като действия в системата. В тези логове може да се запише действие по промяна на данни, но не и какви данни са променени от страна на клиента поради конфиденциалност и технически да се ограничи възможността служител да влияе на записани потребителски/клиентски действия.

Относно „Отговорност ли е на банката да защити уеб приложенията си към подобни атаки като „Cross-site Scripting“: Уеб приложенията на банката се инсталира от сигурен източник /apple storе-iOS; play storeAndroid OS/ който проверява приложенията качени в базата за „зловреден код“ в тях. Банката съответно се грижи за криптиране на комуникацията, на нейните приложения със системата на банката. Транспортната среда и при двата вида отдалечено банкиране електронно и мобилно комуникацията се осъществява през криптиран канал, чийто крипто алгоритъм се издава от трета доверителна страна.

По въпроса относно възможно ли е IBAN да е подменен при генерирането на авизото след потвърждението на клиентът, без никаква видимост за клиента, тъй като логовете не показват тази промяна да се е случила при действията на клиента, то в.л. дава отговор, че авизо1 е резултат от изпълнения превода и се попълва с данни от превода, а не преди изпълнението. В тези логове е възможно да се запише действие по промяна на данни, но не и какви данни са променени от страна на клиента поради конфиденциалност и технически да се ограничи възможността служител да влияе на записани потребителски/клиентски действия.

Относно това какви действия извършва потребителят на услугата „Булбанк Онлайн“, включително влизане в системата, изготвяне на платежен документ и промяна на предшестващ образец, потвърждаване на съдържанието на платежния документ, подписване на платежното нареждане с мобилен тоукън, в.л. заключава, че потребител в Булбанк Онлайн, използващ като средство за вход и потвърждение на преводи Мобилен Токън, при вход в Булбанк Онлайн въвежда потребителско име и парола, които са получени във филиал на Банката при регистрация на услугата и в последствие сменени от самия потребител при първи вход в системата. След което при натискане на бутон „Вход“ се зарежда нов прозорец, в който се въвежда еднократна парола, генерирана от приложението Bulbank Mobile. След успешен вход в Булбанк Онлайн, потребителят вижда начално меню със сметки, преводи, карти, кредити. В зависимост от вида на превода, който ще нарежда, потребителят избира съответното меню и му се зарежда електронна форма за попълване на информация. Потребителят следва да избере от коя сметка нарежда (това са сметки, за които има предоставени активни права), ако има избрана сметка по подразбиране, се зарежда автоматично и той може да коригира, данни за сметка и имена на получател, сума на превода и основание, в зависимост от превода има и други реквизити, които се изискват, ако е за чужбина или за по- големи суми (декларация за произход на средства, в случай че не е освободен от такава ), избиране на дейност на фирмата. За попълнената информация има и опция за запазване на образец. От отделно меню за образци потребителят може да търси по име, което е дал конкретния образец и да го редактира и нарежда повторно. След като бъде запазена попълнената електронна форма за превод, се навигира до меню „Неизпратени“, където следва да бъде подписан и изпратен преводът. При маркиране и на двете опции за подписване и изпращане за обработка, се зарежда прозорец, който показва данни за превода, дата, тип на превод, от/наредител, към/получател, съответните сметки, сума и подпис с М-токън. Има допълнително поле, което изисква да се въведе еднократно генерираната парола от мобилното приложение за потвърждение на превода, като при вход в мобилното приложение се въвежда код от нареждането в Булбанк онлайн, след което генерира код за потвърждение и се връща в Булбанк Онлайн за да го въведе и потвърди изпращането. Ако за пръв път се нарежда към съответния получател и сметка, визуализира повторно за потвърждение, че се нарежда превод към нова сметка и данните за превода. При извършване на превод от образец, а именно използване на опция за бърз превод по вече създаден образец със същите данни, преводът отива в неизпратени, от където се вижда информацията за нареждане и потвърждаване чрез подпис с М-токън.

Въз основа на така установеното от фактическа страна по делото съдът достига до слените правни изводи:

Предявените от ищеца искове целят да ангажират имуществената отговорност на ответника във връзка с твърдяна да е осъществена от него неразрешена платежна операция със сумата, която е получена вместо от съдоговорителя на настоящия ищец по повод издадената от него фактура, от лице, което не е страна по осъществената сделка и чиято сметка е извън ответната банка, както и да заплати на ищеца суми, с които е намаляло имущественото му.

Според нормата на чл. 78, ал. 1 от ЗПУПС, когато ползвателят на платежна услуга твърди, че не е разрешавал изпълнението на платежна операция или че е налице неточно изпълнена платежна операция, доставчикът на платежната услуга носи доказателствената тежест при установяване автентичността на платежната операция, нейното точно регистриране, осчетоводяването, както и за това, че операцията не е засегната от техническа повреда или друг недостатък в услугата, предоставена от доставчика на платежни услуги.

В конкретния случай твърдението на ищеца за извършена неразрешена от ответника платежна операция се базира на обстоятелството, че наредената от ищеца сума е постъпила не по сметката на неговия съдоговорител, находяща се в ответната банка, а по сметка на физическо лице, находяща се в друга банка- помагач на ответника.

Поддържаната от ответника в производството защитна позиция е била основана на твърдения, че операцията не може да се третира като неразрешена, тъй като преводът на паричната сума е нареден, потвърден и подписан от лице, което се идентифицира като представляващо ищцовото дружество, а това обстоятелство се установява от изслушаните СТЕ. Тя от своя страна се базира на проведеното изследване на логовете, част от електронната система на ответника, чиято автентичност и вярност не е оборена в процеса и от които се установяват извършените от ищеца и запазени в електронна среда действия по провеждане на процесната платежна операция на 10.02.2020г. в рамките на ползван от ищеца електронен канал за извършване на услуги, достъп до който /пасивен и активен/ ищецът е осъществил чрез предоставени му от банката персонални потребителско име и парола.Този процес на електронно банкиране е бил допълнително защитен чрез защитна комбинация от потребителско име и парола и допълнителен код, генериран от токена; че преводът е изпълнен точно, като отговорността за грешно посочен в нарежданията IBAN е на наредителя.

Твърденията, че банката е изпълнила неразрешена от ищеца платежна операция, основани на това, че наредената сума е постъпила не по сметка на контрагента, а на трето лице в банка, различна от банката, обслужваща сметките му, като при попълването и потвърждаването на платежните нареждания в тях е бил посочен един IBAN, а при подписването им и изпращането им на банката – друг са хипотеза във връзка с която е постановено решение №139/27.08.2024г. по т.д.№2767/2022г. по описа на второ т.о., съгласно което при предвидена с договорната връзка дерогация на норми от закона, възможност, предпоставена от това, че ищецът няма качество на потребител по смисъла на §1 т.40 от ДР на ЗПУПС /ред. от 06.03.2018г./, определени разпоредби на ЗПУПС, между които тези на чл.78 /относно доказването на автентичност и точното изпълнение на платежната операция/ и чл.91 /относно отговорността на доставчика на платежни услуги към платеца/, да не се прилагат в отношенията им, като бъдат заместени от съответните предвидени клаузи в договорната връзка. С това решение ВКС е дал отговор, отчитайки конкретиките на спора, който е в смисъл, че извършената платежна операция не се явява неразрешена.

В настоящия случай хипотезата е аналогична и съдът, основавайки се на заключенията от двете СТЕ приема, че изцяло във възможностите и задълженията на ищеца е било да положи необходимата грижа при попълване на шаблона, проверка на отклоненията от същия, които изрично се маркират от програмата, за да бъде поставен акцент върху тях при последващата проверка. При внимателна проверка на промените в създадения шаблон ищецът е бил в състояние да отбележи, че попълненият от него IBAN касае сметка в друга банка, чието наименование е част от създаденото в електронна среда платежно нареждане. Следва да бъде отбелязано и обстоятелството, че малко след провеждане на процесната операция по нареждане на сумата за плащане, създаденият от ищеца шаблон с промени е бил изтрит от него, което обстоятелство допълнително възпрепятства проверка на твърденията му за наличие на поведение на банката, което обосновава отговорността и. Съгласно преждецитираното решение при тези факти може да се приеме, че банката е получила нареждане за превод на суми от сметката на ищеца, които е изпълнила точно, съгласно чл.90 ал.1 ЗПУПС и не носи отговорност за това, че сумите по тази платежна операция са постъпили по сметка на трето лице, вместо по сметките на контрагента на ищеца, доколкото в нареждането, получено от банката, надлежно оформено и подписано със съответния инструмент за подписване, е била посочена сметка с валиден международен номер /уникален идентификатор - IBAN/ - чл.90 ал.2 ЗПУПС. Не може да се приеме при установените обстоятелства, че тази платежна операция е неразрешена по смисъла на чл.70 ал.1 изр.2 ЗПУПС, доколкото до банката е достигнало и регистрирано като изявление на законния представител на дружеството за плащане, подписаните от него с предоставения му инструмент за достъп платежно нареждане, в което е посочен номер на сметка в „БАНКА ДСК“. По делото нито твърди, че подписаното от управителя на дружеството платежно нареждане е било обект на последваща манипулация с промяна на уникалния идентификатор, нито подобно обстоятелство се установява по делото. Хипотетичните разсъждения в тази насока на страните и дадените отговори от вещите лица не намират опора в доказателствения материал по делото, поради което съдът не споделя, че е налице хипотеза на външно зловредно влияние в процеса на създаване на платежния документ. Ето защо приема, че подобна хипотеза не е установена в хода на съдебното дирене.

В настоящия случай въз основа на събраните доказателства съдът намира, че в хода на производството не се установи, че процесната операция е неразрешена и това е така, тъй като се установява, че платежното нареждане е създадено от ищеца, въз основа на този документ банката е извършила платежната операция.

Съгласно чл. 90, ал. 1 и ал. 2 от ЗФУПС, когато платежно нареждане е изпълнено в съответствие с посочения в него уникален идентификатор, нареждането се смята за точно изпълнено по отношение на получателя, посочен с уникалния идентификатор. Доставчикът на платежни услуги не носи отговорност за неизпълнението или неточното изпълнение на платежна операция при неточност на посочения от ползвателя на платежни услуги уникален идентификатор. В този случай изпълненото в съответствие с посочения в него уникален идентификатор, винаги се смята за точно изпълнено /в т.см. и константната практика на съдилищата, изразена в редица актове, като Определение № 218 от 23.01.2025 г. на ВКС по т. д. № 960/2024 г., II т. о., ТК; Решение № 5643 от 21.10.2024 г. на СГС по в. гр. д. № 6414/2023 г., Решение № 6445 от 15.12.2023 г. на СГС по в. гр. д. № 3108/2023 г.; Решение № 139/27.08.2024 г. по т.д. № 2767/2022 г. на ВКС и др./.

Тези съображения водят до извод за неоснователност на предявените искове- както за сумата от 31 037, 64лв., предмет на платежната операция от 10.02.2020г., така и за сумата от 2 770, 11лв., с която ищецът твърди, да е намаляло имуществото му, ката последица от осъществената трансакция чрез Булбанк Онлайн.

След като съдът приема, че правилно е осъществена трансакцията и платежната услуга не се явява неправомерна от страна на ответника, то тази сума, като част от разрешения овърдрафт на ищеца има за последица и задължение на кредитополучатеиля и настоящ ищец да заплати уговорените с банковата сделка такси, комисиони и лихви.

По разноските. И двете главни страни в хода на производството са направили искане за присъждане на разноски.

С оглед извод на съда за неоснователност на предявените искове по чл.82 вр. с чл.79, ал.1 ЗЗД вр. с чл.79, ал.1 ЗПУПС, то разноските следва да се присъдят на ответника, събразно нормата на чл.78, ал.3 ГПК.

Според представения от него списък с разноски претендираната сума е от 2 144лв., които ищецът следва да понесе като тегоба от изхода на процеса.

При изложеното съдът