Решение № 3166 от 5.8.2026 г. на Районен съд - Варна по дело № 9705/2024 г.

следното:

Производството по делото е с предмет предявени искове с правно основание чл.79 ал.1 от Закона за платежните услуги и платежните системи (ЗПУПС) и чл.86 от ЗЗД.

Производството по делото е образувано по повод предявени от ищеца

М. Ц. Д. ЕГН: ••••••••••, с адрес: •••••••• срещу ответника „ИНВЕСТБАНК" АД ЕИК: 831663282, със седалище и адрес на управление: гр. София, бул. „България" № 85 осъдителни искове с правно основание чл.79 ал.1 от Закона за платежните услуги и платежните системи (ЗПУПС) и чл.86 от ЗЗД за осъждане на ответника да заплати на ищеца, както следва:

сумата в общ размер от 12099,98 евро, представляваща стойност на 3

броя неразрешени платежни операции, извършени на 18.08.2023 год. от неговата банкова сметка, ведно със законната лихва върху тази сума, считано от датата на завеждане на исковата молба в съда - 16.10.2023г. до окончателното й изплащане;

сумата в размер на 508,86 лв., /превалутирани 260,18 евро/,

представляваща обезщетение за забава в размер на законната лихва върху главницата в размер на 12099,98 евро, за периода от 18.08.2023 год. до 14.10.2023 г. включително.

Ищецът основава исковите си претенции на следните фактически

твърдения, обективирани в обстоятелствената част на исковата молба:

Излага се, че между страните е сключен Договор за откриване и водене

на платежна сметка, обслужвана с дебитна, банкова карта от 23.11.2017г., с който картодържателят е използвал да съхранява своите средства чрез банката. Към този Договор за откриване и водене на платежна сметка, обслужвана с дебитна, банкова карта от 23.11.2017г., е била предлагана и услуга - допълнително СМС известяване при извършване на транзакция. Твърди се, че ищецът е притежавал банковата карта, като за същата е била активирана и услугата СМС известяване към картодържателя.

Твърди се, че на 18.08.2023г. ищецът М. Ц. Д., ЕГН: •••••••••• е

пострадал от източване на банковата му карта, издадена от ТБ „ИНВЕСТБАНК“ АД, гр. София, ЕИК: 831663282, като от личната му сметка, свързана и банкова карта № ••••••••••••••••, e изтеглена чрез три неразрешени транзакции обща сума в размер на 12099,98 евро, като тези 3 броя неразрешени от него транзакции са на следните, описани по-долу суми, както следва:

1. Непозволена транзакция в размер на 4500 ЕВРО, извършена на 18.08.2023г. с основание ••••••••••••••••••••.

2.Непозволена транзакция в размер на 4799.99 ЕВРО, извършена на 18.08.2023г. с основание•••••••••••••••••.

3.Непозволена транзакция в размер на 2799.99 ЕВРО, извършена на 18.08.2023г. с основание •••••••••••••••••••

Веднага след извършването на описаните по-горе транзакции на 18.08.2023г. ищецът М. Ц. Д., ЕГН: •••••••••• е получил СМС съобщения от страна на банката, въз основа на което е установил, че от личната му банкова сметка, за която е била издадена банкова карта № ••••••••••••••••, чрез три последователни неразрешени транзакции са изтеглени различни суми за заплащане на виртуална валута в електронен портфейл, регистриран в платформата••••••••••••••••••••• След изтеглянето на сумите, в късната вечер на 18.08.2023г., в 22.57 часа, пострадалият картодържател и ищец в настоящото съдебно производство пред Районен съд гр. София, незабавно се е свързал с представител на Банката - ответник в настоящото Съдебно производство, съгласно изискванията и Общите условия по Договор за откриване и водене на платежна сметка, обслужвана с дебитна, банкова карта от 23.11.2017г.. Представителят на ответника, го е уведомил, че поради липсата на възможност, не може да бъде блокирана нито сметката, нито картата, тъй като за банковата карта е отговорна фирма „БОРИКА АД, гр. София, а към онази дата ответникът не може в извънработно време да блокира сметката, за да прекрати достъпа до нея и осуети извършването на допълнителни транзакции от нея, тъй като банката не разполага с технически екип, който да се ангажира за денонощна поддръжка към издаване и блокиране на банкови карти на клиентите. Именно тогава, ищецът М. Д. е получил шокиращата информация, че неговата банковата карта не може да бъде блокирана, нито пък банката е успяла да блокира сметката му, като с това си изявление, ответникът ТБ „ИНВЕСТБАНК ЕАД, гр. София е проявил изключителна небрежност към средствата, предоставени от страна на държателя на финансовия инструмент- дебитна карта и ищец в настоящото производство.

Ответникът ТБ „ИНВЕСТБАНК ЕАД, гр. София, е информирал

пострадалия картодържател и ищец, в последните няколко часа от сметката му, чрез 3 броя нерегламентирани и неразрешени транзакции, без неговото знание в нарушение на закона (ЗПУПС) е били изтеглена сума в размер на 12099,98 евро, за разплащане в международна платформа за крипто валута - ••••••• което ищецът М. Ц. Д., ЕГН: •••••••••• е получил СМС известие.

По изложените съображения ищецът предявява осъдителен иск за възстановяване на настъпили за ищеца вреди в размер на 12099,98 евро, с оглед извършени 3 броя нерегламентирани и неразрешени транзакции, без неговото знание, в нарушение на закона (ЗПУПС).

Счита се,че небрежността на ответника по отношение средствата на картодържателя се проявила чрез получената от него информация, с която въпреки проведеното обаждане към служител на ТБ „ИНВЕСТБАНК ЕАД, гр. София, банката е отказала да блокира сметката, като служителят е заявил, че не може да блокира и картата, тъй като тя е собственост и се намира в системата на картовия оператор БОРИКА АД, с което през цялата нощ на 18.08.2023г. срещу 19.08.2203г. сметка на пострадалия ищец е била отворена и открита въпреки изтеглените от нея различни суми за заплащане на виртуална валута в портфейл в платформата www.kucoin.com. Твърди се, че банката е могла да блокира още след първата транзакция банковата карта, с цел рязко да ограничи извършването на нерегламентираните транзакции, както и неразрешено теглене от сметката на ищеца, като въпреки факта, че е получила искане, след обаждане на ищеца към банката, направено в 22.57 часа към служител на „ТБ ИНВЕСТБАНК ЕАД, гр. София, същата е отказала да блокира сметката на пострадалия ищец, което е довело до настъпването на имуществена вреда в размер на 12099,98 евро, която сума се явява претенцията на същата към ответника „ТБ ИНВЕСТБАНК ЕАД, гр. София.

На 21.08.2023г. изцяло несъгласен с извършените 3 броя

нерегламентирани банкови транзакции от 18.08.2023г. ищецът М. Ц. Д., ЕГН: •••••••••• е подал писмено заявление към ответника - ТБ ИНВЕСТБАНК АД, съгласно Общите условия на Договор за откриване и водене на платежна сметка, обслужвана с дебитна, банкова карта от 23.11.2017г.

На 21.09.2023г. с писмо, изх. № 8045-93/21.09.2023г. ответникът ТБ

ИНВЕСТБАНК АД, гр. София е изпратил категоричен отговор, в който е отказал да изплати и възстанови сумите на своя картодържател по Договор за откриване и водене на платежна сметка, обслужвана с дебитна, банкова карта от 23.11.2017г, като крайният резултат в становището на ответника е, че не е налице отговорност от страна на банката за настъпилите вреди.

С оглед на горното се сезира съда с искане за постановяване на съдебно

решение , с което да се уважи предявената искова претенция и се моли за присъждане на направените по делото разноски.

Ответникът „ИНВЕСТБАНК" АД ЕИК: 831663282, със седалище и адрес на управление: гр. София, бул. „България" № 85, в срока по чл. 131 от ГПК, депозира отговор на исковата молба, в който се излага становище за неоснователност на предявения иск.

Не се оспорва факта, че на 23.11.2017 г. в гр. София между ищцецът М. Ц.

Д. и ответното дружество „ИНВЕСТБАНК" АД е сключен Рамков договор за платежни услуги, Договор за откриване и водене на платежна сметка, обслужвана и с банкова карта в евро с IBAN ••••••• На 17.03.2022 г. е сключен и договор за издаване на дебитна карта. Към сметката с ••••••• била издадена и платежна дебитна карта •••••••• с местен или международен достъп. Издадената карта с номер ••••••••••••••3, като заедно с производството си е регистрирана за услугата „3D Картова защита“ с мобилен телефон••••••••••••••••, който ищецът е предоставил и този номер е записан в базата данни на банката. На 18.08.2023 г. е добавен допълнителния елемент „биометрична автентикация" към услугата „3D Картова защита".

Твърди се, че са неправилни твърденията на ищеца, че на 18.08.2023 г.

ищецът е пострадал от източване на банкова карта, издадена от „Инвестбанк" с №••••••••••••••••, като са извършени три броя неразрешени транзакции, които той е оспорил на 21.08.2023 г. При извършване на регулярен мониторинг са установени три трансакции тип „плащане на виртуален ПОС терминал, извършени в интернет сайт на търговец, с адрес, •••••••, осъществени на 18.08.2023 г. (за сумите от 4500,00 евро и 4799,99 евро) и за сумата от 2699.99 евро). Анализ на последователността на събитията показва, че картата на клиента е регистрирана за биометрична автентикация за потвърждаване на онлайн разплащания с нея на 18.08.2023г. (Authentications report.pdf). Впоследствие на същата дата са потвърдени три броя плащания в сайта на търговеца ••••••••••", като е ползвано приложението 3DSeс на БОРИКА за биометрична автентикация (файлове: Transaction 4500 EUR.pdf, Transaction 4800 EUR.pdf и Transaction 2700 EUR.pdf.). Този тип автентикация на плащания се осъществява чрез прилагане на технологията за разпознаване на пръстов отпечатък или лицево разпознаване на устройството, в което предварително е регистрирана картата Извършените плащания са протекли със ЗУИ чрез автентикация посредством биометрични данни. По този начин се осигурява задълбочено установяване на идентичността на клиента, съгласно чл. 100, ал. 4 от ЗПУПС.

Сочи се, че са неоснователни твърденията на ищеца, че тегленията са извършени, в продължение на няколко часа. Процесните три транзакции са извършени на 18.08.2023г., в рамките на осем минути от 22:47 ч. до 22:55 ч. В тази връзка възниква въпросът, защо след като картодържателят има SMS известяване за транзакции с карта, не се е обадил незабавно, както изисква ЗПУПС и ОУ на банката, а е изчакал 26 мин. след първата транзакция и тогава е подал сигнал на дежурния телефон за връзка с клиенти.

Неправилни са твърденията изложени в исковата молба, а именно, че

ищецът е разговарял с представител на ответника и той е отказал да блокира и сметката, и картата. При разплащания с карти е важно да се отбележи, че когато една карта се блокира с нея повече не могат да се правят транзакции и не е необходимо да се блокира и сметката на клиента. В извънработно време (между 17:30 часа вечер и 08:30 часа - сутрин, както и в официални неработни дни) всички обаждания на официалния телефон на банката 0700 12 555 от клиенти, автоматично се насочват към колцентъра на БОРИКА. Банката има сключен договор за това с „БОРИКА" АД, който включва услугата за блокиране на карти по сигнал на картодържател на банката. „БОРИКА“ АД по договор не блокира сметки, а и не е предоставена техническа възможност от банката да блокира сметки, но може да блокира карти. Картата на Д. Е БИЛА БЛОКИРАНА на 18.08.2023. Обаждането от М. Ц. Д. е получено в колцентъра на „БОРИКА“ АД на 18.08.2023 г. в 23:13 ч., и е с продължителност 04:24 минути, като по време на обаждането на 03:50-та минута, картата е била блокирана. Вследствие на което М. Д. автоматично получава SMS съобщение на регистрирания от него телефонен номер. Ищецът е предоставил информация на банката, представляваща screenshot oт своя телефон ••••••••••••••, с получените кодове за добавяне (регистриране) на картата си в 3DSec.

Неоснователно в исковата молба се навеждат и твърдения, че „банката е

могла да блокира още след първата транзакция......" Банката не е блокирала картата по своя инициатива след първата транзакция, тъй като и трите плащания са направени след Задълбочено установяване на идентичността (ЗУИ) на платеца. При такива операции не е налице оспорвана автентичност и няма нужда от блокиране.

Счита се, че е възможно картодържателят Д., с чиято карта са извършени

трансакциите да е станал жертва на телефонна измама, при която той е бил подведен от трето неизвестно лице, представящо се за служител на банката. Картодържателят е дал възможност на това лице да регистрира банковата му карта в приложението 3DSec на БОРИКА за потвърждение чрез биометрия (технология за разпознаване на пръстов отпечатък или лицево разпознаване на устройството), инсталирано на телефона на третото лице. След успешната регистрация на картата в съответното мобилно устройство, чрез биометрия са потвърдени плащания с картата в интернет на обща стойност 12 200 евро. Процесният случай е свързан с поведението на картодържателя, респективно с предоставянето от негова страна на парола с поверителен характер в телефонен разговор. В такива случаи ефектите на техническите защити се обезсилват от самия картодържател.

Счита се, че от страна на „Инвестбанк“ АД са изпълнени изискванията на чл. 100 от ЗПУПС и на чл. 4 от Регламента за прилагане на задълбочено установяване на идентичността на клиента, основавайки се на два или повече елемента, в случая — характерна особеност и притежание. Гореописаният механизъм на регистрация на карта в приложението 3DSec и на използването на биометрична автентикация за извършване на плащания ясно сочи, че без активното участие на картодържателя не е възможна нито регистрацията, нито осъществяването на трансакция с банковата карта.

Сочи се, че ако третото недобросъвестно лице е извършило трите

оспорени плащания, то е разполагало с информация за множество от данните на картодържателя - неговите имена, телефонен номер, картови данни. Тези данни биха могли да се получат по много начини и не е необходимо да има пробив в банковата система за сигурност. Например, номерът на картата се вижда на пластиката при извършване на плащания на физически ПОС-терминали, а в случай на компрометиране на SMS, може да се види и номерът накартата при абонамент за известяване. Допълнително, вероятно е тези данни да са били споделени от картодържателя в отговор на „фишинг“ съобщение.

Счита се, че картодържателят е споделил чувствителна информация, част

от системата за 3D картова защита, на непознато лице, което твърди, че изпълнява служебни задължения от името на Банката в извън работно време, проявявайки неразумна несъобразителност. Регистрацията на картата в приложението 3DSec е осъществена, след като картодържателят, с чиято карта са извършени трансакциите, е предоставил в телефонен разговор на непознато лице парола с поверителен характер, като по този начин е позволил картата да бъде регистрирана на устройството на непознатото лице. В този смисъл считам, че картодържателят е нарушил изискванията на чл. 75, т. 3 от ЗПУПС, като с поведението си не е предприел всички разумни действия за запазване на неговите персонализирани средства за сигурност. Подобно небрежно поведение от страна на картодържателя е в нарушение на изискванията на ЗПУПС и е извън контрола на банката, поради което не следва да бъде вменено като отговорност на „Инвестбанк" АД. Освен това картодържателят е проявил груба небрежност.

Излага се, че Инвестбанк" АД е спазила всички законови изисквания,

свързани със сигурността на предоставяните платежни услуги и с опазването на данните на своите клиенти. Спазени са и всички договорни задължения с ищецът. Ако съдът приеме, че извършените на 18.08.2023 г., трансакции са неразрешени, то картодържателят, би следвало да понесе всички загуби, свързани с тях, съгласно разпоредбата на чл. 80, ал. 3 от ЗПУПС, по гореописаните причини.

Вследствие на изложеното се моли да се отхвърли предявената искова

претенция и да се присъдят сторените разноски.

СЪДЪТ, след като взе предвид представените по делото доказателства –

по отделно и в тяхната съвкупност, съобрази становищата на страните и нормативните актове, регламентиращи процесните отношения, намира за установено следното от фактическа страна:

Между страните не е спорно обстоятелството, а и видно от приобщения

по делото договор се установява , че на 23.11.2017 г. в гр. София между ищцецът М. Ц. Д. и ответното дружество „ИНВЕСТБАНК" АД е сключен Рамков договор за платежни услуги, Договор за откриване и водене на платежна сметка, обслужвана и с банкова карта в евро с IBAN ••••••• На 17.03.2022 г. е сключен и договор за издаване на дебитна карта. Към сметката с ••••••• била издадена и платежна дебитна карта •••••••• с местен или международен достъп, на основание чл.146 ал.1 т.4 от ГПК.

Страните не спорят, че е издадената банкова карта е регистрирана за 3DSec автентикация, което представлява услуга „3D картова защита“, която е в съответствие с разпоредбата на чл. 100 от ЗПУПС и Делегиран регламент (ЕС) 2018/389 на Комисията от 27 ноември 2017 г.

Безспорно е, че процесните трансакции са извършени на 18.08.2023 г. тип

„плащане“ на виртуален ПОС терминал, извършени в интернет сайт на търговец, с адрес: www.kucoin.com.

В хода на съдебното производство се доказа, че картата на ищеца с № •••••••••••••••• е блокирана на 18.08.2023г.

Видно от извършения оглед по реда на чл.204 от ГПК на приобщения по делото диск от „Борика“ АД, се установява, че обаждането от ищеца М. Д. за блокиране на картата е получено в колцентъра на „БОРИКА“ АД на 18.08.2023 г. в 23:13 ч., и е с продължителност 04:24 минути, като по време на обаждането на 03:50- та минута, картата е била блокирана.

По делото са събрани гласни доказателства, посредством разпит на водения от ответната страна свидетел Й.Д.С. заемащ длъжността „главен експерт „Оспорени плащания“ в ответната банка, като в това си качество свидетелят обработва случаи, свързани с оспорени платежни операции, поради което е запознат с обстоятелствата по настоящия спор. Свидетелят излага, че му е известно името на ищеца М. Д., тъй като в банката е постъпил формуляр за оспорване на извършените процесни платежни операции. Същевременно категорично излага, че в клиентското досие на ищеца не се съдържат никакви документи или заявления, от които да е видно, че последният е отправял искане за блокиране на банковата си сметка. свидетелят изразява категорично становище, че използването на персоналните данни на картодържателя, без негово знание и съгласие, не е възможно. Свидетелят разяснява, че регистрацията на банковата карта за услугата 3D Secure се извършва още при издаването на самата карта. Процедурата започва с подаване от клиента на искане за издаване на банкова карта, в което той лично попълва своите идентификационни данни, включително телефонен номер за контакт. Данните се въвеждат в информационната система на банката, като при заявяването на нова карта системата не допуска приключване на процедурата без въвеждането на телефонен номер на клиента. След обработване на заявката въведените данни, заедно с информацията за банковата карта, се изпращат до „Борика“, която извършва персонализирането на платежните карти. Свидетелят пояснява, че при изработването на картата едновременно с нея се генерира и запечатан плик, съдържащ четирицифрения ПИН код и статичната 3D парола. Тази парола е известна единствено на клиента и представлява средство за удостоверяване при използването на услугата „3D картова защита“. Банковата карта, ПИН кодът и 3D паролата се предоставят лично на клиента при получаването на картата, като именно това представлява първоначалната регистрация на картата в услугата 3D Secure. Свидетелят разяснява, че ако впоследствие клиентът желае да използва биометрична автентикация, той самостоятелно инсталира приложението „Borica 3DS“. За активирането му клиентът лично въвежда всички необходими данни на банковата карта – номера на картата, срока на валидност и CVV кода, отпечатан на гърба на картата. След въвеждането на тези данни системата автоматично изпраща SMS съобщение на предварително регистрирания телефонен номер, посочен от клиента още при заявяване на картата. Получаването и използването на този код удостоверява, че именно клиентът извършва регистрацията. След успешно приключване на процедурата платежните операции в интернет могат да бъдат потвърждавани чрез биометрична автентикация – посредством пръстов отпечатък или лицево разпознаване чрез приложението. Съдът кредитира показанията на свидетеля, като кореспондиращи на събрания по делото доказателствен материал.

Видно от заключението на вещото лице В. Г. З. по приобщената по делото

и оспорена от ищцовата страна съдебно-техническа експертиза, процесните транзакции са за извършени плащания през виртуален POS-терминал (POS-Point of Sale), при следните стъпки: 1. Въвеждане на данните за картата в сайта / приложението на търговеца; 2. Сайта/приложението на търговеца изисква автентикация от картодържателя; 3. Автентификация на плащането - осъществява се чрез комбинация от статична и динамична парола или чрез биометрични данни чрез приложението за смарт устройства на БОРИКА АД за биометрична автентикация 3DSec; 4. Авторизация на транзакцията - виртуалния ПОС терминал изпраща авторизационно запитване към Банката обслужваща терминала, на което Банката е отговорила положително т.е. дала разрешение за осъществяване на транзакцията (авторизация). Електронният адрес, към който са извършени трансакциите е ••••••• Няма данни за деактивиране на банковата сметка към момента на извършване на операциите. Трансакциите са не представляват платежни нареждания, плащане с карта. Вещото лице сочи, че без номер на карта, СVV 2, дата на валидност и име на картодържател е невъзможно да се извърши операция с карта в интернет. Транзакциите не са извършени през портал за интернет банкиране и в съответствие с отговора на въпр. 10 са плащания с карта. Н е се установяват данни за планирани технически профилактики или неочаквани прекъсвания при извършване на процесните трансакции.

Видно от заключението на вещото лице К. Н. К. по приобщената по делото повтора съдебно-техническа експертиза, оспорено от ищцовата страна, процесните платежни операции са потвърдени чрез приложението на Борика 3Dsec. Вещото лице посочва, че 3Dsec е специализиран софтуерен модул/приложение, разработен от картовия оператор „БОРИКА“ АД, който служи за сигурно и бързо потвърждаване на онлайн плащания с банкови карти в интернет. То осигурява защитата по протокола 3D Secure (версии 2.1 и 2.2) (позната като Visa Secure, Mastercard Identity Check или b-secured). Данните показват три отделни финансови операции, извършени в рамките на изключително кратък 8-минутен прозорец на 18 август 2023 г. Обща сума: 12 000 (Валутен код 978, което е EUR - Евро). Търговец (Merchant): ••••••• (известна борса за криптовалута). Сериен номер на картата (TOKEN_IDT): •••••••••••••••••• (остава еднакъв и при трите опита). Транзакциите не представляват платежни нареждания, а плащане с карта, което е потвърдено с биометрична автентикация. Картата е регистрирана за плащания със ЗУИ/SCA още със самото си създаване като това само по себе си е достатъчна мярка за защита на картата при плащания в електронна среда. Правя уточнението, че без номер на карта, CVV 2, дата на валидност и име на картодържател е невъзможно да се извърши операция с карта в интернет. Това заедно с биометричната 10 автентикация са изискуемите персонални данни за извършване на онлайн разплащания с карта. Транзакциите не са извършени през портал за интернет банкиране. За да се извършат процесните плащания е нужно да се въведат в сайта на търговеца ••••••• данните изписани на пластиката на дебитната карта, а именно номер на карта, име на картодържател, валидност и security code. Освен това е нужна и автентикацията с приложението 3Dsec на Борика. В данните по делото липсва информация за фишинг атака чрез която да са узнати персоналните данни, а и липсва информация за противозаконно отнемане на пластиката.

Не е установено да има техническа повреда от страна на банката при извършване на процесната операция.

Мобилното приложение 3DSec, с което е направена биометрична

автентикация по време на плащанията, представлява техническия метод, чрез който по време на транзакциите са спазени условията за прилагане на задълбочено установяване на идентичността на платеца. По този начин Банката е спазила разпоредбите на ЗПУПС и в този смисъл се доказва успешно извършена автентикация по време на разглежданите плащания. Фактът, че е премината биометрична автентикация, е доказателство, че системата е идентифицирала успешно ползвателя или неговото устройство, но не изключва автоматично възможността: друго лице да е имало достъп до устройството; • клиентът да е бил подведен чрез фишинг или друг вид измама, чрез социален инженеринг (термин, който означава психологическа манипулация на хора, чрез която те биват подведени да разкрият чувствителна информация, да извършат действие или да предоставят достъп до системи, пароли и финансови данни).

В заключение вещото лице К. посочва, че банката е обезпечила

технически всички свои процеси и след блокиране на картата е предотвратено последващото й използване. Банката прилага техническа процедура (мониторинг в реално време), която автоматично блокира карти при зададени критерии за съмнителни транзакции. В случаят картата не е била блокирана от тази техническа процедура тъй като транзакциите са преминали с прилагане на биометрична автентикация, което представлява „съгласие“ на платеца. Относно въпроса има ли индикации за уязвимост/ компрометиране/ неадекватен контрол от картова гледна точка, не е имало индикации за компрометиране по време на транзакциите – още повече, че са осъществени със ЗУИ/SCA. При такава ситуация уязвимост може да се търси от страна на картодържателя дотолкова, доколкото може да запази персонализираните характеристики на картата в тайна. Често измамници ползват социален инженеринг, за да подведат картодържателя сам да си предостави данни за карта, кодове, пароли и т.н.

При така установеното от фактическа страна съдът възприе следните

правни изводи:

За успешното провеждане на предявения осъдителен иск в тежест на ищеца е да докаже дължимостта на претендираната сума. В разглеждания случай същият е длъжен да установи при условията на пълно и главно доказване следните правнорелевантни факти, от които се ползва: че между страните е съществувало валидно облигационно отношение по договор за кредитна карта; че в срока на действие на договора е извършена платежна операция, която не е била заявена от платеца, както и нейната стойност; че е уведомил ответника за кражба, респективно неразрешена употреба на платежния инструмент незабавно след узнаването; че е предприел разумни действия за запазване на неговите персонализирани средства за сигурност.

От своя страна ответникът следва да установи всички положителни

възражения срещу предявените искове, в т.ч., че е възстановил стойността на неразрешената платежна операция или че платежната операция е извършена чрез използване на изгубен, откраднат или незаконно присвоен платежен инструмент, когато платецът поради небрежност не е успял да запази персонализираните защитни характеристики на инструмента. Този извод следва и от разпоредбата на чл. 78, ал. 1 ЗПУПС, който изрично възлага в тежест на доставчика да установи автентичност на платежната операция.

От заключенията на първоначалната и повторната съдебно-техническа

експертиза се установява, че към датата на процесните платежни операции – 18.08.2023 г., в информационните системи на „Инвестбанк“ АД не са били регистрирани технически неизправности или откази, които да са възпрепятствали нормалното функциониране на платежните услуги.

Установи се, че издаваните от ответната банка дебитни и кредитни карти

се персонализират от „Борика“ АД, която изпълнява функциите на картов процесор, поради което всички картови трансакции се обработват и преминават през нейните системи. От събраните доказателства, включително от неоспореното писмо на „Борика“, се установява, че платежната карта с № •••••••••••••••••• е била регистрирана за услугата 3DSec, като именно чрез тази карта са извършени процесните плащания след успешно проведена биометрична автентикация. От съвкупния доказателствен материал се установява, че и трите процесни трансакции са успешно разрешени от „Борика“ и системата на банката е отчела, че потребителят е въвел правилния код за сигурност.

Според заключенията на вещите лица В. З. и К. К. и трите процесни

трансакции са били успешно разрешени и одобрени от „Борика“, като системата е отчела правилно въведени персонализирани средства за сигурност. В подкрепа на този извод вещото лице К. К. по повторната съдебно-техническа експертиза е приложило екранни визуализации на файловете на Mastercard, съдържащи данните за авторизацията и клиринга на всяка от трите трансакции, от които е видно успешното преминаване на процеса по автентикация. И двете вещи лица са категорични, че процесните операции представляват плащания с банкова карта, извършени след успешно осъществена биометрична автентикация. Установено е, че за реализиране на плащане в интернет страницата на търговеца ••••••• е необходимо въвеждането на всички данни, изписани върху платежната карта – номер на картата, име на картодържателя, срок на валидност и код за сигурност (CVV/CVC), без които извършването на картова операция в интернет е невъзможно. Освен тези данни е необходимо и успешно потвърждение чрез приложението 3DSec посредством биометрична автентикация. Именно съвкупността от тези елементи представлява персонализираните средства за сигурност, използвани при извършването на онлайн картови плащания.

От заключенията се установява още, че мобилното приложение 3DSec

представлява техническото средство, чрез което се осъществява задълбоченото установяване на идентичността на платеца, като биометричната автентикация се извършва чрез устройство, на което е инсталирано приложението и което поддържа лицево разпознаване или идентификация чрез пръстов отпечатък. Вещите лица приемат, че именно чрез този механизъм при процесните трансакции са изпълнени изискванията за силна клиентска автентикация, като всяка от трите процесни трансакции е извършена след успешно проведено задълбочено установяване на идентичността на платеца, съобразно изискването на чл. 100, ал. 4 ЗПУПС.

От доказателствата по делото се установява също, че ответната банка е

обезпечила технически процесите по извършване на електронните плащания и прилага система за мониторинг в реално време, която автоматично блокира платежни карти при наличие на предварително определени критерии за съмнителни операции. Вещото лице К. К. е формирало извод, че процесните трансакции не са били отчетени като рискови и не е било извършено автоматично блокиране на картата, тъй като операциите са били потвърдени чрез успешна биометрична автентикация, която системата приема като валидно съгласие на платеца.

От събраните по делото доказателства се установява механизмът за извършване на биометричната автентикация при процесните платежни операции. Същата се осъществява чрез мобилно устройство с инсталирано приложение 3DSec и регистрирана в него платежна карта, като идентификацията на картодържателя се извършва посредством лицево разпознаване или пръстов отпечатък. За успешното извършване на платежната операция е необходимо едновременното наличие както на мобилното устройство с регистрираната карта, така и на биометричните характеристики на неговия притежател, поради което липсата на който и да е от тези елементи не позволява осъществяването на трансакцията.

В изпълнение на доказателствената си тежест по чл. 78 ЗПУПС

ответникът е представил неоспорени писмени доказателства – файловете „•••••••• от които се установява, че процесните платежни операции са извършени след успешно задълбочено установяване на идентичността на платеца чрез биометрична автентикация.

Въз основа на заключенията на вещите лица съдебният състав формира

извод, че „Инвестбанк“ АД е изпълнила всички нормативни изисквания, произтичащи от чл. 100 ЗПУПС и чл. 4 от Делегиран регламент (ЕС) 2018/389 относно прилагането на задълбочено установяване на идентичността на клиента. Установено е, че банката е спазила всички законови и договорни изисквания относно сигурността на платежните услуги, защитата на персонализираните средства за сигурност и начина на удостоверяване на съгласието на платеца при извършване на процесните операции.

Същевременно, по делото не са представени доказателства и не се

установява ищецът да е сезирал компетентните разследващи органи във връзка с твърденията си, че процесните платежни операции са били извършени без негово знание и съгласие.

От разпита на вещите лица, както и от свидетелските показания, се

установява още, че осъществяването на подобни картови плащания от трето лице е възможно единствено при компрометиране на персонализираните средства за сигурност на картодържателя. Според експертните заключения това би могло да настъпи при проявена груба небрежност при съхраняването на информацията, необходима за извършване на електронните плащания. В тази връзка неспазването на задълженията за опазване на персонализираните средства за сигурност представлява нарушение както на договорните задължения на картодържателя по договора за платежна сметка, договора за издаване на дебитна карта и приложимите Общи условия на банката, така и на разпоредбата на чл. 75, т. 3 ЗПУПС.

В хода на производството по делото не са събрани данни за фишинг

атака, чрез която да са узнати персоналните данни, както и няма данни, нито се твърдят такива за противозаконно отнемане на пластиката.

С оглед на изложеното съдебният състав формира извод, че ищецът не е положил дължимата грижа за опазване на предоставените му персонализирани средства за сигурност, поради което е налице хипотезата на чл. 80, ал. 3 във връзка с чл. 75, т. 3 ЗПУПС, изключваща отговорността на банката за понесените загуби от процесните платежни операции. Според събраните доказателства евентуалното извършване на процесните плащания от трето лице е било възможно единствено при узнаване на персонализираните средства за сигурност, за чието опазване отговаря самият платец. По изложените съображения съдът намира, че ответната банка е изпълнила всички свои законови, договорни и технически задължения за осигуряване на сигурна електронна среда при извършването на процесните картови плащания.

В заключение съдът формира извод, че в хода на производството по делото не се доказа, че са налице законовите предпоставки за ангажиране отговорността на „Инвестбанк“ АД по чл. 79, ал.1 от ЗПУПС за възстановяване на сумата от всяка от трите неправилно приети за неразрешени платежни операции. От гласните доказателства, както и от приетите по делото съдебно-техническа и повторна съдебно-техническа експертиза се установи, че процесните трансакции, представляват картови разплащания и е невъзможно без знанието и съгласието на картодържателя да бъдат използвани персоналните му данни, които са изписани на пластиката, която той притежава. По изложените съображения, предявеният иск с правно основание чл. 79, ал.1 от ЗПУПС следва да бъде отхвърлен като неоснователен.

С оглед неоснователността на главния иск, се явява неоснователен и предявеният акцесорен иск, с правно основание чл. 86 от ЗЗД.

По изложените съображения, съдебният състав намира, че предявената

искова претенция следва да бъде отхвърлена в цялост, като неоснователна.

С оглед изхода на спора и на основание чл.78, ал.3 от ГПК ищецът следва

да заплати на ответника направените в настоящото производство разноски, съгласно представения по делото списък с разноски по чл.80 от ГПК , приложен по делото и доказателствата за реализирани разходи. Вследствие на изложеното , ищецът следва да заплати на ответника сумата в общ размер от 590,84 евро, представляваща заплатен депозит за изготвените по делото съдебно-техническа и повторна съдебно-техническа експертиза.

Мотивиран от така изложените съображения, Варненски районен съд