Решение № 310 от 2.4.2026 г. на Районен съд - Сливен по дело № 1165/2024 г.

Предявен е иск от ищеца срещу ответника с правно основание чл. 79, ал.1 от ЗПУПС във вр. с чл. 421, ал.1 от ТЗ за осъждане на ответника да заплати на ищцата сумата от 1740 лв., представляваща стойността на извършена неразрешена платежна операция с банкова сметка, водена от ответната банка, по която ищцата е титуляр. Твърди се, че ищцата е клиент на Банка ДСК АД с разкрита разплащателна сметка в ответната банка, издадена дебитна карта и ползва интернет банкиране, въз основа на сключено на 25.10.2021 г. Допълнително споразумение за достъп до електронните канали на Банка ДСК, както и предоставен активен достъп за интернет банкиране и начин за подписване, с включена комбинация от персонален цифров сертификат и ПИН за него, издаден от банката, както и еднократен авторизационен код за всяка платежна операция, генериран и изпращан от банката чрез СМС до мобилен телефонен номер. На 30.06.2023 г. трето неоторизирано от ищцата лице осъществило без нейно знание и съгласие неправомерен достъп до профила й за интернет банкиране в Банка ДСК АД, като това достъпване е от непознат на ищцата IР адрес - 149.62.207.173, и на същата дата 30.06.2023 г. в 13.30 ч. третото неоторизирано лице извършило без знанието и съгласието неразрешен паричен превод, като задължило банковата й сметка в Банка ДСК АД с IBAN ВG90SТSА93000028515209, със сума на стойност 1740 лв., която превежда в полза на неизвестно за ищеца лице Л. /или Л./ К. по следната негова банкова сметка с IBAN ВG33FINV91501017698409 в Първа инвестиционна банка АД. Вальорът на заверяване на банковата сметка на получателя Л. /или Л./ К. в Първа инвестиционна банка АД е 03.07.2023 г. /понеделник/, като от банковата сметка на ишцата платежното нареждане се осъществено на 30.06.2023 г. в петък. След като ищцата узнала за извършената неразрешена банкова операция още на същата дата по обед уведомила Банка ДСК за констатирания проблем, въпреки това Банка ДСК не предприела никакви действия след уведомяването си за спиране на неразрешения превод като също така и своевременно, с резултат да предотврати както и да спре изпълнението на неразрешената банкова операция. Изтъква, че в резултат на ненавременните действия на Банка ДСК, както и без показване на загриженост относно клиента им, третото неоторизирано лице извършило неразрешения банков трансфер без знанието и съгласието на ищеца, а реципиентът на средствата по неразрешената банкова операция изтеглила средствата преди Първа инвестиционна банка да ги блокира и да успее да ги върне на законния им притежател, а именно ищцата по настоящото производство. Твърдят, че не е била извършена задълбочена идентификация на наредителя преди да изпълни неразрешения банков превод на стойност на 1740 лв. по сметка на третото, неизвестно за ищцата лице, обозначено от самата Банка ДСК в платежното нареждане с неточното и непълно наименование „LIDIYaKOS“. Посочва, че преди това не била получила никакво известие от което да е станало видно, че същата дава разрешение за извършването на горепосочената транзакция. Първият авторизационен код бил изпратен в 13.00 ч. без нейното изискване и без иницииране на платежна операция, а веднага след него в 13.16 ч. ищцата получила на своя телефонен номер и втори непоискан СМС с авторизационен код, както тези две странни и непоискани СМС- съобщения й причинили сериозно безпокойство. Считат, че ответната банка не й е осигурила достатъчно надеждни и сигурни средства за идентификация на наредителя чрез трите фактора, съответсващи относно интернет банкирането, а именно тези са: знание, притежание и характерна особеност на наредителя, които се отнасят при вход в системата, но очевидно е предоставила възможност за неоторизиран пробив в системата на банката от трето неоправомощено лице, както и за неправомерно инсталиране на софтуерния продукт за интернет банкиране и вход в профила на ищцата в интернет банкирането от чуждо устройство /компютър или мобилен телефон/ на същото трето неоторизирано лице. Посочва, че след получаването на СМС-ите за превеждане на сума в размер на 1740 лв., направила опит за достъп до нейния акаунт, като същия бил отказан, поради което е посетила и банковия клон за да съобщи по горе изложени обстоятелства. Освен, това, твърди, че през времето на посочената транзакция, тя е била на работа в училището на с. С.. Подадена е била и жалба с вх.№ 343000- 8207/ 30.06.2023 г. в МВР относно конкретния случай, като се указало че същото лице било извършило неколкократни банкови измами и нерегламентирани банкови преводи от чужди сметки, и също се установило, че сумата била изтеглена 2 пъти от две различни АТМ устройства незабавно след получаването й, както и че понастоящем банковата сметка на неоторизираното лице била блокирана или закрита. Подчертава, че от страна на ответната банка било й изпратено писмо, като отговор, в което са я уведомили, че нямало налице основание за възстановяване на сумата, поради липса на иидентичност между името на получателя и името на в платежното нареждане, банката нямало право за осъществяване на идентификация. Банката прехвърлила отговорността за неразрешения банков превод върху ищцата, в това число относно технологичното обезпечаване боравенето с чувствителна информация, управлението и защитата на компютърната техника и други устройства, чрез които се осъществява достъп до банкирането, както и отговорността при кибератаки и измами чрез неоторизиран отдалечен достъп до интернет банкирането на Банка ДСК АД. В същия отговор с рег.№ 16-10-10062/2 от 17.08.2023 г., Банка ДСК не е посочила на пострадалата ищца нито една възможност за защита на накърнените й права, в това число пропуска да посочи възможността потребителят да се обърне с оплакване и искане за съдействие към КЗП. Основава твърденията си върху законните разпоредби на ЗПУПС, като посочва кога следва да бъдат използвани минимум два от следните независими елемента: знание и притежание. Считат, че важно да се отбележи и характерна особеност, нещо, което характеризира ползвателя, като този критерий изобщо не е приложен от Банка ДСК АД при извършване на оспорената транзакция. Позовава се на Регламент 2018/389 относно изискванията спрямо задълбоченото установяване на идентичността на клиента, като също и на Общите условия на ответната банка. Смята, че въпреки изложените разпоредби, банката не е изпълнила нейните задължения, които би следвало да осигурят клиента, както и също така да предотвратят нежелани действия които имали като резултат, ишцата да стане жертва на електронна измама. Посочва, че в продължение на пет месеца тя правила многократни, но безуспешни опити да получи обратно незаконно отнетите от сметката й парични средства, но Банка ДСК АД отказвала да възстанови сумата от 1740 лв. по банковата сметка на ищцата С. К., клиент на банката. Твърди, че според трайната съдебна практика договорът за спестовна сметка представлява паричен влог по смисъла на чл.421 от ТЗ. Предмет на този договор са заместими вещи (пари), с които при обикновения влог влогоприемателят не може да се разпорежда. В случая, обаче е налице т.н. неправилен влог, за който се прилагат правилата на договора за заем. Съгласно чл.257, ал.3 от ЗЗД ограничението за разпореждане не се прилага по отношение на банките, поради което те могат винаги да се разпореждат с предоставените им парични средства. Банката, обаче, става собственик на предоставените й парични средства, а рискът от отнемането или повреждането на вещта се носи от собственика й, тъй като това води до намаляване на неговото имущество от момента на увреждащите действия. Предвид гореизложените факти, молят за постановяване на решение с което , „Банка ДСК” АД да се осъди да върне на ищцата сумата от 1740 лева, представляваща стойността на неразрешена платежна операция, извършена от банковата сметка на ищцата чрез интернет банкиране на датата 30.06.2023 г., ведно със законната лихва върху тази сума, считано от датата на предявяване на иска – 01.12.2023 г. до окончателното плащане на сумата. Претендират за присъждане на направените съдебно-деловодни разноски. Постъпил е писмен отговор по чл. 131 ГПК от Банка ДСК, с който считат, че предявеният иск е процесуално допустим, а по същество неоснователен и недоказан. Не оспорват обстоятелството, че ищцата е клиент на Банката, съгласно Рамков договор за предоставяне на платежни услуги, сключен в град Сливен на 25.10.2021 г., както и това, че на същата дата е подписала и Допълнително споразумение за достъп до електронните канали на Банката, екземпляр от приложимите Общи Условия, Допълнително споразумение за ползване на пакет „ДСК Флекси - 4", Допълнително споразумение за откриване и обслужване на разплащателна сметка и Допълнително споразумение за издаване и обслужване на дебитна карта. Допълнителното споразумение за достъп до електронните канали на Банката, заедно с Рамковия договор, има характер на самостоятелен договор за достъп до електронните канали. Основават твърденията си на Общите условия, които се отнасят за установяването на идентичност на клиента и удостоверяване на автентичност на наредените от него платежни операции, както и на Допълнителното споразумение за достъп до електронните канали, за което твърдят, че клиентът е заявил, че желае да извършва преводи към трети лица и/или по сметки в други банки, като за подписване използва комбинация от персонален цифров сертификат, издаден от банката, ПИН за него и еднократен СМС код. Заявил е още желание за получаване на кратки текстови съобщения на ползван от клиента – ищца, личен телефонен номер с еднократен код за установяване на идентичността му при ползване на електронните канали, както и код за инсталиране на сертификат и код за потвърждаване на превод. Посочил е и телефонен номер ••••••••••, на който да получава съответните съобщения. Не оспорваме твърденията на ищцата, че на 30.06.2023г. от сметката с IВАN ВG90SТSА93000028515209 на ищцата, самата тя е наредила паричен превод към лицето Л. К., с основание „захранване" и размер на сумата 1740 лева. Освен това сочат, че горепосоченият паричен превод е подписан от ищцата, чрез уговорения в Допълнителното споразумение за достъп до ДСК Директ метод и начин - чрез персонален цифров сертификат, ПИН за него и въведен SМS код, изпратен на тел. номер ••••••••••. И двете съобщения, изпратени на ищцата, са отчетени като успешно изпратени. Твърдят, че при изпълнение на оспорените платежни операции Банка ДСК е спазила всички нормативно и договорно установени между страните изисквания за това и не са налице основания за ангажиране на отговорността й съгласно ЗПУПС, тъй като е спазила предпоставките на знание и притежание, основани на чл. 78, ал.1 от ЗПУПС и чл.100 от ЗПУПС. В процесния случай, чрез използването на всички описани по-горе персонализирани средства за сигурност, чрез които съгласно Общите условия за предоставяне на платежни услуги, действащи към датата на извършване на оспорените платежни операции, се установява идентичността на Клиента и установява автентичността на наредените от него плащания. Процедурата включва комбинация от две или повече от посочените в Общите условия, персонализирани средства за сигурност, всяко от които независимо, така че нарушаването на някой от елементите да не влияе на надеждността на останалите елементи (чл. 100, ал. 5 ЗПУПС), като твърдят, че посочените елементи отговарят на предпазливостта от страна на банката за предлагане на сигурност относно банковите нареждания на клиента, които засягат гарантирането на неговата идентичност и личното ползване на всеки един елемент при потвърждаването на всяка една платежна операция. Подчертават обстоятелството, че всяка една от стъпките следва да бъдат ползвани лично от клиента с повишена бдителност и със задължение за тяхното опазване, като изтъкват, че във връзка с това означавало, че са компрометирани всички елементи - паролата за достъп до електронното банкиране, 4 цифреният статичен ПИН код за сертификата и динамичният код от СМС-а, като това би било обективно невъзможно без лични действия от страна на ищцата, които са допуснали/спомогнали всичките й защитни характеристики да станат известни на трето лице, което считаме, че е в резултат на нейна груба небрежност в изпълнение на законовите изисквания за опазването им, съгласно ЗПУПС. Позовават се на Общите условия, както и на ЗПУПС както и на трайната съдебна практика на ЕС, за това, че е изрично формулирано задължение за ползвателя на платежни услуги да предприеме всички разумни действия за запазване на персонализираните си средства за сигурност, като считат, че предприетото действие от ищцата, се дължи на груба небрежност от нейна страна. Твърдят, че процесната платежна операция е наредена след ръчно въвеждане на получател, сума, основание и банкова сметка. Не са използвани предварително създадени и запаметени шаблони, а е създадено едно изцяло ново платежно нареждане, в което клиента ръчно е въвел всички необходими данни за превода. В този смисъл, намират за несъстоятелни твърденията, че Банката е обозначила получателят на процесният превод с неточно и непълно име. Видно от приложеното платежно нареждане, генерирано при изпълнение на превода имената на лицето - получател, както и основанието са изписани на кирилица. Т.е. ищцата е изписала собственоръчно и на кирилица двете имена на получателят на платежната операция и основанието за превода. Всички останали твърдения, залегнали в исковата молба по отношение на това, че СМС известията са непоискани от ищцата, за това, че не е успяла да достъпи системата за онлайн банкиране, твърденията, че трето лице е влязло в профила на ищцата, незаконосъобразно и без знание на нейните потребителски идентификатори са голословни и изцяло недоказани. Оспорват като неоснователни и наведените твърдения, че Банката е наредила превода, въпреки оспорването му от клиента. Видно от приложеното платежно нареждане, преводът е излъчен чрез платежната система. Касае се за незабавни плащания в лева по програма Blink на Националната картова и платежна схема, част от „БОРИКА" АД, при която преводите се изпълняват в рамките на няколко секунди. Излагат хронологията, относно сключената банкова транзакция като твърдят че конкретното нареждане е започнало от дата 29.06.2023 г., в която ищцата е подготвяла необходимата сума за да се излъчи превода, който оспорва, като е прехвърляла средства между свои сметки за да успее на следващият ден 30.06.2023г. да излъчи процесният паричен превод на посочената стойност, като изтъкват, че същата не оспорва като неразрешени преводите между нейни банкови сметки от 29.06.2023г., с които е прехвърляла суми, с които да обезпечи положителното салдо по банкова сметка с IВАN ВG90SТSА93000028515209, от която е излъчен превода. Подчертават факта, че сумата не представлява цялата разполагаема наличност по сметката на клиента, което, при условията на твърдяна измама е доста нетипично, като основават това твърдение на чл. 80, ал.1 от ЗПУПС, както и на създадени решения засягащи конкретната разпоредба. На следващо място, твърдим, че от страна на ищцата са налице действия, които следва да бъдат квалифицирани както неизпълнение на посочените в т.62.3.1 от приложимите ОУ задължения, респ. на регламентираните в чл. 75, т. 3 ЗПУПС изисквания за предприемане на всички разумни действия от страна на потребителят, свързани със запазване/съхранение на персонализираните средства за сигурност, предоставени от доставчика за установяване на идентичността и/или автентичността /§1, т. 29 от ДР на ЗПУПС/. В този смисъл, твърдим и ще ангажираме съответните доказателствени искания в тази връзка, че ищцата е проявила груба небрежност в дейността по ползване на платежните услуги чрез интернет банкиране. В трайно установената практика на ВКС се приема, че небрежността в гражданското право е неполагане на дължимата грижа според един абстрактен модел - поведението на определена категория лица (добрия стопанин) с оглед естеството на дейността и условията за извършването й. Грубата небрежност не се отличава по форма (според субективното отношение към увреждането), а по степен, тъй като грубата небрежност също е неполагане на грижа, но според различен абстрактен модел - грижата, която би положил и най - небрежният човек, зает със съответната дейност при подобни условия. Заключението за допусната груба небрежност се прави при сравнение на конкретното съпричинително поведение на работника с абстрактния модел - грижата, която би положил и най-небрежният човек, зает със съответната дейност. Приема се, че грубата небрежност е тежко нарушаване на дължимата грижа при положение, че лицето е могло да я съблюдава в конкретната обстановката, каквото един обикновен човек, поставен в същата обстановка не би могъл да го допусне. Такова поведение е правно укоримо, защото неблагоприятните последици биха били избегнати, ако беше положена дължимата грижа. Дали поведението е рисково и до каква степен то е довело до настъпване на вредата се установява във всеки конкретен случай. В настоящият случай са налице данни, че ищцата е станала жертва на т.нар. социално инженерство. Съмнения в тази връзка буди входящ превод от 29.06.2023г., с който ищцата е получила сумата от 85 лева от трето лице - „ГЕО МОБАЙЛ" ЕООД, с основание покупка на кейс, за което прилага съобщения, с които наредителят на посоченият превод „ГЕО МОБАЙЛ" ЕООД чрез банката наредител „УниКредит Булбанк" АД е оспорил същият като неразрешен пред Банка ДСК АД, като извършен в резултат на измама. Твърдим, че посоченият неразрешен превод, който е получила ищцата е в пряка връзка с оспореният от нея превод и двата превода, представляват част от социално инженерство (манипулация), на която ищцата е стана жертва, като под една или друга форма е предоставила данните за платежният си инструмент на трети недобросъвестни лица, които са я въвели в заблуждение. Предвид гореизложените обстоятелства молят да се постанови съдебно решение, с което да се отхвърли изцяло като неоснователен и недоказан предявеният от ищцата осъдителен иск, с които се претендира заплащането от страна на доверителят сумата в размер на 1740 лева, представляваща стойността на оспорена като неразрешена платежна операция, извършена на 30.06.2023 г., ведно със законната лихва върху тази сума, считано от датата на депозирането на исковата молба - 01.12.2023г. до окончателното й издължаване. Претендират за присъждане на съдебните разноски, включително и за юрисконсултско възнаграждение на осн. чл. 78 ал.8 ГПК. Оспорват като прекомерен претендирания адвокатски хонорар. По делото на основание чл. 219, ал. 1, вр. ал. 3 от ГПК е конституирано лицето - получател на оспорения превод, като помагач на страната на Банката - ответник по настоящото дело. Молят в случай на евентуално уважаване на предявения от ищцата срещу „Банка ДСК" АД, ЕИК121830616 осъдителен иск, с който се претендира връщане на сумата, равна на извършената платежна операция, би довела до приложимост на хипотезата на чл. 59, ал. 1 от ЗЗД, въз основа на която получателят на процесната сумата - Л. К. е лице, което неоснователно се е обогатило за сметка на Банката, в хипотезата на т.нар. непрестационна кондикция. С искането по чл.219 от ГПК се цели да се подчини третото лице - помагач на установителното действие на мотивите, които настоящето производство би имало. Отделно от това, третото лице помагач, считат че би могло да проведе доказване за наличието на каузално правоотношение във връзка, с което се е осъществила процесната платежна операция. Наличието на доказателства за основание на превода не се намират при ответната банка, а при третото лице - помагач, поради което е уважено искането им за конституиране на подпомагаща страна в процеса на страната на ответника – Л. Н. К.. Съдът, след като прецени събраните по делото доказателства поотделно и в тяхната съвкупност, приема за установено следното от фактическа и правна страна: Безспорно е, че ищцата е клиент на Банка ДСК АД, както и че съществува разкрита разплащателна сметка в банката, издадена дебитна карта и се ползва интернет банкиране, въз основа на сключено на 25.10.2021 г. Допълнително споразумение за достъп до електронните канали на Банка ДСК, както и предоставен активен достъп за интернет банкиране и начин за подписване, с включена комбинация от персонален цифров сертификат и ПИН за ищцата, издаден от банката, както и еднократен авторизационен код за всяка платежна операция, генериран и изпращан от банката чрез СМС до мобилен телефонен номер. От събраните по делото доказателства, се установи за безспорно това, че на 30.06.2023 г. през периода от 11ч. и 42мин. до 13ч. и 25мин. трето неоторизирано лице от С. К. К.а - П. осъществява без нейно знание и съгласие неправомерен достъп до профила на ищцата за мобилно банкиране в Банка ДСК АД. Това се случва след като това лице – Л. Н. К. достъпва акаунта за мобилно банкиране на С. К.а - П. от два непознати на ищцата IP адреса - IP 213.226.59.84 и IP 37.63.9.36 - и на същата дата 30.06.2023 г. в 13.19 ч., като всъщност третото неоторизирано лице извършва без знанието и без съгласието на ищцата неразрешен паричен превод, чрез който задължава банковата сметка на С. К.а - П. в Банка ДСК АД с IBAN .................. със сумата от 1740 лв., която превежда в полза на неизвестно за ищцата лице Л. К. по следната банкова сметка на третото лице с IBAN BG•• •••• •••• •••• •••• ••, намираща се в „Първа инвестиционна банка“ АД. Съгласно предоставената от банката справка за движение по банковата сметка на ищцата в Банка ДСК АД, вальорът на задължаване банковата сметка на С. К. в Банка ДСК АД по неразрешената банкова операция на 30.06.2023 г. /петък/ в 13ч. и 19 мин. – времето, в което е осчетоводена неразрешената платежна операция от Банка ДСК АД, а вальорът на заверяване на банковата сметка на получателя Л. К. в „Първа инвестиционна банка“ АД е на датата 03.07.2023г. е осчетоводена неразрешената платежна операция от „ПИБ“ АД. Спорно е дали извършената транзакция се дължи на недостатъчна опитност на клиента на банката - ищцата или се дължи на недостатъчна защита на банковите транзакции. Съдът обследва наведеното възражение отстрана на банката чрез допуснати съдебни експертизи, съдебно – икономическа и съдебно – техническа, от които се установи и доказа следното: На датата 30.06.2023 г. е осъществено престъпно посегателство спрямо ищцата С. К. К., при което на същата дата 30.06.2023г. през времевия период от 11ч. и 42мин. - до 13ч. и 25мин. трето недобросъвестно лице е осъществило нерегламентиран вход в нейния профил за мобилно банкиране в „Банка ДСК“ АД от две чужди мобилни устройства с IP адрес 213.226.59.84 и IP адрес 37.63.9.36, които се намират на две необичайни за ищцата референтни географски положения - в град С. и град Т. или В.. От събраните доказателства по делото се установи, че по това същото време, т.е. на 30.06.2023г. през периода от 8.00 ч. сутринта до 13.05 ч. ищцата е била на работното си място в училището в с.С., намиращо се в близост до гр.Сливен. Като след обяд ищцата от 13ч. и 05мин. до 13ч. и 15мин. е била на път от местоработата си от с.С. до гр.Сливен, се в лекия автомобил на съпруга си. След пристигането в клона на Банка ДСК АД в гр.Сливен, в която свидетелят твърди, че за периода от време, считано от 13ч. и 15мин. до около 14.00 ч., ищцата е била на гише и при директора на клона. Съдът кредитира свидетелските показания на Т. П., въпреки наличието на съпружески отношения, същите съвпадат с установеното и от вещото лице, както и с обясненията на страната на основание чл.176 от ГПК. Следователно в този темпорален период, организиран от действието на Банка ДСК АД, която изпраща втория авторизационен код в 13ч. и 16мин., след което осчетоводява оспорената банкова транзакция в 13ч. и 19 мин. се установи и доказа, че ищцата се е намирала вътре в сградата на Банка ДСК АД в нейния клон в Сливен, т.е. на едно от гишетата, и тогава всъщност в самата банка е оспорила неразрешената банкова транзакция, в отчаян опит да получи помощ от служителите на банката за спиране на операцията. От гласните доказателства се установи, че единственото което е сторено от банковата служителка е констатирано изпълнението на неразрешената банкова транзакция. Т.е. в 13ч.и 19мин. е уведомила С. К., че нейното салдо по съществуващата в банката сметка е редуцирано чрез намаляването със сумата от 1740 лв. Вещото лице по категоричен начин доказа, че от тези два чужди IP адреси - 213.226.59.84 и 37.63.9.36 е осъществен вход в мобилното банкиране на С. К. на датата 30.06.2023г., като адреса (IP 213.226.59.84) е наредена оспорената като неразрешена банкова транзакция, които се различават от обичайния IP адрес и текущото географско местоположение на ищцата. Нейното обичайно IP, през което е осъществявала банкирането през годините, е IP 37.63.96.107 (мобилен интернет от телефонен апарат с номер •••••••••• от мрежата на А1, използван обичайно от ищцата за достъпване на мобилното приложение на Банка ДСК АД), IP 212.39.95.199 (домашната мрежа на ищцата с доставчик Vivacom) и IP 212.39.89.98 (мобилен интернет от другия телефонен апарат на ищцата с номер •••••••••• от мрежата на Vivacom), и трите IP адреса на ищцата с референтно географско местоположение в гр.Сливен. От пространните обяснения на вещите лица в открито съдебно заседание се прави извод, че третото недобросъвестно лице се е възползвало от пропуските и слабостите в системата за сигурност при онлайн банкиране на „Банка ДСК“ АД е извършило неправомерно изтегляне без знанието и без съгласието на ищцата С. К., суми от нейната сметка, като е влязла в профила за мобилно банкиране на С. К. от необичаен IP адрес с различно референтно географско местоположение, без нейно знание и съгласие, след това е променило юзърнейма - потребителското име, използвано за вход в мобилното банкиране, отново без знанието и съгласието на ищцата, като по този начин окончателно е отнело достъпа на С. К. до нейния акаунт за мобилно банкиране в „Банка ДСК“ АД, като е наредило неразрешения банков превод в размер на сумата от 1740 лв., които е превело по банкова сметка, намираща се в „Първа инвестиционна банка“ АД на трето непознато на ищеца лице - Л. К.. Вещото лице разясни, че е абсурдно да се достъпи мобилно банкиране от два различни IР адреса по едно и също време. Тук е мястото да се съобрази изцяло предмета с установеното за доказано и неоспорено съдебно-техническо заключение, което съдът кредитира напълно като вярно и безпристрастно, и компетентно и всеобхватно. Съдебният експерт изключително пространно и в детайли изясни всички спорни задачи и въпроси, поставени от пълномощниците на страните по следния начин: Потвърди се, че процесната оспорената банкова транзакция е създадена в системата на „Банка ДСК“ АД, като е регистрирана на безспорната дата - 30.06.2023 г., като за това „…има създаден превод в 12:59 мин. от IP адрес записан в базата 213.226.59.84., записан и изпълнен от IP адрес, посочен в т. 1 на стр. 27, в първо изречение е изпълнен в Банка ДСК, отразено на стр. 27 - горе 213.226.59.84. Този IP адрес, който е посочен в т. 1 на стр. 27 първо изречение е на референтното местоположение в гр. С., ул. Родопи № 16, което е посочено на стр. 17 в експертизата, втори абзац не на стр. 27“. Във втория абзац на стр. 19 експертът конкретизира в о.с.з., че е отразил IP адреса, който завършва на 19.10., който е един от обичните IP адреси, от който е достъпван акаунта на ищцата с местонахождение гр. Несебър. Констатирал е, че е достъпвано и на адреса на ищцата гр. Сливен, България, ул. "Д. В." № .. Другия обичаен адрес е този от работното й място в с. С., общ. Сливен - Основно училище " С. П. Х. " който адрес е изписал на 18 стр. първите два реда. Затова в о.с.з. е уточнил, че в деня на процесната транзакция установява влизане от IP адреса завършващ на 59.84 - стр. 17 от гр. София. Другия адрес, който е достъпван акаунта на ищцата е 37.63.9.36 с местонахождение гр. Несебър. Първото влизане на 30.06.23 г. е от IP адреса завършващ на 59.84 в 11:42 мин., което е отразено в допълнителното заключение. Като на въпроса за справката с Логин файлове, именована като „Login From“ файлове от Банка ДСК, намираща се на стр. 156 по делото, вещото лице в о.с. з. отговоря, че на 30.06.2023г. в 11:42 ч. е влизано, като дори на втория ред от нея е изписано следното: „изтекла парола“ на английски език. Подробно бяха разяснени всички детайли около това как паролата се визуализира пред лицето, което е достъпило неправомерно до акаунта на ищцата с IP 59.84 от С., т.е. използвало е коректно въведени потребителско име и парола. Банката е приела юзърнейма и паролата, която е коректната на ищцата и не е изпратила есемес на вайбър или на менч на ищцата. Така експертът отговори и на въпрос в с.з., в случай, че банката е изпратила есемес на ищцата, което би било втори фактор за сигурност – притежание от задължение за двуфакторна идентификация, т.е. ако банката е приела само фактора знание с юзърнейма и парола, които е предполага, че знае само ищцата, без да изисква вторият фактор, който трябва да се изиска притежание, да въведеш информация, която само ти притежаваш, а това би бил есемес вход, който е изпратен на нейния вайбър или месинджър от страна на банката. То затова ли на цитираната предходна справка на същата страница в 12:58 ч. е отразено, че има излизане от акаунта и второ влизане.Вещото лице отговаря, че всъщност от същия ай пи адрес има второ влизане от ай пи завършващ с цифри 59.84 от С. от 12:58 ч., след което се визуализира съобщението expired Password - изтекла парола. И от същия IP адрес има второ влизане от 59.84, което се намира на гърба на ст. 156 към края, а в тази сесия в 12:57 на стр. 57 по делото е създадено процесното платежно нареждане от IP 59.84., като това платежно нареждане като стойност е приложено по делото и следва експертизата, като това IP е излязло от сесията. На 30.06.2023 г. в 13:01 ч. от IP адрес 37.63.9.36 отново е отразено влизане с референтно положение В., след което отново се визуализира съобщение изтекла парола – следващите два реда. На стр. 157 на гърба е отразено, че сесията на 30.06.23 г. трае до 13:02 ч., когато е завършила сесията. Четвъртия вход е осъществен на 30.06.2023 г. от 13:05 ч. е осъществен вход от 59.84 от град С., затова е отразено два реда понадолу на стр. 157 на гърба, че се визуализира съобщението изтекла парола. На същата дата на същата страница в 13:05 ч. потребителя, който е достъпил акаунта на ищцата 59.84 извършва действие, с което променя юзърнейма на същия акаунт. Дава обозрим пример, онагледяващ измамната схема, като ако името е било Иван еди кой си, то е променено на Стоян еди кой си и ищцата няма достъп до банката. След тази смяна на юзърнейма на името на акаунта, ищцата реално няма достъп до акаунта си в банката. Уточнява, че когато е извършена нерегламентираната транзакция, ищцата е била на IP-то си в С., а транзакцията е извършена от IP адрес, който няма нищо общо с нейното местоположение, а именно транзакцията е извършена от С.. След като вече ищцата е нямала достъп до собствения си акаунт в 13:06 ч. приключва четвъртата сесия и започва пета сесия от същото IP 59.84, отразено на стр. 158 след средата. Това означава, че чуждия потребител вече влиза с нов юзърнейм чейндж (името), който очевидно не е ищцата. От справката не е ясно дали е променена паролата на потребителя. На стр. 158 там, където е записано процес спеймъндс – тази операция не е била в процес на изследване. Според справката предоставена от банката означава създадено плащане в 13:16 ч. това е петата сесия. След него в 13:19 ч. има авторизация–приключване на плащането, което е наредено с авторизационния код. Той е изпратен като есемес. Авторизационния код е само едни цифри – 1547173719. Есемесите на С. се намират на стр. 55 се намират в делото, а пък авторизационните кодове, изпратени от банката до телефонния номер на ищцата се намират на стр. 33. На стр. 33 в колона съобщение са посочени две отделни съобщения на 30.06.23 г. в 13:16 и авторизационния код завършва на 3168. В другото съобщение в 13:00 ч. авторизационния код завършва на 3719. Това отразява изпратените съобщения на телефонния номер на ищцата от банката като есемес, с което те въвеждайки авторизационния код, който е в пета колона потвърждават плащането и го финализират с авторизационния код, който е в 13:16 ч., а е финализирано процесното плащане в 13:19 ч., което се вижда от преводното нареждане долу в ляво. От друга страна констатацията на експерта, досежно отразено в лог файловете, което кореспондира напълно с лог файловете на стр. 158 в 13:19 ч. с аutorize. Установява се, че последната сесия е приключила на същата дата в 13:25 ч., което е видно и от отразеното на стр. 159 последния ред на гърба. Докато са траели петте сесии, които са започнали на процесната дата в 11:42 и приключили в 13:42 в акаунта, титуляра на сметката, т.е. ищцата е била в техническа невъзможност да влезе в собствения си акаунт. Уточни се , че с петата сесия е финализирано плащането, затова часа, съвпада с този, който е отразен долу вляво на платежното нареждане. Всъщност експертът обясни, че потребител клиент на банка ДСК е предоставил в мобилното приложение имейл адрес при регистрацията, като е изпратен фишинг имейл, който като се отвори може да се даде достъп на второ или трето лице до акаунта си до данните на компютъра и телефона. Фишинга заблуждава потребителя, че имейла е от банката и като го отвори, последва линка, и така влизат в банкирането на клиента и му крадат парите. Не може да се разбере дали това е фишинг, защото в него пише името на Банка ДСК, защото той изглежда като всички имейли. Вещото лице обясни, че в съвременните технологии има техническа възможност да се „скимира“ телефона със специални технически устройства, с което се достъпва до цялото устройство. Очевидно е, че няма практика банка ДСК да проследява от кой ай пи адрес се достъпва конкретен акаунт и да изследва този ай пи адрес. Ако това действие беше направено от страна на банката, то нямаше да бъде допусната такава операция от страна на банката. Всъщност са изпратени 4 есемеса от страна на банката към телефона на ищцата клиент – С., първия 7:46 ч. за вътрешно банков превод на банката 700 лв., втория в 13:00 ч. в размер на 1000 лв., третия в 13 авторизационен вход, който не е използван и в 13:16 ч., втория авторизационен вход, който е използван и за него е потвърдено процесното 1740 лв., въвеждайки от този втори авторизационен код е наредено приключено плащането, което е отразено на стр. 33 по настоящото дело. От банката не са предоставиха информация, че са предупреждавала ищцата да промени само паролата си. По данни на банката същата е изпращала съобщения на ищцата, че трябва да си смени паролата, но не и юзърнейма, „…но не ми представиха прозорец, за да удостоверя, че е действително така. Не съм установил и не ми е показан визуализиран прозорец, в който да е изписано, че са предупредили ищцата. Двуфакторната идентификация е с есемеси да се нареди превод. При извършения вход от 59.84 от страна на банката не е извършена двуфакторна идентификация, т.е. за вход в акаунта се използва само юзърнейм и парола, което е фактор знание, а липсва втория фактор притежание т.е. банката не е изпратила втори есемес - да се осъществи фактор притежание. Потвърждавам установеното в експертизата че при създаване на това преводно нареждане банката не е изпратила есемес на ищцата. Когато е финализиран (приключил) превода банката не е изпратила есемес на ищцата за уведомяване, че е извършено плащане“. Относно изложеното възражение от страна на банката в о.с.з. съдът предостави възможност и на пълномощника на банката да постави доуточняващи въпроси към експерта, като след поставения такъв дали е въвеждан пин код, вещото лице – компютърен специалист подробно разясни, че сертификата, с който се разписва кода се съхранява в сървъра на банката, той се съхранява, когато клиента си прави регистрация на банката. Той е защитен с пин код и трябва само клиента да го знае. Когато прави нареждане на сума, получава съответно този есемес като тръгне да въвежда тези пари и съдържанието на есемеса, което получава въвежда в полето и ако всичко е наред, то потвърждава плащането. Разяснява, че може да се открадне юзърнейма, когато се влезе с фишинг, а пин кода не може да се открадне, но зависило от „… самия сорс кода на фишинга, до къде може да стигне с реципиране на данните“. От друга страна от приложеното досъдебно производство № 155/ИД/23г. е видно, че в Постановление от 12.09.2023 г. на Окръжна прокуратура – Сливен, се приема, че са налице достатъчни данни и законен повод за извършено престъпление по чл.212а, ал.1 от НК - компютърна измама и кражба на идентификационни данни на С. К.а - П., при което са й причинени имуществени вреди. Безспорно в гражданския процес следва да се спазват основните основните начала за непосредственост на събиране на доказателства. Но действително в цитираното постановление се удостоверява обстоятелството, че лицето Л. Н. К., ЕГН •••••••••• получава процесната сума от неразрешената банкова операция в ущърб на банковата сметка на ищцата. От наказателното производство управителят на „Гео Мобайл“ ООД - Владимир Миланов свидетелства, че на 29.06.2023г. от сметка на дружеството е извършен превод на сумата от 85 лв. по банкова сметка на ищцата С. К.а, с която нито той, нито представляваното от него дружество имат някакво отношение. Освен това на същия ден два превода, всеки от които за сумата от 2000 лв., са наредени от сметка на дружеството „Гео Мобайл“ООД към сметка на ищцата, за което сигнализирал Секюрити отдела на банката. Установеното от вещото лице, кореспондира и с Писмо вх.№ 343000- 12724/16.10.2023г. на Банка ДСК с приложени писмени документи към него на стр.2, най-долу и стр.3 в началото „Банка ДСК“ се намират правилата, че в подобен случай, за да предприеме действия за спиране на превода е необходимо уведомяване на клиента за наличие на неправомерен превод. Действително, не е спорно че клиентката – ищцата е отправила своевременно уведомление още преди банката да е обработила счетоводно неразрешената банкова транзакция в 13ч. и 19мин., но въпреки това банката не е предприела никакви действия за спиране на превода. Съгласно представено банково бордеро на оспорената платежна операция, самият превод е нареден в 13ч. и 19мин., а съгласно предходни счетоводни документи, представени от Банка ДСК, осчетоводяването на превода е извършено след 14.00 ч. От събраните по делото доказателства се установи безспорно, че в точно това време ищцата е посетила банков клон на Банка ДСК за посочения по-горе темпорален период. На следващо място от Писмо с рег. №16-10-10062/2/17.08.2023 г. изхождащо от ответната банка, то същата е информирала за IР адресите, от които е осъществено електронно банкиране в профила на С. К.а - П. на датата 30.06.2023г. Видно от представена разпечатка от информационната система на банката относно изпратените съобщения /СМС/ по вайбър до мобилния номер на ищцата, описани по-горе /общо 5 съобщения/. Като от представената към него разпечатка и от интернет сесията в електронното банкиране на С. К. на датата 30.06.2023г., се установява, че за периода от времето за вход и изход от всеки IР адрес, а така също смененото потребителско име за достъп, както и съобщенията на банката, че паролата следва да бъде подменена. Относима е информацията в постъпилия писмен отговор с вх.№ 343000-12727/16.10.2023г. с приложени документи от Банка ДСК в ДП № 155/2023г., на стр.2 е отразена информация имаща отношение и към предмета на настоящото производство, което се установи безусловно от съдебния експерт, а именно: „Съгласно записаните от системата логове на 30.06.2023г. се наблюдава промяна на потребителското име и парола /преди да бъде променена с нова е въведена предходната парола, за която системата е визуализирала съобщение, че е изтекла/необходима промяна/. За да бъдат направени всички тези промени се изисква въвеждане на текущите идентификатори." Установи се от събраните по делото писмени и гласни доказателства, че две или повече лица, действали в организирана престъпна група са променили идентификационните данни на С. К., като за вход в интернет банкирането /променили са потребителското име за достъп/, като са използвали слабост в системата на Банка ДСК. По времето, в което третите лица са били логнати в интернет профила на С. К., т.е. от 11ч. и 42 мин. до 13ч. и 25 мин., като титуляра на сметката се оказва в техническа невъзможност да достъпи своя профил за мобилно банкиране, защото по това време е бил откраднат от друго лице за периода от 11ч. и 42мин. до 13ч.и 25мин, като през това време банката е била в бездействие и не е провела навременно обследване на съмнителните логвания и промени в системата за интернет банкиране на клиента си. Следователно наведените твърдения за липса на адекватна професионална грижа на добрия търговец за установяване самоличността и съгласието на С. К. с извършваните промени на нейните идентификационни данни - потребителско име за достъп до електронното банкиране, а впоследствие и поради неположена грижа на добрия търговец за установяване съгласието на С. К.а - П. относно неразрешения банков трансфер, то същата е лишила клиента си от гарантираната й възможност да бъде своевременно информирана за осъществената компютърна измама не е охранила наличните средствата по банковата сметка, намираща се в ответната банка, тъй като не е блокирала и не е предотвратила възможността за извършване на неразрешения банков трансфер. Следователно съдът счита, че следва да се кредитира и да се даде вяра на неоспореното експертно заключение. По тези причини се извежда извод, че на 30.06.2023г. трето недобросъвестно лице е осъществило вход в профила на онлайн банкиране на ищцата, без нейното знание и съгласие, чрез добити по престъпен начин данни за нейните идентификатори за вход в системата за мобилно банкиране на Банка ДСК АД - потребителско име и парола. Затова съдът счита, че следва да се кредитира напълно установеното от компютърния специалист, който е категоричен, че в период от 11 ч. и 42 мин. от чужд IP адрес 213.226.59.84, който е различен от IP адрес на ищцата от различно географско референтно местоположение спрямо местоположението на ищцата на този ден 30.06.2023г. е осъществен вход в системата за онлайн банкиране на ищцата, като всъщност първия лог е осъществен в 11ч. и 42 мин. от чужд IP адрес 213.226.59.84, с референтно географско местоположение в С.. А всъщност банката не е изпратила нито едно съобщение на клиента си, въпреки многократните влизания в нейния портал за електронно банкиране в банката за необходимостта от промяна на паролата. Така от справка на банката се установява, че влизанията за логове в системата за онлайн банкиране на С. К. на дата 30.06.2023г. са следните: първият лог, т.е. първото влизане от чуждия IP адрес 213.226.59.84 е осъществено на 30.06.2023г. в 11ч. и 42 мин. и веднага лицето, което е трето за банковата сметка на ищцата, всъщност получава съобщение от банката за изтекла парола, което всъщност се получава на екрана на неговия мобилен телефон или друго мобилно устройство, върху който се визуализира съобщението за изтекла парола, експертът в съдебно заседание именова като „expired password“. То се вижда обаче само от това чуждо лице. Следователно след като не е изпращано по никакъв начин на ищцата то тя е била в обективна невъзможност да бъде уведомена от банката за необходимост от промяна на паролата си за достъп в акаунта си. Затова се установява, че първата нерегламентирана сесия в онлайн банкирането на ищцата е продължила за времето от 11ч. и 42 мин. до 11ч. и 46 мин., когато третото лице е излязъл вече от акаунта на ищцата. За тази сесия, осъществения вход в акаунта на ищцата и извършените действия титуляра на банковата сметка / ищцата/, всъщност не е била уведомявана от банката. Второто влизане в системата за онлайн банкиране, именовано като вторият лог на ищцата е на същата 30.06.2023г., което е осъществено от чуждия IP адрес 213.226.59.84 в 12ч. и 58 мин. По същия начин на третото лице единствено се е визуализирало съобщение за изтекла парола именовано като expired password, което по същия начин респективно не е станало достояние на титуляра на банковата сметка, т.е. на ищцата в настоящото производство. При този вход в акаунта на ищцата в 12ч. и 59 мин. третото лице е създало оспореното платежно нареждане, като отново банката не е предупредила ищцата - клиент. Този втори влог продължава от 12 ч. и 58 мин. до 13.00 ч. В този период третото неоторизирано лице е направило първи неуспешен опит да нареди банкова транзакция със средства от банковата сметка на ищцата, в резултат на което в 13.00 ч. Банка ДСК АД изпраща първия СМС с авторизационен код до мобилния номер на С. К., но поради това че третото лице явно не е успял да се сдобие с информация относно този първи авторизационен код, поради което не е довършил даденото в 12ч.59мин. първо платежно нареждане като неразрешена банкова операция. А третото влизане - третият лог в системата за онлайн банкиране на С. К. на дата 30.06.2023г. е осъществено в 13ч. и 01мин. отново от чужд IP адрес 37.63.9.36, като тук отново се е визуализирало съобщение за изтекла парола /expired password/ пред третото неоторизирано лице /единствено и само пред него/, което обаче не е станало достояние на С. К.. Видно от двете съгласувани влизания едно след друго в рамките на минута, от двата чужди IP адреса с различно географско местоположение на 30.06.2023г., става ясно, че акаунта на С. К. е бил атакуван едновременно от две чужди за нея лица с престъпни намерения, които са действали в престъпен сговор помежду си с цел да откраднат паричните наличности по банковата сметка на С. К. в Банка ДСК АД. Третият лог е продължил през периода от 13ч. и 01мин. до 13ч. и 02 мин. Четвъртият лог -четвъртото влизане в системата за онлайн банкиране на С. К. отново на 30.06.2023 г. е осъществен отново от чуждия IP адрес 213.226.59.84 в 13ч. и 05 мин. и е продължил до 13ч. и 06 мин. Като и за този лог, клиента на банката - С. П. отново не е била предупредена по никакъв начин, нито чрез смс, нито по имейл, нито чрез проверовъчно телефонно обаждане. Така и за петият лог - петото влизане в системата за онлайн банкиране на С. К. на 30.06.2023г. е осъществен отново от чуждия IP адрес 213.226.59.84 в 13ч. и 06 мин. и е продължил без прекъсване до 13ч. и 25 мин. Е за този лог и за извършените по негово време операции, клиента на банката - ищцата не е била предупредена от банката по никакъв начин.Всъщност експерта разясни, че при петия лог/ пето влизане в акаунта на С. К., третото лице е сменило юзърнейм /потребителско име за достъп до акаунта на ищцата в 13 ч. и 05 мин., но за същото действие Банка ДСК отново не е информирала по никакъв начин С. К.. Осъществената смяна на потребителското име за достъп до акаунта на С. К. е видно от представената от банката по наказателното производство, в което съществува Справката за логове -влизания в портала за електронно банкиране на ищцата. Което подробно се установи и разясни от специалиста в Допълнително заключение. Следователно чрез промяната на потребителско име ищцата е била лишена от достъп до своето мобилно банкиране, като по никакъв Банка ДСК не уведомява клиентката си за това.Затова при наличието на груб пропуск на банката за изпращане на чувствителни данни до ненадеждни източници, които могат лесно да бъдат пробити или подложени на фишинг атаки, тъй като не са потребителите, като следва банката да осъществява дължимата грижа за опазване на парични средства на клиентите си. Съгласно категоризацията по регламентите на правото на Европейския съюз, нивото на защита, предлагано при онлайн банкиране се квалифицира в три категории - ниско, средно и високо, като предприетите мерки в никой случай не представляват конфиденциална информация, но данни за тях са необходими за категоризиране степента на защита и дали банката е изпълнила добросъвестно своите задължения да въведе високо ниво на защита за своите потребители. Следователно банката не осъществява дължимото ниво на защита на своите клиенти. Съдът съобрази и на изложеното в Регламент (ЕС) 2022/2554, относно оперативната устойчивост на цифровите технологии във финансовия сектор се определят единни правила за сигурността на мрежовите и информационните системи на финансовите институции, като например банки, застрахователни дружества и инвестиционни посредници. Този регламент обхваща широк кръг от регулирани от Европейския съюз финансови субекти, като изисква от тях да устояват и да реагират и да се възстановяват от всяко смущение или заплаха, свързани с информационните и комуникационните технологии (ИКТ). Този регламент въвежда правилата, които обвързват и Банка ДСК, за управление на риска при използване на информационните и комуникационните технологии (ИКТ). С регламента се изменят регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 909/2014, (ЕС) № 600/2014 и (ЕС) 2016/1011. Съгласно съдържанието на цитирания регламент уреждат всички финансови субекти, сред които и банка ДСК, оперираща на европейския пазар, имат следните вменени задължения и отговорности, които очевидно не са изпълнени от ответника: имат въведени мерки за вътрешно управление и контрол, които гарантират ефективно и разумно управление на риска, свързан с ИКТ; гарантират, че техният управителен орган определя, одобрява, контролира и отговаря за всички съответни мерки; разполагат с надеждна, всеобхватна и добре документирана рамка за управление на риска в областта на ИКТ с необходимите стратегии, политики, процедури, протоколи и инструменти за бърза и ефективна реакция; използват и поддържат актуализирани ИКТ системи, протоколи и инструменти, които са подходящи, надеждни, технологично устойчиви и с достатъчен капацитет; идентифицират, класифицират и адекватно документират всички бизнес функции, роли и отговорности, поддържани от ИКТ, и правят преглед на рисковите сценарии; непрекъснато следят за сигурността и функционирането на ИКТ системите и инструментите, за да сведат до минимум въздействието на всеки риск в областта на ИКТ; своевременно откриват аномалии и идентифицират потенциални точки на срив; въвеждат цялостна политика за непрекъснатост на дейността на ИКТ с подходящи планове, процедури и механизми; разработват и документират политики за архивиране и процедури за възстановяване на информацията; разполагат с ресурси и персонал за оценка на уязвимостите и киберзаплахите, инцидентите, свързани с ИКТ, особено кибератаките, и анализират потенциалното им въздействие върху цифровата оперативна устойчивост на структурата; разработват планове за кризисна комуникация, за да разкриват поне основните инциденти или уязвимости, свързани с ИКТ, на клиентите, партньорите и обществеността. Това се установява и подкрепя и от дадените обяснения на С. К. в о.с.з. които доказват това, че ищцата не е предоставяла по никакъв начин на третото недобросъвестно лице данни за своето потребителско име /юзърнейм/ и парола, нито за получените като СМС два авторизационни кода, но те са били достъпени до имейл-адресите на потребителите на банкови услуги от трети лица, както и чрез евентуално използване на неразрешени технологии, използвани като средства за извършване на престъпления, като скамиране, сдвояване на сим-карти, издаване на дубликати на сим-карти и фишинг. Тази слабост на мейл сървърите, технологии и средства за извършване на престъпления предоставят лесна възможност за кражба на лични данни и имейл адреси от трети недобросъвестни лица, като същата слабост не е съобразена, нито отстранена от ответника Банка ДСК АД. Следователно при осъществения вход в мобилно банкиране на С. К., Банка ДСК АД не е извършила задълбочена идентификация на наредителя преди да изпълни неразрешения банков превод на стойност на 1740 лв. по сметка на третото, неизвестно за С. К. лице, обозначено от самата Банка ДСК в Платежното нареждане с неточното и непълно наименование „LIDIYa KOS". Така въсщност банката неправомерно е допуснала третото неизвестно лице да достъпи профила на клиента на банката за мобилно банкиране чрез въвеждане на добитите по престъпен начин нейни лични данни на юзърнейм и парола за вход в мобилното банкиране. Следователно юзърнейма и паролата дублират един и същи фактор „знание", и както вещото лице разяснява при осъществен вход в мобилното банкиране на датата 30.06.2023г. Банка ДСК АД не е изпратила на ищцата като СМС авторизационен код, който да бъде въведен, и който да изпълни ролята на втория фактор „притежание“, при което Банка ДСК АД е допуснала трето неоторизирано лице, различно от клиента й да проникне в акаунта за мобилно банкиране на ищцата. Това се дължи на пропуска на банката да изпълни изискванията на закона и да осъществи сигурна двуфакторна идентификация (при осъществения вход в системата за мобилно банкиране на ищцата банката е пропуснала да удостовери двата фактора - знание /нещо, което само потребителят знае/ и притежание /нещо, което само потребителят притежава/, преди да допусне да бъде осъществен вход в мобилното банкиране на ищцата на датата 30.06.2023г. от двата необичайни № адреса - № 213.226.59.84 и № 37.63.9.36, които банката също е пропуснала да идентифицира като опасност). Фактът, че ищцата – клиент преди извършването на неразрешения банков превод не е получила никаква предварителна информация, тъй като се доказа, че не е получила СМС от банката относно осъществения нерегламентиран вход в нейния интернет профил за мобилно банкиране в Банка ДСК АД на датата 30.06.2023 г. от третото неоправомощено лице, а така също не е получила нито СМС, нито имейл относно променения юзърнеймпотребителко име за вход в мобилното банкиране, а самата система -програма за интернет банкиране на Банка ДСК АД, очевидно е ненадеждна и предоставя възможност за злоупотреби, тъй като е доказано, че трето лице е успяло да достъпи интернет профила на клиента на банката без нейно знание и съгласие, а впоследствие по незаконосъобразен начин е достъпило и втория авторизационен код, с който е потвърдило превода на сумата по неразрешената банкова операция. Всичко това се потвърждава и от Разпечатка за предприети действия от банката и изпратени уведомления до С. К. за двата дни - 29.06.2023г. и 30.06.2023г. банката е изпратила само 5 съобщения до ищцата като СМС-съобщения по вайбър на мобилния й телефон и нито едно от тях не е бил относно осъществените многократни входове от чужди IР адреси в профила на ищцата за мобилно банкиране в Банка ДСК, нито за осъществената промяна на потребителското й име за достъп до електронното банкиране, нито за създаването на оспореното преводно нареждане, нито за извършването на неразрешената банкова транзакция. Не може да се приеме за достатъчна единствената информация, предоставена от Банка ДСК АД до клиента си, че на 29.06.2023г. в 20:00 ч. Банка ДСК е изпратила съобщение по вайбър за постъпили средства по банковата сметка на С. К.а от Гео мобайл – това е трансфер, който е част от извършената компютърна измама, доколкото съгласно наказателната преписка и Гео мобайл са пострадало лице с неразрешени преводи към същата банкова сметка с титуляр Л. К.. Въпреки, че на 30.06.2023г. в 7ч. и 46мин. банката е изпратила съобщение по вайбър за постъпили средства по банковата сметка на С. К.а, това експертът установи че представлява трансфер на средства между две сметки на ищцата, извършен рано сутринта в 7ч. 46 мин. от самата нея. А съобщението по вайбър за постъпили средства по банковата сметка на С. К.а, представлява вътрешен трансфер на средства между две сметки на С. К.а, който също са част от извършената компютърна измама на 30.06.2023г. в 13ч. и 00 мин. Затова съдът приема, че установеното от вещото лице по категоричен начин доказва, че е налице пропуск от банката, която не е предвидила надежден механизъм за охрана на клиентските сметки и наличните в тях суми, тъй като не е положила специална грижа чрез двуфакторно гарантиране на средствата използвайки факторите „знание“ и „притежание“. От другата съдебно-икономическа експертиза се установи, че реално парите са преведени от сметката на ищцата в сметката на Л. К., като в табличен вид са отразени транзакциите на 30.06.2023 г, като е извършен трансфер между собствени сметки на ищцата, не мога да кажа в момента от коя сметка в коя е извършен превода има приложени документи, като по сметката на ищцата завършваща на 5209 са постъпили общо 1700 лв. от друга нейна банкова сметка в същата банка, като наредител е С. К. К.а, а основанието е трансфер между свои сметки, от която сметка в последствие е извършен превода към сметката на Л. К. на същата дата в по-късен час на деня на Л. К. по сметка завършваща на 8409 в стр. 26 отг. 10. Извършен е незабавен превод на сумата 1740 лв., а основанието е „захранване“. Превода е незабавен и влиза веднага в банкова сметка на „Първа инвестиционна банка“ АД. В открито съдебно заседание уточнява, че в началото на деня ищцата е имала 131 лв., постъпили са 1700 лв., има няколко дребни картови плащания, а остатъка е 1756,93 лв., като от точно тази сума е направен процесния превод от 1740 лв. Предвид гореизложеното съдът счита, че се установи и доказа, че банката не е осигурила на клиента си достатъчно надеждни и сигурни средства за идентификация на наредителя чрез трите фактора - за знание, притежание и характерна особеност на наредителя, при осъществения вход в системата на интернет банкирането, както и преди изпълнението на процесния неразрешен банков превод, но очевидно е предоставила възможност за неоторизиран пробив в системата на банката от трето неоправомощено лице. Освен това е допуснала неправомерно инсталиране на софтуерния продукт за интернет банкиране и вход в профила на клиента си в интернет банкирането от чуждо устройство - мобилен телефон или компютър на същото трето неоторизирано лице. На следаващо място се доказа, че очевидно е налице ненадежден начин за изпращане на смс-известявания с авторизационни кодове за нареждане на банков превод, които се доказа, че са получавани от трето лице и чрез нейното устройство е нареден неразрешения паричен превод на стойност 1740 лв. от банковата сметка на ищцата в полза на неизвестно за нея лице.Следователно е налице извод, че за същия неразрешен превод ищцата узнава след получаването на двата последователни СМС-а на мобилния й телефонен номер, като в 13.99 часа е първият СМС, а другият е в 13.16 часа, които съдържат авторизационни кодове за превод по IBAN BG•• •••• •••• •••• •••• •• на сума 1740 лв. и получател LIDIYa KOS. Доказа се, че ищцата притежава компютърни познания, като действията й доказват това, тъй като незабавно прави опит да достъпи своя акаунт в интернет банкирането, но достъпът й е отказан, като разбира, че е в схема застрашаваща средствата й. Като веднага след това подозрение влиза в клон на банката с искане за оспорване на транзакция, което се доказва от искането с вх.№ 16-10-0900230.06.2023 г. Банката е в обективна невъзможност да помогне на клиента си, по тези причини по късно на 17.08.2923г. изпраща писмен Отговор рег.№ 16-10-10062/2, че няма основание за възстановяване на оспорената сума. Всичко това доказва по безспорен начин опитите на банката да прикрие слабости в системата си за сигурност, като във възраженията си прави недопустимо прехвърляне на отговорността от неизпълнение на своите собствени отговорности и задължения върху потребителя. Законодателят е предвидил в нормата на чл. 70, ал. 1 от ЗПУПС платежната операция е разрешена, ако платецът я е наредил или е дал съгласие за изпълнението й. При липса на съгласие платежната операция е неразрешена. От установените факти по делото следва, че процесната оспорена платежна операция е неразрешена по смисъла на посочената законова разпоредба. Разпоредбата на чл. 79, ал. 1 от ЗПУПС, предвижда, че в случай на неразрешена платежна операция доставчикът на платежни услуги възстановява незабавно стойността на неразрешената платежна операция и във всеки случай не по-късно от края на следващия работен ден, след като е забелязал или е бил уведомен за операцията, освен когато доставчикът на платежни услуги има основателни съмнения за измама и уведоми съответните компетентни органи за това. Освен това и разпоредбата на чл. 79, ал. 1 ЗПУПС, регламентира, че при неразрешена платежна операция, задължение на доставчикът на платежни услуги да възстановява незабавно стойността на неразрешената платежна операция и респективно сумата, която е загубена при неразрешената платежна операция. Отговорността на доставчика на платежните услуги е изключена единствено в хипотезите на чл. 78, ал. 4 от ЗПУПС, съгласно която доставчикът на платежни услуги следва да докаже, че платецът е действал чрез измама, или че умишлено или при груба небрежност не е изпълнил някое от задълженията си по чл. 75, като по делото не бяха събрани доказателства, които да обосноват извод за неизпълнение от страна на ищеца на задължения, произтичащи от закона или от договора, при условията на груба небрежност. От друга страна ответната банка не ангажира по делото доказателства, които да изключат отговорността й по чл.79 от ЗПУПС. Напротив релевираните възражения за груба небрежност от страна на ищеца – клиент не бяха доказани, напротив от съдебно-техническото и съдебноикономическото заключение, както и от гласните доказателства и множеството писмени доказателства се установи и доказа, че банката не е изпълнила законовото задължение за осигуряване на сигурна двуфакторна идентификация при осъществяване на мобилно банкиране, а ищцата е станала жертва на престъпно посегателство изразяващо се в превеждане на собствените й средства на друго лице. По тези съображения се извежда извод, че банката не е изпълнила задълженията си и следва да носи отговорността по чл.79 от ЗПУПС. Поради което банката дължи възстановяването на сумите по неразрешената банкова транзакция на стойност 1740 лв., поради реализиране на фактическият състав на чл. 79 ЗПУПС. Задължението на банката за възстановяване на паричните средства, предмет на неразрешените платежни операции, не е обусловено от факта дали същите са резултат от противоправните действия на неин служител или на трети лица. Достатъчно е да е извършено теглене на парични средства, без то да е наредено от титуляра на платежната сметка, за което теглене банката е уведомена без неоснователно забавяне. Тези предпоставки водят до извода за основателност на предявения иск по чл. 79 от ЗПУПС.Правоотношенията между страните в хипотезата на неразрешена платежна операция извършена от банката като доставчик на платежни услуги на платеца се уреждат от нормите на Закона за платежните услуги и платежните системи - ЗПУПС и подзаконовия акт Наредба № 3/18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти. Още повече, че според нормата на чл. 70 ЗПУПС платежната операция е разрешена, ако платецът я е наредил или е дал съгласие за изпълнението, съответно при липса на съгласие платежната операция е неразрешена. Разрешението на платеца следва да бъде дадено преди изпълнението на платежната операция или ако е уговорено между платеца и неговия доставчик на платежни услуги - след изпълнението на операцията. Хипотезата на чл. 79 ЗПУПС, по която се претендира ангажиране отговорността на ответника, предвижда изрично отговорност на банката, когато титулярът твърди, че е не е наредил или не е дал съгласие за извършване на платежни операции, каквито именно са твърденията на ищеца в случая. Тази отговорност е безвиновна и обективна. Безспорно се установи и доказа, че доставчикът на платежни услуги възстановява на платеца незабавно стойността на неразрешената платежна операция и във всеки случай не покъсно от края на следващия работен ден, след като е забелязал или е бил уведомен за операцията, освен когато доставчикът на платежни услуги на платеца има основателни съмнения за измама и уведоми съответните компетентни органи за това. Когато е необходимо, доставчикът на платежни услуги на платеца възстановява платежната сметка на платеца в състоянието, в което тя би се намирала, ако не беше изпълнена неразрешената платежна операция. Вальорът за заверяване на платежната сметка на платеца е не покъсно от датата, на която сметката е била задължена със сумата на неразрешената платежна операция. Без доказване остана наведеното възражение на ответната банка за установяване автентичността на платежната операция, както и че операцията не е засегната от техническа повреда или друг недостатък при предоставяне на услугата.Напротив от събраните доказателства се установи отговорността на банката по договора за платежни услуги на основание специалната норма на чл. 79, ал. 1 ЗПУПС, тъй като се установиха и доказаха елементи от фактическия състав: сключване на договор за платежни услуги; изпълнение от страна на банката на конкретна платежна операция; тези платежни операция да не са разрешени от платеца, който е и ползвател на платежна услуга по сключения договор; да не е налице някое от предвидените в ЗПУПС специални основания, при които може да се изключи или ограничи отговорността на доставчика на платежни услуги при изпълнението на неразрешена платежна операция - извършване на операцията при измама или груба небрежност на платеца, банката да е уведомена своевременно за неразрешената операция. Следователно съдът счита, че следва да се ангажират доказателства, че операцията е извършена при измама или груба небрежност от страна на ползвателя на платежни услуги, каквито доказателства се събраха в настоящия процес От друга страна разпоредбата на чл. 78, ал. 4 ЗПУПС възпроизвежда тази на чл. 72, т. 2 от Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета от 25.11.2015 г. за платежните услуги във вътрешния пазар. С тях се уреждат отношения в случай на оспорване от ползвателя на платежните услуги на изпълнена от него платежна операция, регистрираната от доставчика на услугите /банката/ като надлежно извършена, че надлежното регистриране на операцията не е достатъчно, за да се приеме за доказано, че тя е била разрешена от платеца или че последният не е изпълнил умишлено или поради груба небрежност задълженията си по чл. 69 от Директивата. Следователно доставчикът дължи доказването на измамата или грубата небрежност при извършеното плащане. По тези причини горецитираната норма от ЗПУПС недвусмислено сочат, че рискът от изпълнение на неразрешена от платеца платежна операция, макар и наредена чрез договорения платежен инструмент е възложен в тежест на доставчика на платежната услуга, т.е. на банката. Неблагоприятните последици от изпълнението на неразрешената платежна операция, която е наредена чрез приетия от страните платежен инструмент, ще останат в правната сфера на платеца само при доказване от страна на ответника, че е налице измама или при умишлено или при груба небрежност от страна на платеца неизпълнение на съществените задължения, вменени му във връзка с използване на платежния инструмент. В този смисъл е и изричната разпоредба на чл. 80, ал. 3 ЗПУПС, която предвижда платецът да понася всички загуби, свързани с неразрешени платежни операции, когато ги е причинил чрез измама или с неизпълнението на едно или повече от задълженията си по чл. 75 умишлено или поради груба небрежност. Налице е трайна съдебна практика за това, като в цитираното от защитата Определение № 508/17.02.2025 г. по т. д. № 1593/2024 г. на ВКС, I Т. О. и Определение по т. д. № 2456/2022 г. на ВКС, I, т.о. касае аргументи относно дали е достатъчно доставчикът на платежна услуга да установи използването на конкретен платежен инструмент, вкл. коректното въвеждане на неговите персонализирани защитни характеристики или следва да проведе пълно и главно доказване на съгласието на платеца, т. е. че въвеждането им изхожда от самия него. Изрично е посочено, че няма противоречива практика по тълкуването на чл. 78, ал. 4 вр. с ал. 1 и предвид ал. 3 на същата разпоредба от ЗПУПС, като последната единствено възпроизвежда определението за "установяване на идентичност", съгласно чл. 1, т. 29 от Директива /ЕС/ 2015/2366 на Европейския парламент и на Света от 25.11.2015 г. относно платежните услуги на вътрешния пазар, отменяща Директива 2007/64/ЕО. Налице е и коментирано от СЕС приложение на идентична по съдържание на разпоредбата на чл. 72, т. 2 от Директива /ЕС/2015/2366, разпоредба от отменената Директива 2007/64 - чл. 59, т. 2, която чл. 78, ал. 4 ЗПУПС транспонира дословно. Затова и в решение от 11.07.2024 г. по дело С-409/2022 г., тълкувайки чл. 59, т. 2 от Директива 2007/64 / идентичен с текста на чл. 72, т. 2 от Директива /ЕС/ 2015/2366 на ЕП и Съвета и чл. 78, ал. 4 ЗПУПС /, предвид ясната разпоредба на чл. 54 от Директивата, дефинираща платежната трансакция като неразрешена при извършването и без съгласието на платеца, съдът е приел, че законодателят на Съюза очевидно не е целял установяване на разрешението за плащане да се ограничи до проверка на формалната редовност на правните актове, използвани за даването на това съгласие - съображения 73, 74, 80. В съответствие с решение на СЕС по дело С-409/22 е и постановеното Решение № 159/14.10.2024 г. по т. д. № 904/2023 г. на ВКС, II Т. О., макар в различна от настоящата хипотеза на платежен инструмент. Съгласно чл. 100, ал. 1, т. 1-3 ЗПУПС доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на платеца, когато платецът: достъпва платежната сметка онлайн; инициира електронна платежна операция; извършва друго действие от разстояние, при което би могло да възникне риск от измама при плащането или друга злоупотреба. Задълбоченото установяване на самоличността изисква включването на два или повече от следните елементи: знание - нещо, което само ползвателя знае (т. е. обстоятелство с което единствено ползвателя на платежни услуги е запознат); притежание - т. е. нещо което само ползвателят притежава (обичайно самият платежен инструмент); характерна особеност- т. е. нещо характерно и с което се характеризира ползвателя - арг. чл. 100, ал. 4 ЗПУПС. Според чл. 56 от Наредба № 3 от 18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти, дейността по задълбочено установяване на идентичността на платеца се осъществява при спазване на мерките за сигурност в съответствие с изискванията на глава втора от Регламент (ЕС) № 2018/389. В чл. 4, § 1 от Регламент (ЕС) № 2018/389, представляващ пряко приложимо вторично право на ЕС (арг. чл. 288 ДФЕС), е изяснено, че когато доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на клиента в съответствие с член 97, параграф 1 от Директива (ЕС) 2015/2366, установяването на идентичността се основава на два или повече елемента, категоризирани като знание, притежание и принадлежност, и води до генерирането на код за установяване на идентичността. Кодът за установяване на идентичността се приема само веднъж от доставчика на платежни услуги, когато платецът използва кода, за да получи достъп до своята платежна сметка онлайн, да инициира електронна платежна операция или да извършва каквото и да било действие дистанционно, което би могло да е свързано с риск от измама при плащането или други злоупотреби. От друга страна чл.76, ал.1, т.1 ЗПУПС, задължава доставчика на платежни услуги да осигури недостъпност и максимална защита на персонализираните средства за сигурност на платежния инструмент за лица, различни от ползвателя на платежните услуги. Дължимата грижа за осигуряване на сигурна среда за извършване на разплащанията е завишена именно с оглед обстоятелството, че банката е търговец, който по занятие предоставя банкови услуги. Така също и нормата на чл.100, ал.1 от ЗПУПС задължава банката да прилага задълбочено установяване на идентичността, когато платецът достъпва платежната сметка онлайн или инициира електронна платежна операция, какъвто е настоящият случай. При установяване идентичността на платеца разпоредбата на чл.8, ал.3 от Наредба № 3 от 18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти препраща към изискванията на Делегиран регламент (ЕС) 2018/389 на Комисията за допълнение на Директива (ЕС) 2015/2366 на Европейския парламент и на съвета по отношение на регулаторните технически стандарти за задълбочено установяване на идентичността на клиента и общите и сигурни отворени стандарти за комуникация, същите доразвити в регулациите на Европейския банков орган, в това число в Становището на ЕБО, отразено в публикация от 21.06.2018г. Следователно банката не е изпълнила всички задължения по закон и директивите на ЕС за недостъпност и максимална защита на персонализираните средства за сигурност на платежния инструмент за лица, различни от ползвателя на платежните услуги, нито е предоставила надежден метод за задълбочено установяване на идентичността на ищеца. Системата за интернет банкиране на Банка ДСК АД се оказа ненадеждна и уязвима от външни вмешателства. Ако голословните твърдения за сигурност на банковите служители отговаряха на действителността, клиентите й нямаше да получават съобщения за актуализиране на данните си с нейното лого непосредствено след като си открият банкова сметка в нея, нито доставчикът на платежни услуги щеше да допуска лесно отнемане на парични средства от техните сметки, какъвто е и процесният случай. Съгласно трайната съдебна практика, договорът за спестовна сметка представлява паричен влог по смисъла на чл.421 от ТЗ, в случая обаче се прилагат правилата на договора за заем. Съгласно чл.257, ал.3 от ЗЗД ограничението за разпореждане не се прилага по отношение на банките, поради което те могат винаги да се разпореждат с предоставените им парични средства. Банката, обаче, става собственик на предоставените й парични средства, а рискът от отнемането или повреждането на вещта се носи от собственика й, тъй като това води до намаляване на неговото имущество от момента на увреждащите действия. Поради гореизложеното и на основание чл.421, ал.1 от Търговския закон във вр. с чл.79, ал.1 от ЗПУПС „Банка ДСК" АД следва да бъде осъдена да върне на ищцата- клиент С. К. паричната сума в размер на 1740 лв., отнета от сметката й без нейно знание и съгласие чрез неразрешената от нея банкова транзакция, ведно обезщетение за забава в размер на законната лихва върху претендираната главница от датата на подаване на исковата молба – 01.12.2023г. до окончателно изплащане на вземането. Съдът намира, че от съвкупния доказателствен материал се установява безспорно, че страните са обвързани от облигационни отношения във връзка с договор за откриване на банкова сметка, за издаване и обслужване па персонална дебитна карта и договор за предоставяне и ползване на услугата интернет банкиране. Ето защо правоотношенията между страните, в хипотезата на неразрешена платежна операция извършена от банката като доставчик на платежни услуги на платеца, следва да се уредят от разпоредбите на Закона за платежните услуги и платежните системи -ЗПУПС и подзаконовия акт Наредба № 3/18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти. Съгласно чл. 70 ЗПУПС, платежната операция е разрешена, ако платецът я е наредил или е дал съгласие за изпълнението, съответно при липса на съгласие платежната операция е неразрешена. Разрешението на платеца следва да бъде дадено преди изпълнението на платежната операция или ако е уговорено между платеца и неговия доставчик на платежни услуги - след изпълнението на операцията. Хипотезата на чл. 79 ЗПУПС, по която се претендира ангажиране отговорността на ответника, предвижда изрично отговорност на банката, когато титулярът твърди, че е не е наредил или не е дал съгласие за извършване на платежни операции, каквито именно са твърденията на ищеца в случая. Тази отговорност е безвиновна и обективна. Според нормата на чл. 79, ал. 1 ЗПУПС, доставчикът на платежни услуги възстановява на платеца незабавно стойността на неразрешената платежна операция и във всеки случай не по-късно от края на следващия работен ден, след като е забелязал или е бил уведомен за операцията, освен когато доставчикът на платежни услуги на платеца има основателни съмнения за измама и уведоми съответните компетентни органи за това. Когато е необходимо, доставчикът на платежни услуги на платеца възстановява платежната сметка на платеца в състоянието, в което тя би се намирала, ако не беше изпълнена неразрешената платежна операция. Вальорът за заверяване на платежната сметка на платеца е не по-късно от датата, на която сметката е била задължена със сумата на неразрешената платежна операция. За основателността на предявените искове в тежест на ищеца е да докаже сключването с ответника на договор за платежни услуги с посоченото в исковата молба съдържание, че в срока на действие на договора е извършена платежна операция, която не е била заявена от ищеца, както и нейната стойност; че е уведомил ответника незабавно след узнаването; че ответникът е изпаднал в забава, както и размера на обезщетението за забава. За да бъде ангажирана отговорността на банката по договора за платежни услуги на основание специалната норма на чл. 79, ал. 1 ЗПУПС следва да бъдат установени следните елементи от фактическия състав на нормата, а именно: сключване на договор за платежни услуги; изпълнение от страна на банката на конкретна платежна операция; тези платежни операция да не са разрешени от платеца, който е и ползвател на платежна услуга по сключения договор; да не е налице някое от предвидените в ЗПУПС специални основания, при които може да се изключи или ограничи отговорността на доставчика на платежни услуги при изпълнението на неразрешена платежна операция - извършване на операцията при измама или груба небрежност на платеца, банката да е уведомена своевременно за неразрешената операция. Според нормата на чл. 78, ал. 1 ЗПУПС, когато ползвателят на платежна услуга твърди, че не е разрешавал изпълнение на платежна операция или че е налице неточно изпълнена платежна операция, доставчикът на платежната услуга носи доказателствената тежест при установяване автентичността на операцията, нейното точно регистриране, осчетоводяването, както и за това, че операцията не е засегната от техническа повреда или друг недостатък в услугата, предоставена от доставчика на платежни услуги. В чл. 78, ал. 4 ЗПУПС е предвидено също така, че при твърдения на ползвателя за неразрешена платежна операция и същевременно регистрирано от доставчика на платежните услуги използване на платежен инструмент, не е достатъчно установяване разрешаването на операцията чрез използване на идентификаторите на платеца. В този случай доставчикът на услугата дължи доказване, че ползвателят не е изпълнил някое от вменените му задължения по ползване на персонализираните средства за сигурност. Доставчикът на платежни услуги следва да ангажира доказателства, че операцията е извършена при измама или груба небрежност от страна на ползвателя на платежни услуги. Нормата на чл. 78, ал. 4 ЗПУПС възпроизвежда тази на чл. 72, т. 2 от Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета от 25.11.2015 г. за платежните услуги във вътрешния пазар. В нея също е уредено, в случай на оспорване от ползвателя на платежните услуги на изпълнена от него платежна операция, регистрираната от доставчика на услугите /банката/ като надлежно извършена, че надежното регистриране на операцията не е достатъчно, за да се приеме за доказано, че т я е била разрешена от платеца или че последният не е изпълнил умишлено или поради груба небрежност задълженията си по чл. 69 от Директивата. Следователно доставчикът дължи доказването на измамата или грубата небрежност при извършеното плащане. Тълкуването на чл. 78, ал. 1 и, ал. 4 ЗПУПС недвусмислено сочи, че рискът от изпълнение на неразрешена от платеца платежна операция, макар и наредена чрез договорения платежен инструмент, е възложен в тежест на доставчика на платежната услуга. Неблагоприятните последици от изпълнението на неразрешената платежна операция, която е наредена чрез приетия от страните платежен инструмент, ще останат в правната сфера на платеца само при доказване от страна на ответника, че е налице измама или при умишлено или при груба небрежност от страна на платеца неизпълнение на съществените задължения, вменени му във връзка с използване на платежния инструмент. В този смисъл е и изричната разпоредба на чл. 80, ал. 3 ЗПУПС, която предвижда платецът да понася всички загуби, свързани с неразрешени платежни операции, когато ги е причинил чрез измама или с неизпълнението на едно или повече от задълженията си по чл. 75 умишлено или поради груба небрежност. В Определение № 508/17.02.2025 г. по т. д. № 1593/2024 г. на ВКС, I т. о. е бил разгледан въпросът достатъчно ли е доставчикът на платежна услуга да установи използването на конкретен платежен инструмент, вкл. коректното въвеждане на неговите персонализирани защитни характеристики, или следва да проведе пълно и главно доказване на съгласието на платеца, т. е. че въвеждането им изхожда от самия него. Изрично е посочено, че няма противоречива практика по тълкуването на чл. 78, ал. 4 вр. с ал. 1 и предвид ал. 3 на същата разпоредба от ЗПУПС. като последната единствено възпроизвежда определението за "установяване на идентичност", съгласно чл. 1, т. 29 от Директива /ЕС/ 2015/2366 на Европейския парламент и на Света от 25.11.2015 г. относно платежните услуги на вътрешния пазар, отменяща Директива 2007/64/ЕО. Налице е и коментирано от CEC приложение на идентична по съдържание на разпоредбата на чл. 72, т. 2 от Директива /ЕС/2015/2366, разпоредба от отменената Директива 2007/64 - чл. 59. т. 2. която чл. 78, ал. 4 ЗПУПС транспонира дословно. Така с решение от 11.07.2024 г. по дело С-409/2022 г., тълкувайки чл. 59. т. 2 от Директива 2007/64 / идентичен с текста на чл. 72, т. 2 от Директива /ЕС/ 2015/2366 на ЕП и Съвета и чл. 78, ал. 4 ЗПУПС /, предвид ясната разпоредба на чл. 54 от Директивата, дефинираща платежната трансакция като неразрешена при извършването и без съгласието на платеца, съдът е приел, че законодателят на Съюза очевидно не е целял установяване на разрешението за плащане да се ограничи до проверка на формалната редовност на правните актове, използвани за даването на това съгласие -съображения 73, 74, 80. В съответствие с решение на CEC по дело С-409/22 е и постановеното Решение № 159/14.10.2024 г. по т. д. № 904/2023 г. на ВКС, II Т. О., макар в различна от настоящата хипотеза на платежен инструмент. Няма основание чл. 78. ал. 4 ЗПУПС възприет като пояснение /допълнение/ на ал. 1 на същата разпоредба, а не като различно преценим, досежно разпределението на доказателствената тежест, фактически състав - да се прилага различно, съобразно вида на платежния инструмент. Определянето на една платежна операция като разрешена или неразрешена, е обусловено единствено от наличието или липсата на съгласие на лицето, което е титуляр на платежната сметка и разпорежда изпълнението на платежни операции по тази сметка. В идентична на настоящата хипотеза е споделено същото и в Определение по т. д. № 2456/2022 г. на ВКС, I т. о.: При твърдение за неразрешена платежна операция, идентифицирането на наредителя чрез електронното му устройство и автентифицирането на изявлението чрез другите електронни средства не е достатъчно да изключи неговата отговорност, освен ако докаже измама на платеца или неизпълнение на задълженията на същия по чл. 75 ЗПУПС. при груба небрежност, способствали операцията. Задължението за опазване на предоставените персонални средства за достъп до платежния инструмент за активно опериране с платежната сметка на ищцата изисква предприемане на всички разумни действия за запазването им в тайна, включително да не записва каквато и да е информация за тези средства за сигурност върху платежния инструмент и да не съхранява такава информация заедно с платежния инструмент. Разумните действия обичайно се свеждат до наличие на парола за достъп до функционалностите на телефона, използване на антивирусна програма и поддържането й в състояние на актуалност, съответно фактическо опазване в тайна на предоставените пароли и периодичната им промяна. Съгласно чл. 100, ал. 1, т. 1-3 ЗПУПС Доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на платеца, когато платецът: достъпва платежната сметка онлайн; инициира електронна платежна операция; извършва друго действие от разстояние, при което би могло да възникне риск от измама при плащането или друга злоупотреба. Задълбоченото установяване на самоличността изисква включването на два или повече от следните елементи: знание - нещо, което само ползвателя знае (т. е. обстоятелство с което единствено ползвателя на платежни услуги е запознат); притежание - т. е. нещо което само ползвателят притежава (обичайно самият платежен инструмент); характерна особеност- т. е. нещо характерно и с което се характеризира ползвателя - арг. чл. 100, ал. 4 ЗПУПС. Според чл. 56 от Наредба № 3 от 18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти, дейността по задълбочено установяване на идентичността на платеца се осъществява при спазване на мерките за сигурност в съответствие с изискванията на глава втора от Регламент (ЕС) № 2018/389. В чл. 4, § 1 от Регламент (ЕС) № 2018/389, представляващ пряко приложимо вторично право на ЕС (арг. чл. 288 ДФЕС), е изяснено, че когато доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на клиента в съответствие с член 97, параграф 1 от Директива (ЕС) 2015/2366, установяването на идентичността се основава на два или повече елемента, категоризирани като знание, притежание и принадлежност, и води до генерирането на код за установяване на идентичността. Кодът за установяване на идентичността се приема само веднъж от доставчика на платежни услуги, когато платецът използва кода, за да получи достъп до своята платежна сметка онлайн, да инициира електронна платежна операция или да извършва каквото и да било действие дистанционно, което би могло да е свързано с риск от измама при плащането или други злоупотреби. Според съображение № 1 от преамбюла на Регламента, платежните услуги, предлагани по електронен път, следва да се извършват по сигурен начин посредством технологии, които могат да гарантират безопасно установяване на идентичността на ползвателя и възможно най-голямо ограничаване на риска от измами. Процедурата за установяване на идентичността следва по принцип да включва механизми за мониторинг на операциите с цел откриване на опитите за използване на персонализираните средства за сигурност на ползвателя на платежни услуги, които са били изгубени, откраднати или незаконно присвоени, и следва също така да гарантира, че ползвателят на платежни услуги е законният ползвател, който чрез нормално използване на персонализирани средства за сигурност дава съгласие за прехвърляне на финансови средства и достъп до своята информация за сметка. Освен това е необходимо да се уточнят изискванията за задълбочено установяване на идентичността на клиента, които следва да бъдат прилагани всеки път, когато платецът получава достъп до своята платежна сметка онлайн, инициира електронна платежна операция или извършва дистанционно действие, което би могло да е свързано с риск от измама при плащането или други злоупотреби, като се изисква генерирането на код за удостоверяване на идентичността, който да е устойчив срещу риск от цялостно подправяне, или чрез оповестяване на някой от елементите, въз основа на които е генериран кодът. Следва да се отбележи, че тълкуването на закона в това число и регламента, че самите "защити", т. е. име, номер на банкова карта, срок на валидност, СУС код, не могат да се вземат предвид при установяването на задълбочената самоличност. Същите не представляват фактор за последната съобразно изискванията на закона и регламента. Тоест дали при извършените транзакции ищецът е въвел номер на карта, име и СУС код принципно е ирелевантно, за да се направи еднозначен извод за това, че ответникът е спазил изискванията на чл. 100 ЗПУПС и чл. 4 от Регламента. Предвид всичко изложено съдът намира, че няма основание за освобождаване на ответната банка от обективната и безвиновна отговорност, произтичаща от нормата на чл. 79 ЗПУПС, тъй като не се установява неизпълнение, поради умисъл или груба небрежност от страна на ищцата на задълженията й да предприеме всички разумни действия по съхраняване на персонализираните защитни характеристики на платежния инструмент за интернет банкиране. С оглед изход на настоящото производство, следва да се произнесе относно сторените в делото разноски. Настоящото производство е с фактическа и правна сложност, с множество извършени процесуални действия и специфична материя, като пълномощника и ищцата се явяват лично в о.с.з., поради което съдът следва да уважи възнаграждението за адвокат в пълен размер. По тези съображение следва да ответната банка да заплати на ищцата сторените разноски за държавна такса - 69,60 лв. и депозит за вещи лица 1212 лева и адвокатски хонорар в размер на 3160 лева с включен ДДС. Водим от горното, съдът