Как мошенник получил ЭП от имени организации, и как потом ее признавали недействительной

01 января 2024

Арбитражный суд г. Москвы в июле 2022 года рассмотрел дело № А40-271733/2021, в рамках которого «БМВ Банк» просил признать недействительным с момента создания сертификат ключа проверки электронной подписи, выданный удостоверяющим центром ООО «АйтиКом» человеку, который никогда не являлся ни работником, ни уполномоченным представителем банка.

Данная история произошла еще тогда, когда удостоверяющие центры (УЦ) выдавали усиленную квалифицированную электронную подпись (УКЭП) сотрудникам организаций, поэтому в УЦ надо было идентифицировать не только физлицо, явившееся за УКЭП, но и проверить подлинность заявления и доверенности, выданной организацией.

Как банк обнаружил проблему? Он предоставлял потребительские кредиты под залог транспортных средств. Такой залог должен регистрироваться в Реестре уведомлений о залоге движимого имущества, что банк и делал. Но при сверке на сайте https://www.reestr-zalogov.ru/ обнаружил, что 4 записи были удалены из Реестра по заявлению неизвестного ему физлица. Банк утратил право обращения взыскания на эти 4 автомобиля, что привело к убыткам. Согласно данным с сайта https://гибдд.рф/, заложенные транспортные средства после исключения сведений об их залоге из Реестра были неоднократно перепроданы, а с новых собственников банк уже ничего взять не мог.

Действия по исключению записей из Реестра совершались с использованием электронной подписи физического лица, выданной ООО «АйтиКом». Банк обратился к этому УЦ с заявлением об аннулировании сертификата ключа проверки УКЭП и о предоставлении документов. Сертификат был аннулирован, однако банк не получил от УЦ ни пояснений, ни документов, подтверждающих правомерность создания спорной УКЭП. Банк обратился в суд с требованием признать УКЭП недействительной уже с момента ее создания, а не только с момента аннуляции.

Сначала суды отказывались удовлетворить эти требования, но «на втором круге» в августе и октябре 2023 года судьи все-таки согласились с банком. Аргументы этой позиции нам интересны – главное, что УЦ допустил существенные недочеты при идентификации физлица, получающего УКЭП, и при проверке подлинности документов, по которым якобы менеджер по продажам банка должен был получить УКЭП:

копия доверенности от банка на получение УКЭП не содержала даты (что уже говорит о ее ничтожности, но УЦ это не смутило);
сертификат УКЭП выдавался в г. Кемерово, хотя при анализе выписки из ЕГРЮЛ сотрудник УЦ должен был увидеть, что в Кемерово у банка нет ни представительства, ни обособленного подразделения;
в заявлении от банка на изготовление УКЭП был указан адрес электронной почты банка с доменом, отличным от реального. Хотя на официальном сайте банка есть адрес электронной почты, на который УЦ мог направить скан доверенности для подтверждения или опровержения факта ее выдачи. Лицензированный УЦ должен был заметить эти нестыковки, но он этого не сделал;
в заявлении банка на выпуск УКЭП и в доверенности подпись руководителя банка и печать не являются подлинными. Хотя их образцы есть на сайте банка;
индентификация организации-заявителя могла быть сделана и по платежным документам, но оплата услуг была произведена все тем же физлицом, явившимся за УКЭП;
идентификация физлица тоже была проведена с нарушениями, например при фотографировании человек даже не снял свой головной убор, хотя идентификация во многом проводится за счет сличения формы ушных раковин и головы. Кроме того, сделанная фотография сильно отличается от фото в предъявленном паспорте.