Подделка электронной подписи: какие риски и как ее защитить

Почему первое лицо организации не должно кому-либо передавать свою эп

С 1 января 2022 года индивидуальные предприниматели (ИП), нотариусы и первые лица коммерческих организаций получают ЭП в ФНС России. Здесь представлен актуальный перечень налоговых инспекций, где выдаются электронные подписи.

Передача ЭП лицам, отличным от владельца, противоречит ст. 10 закона № 63-ФЗ. Несмотря на это, распространена практика, когда первые лица передают свои ЭП сотрудникам и даже налоговым представителям или бухгалтерам, работающим на аутсорсе.

Эти действия не наказуемы. Но наказываться могут последствия таких действий.

Что делать, если эцп украли

Если украли электронную подпись, действуйте по инструкции:

1. Отзовите сертификат в УЦ. То же самое необходимо сделать сразу же после увольнения сотрудника.

Процедура довольно проста: следует написать заявление на отзыв в тот центр, в котором оформляли сертификат ЭП. Если вы не оформляли электронную подпись, но узнали, что кто-то оформил ее за вас, проследите цифровой путь ЭП — найдите площадку, где использовали сертификат, и посмотрите, кто его выпустил. Обратитесь в этот удостоверяющий центр и отзовите ЭЦП.

Кроме того, запросите в УЦ копии документов, по которым оформляли ЭП, — они понадобятся для заявления в полицию.

2. Подайте заявление в полицию.

Укажите в нем, что мошенники использовали электронную подпись без моего ведома, предоставьте все копии подтверждающих документов. Если в полиции не возбуждают дело, обратитесь в прокуратуру или Минкомсвязь.

3. Обратитесь в суд для аннулирования сделки.

Если с помощью украденной ЭЦП совершили юридически значимые действия (подписали документы, договор, провели операцию с недвижимостью), подайте заявление в судебный орган для признания документов или сделки недействительными. По аналогии, обратитесь в ИФНС, если от имени организации подали недостоверную декларацию или иные сведения, зарегистрировали или ликвидировали компанию.

Для аннулирования декларации подайте заявление и корректировочный отчет. Для признания недействительными регистрационные действия узнайте по выписке из ЕГРЮЛ адрес фиктивной компании и отправьте в территориальную инспекцию заявление в произвольном виде.

Что такое эп, кэп и для чего они нужны

Электронная подпись (ЭП или ЭЦП) — это электронные данные в документе, которые заменяют собственноручную подпись. Больше всего возможностей у квалифицированной электронной подписи (КЭП). Предприниматели используют ее, чтобы отправлять отчетность в налоговую, участвовать в электронных торгах, получать госуслуги и вести электронный документооборот.

КЭП подтверждает, что документ подписан конкретным человеком и придает ему юридическую силу. Она также гарантирует, что в документ никто не вносил изменения после подписания.

КЭП выдают только удостоверяющие центры (УЦ), которые имеют аккредитацию Минкомсвязи. Например, ее можно получить в Удостоверяющем центре Контура или в Центре выдачи электронных подписей в Москве.  УЦ соблюдают правила безопасности — этого от них требует закон и госорганы, — удостоверяют личность будущего владельца ЭП, проверяют его документы через государственные базы. А в случае нарушений УЦ несут материальную ответственность.

В УЦ владелец электронной подписи получает файлы, из которых состоит электронная подпись: закрытый ключ, открытый ключ и сертификат. Файлы записываются на токен (устройство, похожее на флешку) или в память компьютера. С помощью закрытого ключа пользователь подписывает документы, а открытый ключ и сертификат позволяют убедиться, что подпись поставил конкретный человек.

Закрытый ключ ЭП доступен только владельцу, и он должен держать его в тайне — этого требует 63-ФЗ «Об электронной подписи» (п.1 ч.1 ст.10 63-ФЗ). Именно из-за того, что владельцы передают закрытый ключ другим людям, возникают злоупотребления электронной подписью.

У Артема было несколько продуктовых магазинов. Он не нарушал закон и вовремя закрывал кредиты. Однажды бизнесмену позвонили из банка, а потом звонок продублировали коллекторы. Они утверждали, что у компании миллионный долг. Артем не поверил и пошел проверять кредитные истории: свою и компании. Выяснилось, что долг существует.

Два месяца назад бывший бухгалтер Артема оформил на компанию микрозайм на 1,2 миллиона рублей, перевел деньги себе и уволился. Оформить займ бухгалтер смог с помощью электронной подписи директора — Артем сам отдал ЭП, чтобы избавиться от рутинного подписания бумаг.

Почему налоговый представитель не должен использовать эп первых лиц организаций

Нередки случаи, когда организация или ИП пользуются услугами налоговых представителей или бухгалтеров-аутсорсеров, просто передавая им USB-токен с ЭП первого лица. Налоговые же представители с одного компьютера отправляют в госорганы отчётность нескольких организаций, заверяя её ЭП разных первых лиц.

В чём здесь риск? К примеру, при сдаче налоговой отчётности ФНС России отслеживает IP- и MAC-адреса компьютеров, с которых она направляется. Налоговики могут сделать вывод, что разные компании и ИП, по сути, не связанные между собой, подконтрольны какому-то одному лицу. Ведь все они сдают отчётность от своего имени с одного компьютера.

Вдобавок такое использование ЭП — это признак фиктивного дробления бизнеса (см. п. 8 письма ФНС от 10.03.2021 № БВ-4-7/3060@, письмо ФНС от 31.10.2022 № ЕД-4-9/22123@, п. 11 письма ФНС от 13.07.2022 № ЕД-4-2/13650@).

Как обезопасить эп

Ни в 63-ФЗ, ни в других нормативах нет прямого ответа, в чем опасность электронной подписи, но как и у любого документа (цифрового инструмента), у ЭП высока вероятность ее незаконного использования. Если вы никогда не оформляли ЭЦП и не знаете, делали ли это за вас, проверьте действующие ЭП на портале Госуслуги.

Из практики понятно, чем опасна электронная подпись для физических лиц, — тем, что ее используют без ведома владельца для подписания бумаг, проведения сделок и регистрации юрлиц для незаконного обогащения. Если вы зарегистрированы на общественных площадках (Госуслугах, официальном сайте ФНС), периодически контролируйте раздел с действующими ЭЦП. К примеру, на Госуслугах доступна проверка последних действий, там отображается информация о подаче заявлений, регистрации компании или ИП. А на сайте ФНС, в личном кабинете налогоплательщика, проверяйте, не отправил ли кто-то отчет или обращение в ИФНС за вычетом вместо вас.

Вот как обезопасить электронную подпись физлицу:

1. Настройте в госресурсах уведомления на вход в систему через ЭП. Уведомления приходят в СМС-сообщениях и по электронной почте.
2. Не передавайте ЭП другим людям (в том числе сотрудникам), ограничьте доступ к закрытой части ключа третьим лицам.
3. Дополнительно защитите ПК с электронной подписью паролем, антивирусом. Обязательно установите пароль на токен или другой носитель ключевой информации с ЭЦП. Блокируйте компьютер или ноутбук, если уходите с рабочего места.
4. Не передавайте копии и сканы личных документов неизвестным и непроверенным контрагентам, не оставляйте информацию на подозрительных сайтах.
5. Отзовите ЭЦП уволенного сотрудника, если делали для него сертификат от организации.

Как обеспечить безопасность электронной подписи

Подделать саму ЭП нельзя. В ее основе лежат криптографические технологии, которые не поддаются взлому. Переживать о том, как защитить свою подпись от подделки, не нужно, потому что мошенники действуют примитивнее — они подделывают документы, чтобы незаконно получить ЭП, или крадут подпись.

Рекомендуем соблюдать правила безопасности, которые помогут избежать мошенничества с цифровой подписью:

1. Нельзя передавать ЭП другим людям. Бухгалтер, заместитель и другие сотрудники не должны иметь доступа к закрытому ключу подписи, потому что могут подписать документ самовольно. Тогда доказать, что подпись поставил не владелец, а постороннее лицо, будет почти невозможно.

2. Если увольняется сотрудник, у которого есть ЭП, сертификат подписи надо сразу отозвать. Иначе уволенный работник может списать деньги со счета компании или вообще ликвидировать организацию, если раньше у него были такие полномочия. Отлично, если кадровая служба ведет учет сертификатов сотрудников — так проще следить, кому и когда выдана ЭП.

3. Токен с подписью и компьютер, где она используется, должны быть защищены паролем. Иначе злоумышленник сможет воспользоваться чужой ЭП, если украдет токен или получит доступ к компьютеру.

4. Если ЭП хранится на компьютере, он должен быть защищен от вирусов. Подозрительный файл, который пришел на почту, лучше не открывать: он может оказаться шпионской программой, которая скопирует все файлы, в том числе электронную подпись.

5. Если нужно отойти от компьютера, его лучше блокировать. Это гарантирует, что никто не воспользуется подписью в отсутствие владельца.

6. Нельзя передавать сканы и реквизиты паспорта ненадежным фирмам или оставлять их на подозрительных сайтах. Если сканы попадут в руки мошенников, они могут получить по ним электронную подпись от чужого имени. Скорее всего, сотрудники удостоверяющего центра увидят подделку и сертификат не выдадут, но лучше не рисковать. Если паспорт пропадет, об этом нужно сразу сообщить в полицию — заявление станет аргументом, если потребуется доказать, что ЭП на документ поставили мошенники.

Электронная подпись не гарантирует защиту компании от мошенников и воров. Но она создает для них серьезное препятствие — завладеть чужой ЭП намного сложнее, чем подделать подпись и печать на бумаге. Кроме того, с электронной подписью шансы остановить преступников и вычислить их намного выше:

1. Если у вас пропала подпись, то ее можно и нужно сразу же отозвать — тогда злоумышленники не смогут ей воспользоваться. 

2. Проверить, что никто не выпустил на ваше имя электронную подпись, можно на портале Госуслуг — в личном кабинете в разделе «Настройки и безопасность» найдите вкладку «Электронная подпись». Госуслуги покажут, какие подписи были выпущены на вас, когда и каким удостоверяющим центром. Если увидите электронную подпись, которую не получали, обратитесь в техподдержку портала и в УЦ, который указан в этой подписи. УЦ по вашему заявлению отзовет сертификат подписи, и тогда ей больше никто не сможет воспользоваться. 

3. Если мошенник все-таки смог без вашего ведома получить электронную подпись на ваше имя, то найти его будет проще, чем того, кто подделывает рукописные подписи. Ведь из сертификата электронной подписи можно узнать, кто, когда и в каком УЦ его получил. Также все удостоверяющие центры хранят копии документов, по которым выдавалась подпись, а некоторые — при выдаче сертификата делают фото будущего владельца ЭП с паспортом. Благодаря таким зацепкам, правоохранителям будет проще поймать мошенников.

Получите подпись в УЦ Контура — это надежно и безопасно. Мы работаем на рынке больше 17 лет и выдаем сертификаты подписей, соблюдая все меры безопасности, имеем аккредитацию Минкомсвязи и необходимые лицензии ФСБ России.

Как происходит мошенничество с электронной подписью

Злоумышленники могут завладеть ЭП по-разному. Первый вариант — умышленно получить подпись другого лица. Мошенники могут украсть закрытый ключ, который хранится на токене. Или владелец может оставить подпись в общественном месте или потерять. Бывает и так, что компания забывает отозвать ЭП у уволенного сотрудника: он покупает товар от имени фирмы и скрывается, оставив долг. Нужно знать, как отозвать подпись и делать это сразу после увольнения, даже если работник пользовался полным доверием.

Есть и другой вариант. Владелец может сам отдать подпись постороннему лицу, чтобы снять с себя часть нагрузки. Так было с Артемом из нашего примера: он не знал, как обезопасить себя от мошенничества, поэтому передал ЭП бухгалтеру, а потом получил миллионный долг.

Как сотрудник организации должен применять эп

Напомним, что каждый руководитель или сотрудник отвечает за свои действия и использует только свою подпись.

Первые лица организаций подписывают электронные документы лично — полученной в ФНС электронной подписью.

Сотрудники организаций заверяют электронные документы сами — своей ЭП, оформленной в коммерческом удостоверяющем центре на основании доверенности от первого лица организации на получение такой ЭП.

Налоговый представитель или бухгалтер на аутсорсе заверяют отчётность исключительно собственными ЭП. Для этого заранее от первого лица организации-доверителя на налогового представителя/бухфирму оформляется доверенность по правилам госоргана, куда представляется отчётность.

Снизьте риски при получении в налоговой ЭП на первое лицо — воспользуйтесь услугой «Подготовка к получению ЭП в ФНС». 15 % скидка на ЭП для ваших сотрудников при заказе данной услуги.

Какая ответственность за подделку и незаконное использование эп

Отдельной уголовной статьи за то, что подделали электронную подпись, нет. Но в Уголовном кодексе РФ есть другая статья — 327 «Подделка, изготовление или оборот поддельных документов». По этой ст. 327 наказывают ограничением свободы на срок до двух лет за подделку подписи в официальных документах — предоставляющих права или освобождающих от обязанностей (ч. 1 ст. 327 УК РФ). По логике 63-ФЗ, ЭЦП является аналогом рукописной, но в цифровом формате.

Следовательно, уголовное наказание за мошенничество с бумажными регистрами распространяется и на электронные документы.

Какие эп необходимо оформлять сотрудникам

В течение 2022 года сотрудники организаций оформляют ЭП в коммерческих удостоверяющих центрах. Для оформления такой ЭП сотруднику нужны паспорт, СНИЛС и ИНН, а также доверенность от первого лица организации-работодателя на получение подписи.

С 2023 года сотрудники будут получать ЭП физического лица в коммерческих удостоверяющих центрах.

Получите ЭП для сотрудников в удостоверяющем центре «Такском»

Для использования такой ЭП в личных целях никаких дополнительных документов не нужно. А для применения по служебной необходимости потребуется электронная машиночитаемая доверенность, заверенная ЭП первого лица организации-работодателя.

Личная защита

Обезопасить от таких преступлений могут не только новые поправки, но и внимательность самих  граждан. Во-первых, нужно бережно хранить документы с персональными данными и не передавать их посторонним. Во-вторых, обратиться в налоговую с заявлением о запрете регистрировать юридические лица на свое имя без личного присутствия.

Внимательно нужно относиться и ко всем электронным платежам: ограничить их суммы и подключить СМС-информирование обо всех операциях по счету. Кроме того, получать ЭЦП лучше в крупных удостоверяющих центрах, которые имеют положительную репутацию. Управляющий партнер АБ «Павел Хлюстов и партнеры» Павел Хлюстов советует постоянно проверять сведения из реестров, в которых зарегистрированы права на имущество.

Если без вашего ведома все же провели какую-то операцию с помощью электронной подписи, то на практике это можно доказать с помощью интернет-трафика. Он покажет, что в конкретный день и час пользователь не выходил в сеть со своего устройства, которое обычно использует для проведения таких операций, говорит Новиков.

А главное – чтобы уменьшить число подобных махинаций, надо совершенствовать законодательство, констатирует управляющий партнер Федеральный рейтинг.группаСемейное и наследственное правогруппаТрудовое и миграционное право (включая споры)группаУголовное право Дмитрий Солдаткин.

Он считает необходимым установить требование об обязательном личном присутствии заявителя или его представителя при оформлении ЭЦП. Пока же ирония заключается в том, что использование электронной подписи настолько же упрощает жизнь, насколько усложняет процесс доказывания того факта, что отчуждение имущества совершил не ее владелец, резюмирует Виктор Ушакевич из Региональный рейтинг..

Можно ли передавать личную эцп другому человеку?

Все вопросы, связанные с ЭЦП регулируются Федеральным законом «Об электронной подписи» от 06.04.2022 № 63-ФЗ. Но в нем нет, ни прямого разрешения, ни запрета на передачу носителя с подписью другому лицу. Указано лишь то, что использование подписи без согласия ее владельца считается незаконным (ст. 10 закона № 63-ФЗ).

Таким образом, есть два мнения о возможности передачи ЭЦП другому лицу. Некоторые представители Минкомсвязи и ФНС говорят о том, что такую подпись можно передавать лицу, которому предаются полномочия владельца электронной подписи. Например, когда на время отпуска директора или главного бухгалтера их обязанности возлагаются на другое лицо, и которому предоставляется право подписи соответствующих документов.

С другой стороны, нарушается основное назначение ЭЦП – идентифицировать конкретное лицо, которое подписало электронный документ.

Если владелец ЭЦП все же решается передать ее другому лицу, то необходимо оформить все документы (приказ, акт приема-передачи), в противном случае вся ответственность ляжет на владельца ЭЦП.

Ответственность за использование чужой эцп

На данный момент ни в одном из сводов законодательства нет статьи, которая бы предусматривала наказание именно за несанкционированное использование ЭЦП, но это не значит, что лицо, совершившее данное правонарушение останется безнаказанным. К нему будут применены соответствующие статьи УК РФ и КоАП.

Рассмотрим несколько примеров.

Потерять квартиру или стать собственником «однодневки»

Получить такую подпись можно в одном из 500 удостоверяющих центров. В некоторых организациях процедуру проведут через интернет без личного присутствия. Как выяснило издание 47News, оформить ЭЦП на другого человека очень просто.

Если известны СНИЛС и данные паспорта, то достаточно нескольких тысяч рублей и фотошопа. Журналист Юлия Гильмшина приобрела подпись за генерального директора издания. Третья фирма, куда она обратилась, пошла навстречу сотруднику, чей шеф «не хочет заниматься бюрократией». В итоге журналисту выдали ЭЦП на человека, который сам никуда не обращался и по легенде ничего не знал.

Подобные ситуации оказались возможны из-за пробела в законодательстве, объясняет Никита Роженцов из Федеральный рейтинг.группаСанкционное правогруппаУголовное правогруппаГЧП/Инфраструктурные проектыПрофайл компании:

«Удостоверяющий центр обязан установить личность получателя сертификата, но способ такой процедуры не регламентирован». Эта правовая неопределенность не позволяет однозначно определить, кто именно обращался в аккредитованную компанию за подписью – реальный владелец паспорта или злоумышленник с украденной ксерокопией.

О смене собственника пострадавший узнал лишь после того, как получил очередную квитанцию с неизвестной фамилией. Теперь Салтовский возвращает квартиру в судебном порядке, он требует признать спорный договор дарения недействительной сделкой (дело № 02-3237/2022).

Параллельно полиция ищет злоумышленников, которые провернули такое мошенничество. С помощью таких схем на гражданина могут зарегистрировать и целые компании. На Павла Зимакова и его супругу оформили три фирмы в разных российских регионах, а также взяли кредиты в микрофинансовых организациях. В этом деле сейчас тоже разбираются сотрудники правоохранительных органов.

Правомерна ли передача электронной подписи третьим лицам? – электронный экспресс

Пример 1

Бухгалтер самовольно воспользовался подписью руководителя и через программу Клиент – Банк списал со счета организации некоторую сумму в свою пользу. В данном случае против бухгалтера может быть возбуждено уголовное дело по факту хищения, степень наказания будет зависеть от украденной денежной суммы.

Пример 2

Директор предприятия подписал контракт по Госзакупкам электронной подписью своего предшественника (с его ведома) за отсутствием своей собственной. В этом случае, в зависимости от последствий, в отношении директора может быть возбуждено уголовное дело о мошенничестве, либо контракт может быть расторгнут, а организация занесена в реестр недобросовестных.

Пример 3

В связи с большим объемом платежных поручений, которые ежедневно оформляет бухгалтерия фирмы, для ускорения процесса их подписания и отправки директор передал бухгалтеру свою ЭЦП. Поскольку все платежи согласовываются с директором заранее, а позднее им же контролируется оплата, никаких отрицательных последствий, следовательно, и ответственности, это не повлекло, а лишь оптимизировало работу. Но конечно, в подобных ситуациях всегда есть риск, зависящий от степени добросовестности сотрудников.

Ответственность за использование чужой ЭЦП зависит от последствий, которые повлекло это действие. В первую очередь, ответственность ложится на ее владельца, если он не докажет иное.

Продажа квартиры, подача декларации в фнс и другие риски использования сертификата эп

Использование чужой ЭЦП по значимости сравнимо с использованием чужого паспорта. Она подтверждает личность человека и дает право совершать юридически значимые действия. Если ЭП попадет в руки злоумышленников, они смогут выдать себя за другое лицо и заключить сделку. Например:

• оформить кредит на компанию;
• вывести деньги из фирмы, а потом ликвидировать ее;
• подать в налоговую поддельные декларации с баснословными суммами, чтобы получить возмещение НДС в размере нескольких миллионов;
• продать чужую квартиру или офис. Сейчас этот сценарий невозможен для физических лиц — в августе 2022 года Росреестр ужесточил правила онлайн-сделок с физлицами, поэтому перед сделкой нужно получить согласие собственника на сделки с недвижимостью с использованием ЭП.

Профилактика от законодателя

Есть две основные причины, из-за которых происходят подобные преступления, считает Сердюк. Во-первых, недостаточная идентификация работниками удостоверяющих центров своих клиентов и безответственное отношение самих держателей ЭЦП к «ключам». С первой проблемой уже ведет борьбу законодатель.

В конце июля Госдума приняла закон, по которому собственнику жилья надо будет обратиться в Росреестр и лично одобрить переход права на квартиру в электронной форме (либо нотариальное заявление по почте). Тогда регистрирующий орган внесёт в реестр специальную отметку.

Но руководитель практики «Недвижимость. Земля. Строительство» Федеральный рейтинг.группаАрбитражное судопроизводство (средние и малые споры – mid market)группаКомплаенсгруппаКорпоративное право/Слияния и поглощения (mid market)группаМеждународный арбитражгруппаРазрешение споров в судах общей юрисдикциигруппаТрудовое и миграционное право (включая споры)группаАнтимонопольное право (включая споры)группаБанкротство (включая споры) (mid market)группаИнтеллектуальная собственность (Консалтинг)группаИнтеллектуальная собственность (Регистрация)группаСемейное и наследственное правогруппаТМТ (телекоммуникации, медиа и технологии)группаЗемельное право/Коммерческая недвижимость/СтроительствогруппаИнтеллектуальная собственность (Защита прав и судебные споры)группаУголовное правоПрофайл компании Сергей Попов полагает, что эти поправки не смогут серьезно помешать похитителям квартир:

«Чтобы получить электронную подпись, надо пройти проверку личности получателя, то есть без подлога на этом этапе мошенникам также не обойтись. Что создает закон? Лишь один новый этап для подлога и мошенничества». Если у преступников хватает изобретательности получить электронную подпись собственника, то они могут подать в Росреестр и уведомление о возможности регистрации с помощью ЭЦП, предупреждает Попов.

Еще одна законодательная инициатива устанавливает требования к порядку аккредитации и деятельности удостоверяющих центров (УЦ). Для них хотят установить минимальный размер уставного капитала не менее 1 млрд руб., а если филиалы есть не менее чем в трех четвертях субъектов России, то 500 млн руб.

Кроме того, такие компании должны иметь высокий порог страховой ответственности своей деятельности. Срок аккредитации центра сократится до трех лет. При этом юридическим лицам электронные подписи будет выдавать УЦ Федеральной налоговой службы, а кредитным организациям – УЦ Центробанка.

Чем опасна передача эп другим лицам?

1. Даже если электронный документ фактически заверяет с помощью ЭП кто-то кроме её владельца, то ответственность за такие действия, включая уголовную, несёт именно владелец ЭП.

Например, сотрудник фирмы с помощью ЭП руководителя представил в ФНС некорректную отчётность, что стало причиной неполной уплаты суммы налога или нарушения по налоговому вычету. Такие действия могут повлечь судебное разбирательство и ответственность по ст. 122 Налогового кодекса РФ.

2. Недобросовестный сотрудник с помощью ЭП первого лица компании может совершить мошеннические действия с деньгами или активами организации.

3. Компрометация ЭП потенциально влечёт её отзыв по инициативе налоговых органов (пп. 1 п. 6.1 ст. 14 закона № 63-ФЗ). Электронные документы, подписанные скомпрометированной ЭП, могут быть признанными недействительными.