У меня «угнали» электронную подпись и списали деньги. Что делать?

Что такое эп

Усиленная подпись использует средства шифрования, которые сертифицированы ФСБ. Она позволяет определить лицо, которое подписало документ, и установить, что в документ вносились изменения после подписания. Бывает двух видов — усиленная неквалифицированная и усиленная квалифицированная электронная подпись. Больше всего полномочий — у квалифицированной.

Утверждается, что подделать усиленную подпись невозможно. Так это или не так — достоверно не известно, но информации о подделке таких подписей в открытых источниках мне найти не удалось.

Выдать ЭП может удостоверяющий центр, у которого есть аккредитация в Министерстве цифрового развития, связи и массовых коммуникаций РФ.

Как мошенники могут получить электронную подпись и что могут с ней сделать

С электронной подписью физлица мошенники могут подписать любые документы от имени владельца подписи, похитить квартиру или оформить микрозайм, перечисляет Казаков.

Завладев электронной подписью юрлица, злоумышленники могут возместить НДС организации, получить микрозайм, ликвидировать компанию или вывести из неё средства.

«Чаще всего электронные подписи юрлица в корыстных целях используют бухгалтеры или бывшие сотрудники, чьи служебные подписи экс-работодатель не успел вовремя отозвать», — указывает Казаков.

По его словам, мошенники могут получить электронную подпись двумя способами:

Кроме этого, злоумышленники могут похитить носитель с электронной подписью — флешку, предупреждает Сергейчук из юрфирмы «Клифф».

Что делает правительство

Выдачей электронных подписей физическим и юридическим лицам занимаются коммерческие удостоверяющие центры (УЦ). Сейчас в реестре Минкомсвязи 493 УЦ, из них 403 с актуальной аккредитацией.

Осенью 2021 года Госдума приступит к рассмотрению законопроекта, который должен ужесточить правила выдачи электронных подписей. Цель поправок — повышение качества работы УЦ и сокращение вероятности мошенничества с электронными подписями, написано в пояснительной записке.

Также законопроект вводит институт доверенных третьих сторон — это организации, которые будут проверять электронные подписи в документах. Аккредитацией таких организаций займётся Минкомсвязи.

Законопроект также ужесточает правила получения электронных подписей юрлицами. Квалифицированные электронные подписи (КЭП) юрлицам сможет выдавать только удостоверяющий центр ФНС, а кредитным организациям — удостоверяющий центр ЦБ.

Электронные подписи физлицам продолжат выдавать коммерческие удостоверяющие центры, но законопроект ужесточает требования и к ним: их обяжут иметь капитал не менее 1 млрд рублей или не менее 500 млн рублей, если у центра есть филиалы минимум в трёх четвертях регионов.

ФНС объясняет необходимость ужесточения правил многочисленными нарушениям: с начала 2021 года по второй квартал 2021 года налоговая служба зафиксировала больше 43 тысяч случаев неправомерного использования КЭП, рассказывал представитель ведомства «Ведомостям».

Самое распространённое нарушение — выдача КЭП по фиктивным документам для регистрации юрлиц и ИП.

Что такое электронно-цифровая подпись?

Электронная цифровая подпись (ЭЦП) – это средство идентификации человека, использующего программный продукт. Существует несколько ее видов.

Простой ЭЦП часто пользуются в повседневной жизни. Это одноразовый код из букв, цифр или их комбинации. Такая ЭЦП необходима, к примеру, при подтверждении платежа с банковской карты: для успешного завершения транзакции нужно ввести код, который поступает на номер телефона, привязанный к банковской карточке. Еще один пример использования простой ЭЦП – введение PIN-кода при безналичном расчете в магазине.

Что делать в случае незаконного оформления займа мошенниками?

В первую очередь необходимо обратиться в полицию. Лучше подать заявление в региональное управление с просьбой поручить расследование отделу по борьбе с компьютерными преступлениями.

Далее необходимо направить уведомление в кредитную организацию, выдавшую заем. В нем нужно сообщить о краже ваших персональных данных и ЭЦП. К уведомлению следует приложить копию заявления в полицию.

Если кредитор требует с вас возврата денег – обратитесь в суд с заявлением о признании договора займа незаключенным.

Что помешает аферистам взять кредит на ваше имя или отобрать недвижимость.

Мошенники нередко используют электронную подпись, чтобы оформить заем на чужое имя или сменить собственника недвижимости без его ведома.

От отъема мошенниками недвижимого имущества владельца защитит новый закон, но, чтобы не пришлось выплачивать незаконно оформленный кредит, придется соблюдать правила «цифровой гигиены».

Что делать, если вы стали жертвой махинаций с эп:

Советы подготовлены на основе рекомендаций СКБ «Контур», юрфирмы «Клифф» и пользователя «Хабра» PaulZi, столкнувшегося с такой проблемой.

#электроннаяподпись

Что делать, если недвижимость перешла в чужую собственность?

Если мошенническое отчуждение недвижимости все же произошло, необходимо обратиться в Росреестр и узнать, когда это случилось и на кого оформлено имущество.

После этого следует обратиться в суд с заявлением о признании сделки недействительной. Нужно будет обратить внимание суда на то, что кроме ЭЦП нет доказательств, подтверждающих намерение отдать недвижимость иным лицам и ваше с ними знакомство.

Пригодятся сведения о вашем фактическом проживании с семьей в якобы отчужденном жилом помещении, о проведении вами строительных работ и обустройстве нежилого помещения в период мошеннических действий и т.п. Главное – доказать в суде, что у вас не было причин продавать недвижимость и на момент использования фиктивной ЭЦП вы относились к имуществу как к своему.

Варианты мошенничества с электронной подписью

Как добиться признания договора займа недействительным?

Это можно доказать, сославшись на то, что:

• номер телефона, на который пришел код ЭЦП, не принадлежит вам;
• денежные средства были перечислены на счет, который вы не оформляли;
• в онлайн-заявке на заем указаны неактуальные персональные данные (старые сведения о прописке, данные устаревшего паспорта).

Как защитить себя

Даже в такой ситуации можно защитить себя и свое имущество.

Запрашивать все удостоверяющие центры, выдавалась ли на ваше имя ЭП, бесполезно. Сейчас, когда я пишу эту статью, в России, по данным Минкомсвязи, действует 493 удостоверяющих центра. Этот список не окончательный: некоторые центры прекращают свою деятельность, появляются новые. Отправлять в них запросы технически сложно, тем более во все 493.

Информацию о сертификатах ЭП вносят в единый реестр. Закон разрешает запрашивать информацию из этого реестра, в том числе в электронном виде. Но в запросе нужно будет указать серийный номер сертификата. Если его не знаете, запрос сделать не получится.

Я вижу следующие способы защиты.

Зарегистрировать учетную запись на портале госуслуг и подключить к ней смс-уведомления и уведомления на электронную почту о проводимых операциях.

Регулярно отслеживать раздел «Последние действия» на госуслугах. Если кто-то зарегистрирует там полученную без вашего участия ЭП, это отобразится в списке операций. Также будет видно, к каким ресурсам обращался мошенник с использованием ЕСИА.

Если он заходил на сайт Росреестра, в налоговую или в загс, нужно обратиться туда с заявлением о приостановлении действий с использованием ЭП. В крайнем случае можно будет обратиться в суд и потребовать наложить судебный запрет до того, как сделку зарегистрируют.

Судебный запрет — это дело небыстрое, но, по крайней мере, будут доказательства, что вы пытались противостоять мошенникам. Кстати, если у вас будет собственная электронная подпись, можно попробовать отменить сделку, пока ее не зарегистрировали.

Как минимизировать риск использования эцп мошенниками?

ЭЦП является удобным способом заключения сделок и ведения бизнеса, позволяющим сэкономить огромное количество времени. Однако человек должен осознавать риски использования ЭЦП и соблюдать простые правила «цифровой гигиены», позволяющие снизить их до минимума.

• Не распространяйте свои персональные данные в Интернете на сомнительных сайтах, страницах соцсетей и т.п.
• Следите за соблюдением правил обработки персональных данных их операторами. Если прекращено сотрудничество с банком или иной организацией, которой были предоставлены копии паспорта, СНИЛС и иных документов, потребуйте удаления этой информации из базы данных.
• Периодически обновляйте пароли на онлайн-сервисах, которыми пользуетесь.
• Храните токен с ЭЦП при себе или в месте, доступ к которому есть только у вас.

Как мошенники используют эцп для оформления займов на чужое имя?

Они обманом получают доступ к личному кабинету клиента кредитной организации и привязывают к нему другой номер телефона.

Бывает, мошенники сами создают личный кабинет, используя незаконно полученные персональные данные человека. У многих онлайн-ростовщиков существует также процедура верификации при помощи страницы в соцсетях – в таких случаях предварительно взламывается эта страница.

Как мошенники оформляют сделки с недвижимостью при помощи эцп?

Для осуществления сделок с недвижимостью необходима усиленная квалифицированная ЭЦП. Обычно мошенники оформляют ее в удостоверяющих центрах, используя копии паспортов и СНИЛС, которые берут из открытых источников и взломанных баз данных банков.

Недобросовестные сотрудники удостоверяющих центров по невнимательности или сговорившись с мошенниками могут оформить ЭЦП на любого человека. Воспользовавшись ею, злоумышленник получает возможность подать заявление в Росреестр и переписать квартиру на нужных лиц.

Как от этого защититься?

Защиты во всех сферах, к сожалению, нет, т. к. с внедрением «электронного правительства» появляется всё больше мест, где можно осуществить операции с помощью ЭЦП. Но, в частности, защититься от регистрации юридических лиц по ЭЦП можно. Есть так называемая «38-я форма», а если быть точнее форма 38001, заполнив которую, можно запретить регистрацию юр. лиц, без личного присутствия.

К сожалению, налицо — законодательная дыра, которой пользуются мошенники, и пока не ужесточат контроль за выпуском ЭЦП, такие ситуации будут случаться только чаще.

Как получить эп

Я прошел процедуру и получил электронную подпись.

На сайте Минкомсвязи есть список аккредитованных удостоверяющих центров. Можно выбрать ближайший к дому. Регистрация на процедуру оформления не влияет — я получал ЭП в 400 километрах от города, где зарегистрирован.

Чтобы получить ЭП, при себе нужно иметь паспорт гражданина РФ и СНИЛС. Все оформляют за 15 минут: оператор вносит паспортные данные в систему, проверяет через общедоступные сервисы их подлинность и выдает ЭП. Внешне она выглядит как обычная флешка.

Стоит такая подпись 1400 рублей. Срок действия — год, потом нужно заплатить 600 рублей, чтобы ее продлить, или она перестанет работать.

Как проверить наличие «фейкового» займа?

Для этого вам достаточно зайти на сайт районного суда, расположенного по адресу регистрации, либо в банк исполнительных производств на сайте ФССП России. При неблагоприятном развитии событий после введения ваших Ф.И.О. появится информация о задолженности и лице, которое пытается ее взыскать.

Как с помощью простой эцп получить заем через интернет?

Нередко микрофинансовые организации и банки предоставляют клиентам возможность заключить договор займа посредством ЭЦП. Для этого достаточно зайти в личный кабинет, нажать на кнопку выдачи займа и ввести пришедший на мобильный телефон код.

Какие есть риски, если оформить эп

Пока произошла только одна сомнительная сделка с использованием ЭП. Поскольку в результате нее собственник потерял права на недвижимость, Росреестр решил подстраховаться и предложил гражданам не регистрировать сделки без их личного участия. Для этого нужно подать специальное заявление.

Но даже такой отказ не дает гарантий, что электронную подпись не смогут использовать в противоправных целях. Даже если наложить запрет на регистрацию сделок с собственностью без личного участия, юридическую силу электронной подписи это не отменяет. Да, с помощью нее уже нельзя будет подарить или продать квартиру, но на любом другом документе она будет равнозначна обычной подписи. И здесь возникнут уже другие риски.

А еще недобросовестный муж может подать документы через госуслуги на развод и подписать их электронными подписями — своей и жены. Причем супруга, возможно, узнает об этом только через несколько лет, когда выяснится, что совместно нажитого имущества у них нет, брак расторгнут уже давно по обоюдному согласию и делить нечего.

Криптографическая защита — это замечательно. Сертификат ФСБ, возможно, дает гарантии от подделки такой подписи. Но установка единого пин-кода для всех ЭП делает бесполезной любую криптографическую защиту.

Немного сухих фактов

1. Утекли старые сканы паспортов — везде фигурируют старые адреса прописки.
2. Скан паспорта жены в процессе переоформления хранился только в зелёном банке, и больше нигде не предоставлялся, а это значит, что утечка была либо через сотрудника этого банка, либо через человека снимавшего обременение в росреестре, либо через человека принимавшего документы в МФЦ.
3. Госпошлину за регистрацию ОООшек заплатил некий господин с нерусской фамилией.

Ситуация вторая: «это всё вирусы!»

Компания по производству пиломатериалов обратилась в суд с иском к банку, требуя вернуть 6,7 млн рублей, якобы незаконно списанных с расчётного счёта по платёжному поручению и переведённых в адрес одной IT-компании.

Стороны взаимодействовали через систему «клиент-банк» – в ней предполагалось осуществлять обмен документов в электронной форме, подписанными электронной подписью. По договору, электронные документы без ЭП клиента не имели юридической силы, банком не рассматривались и не исполнялись.

Система предусматривала формирование секретного ключа ЭП исключительно на стороне клиента. Единственным владельцем секретного ключа ЭП являлось лицо, его сформировавшее. В банке хранился только открытый ключ ЭП, который не мог быть использован для списания денег.

Получив платёжное поручение от клиента, банк его исполнил. Суд установил, что спорное платежное поручение было подписано ЭП, зарегистрированной на имя директора истца. Следовательно, ответственность за проведение указанного платежного поручения и списание денежных средств со счёта лежит на истце

Обнаружилось, что на жёстком диске предприятия имелось вредоносное программное обеспечение. Представитель истца этого не отрицал.

Наличие на жёстком диске клиента программ, предназначенных для несанкционированного доступа к конфиденциальной информации, свидетельствует о том, что клиентом не принято надлежащих мер к обеспечению безопасности используемого для проведения расчётов по системе «клиент-банк». Вместе с тем, в договоре на обслуживание клиента по банковской системе предусмотрена обязанность клиента хранить в секрете и не передавать третьим лицам пароль и дискету с секретным ключом ЭП клиента.

Из решения суда

В иске было отказано.

Когда компания не может обеспечить безопасное хранение секретного ключа – она сама «подписывает себе приговор». Сослаться на то, что банк или другой деловой партнёр не довёл информацию о возможных рисках при использовании услуг дистанционного обслуживания или электронной подписи – не получится.

Ситуация первая: «это не мы!»

Завод по производству стройматериалов обратился с иском к крупному банку, чтобы взыскать 1,4 млн рублей, якобы безосновательно списанных с расчётного счёта по платёжному поручению. К участию в деле в качестве третьего лица привлекли получателя денег – компанию-поставщика оборудования.

Завод пытался доказать, что операция была совершена вне места нахождения компьютера главного бухгалтера, а по номеру этого платёжного поручения должен был пройти платёж на другую сумму и другому контрагенту. Но банк проверил IP, с которого проводились платежи, и пришёл к выводу, что это было сделано с компьютера клиента.

Все манипуляции по распознаванию ЭП клиента происходят с помощью компьютерной программы, без участия сотрудника банка. Доказательств того, что ЭП, которой подписано спорное платежное поручение, является некорректной, материалы дела не содержат. При указанных обстоятельствах, перечисление денежных средств со счёата клиента на основании спорного платежного поручения, содержащего корректную ЭП, создание которой невозможно без знания закрытого ключа истца, осуществлено банком правомерно.

Из решения суда

В иске было отказано. Деньги завод себе не вернул.

Был ли здесь злой умысел какой-то из стороны сделки или случайность – оставлено за скобками. Суд отметил важное: использование электронной подписи проходит исключительно по причинам, связанным с поведением владельца подписи, если не доказано обратное.

Требовать в таких случаях что-то от банков или третьих лиц –  бессмысленно. Ни у кого не может возникнуть сомнения в том, что не нужно исполнять законно подписанное платёжное поручение.

Некоторые компании пытаются сослаться на взломы или вирусы, которые влияют на использование электронной подписи. Здесь следует быть осторожным: такой факт предстоит доказать, но даже это не гарантирует благосклонного отношения суда.

Ситуация третья: «ничего не знаем про подписи!»

Крупный фармацевтический дистрибьютор обратился в суд с иском против одной из региональных аптечных сетей с требованием взыскать 797 тысяч рублей за неоплаченные поставки. Суд первой инстанции отказал в удовлетворении требований, не увидев отчётов о подтверждении подлинности электронной подписи. Это было обжаловано в арбитраже.

Истец представил договор, в котором говорилось об условии использовать простую электронную подпись для подтверждения факта получения поставленного товара. Сам факт поставки товара и подписи был подтверждён одним из провайдеров ЭДО, о чём имелась отметка в представленных товарных накладных.

Дополнительным доказательством послужил сертификат открытого ключа на имя гендиректора ответчика, которым были подписаны все накладные. Де-юре ответчик соглашался с равнозначностью электронной подписи гендиректора собственноручной подписи владельца сертификата при подписании документов.

Суд принял сторону истца. Деньги за поставку удалось взыскать

Таких историй в судебной практике – масса. Когда какая-нибудь компания пренебрегает изначальными договорённостями со своими партнёрами и пытается представить электронную подпись как нечто необязательное или абстрактное, дело заканчивается неудачей. Если в результате этого затянуть оплату по счетам может быть и получится, то деловые отношения между сторонами будут безнадёжно испорчены.

Ситуация четвертая: «это нас взломали!»

Товарищество собственников жилья в одном из российских регионов обратилось в суд для взыскания с местного банка убытков, понесённых в результате якобы необоснованного списания 392 тысяч рублей с его расчётного счёта.

Банк подал кассационную жалобу, попросил отменить судебные акты и отказать в требованиях ТСЖ. По мнению банка, он надлежащим образом исполнил свои обязательства. Платёжное поручение было подписано электронной подписью, заявлений на смену реквизитов доступа банк не получал, а подделать ЭП без знания секретного ключа клиента практически невозможно. Банк настаивал, что вход неуполномоченных лиц в систему был осуществлён по вине истца.

У ТСЖ была другая версия. Как только оно обнаружило в системе подозрительные платежи, в банк направили письмо с просьбой принять меры к возврату денег. Было возбуждено уголовное дело и подключена служба безопасности банка. Сам банк выяснил, что платёжные получения оказались отправлены с других IP-адресов – не из региона, а из Москвы.

Однако после обнаружения несанкционированного списания денег со счёта клиента компьютер истца на предмет взлома не исследовался банком; каких-либо дополнительных средств защиты от незаконного проникновения банком не предпринималось и клиенту не предлагалось.

Ориентируясь на имеющиеся факты, суд установил, что банк всё же должен нести перед клиентом ответственность за последствия исполнения поручений, выданных неуполномоченными лицами. Ведь ранее информационная безопасность в ТСЖ всех устраивала.

Решение суда первой инстанции и постановление апелляционного суда оставлено в силе.

* * *

А теперь коротко. Что нужно знать:

• Безопасность в отношении электронной подписи лежит на самом владельце ЭП. Передавать электронную подпись сотрудникам бухгалтерии или другим лицам без надлежащего контроля за их действиями – неразумно;
• Электронная подпись должна храниться в недоступном для третьих лиц месте;
• Банк не несёт ответственности за списание средств, если электронный документ подписан корректной электронной подписью, да ещё из офиса клиента;
• Технические неполадки или взлом системы могут исключать недобросовестность при использовании электронной подписи. Но это потребуется убедительно доказать;
• При первом обнаружении «скомпрометированной» ЭП нужно обратиться в полицию и добиться возбуждения уголовного дела, а также предупредить банк и контрагентов, приостановить сделки;
• Для доказательства действительности ЭП следует представить в суде копии подписанных товарных накладных и отчёты о подтверждении подлинности электронной подписи со стороны провайдера электронного документооборота. А об использовании электронной подписи следует договориться с деловыми партнёрами заранее.

Для заглавной иллюстрации использован фрагмент репродукции картины Уильяма Хогарта «Суд».

Советы для физлиц:

Дополнительный совет для юрлиц: не забывать отзывать сертификат электронной подписи при увольнении сотрудника, который мог подписывать документы от имени компании.

У собственника действительно украли квартиру с помощью эп?

Такой факт действительно имел место. В октябре 2021 года была совершена сделка дарения квартиры между жителем Москвы и жителем Уфы. Дарственная подписывалась электронными подписями без участия нотариуса. После этого сделку зарегистрировали в Росреестре. Сами участники сделки утверждают, что ЭП никогда не получали.

Собственник квартиры в Москве узнал о потере собственности только в мае 2021 года: в квитанциях на оплату коммунальных услуг в графе «собственник» появилась новая фамилия.

Пресса делала много предположений, как именно это могло произойти. Но на сегодняшний день это только версии. По этой сделке возбудили уголовное дело, сейчас ведется следствие. Сотрудники полиции комментариев не дают — это обычная практика по таким делам.

Владелец московской квартиры обратился в суд с иском о признании сделки недействительной. Дело № 02-3237/2021 рассматривает Бабушкинский районный суд Москвы, а судебное заседание назначено на 25 июля 2021 года.

О перспективах пока говорить сложно, но, учитывая, что новый владелец квартиры на нее не претендует, сделку дарения могут отменить.