Шахраї викрали 43 тисячі гривень через "Приват24": Верховний Суд роз'яснив, чому відповідальність за втрати лежить на клієнті - sud.ua

Питання відповідальності банку та клієнта за несанкціоновані платіжні операції продовжує формуватися у практиці Верховного Суду. "Судово-юридична газета" стежить за розвитком судової практики у цій категорії спорів, оскільки висновки ВС мають значення для визначення того, коли збитки від шахрайських операцій має відшкодовувати банк, а коли ризик їх настання покладається на самого клієнта.

Зокрема, варто зазначити, що у справі № 727/48/24 Верховний Суд постановив, що банк зобов'язаний повернути клієнтці 40 тисяч євро, які були зняті з рахунку після того, як зловмисники отримали доступ до її "Приват24" і розірвали депозитний контракт.

Замість цього, у справі № 127/33187/23, розглянутій Верховним Судом 24 вересня 2026 року, було зроблено інший висновок, зважаючи на обставини, встановлені судами, які свідчили про дії клієнтки, що сприяли отриманню інформації третіми особами для ініціювання спірних платіжних операцій.

У цій справі Верховний Суд розглянув питання про розподіл відповідальності за шахрайські транзакції та визначив, які обставини мають значення для покладення ризику збитків на користувача платіжного засобу. Розберемо детальніше.

Обставини справи

У 2018 році клієнтка звернулася до АТ КБ "ПриватБанк" для отримання фінансових послуг і отримала карту "Для виплат". У листопаді 2020 року їй було відкрито картковий рахунок, а також видано кредитну картку "Універсальна".

16 березня 2022 року з картки "Універсальна" було знято суми 370,38 грн, 11 000 грн і 29 000 грн, а також з картки "Для виплат" — 1 708,50 грн. Клієнтка запевняла, що не виконувала ці транзакції і не давала згоду на їх проведення.

У той же день жінка зателефонувала до банку та повідомила про випадок шахрайства. З документів справи стало відомо, що перед тим, як з її рахунку були зняті кошти, вона натиснула на посилання в SMS, яке стосувалося нібито отримання фінансової допомоги на суму 6 500 грн. Після переходу на підроблений сайт вона ввела пароль від свого облікового запису.

Відповідно до висновків службової перевірки, банк з'ясував, що шахраї змогли авторизуватися в системі "Приват24", отримавши реквізити карток та здійснивши сумнівні транзакції. При цьому не було проведено перевипуску SIM-картки клієнтки, а також авторизації в "Приват24" з відновленням пароля.

Щодо оспорюваних транзакцій, банк з'ясував, що вони були здійснені через зовнішній еквайринг, при цьому номери карток, терміни їх дії та коди для онлайн-платежів вводилися вручну з використанням послуг сторонніх фінансових установ.

Одночасно правоохоронці ініціювали кримінальне провадження у справі шахрайства. На 23 жовтня 2023 року досудове розслідування все ще тривало, і жодній особі не було пред'явлено підозру.

Раніше між цими сторонами вже існував конфлікт, пов'язаний із поверненням коштів та анулюванням нарахованих сум за кредитом. У справі № 724/1709/22 Чернівецький апеляційний суд ухвалив рішення 12 червня 2023 року, в якому, зокрема, зазначено, що списанню коштів сприяло розкриття клієнткою конфіденційної інформації після того, як вона перейшла за фішинговим посиланням.

У жовтні 2023 року клієнтка звернулася з новим позовом до банку, вимагаючи визнати спірні транзакції нечинними, повернути 41 970,38 грн та 1 708,50 грн на відповідні рахунки, а також скасувати нараховані відсотки і штрафні санкції.

29 жовтня 2024 року Вінницький міський суд Вінницької області ухвалив рішення про відмову в позові. Суд зазначив, що дії позивачки призвели до незаконного використання інформації, що дозволило провести платіжні операції. Апеляційний суд, розглянувши справу 16 січня 2025 року, підтвердив рішення першої інстанції.

У касаційній скарзі заявниця зазначила, зокрема, що фінансова установа порушила процедуру підвищеної автентифікації, а оскаржувані транзакції були здійснені з нового пристрою дистанційно без дотримання вимог щодо посиленої автентифікації.

Позиція Вищого Суду

Верховний Суд акцентував увагу на нормі статті 1073 Цивільного кодексу України, згідно з якою, у випадку безпідставного списання коштів з рахунку клієнта, банк зобов'язаний невідкладно, після виявлення даного порушення, зарахувати відповідну суму назад на рахунок клієнта або на рахунок уповноваженого отримувача. Крім того, банк має здійснити виплату відсотків та компенсувати завдані збитки, якщо інше не передбачено законодавством.

Водночас Суд навів положення законодавства, яке визначало відповідальність користувача спеціального платіжного засобу.

ВС зазначив, що користувач не несе відповідальності за проведення платіжних транзакцій, якщо електронний платіжний інструмент був використаний без його фізичної присутності та/або електронної ідентифікації цього інструмента і його власника. Виключенням є ситуації, коли доведено, що дії або бездіяльність користувача призвели до втрати або незаконного використання персонального ідентифікаційного номера (ПІН) чи іншої інформації, що дозволяє ініціювати платіжні операції.

Суд зазначив, що лише наявність обставин, які безспірно доводять, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції, є підставою для його притягнення до цивільно-правової відповідальності.

ВС підкреслив, що користувач не несе відповідальності за виконання платіжних транзакцій, якщо не буде надано доказів його причетності до втрати або несанкціонованого використання ПІН-коду чи іншої інформації, що дозволяє запускати платіжні операції.

Суд також взяв до уваги норми частини четвертої статті 82 Цивільного процесуального кодексу України, згідно з якими факти, визнавані рішенням суду у цивільній справі, що стало остаточним, не потребують доказування під час розгляду іншої справи, в якій беруть участь ті ж самі особи або особа, стосовно якої були встановлені ці факти, якщо інше не передбачено законодавством.

У той же час Верховний суд зазначив, що позивачка своїми вчинками сприяла розкриттю облікових даних, а також дозволила третім особам здійснити вхід до Приват24 з іншого пристрою, відкривши доступ до своїх банківських рахунків. При цьому банк проводив авторизацію користувача за допомогою посиленої аутентифікації "3D Secure".

Враховуючи наведені обставини, суд першої інстанції, з яким погодився апеляційний суд, поклав на клієнтку відповідальність за можливі втрати, пов'язані з використанням її електронних платіжних засобів.

Суд зазначив, що аргументи касаційної скарги не спростовують висновків судів першої та апеляційної інстанцій, а зводяться до незгоди заявника з ухваленими у справі судовими рішенням та необхідності переоцінки доказів у справі.

Отже, Верховний Суд відхилив касаційну скаргу, а ухвали, які були прийняті раніше, залишилися в силі.

У даній справі Верховний Суд дійшов висновку, що користувач платіжного засобу в загальному випадку не несе відповідальності за несанкціоновані транзакції, якщо не доведено його участі у втраті або неправомірному використанні даних, що потрібні для здійснення платежу.

У той же час, якщо ці обставини безумовно доведені, відповідальність за можливі збитки від відповідних дій може лягти на самого користувача.

У даній справі Суд взяв до уваги раніше встановлені факти, що стосуються переходу клієнтки за фішинговим посиланням, розголошення її облікових даних та подальшого несанкціонованого доступу третіх осіб до її "Приват24". Також, зважаючи на те, що авторизація виконувалась за допомогою "3D Secure", Верховний Суд підтвердив позицію судів нижчих інстанцій, вказуючи на відсутність підстав для покладення відповідальності за збитки від оспорюваних операцій на банк.

Досліджуйте додаткову інформацію — що робити, якщо з вашої картки зникли гроші: п’ять кроків, які допоможуть вам захистити свої фінанси.

Підписуйтесь на наш Telegram-канал t.me/sudua та на Google Новини SUD.UA, а також на наш VIBER та WhatsApp, сторінку у Facebook, в Instagram та в Х, щоб бути в курсі найважливіших подій.