Alatau City Bank допускал кибернарушения, позволяя оформлять кредиты при удалённом доступе

В Костанайской области проходит судебное разбирательство вокруг онлайн-кредита, выданного в сентябре 2024 года через мобильное приложение Alatau City Bank (на тот момент Jusan Bank).

Согласно материалам дела, присланным на почту Exclusive.kz, мошенники получили удалённый доступ к телефону истца через программу WebkeyAndroidRemoteControl. В результате с мобильного устройства была выполнена регистрация в приложении банка, открыт новый счёт и оформлен кредит на 2,668 млн тенге, средства которого позже были обналичены в Словакии.

В июле суд первой инстанции признал договор оформления кредита недействительным. Среди обстоятельств, на которые он сослался, – отсутствие в банке обязательного механизма блокировки мобильного приложения при обнаружении удалённого управления. Нарушение подпункта 2 пункта 160 Постановления №48 Национального Банка было выявлено регулятором ещё в мае 2024 года, а устранено только в январе 2025 года.

Костанайский городской суд указал также на несрабатывание антифрод-системы: геолокация телефона показывала «Костанай», тогда как снятие наличных происходило за пределами Республики Казахстан. Кроме того, банк зарегистрировал инцидент в антифрод-центре Национального Банка лишь спустя семь дней после происшествия, тогда как он обязан сделать это в течение трёх рабочих дней. Примечательно, что другой банк, в который обращались мошенники через взломанное устройство, при этом, смог выявить подозрительную операцию и потому отказал в займе.

В деле приведены и технические заключения: специалист подтвердил установку программы удалённого доступа непосредственно перед оформлением кредита, с полной возможностью дистанционного управления устройством, включая подтверждение операций и подписание документов. Эти обстоятельства, по оценке суда, исключали возможность выражения клиенткой собственной воли на заключение договора.

Тем не менее, Alatau City Bank с решением об обнулении договора займа не согласился. В итоге в октябре апелляционная инстанция отменила данное решение. Cудебной коллегии по гражданским делам Костанайского областного суда банк заявил о неправильном применении норм материального права. Апелляция отметила, что онлайн-кредит был оформлен в мобильном приложении после прохождения идентификации. В постановлении утверждается, что истец сама проходила биометрическую идентификацию при регистрации в приложении и каких-либо нарушений самой процедуры оформления договора не было установлено.

Коллегия указала, что истец сама передала свои данные третьим лицам, и это признано «проявлением неосмотрительности». Апелляция сослалась на нормы о том, что сделка может быть признана недействительной в случаях, когда неправомерные действия совершает другая сторона сделки, – а в данном деле, по мнению коллегии, банк таких действий не совершал. Поэтому оснований для признания договора недействительным апелляционная коллегия не увидела.

Отметим, что при этом в постановлении апелляции анализ установленных первой инстанцией нарушений кибербезопасности приведён не был. Выявленные Национальным Банком отсутствие блокировки при удалённом доступе, несрабатывание антифрод-системы, несоответствие геолокации и задержка с регистрацией инцидента в антифрод-центре в решении апелляции не упомянуты и не опровергнуты.

Представитель истца, направившая документы о судебном деле редакции Exclusive.kz, сообщила о намерении обратиться в дальнейшем в кассационный суд.

Обложка новости сгенерирована в ChatGPT