Решение № 400 от 30.03.2026, Апелативен съд - София

Личните данни в текста са заличени.

РЕШЕНИЕ

№ 400 гр. София, 30.03.2026 г.

В ИМЕТО НА НАРОДА

АПЕЛАТИВЕН СЪД - СОФИЯ, 1-ВИ ГРАЖДАНСКИ, в публично заседание на двадесети ноември през две хиляди двадесет и пета година в следния състав:

Председател: Катерина Рачева

Членове:

Владимир Вълков

Здравка Иванова при участието на секретаря Ваня Ил. Иванова като разгледа докладваното от Владимир Вълков Въззивно гражданско дело № 20251000502494 по описа за 2025 година

Производството е по реда на чл. 258 и следващите от Гражданския процесуален кодекс.( ГПК).

С Решение № 4227 от 01.07.2025 г. по гр.д. № 20231100107541 по описа на Софийски градски съд, I ГО, 2-ри състав е уважен иск с посочена квалификация по чл. 79, ал. 1 от Закона за платежните услуги и платежните системи (ЗПУПС), предявен от Д. Г. К. срещу „ОБЕДИНЕНА БЪЛГАРСКА БАНКА“ АД за сумата 27378,20 лв. и са разпределени разноските в производството.

Решението е обжалвано от „Обединена българска банка“ АД, представлявано от адв. С. Н. от САК, наричано впоследствие въззивник или ОББ. Първоинстанционният съд е упрекнат, че не е отчел допусната груба небрежност от ищцата въпреки изричното възражение на въззивника. Твърди се услугата да е технически обезпечена, а въззивникът да е изпълнил задълженията си за идентификация на платеца, да е регистрирал и осчетоводил платежната операция. Оспорва се ищцата да е изпълнила своите задължения, установени в чл. 75 ЗПУПС и в общите условия на „ОББ“ АД за платежни услуги за физически лица като се твърди да не е запазила в тайна 1 предоставените й персонализирани средства за идентификация. Сочи, че автентичността на платежното нареждане следва от издаден на ищцата софтуерен токен, защитен чрез парола. Описва процедурата като включваща препращане към приложението и авторизация на превода чрез токен устройството и въведена парола. За операцията ищцата била уведомена и с два броя СМС съобщения, изпратени на посочения от нея мобилен номер и съдържащи кодове за вход в онлайн банкирането й. Сочи се при автентикацията да е използвано и потребителско име, което също е следвало да бъде известно единствено на ищцата. Застъпена е теза, че транзакциите могат да бъдат извършени само след успешно активиране на KBC Online и KBC Token, предпоставка за което е знанието за валидните пароли и кодовете, изпратени на посочения от клиента мобилен телефон. Иска се решението да бъде отменено, а исковете – отхвърлени изцяло. Претендират се разноски.

В отговор по жалбата Д. Г. К., представлявана адв. В. И. от ПАК, наричана впоследствие въззиваема или ищца, оспорва да е доказано каквото и да било обстоятелство в подкрепа на умисъл от нейна страна, а и за твърдяната груба небрежност. Застъпва теза, че в тежест на ответника е да докаже, че ищцата е предоставила защитните инструменти за банкиране на трето лице. Оспорва знанието за защитнитните характеристики у трето лице да обосновава груба небрежност като единствено възможен извод предвид възможността да бъдат придобити противоправно. Позовавайки се на чл. 78, ал. 4 ЗПУПС застъпва теза, че регистрираното използване на платежния документ само по себе си не е в състояние да установи нарушение на задълженията по чл. 75 ЗПУПС. Твърди, че като доставчик на платежна услуга ищецът не е защитил надлежно персонализираните защитни характеристики срещу нерегламентиран достъп на трети лица. Наведен е довод, че банката дължи да поеме риска при злонамерен пробив в системата без оглед на достигнатото ниво на защита. Иска се решението да бъде потвърдено.

Претендира се адвокатско възнаграждение на основание чл. 38, ал. 2 ЗА.

В съдебно заседание въззивникът, представляван от адв. Н., поддържа жалбата като обобщава тезата си, че не възможно осъществяване на оспорените транзакции без да е осигурен достъп до предвидените защити, които би следвало да са известни единствено на ищцата.

Процесуалният представител на въззиваемата адв. И. оспорва жалбата.

2

Поддържа да е технически възможно преодоляване на защитите, което смята и за доказано с приетата по делото експертиза.

При служебната проверка на първоинстанционното решение не се устаноява порок, засягащ неговата валидност или допустимост.

Проверката на решението досежно формираните фактически и правни изводи при разрешаване на спора, извън приложението на императивна норма или отстояване на изрично възложен на съда интерес, е ограничена до посочените в жалбата указания за порочността на първоинстанционното решение (чл. 269 ГПК). Пренесеният във въззивното производство спор по фактите е ограничен до обстоятелствата, осигуряващи дистанционна автентикация при заявка на платежна услуга. Ето защо настоящият състав приема за безспорно между страните, че ищцата е имала осигурен достъп до администрирано от ОББ онлайн банкиране. На 25.05.2023 г. за периода от 18:51 ч. до 19.07 ч. ищцата установила осъществени без нейно знание и съгласие седем транзакции от личната й сметка на обща стойност 27370 лв. и начислени такси за превод от по 0,80 лв. За блокиране на картата била начислена и сума в размер на 2,60 лв.

В исковата си молба ищцата сочи, че около 19:40 видяла получени съобщения на собствения си телефон. Тогава проверила сметката си чрез интернет банкиране и установила наредени суми към непознати за нея лица.

Оспорва да е предоставяла информация относно пароли, имена или други защити, а и не била използвала онлайн банкирането си от месец декември 2022 г. Обадила се на телефон ***, но се включил автоматичен секретар. От електронната страница на ответника установила друг телефон, чрез който съобщила на служител на банката за получени СМС без тя да търсила услуги на банката. Била уведомена, че паричните преводи са наредени с незабавно изпълнение, не могат да бъдат спрени, но банкирането ще бъде незабавно блокирано. На същия ден служители на РУ-Сливен установили самоличността на лицата, на които били преведени парите. На следващия ден служителка на ответника отчела като нетипично изписване на само две имена на получател, а не на име, презиме и фамилия. Поискано е ответникът да възстанови сумата 27378,20 лв. ведно със законанта лихва от датата на подаване на исковата молба (29.06.2023 г.).

3

В отговор по исковата молба се признава, че ищцата е клиент на ОББ и да й е предоставена услуга онлайн банкиране и е ползвала услугата от декември 2022 г. Признава и че на 25.05.2022 г. след свързване с контактния център дебитната й карта и банкирането са блокирани, както и че ищцата писмено е оспорила процесните транзакции. Твърди се в хода на проверката да е установено, че платежните нареждания са създадени, подписани с издадения на ищцата и активиран софтуерен токен, защитен с парола, която е защитена с известна само на ищцата и еднократен код, изпратен на указан от ищцата телефонен номер (знание) като са изпратени за обработка след успешен вход и потвърждаване на превода в профила й в КВС Online чрез въвеждане на потребителско име и парола – данни, които следва да са достъпни само на ищцата, както и чрез биометрия по желание (притежание).

Оспорва да са налице обстоятелствата, предписани от чл. 78, ал. 1 ЗПУПС, за да бъде ангажирана отговорността на ОББ. Същевременно се твърди ищцата да е проявила груба небрежност като не е положила усилия и грижа за съхраняване на кода на платежния инструмент, съответно да го използва така, че да бъдат осуетено достигане до трети лица на персонализираните защитни характеристики. Твърди се да са налице указани в чл. 278.3 и чл. 278,1 от Общите условия хипотези на проява на груба небрежност. Твърди се в деня на транзакциите токенът да е деактивиран чрез КВС Mobile и активиран отново, за което на ищцата е изпратено СМС съобщение на указани от нея телефон и имейл. Навежда довод, че идентификацията е надлежно осъществена от ОББ, поради което смята за единствена причина за неразрешените транзакции неизпълнено задължение след получаване на платежния инструмент да предприеме всички разумни действия за запазване на неговите персонализирани средства за сигурност. Твърди и „ОББ“ АД да е разпространило информация за т.нар. фишинг съобщения и конкретни препоръки към ползвателите на мобилното приложение.

На 26.05.2023 г. в 8:49 ч. ищцата била информирана по телефона от служител на банката за получено обаждане с искане за закриване на единствения й депозит при банката. Ищцата информирала служителя, че не е отправяла такова искане. На 02.06.2023 г. била писмено уведомена, че възстановяването на сумите по неразрешени от нея транзакции изисква съгласието на получателите.

4

В представеното от ответника искане за ползване на KBC Online Bulgaria и неоспорено от ищцата се установява постигнато съгласие ищцата да получи активеи права по всички настоящи и бъдещи сметки и продукти за банкиране през интернет сайта на услугата и специализирано приложение за мобилни устройства като използва за авторизация Токен и ще получава SMS код за авторизация на токен на указан в искането телефонен номер.

От представените и неоспорени Общи условия се установява, че ОНЛАЙН Потребителят понася всички загуби, независимо от размера им, свързани с неразрешени платежни операции, когато ги е причинил с измама или с неизпълнението на едно или повече от задълженията си по чл. 75 от ЗПУПС, каквито могат да бъдат и когато неоторизирано от него интернет плащане е авторизирано чрез потребителско име и парола, токен, еднократен код, изпратен от Банката чрез SMS (чл. 278.3), съответно придобиването на паролата и другите средства за електронна идентификация и авторизация, предоставени на ОНЛАЙН Потребителя от трета страна поради неспазване на публикуваните от Банката Инструкции за сигурност, неразделна част от настоящите Общи условия (чл. 278.1).

Вещото лице А. К. сочи, че за осъществяване на транзакция е необходимо

Въвеждане на ПИН-код в мобилното приложение, валиден само за указано на банката устройство или чрез биометрия, ако потребителят предпочете този начин;

2.

Заявена пред и предоставена от ОББ възможност за активни преводи;

3.

Активиран на телефона на ищцата софтуерен токен с авторизация за всяко използване с код за сигурност;

4.

Активирано приложението KBC Token с първоначално въвеждане на изпратен на СМС код;

5.

Въвеждане на еднократен оторизационен код.

1.

Вещото лице определя като технически възможно получаване на нерегламентиран достъп до чужд телефон с проследяване и записване на осъществяваните с телефона действия и получавани СМС. Вещото лице сочи и от публикации (според уточненото в съдебно заседание) да му е известно, че след 2023 г. използваната от ОББ платформа за мобилно банкиране да е била 5 осъвършенствана, както изразява мнение. Според изследваните ръководства към процесната дата стига до извод за възможен достъп до онлайн банкиране от трето лице при:

1. Регистрирано онлайн банкиране на клиент на банката 2. Информация за ЕГН и потребителското име на клиента 3. Достъп до телефона на клиента или до СИМ карта, подобно на Е ntra SIM, каквато услуга се предлага и от А1.

Вещото лице установява, че на всеки 90 дни се осъществява двуфакторна автентикация на онлайн банкирането, което става с активирано средство за сигурност (СМС или токен), а след въвеждане на име и парола и въвеждане на СМС кода, съответно потвърждение с токен.

На 25.05.2023 г. в мобилното приложение KBC Mobile е регистриран вход от IP 151.251.254.71, част от мрежата на мобилния оператор А1, на мобилно устройство iPhone9.1 с фабрично име Apple iPhone 7. Със същото устройство е осъществено влизане в мобилно банкиране в 17:56:23 ч., 18:42:12 ч. и 19:09:56 ч. Отчетени са и влизания в мобилно банкиране от IP:

85.118.74.83 в 18:44:40 ч. чрез мобилно устройство Андроид SM-S908N (Samsung Galaxy S22 Ultra), както и влизания в КBC Online (WEB сесиите) през IP: 46.253.8.179 съответно в 18:41:22 ч. и 18:44:49 ч.

По делото не се спори, че на същата дата в 18:41, на своя телефон ищцата е получила две съобщения с посочен код и указание Vhod v KBC Online Bulgaria IUR5UW51euQ и съобщение за Aktivirane na KBC Token 62762716.

Няма спор и че на 25.05.2023 г. електронно са били съставени платежни нареждания с указание да са създадени от ищцата с дата на изпълнение 25.05.2023 г. като от съдържанието им следва това да е станало съответно: