Мошенничество с электронной подписью: суд восстановил вычет по НДС после взлома ЭЦП

Суд разрешил спор о мошенничестве с электронной подписью и вычете по НДС

Из-за мошенничества с электронной подписью организация едва не потеряла солидный вычет по НДС: злоумышленники получили доступ к ноутбуку руководителя и к ключу ЭП, а затем от имени компании направили уточнённую декларацию. Спор завершил Арбитражный суд Московского округа, вставший на сторону предприятия и позволивший вернуть в отчётность исходные показатели. Разобранный кейс пригодится любой организации, которая взаимодействует с ФНС через КЭП, — он показывает, чем оборачивается утечка сертификата к посторонним лицам и какие меры помогают отстоять позицию компании.

Ситуация показательна не только для бухгалтеров и юристов, отвечающих за отчётность. Основной риск ложится на руководителей организаций и индивидуальных предпринимателей — ведь квалифицированная подпись оформляется именно на их имя, а при компрометации ключа под угрозой оказываются и деньги, и деловая репутация всей компании.

Как мошенники воспользовались чужой ЭЦП для подачи декларации

Хронология дела №А40-290966/2023 такова. 17 октября 2018 года компания подала первичную декларацию по НДС за III квартал с заявленным вычетом. Спустя почти четыре года, 26 апреля 2022 года, злоумышленники, действовавшие с иностранного IP-адреса, получили доступ к рабочему ноутбуку налогоплательщика и хранившейся там электронной подписи, после чего от имени организации отправили уточнённую декларацию — уже без вычета и с завышенным налогом к уплате.

Обнаружив подмену, 17 ноября 2022 года компания направила вторую уточнённую декларацию с восстановленными исходными данными. Однако налоговая инспекция сторнировать завышенный налог отказалась, и отстаивать свою правоту организации пришлось уже через суд.

Что решил Арбитражный суд Московского округа

В постановлении от 05.08.2026 по делу №А40-290966/2023 суд указал: сальдо единого налогового счёта должно формироваться из данных первичной декларации и второй, «восстанавливающей», корректировки, а не мошеннически поданного документа. Нарушение трёхлетнего срока при подаче первой (поддельной) корректировки само по себе не давало инспекции права считать завышенный налог окончательным — ведь по итогам камеральных проверок обеих деклараций решения об отказе в вычете инспекция не выносила.

Решающим аргументом в пользу компании стал нотариальный протокол осмотра доказательств: он официально зафиксировал неправомерный доступ к ноутбуку и ключу ЭП и подтвердил суду, что декларацию отправила не сама организация. Без такой фиксации доказать факт взлома задним числом было бы значительно сложнее.

Почему кража электронной подписи — системная проблема, а не единичный случай

Описанный случай — лишь одно из проявлений более широкой тенденции. Электронная подпись даёт удалённый доступ к отчётности, счетам, государственным реестрам и торговым площадкам без личного присутствия, поэтому закономерно привлекает мошенников: получив сертификат или ключ, можно почти незаметно действовать от чужого имени. В зоне риска находятся не только компании на общей системе налогообложения, но и предприниматели, физлица с подписью для Госуслуг и сделок, а также сотрудники, работающие по машиночитаемой доверенности (МЧД).

На фоне увеличения числа подобных инцидентов государство ужесточило порядок выпуска и использования ЭП: перечень удостоверяющих центров, вправе выдавать квалифицированную подпись руководителям и ИП, стал заметно короче, а сотрудникам теперь требуется отдельно подтверждать полномочия документом — МЧД.

Чем опасна кража электронной подписи для бизнеса любого масштаба

В материалах дела не уточняется, каким именно способом посторонние получили доступ к ключу: хранился ли сертификат обычным файлом на диске, стояло ли на ноутбуке вредоносное ПО для удалённого управления, или же подвела слабая защита учётной записи. Тем не менее сама ситуация типична: чаще всего ЭЦП компрометируют не путём взлома криптографии, а из-за банальной небрежности.

• Сертификат хранится обычным файлом на компьютере либо в общедоступной папке, а не на защищённом токене.
• PIN-код от токена записан на стикере рядом с рабочим местом или известен нескольким сотрудникам одновременно.
• На компьютере с КриптоПро CSP и сертификатом установлен устаревший антивирус, а порой защита вовсе отсутствует.
• Удалённый доступ к рабочему ноутбуку настроен без двухфакторной аутентификации.

Любой из этих факторов может открыть лазейку злоумышленникам, а последствия зачастую не ограничиваются одной искажённой декларацией — это и недостоверная отчётность перед ФНС и СФР, и фиктивные операции в ЭДО, и заявки на торгах, поданные от имени компании без её ведома.

Как проверить, не оформлена ли на вас чужая электронная подпись

Убедиться, что на ваше имя без согласия не выпущен сертификат, можно несколькими способами: ни один из них по отдельности не гарантирует стопроцентный результат, но вместе они перекрывают большинство возможных сценариев.

• Откройте раздел «Электронная подпись» в личном кабинете на Госуслугах — там отображаются сведения о сертификатах КЭП, переданных удостоверяющими центрами.
• Установите приложение «Госключ»: помимо бесплатного выпуска подписи для физлиц, в нём виден перечень сертификатов, оформленных на ваш СНИЛС.
• Запросите выписку из ЕГРЮЛ и ЕГРИП по фамилии и ИНН — это подтвердит, что на вас не зарегистрирована чужая компания или статус ИП.
• Проверьте кредитную историю через бюро кредитных историй: если найдутся займы или кредиты, которых вы не брали, — это серьёзный повод немедленно обратиться в банк и полицию.
• Собственникам недвижимости имеет смысл получить выписку из ЕГРН через Росреестр или МФЦ, чтобы исключить постороннее переоформление прав на объект.
• Перед тем как отвечать на запрос от незнакомого удостоверяющего центра, проверьте его по реестру аккредитованных УЦ Минцифры: организация вне этого перечня не вправе выпускать сертификаты.

Что делать, если электронную подпись скомпрометировали

Если возникло подозрение, что ключом ЭЦП воспользовались посторонние, действовать нужно быстро: чем раньше зафиксированы обстоятельства случившегося, тем проще будет подтвердить их впоследствии в суде или налоговой инспекции.

1. Незамедлительно обратитесь в удостоверяющий центр и отзовите скомпрометированный сертификат, чтобы прекратить его дальнейшее использование.
2. Проверьте личный кабинет налогоплательщика и единый налоговый счёт на наличие деклараций и операций, которые компания не совершала.
3. Зафиксируйте факт неправомерного доступа документально: как показало дело №А40-290966/2023, нотариальный протокол осмотра доказательств может стать решающим аргументом в суде.
4. Подайте заявление в полицию о неправомерном доступе к компьютерной информации и электронной подписи.
5. Направьте в инспекцию уточнённую декларацию с верными показателями и приложите собранные доказательства взлома.
6. Если есть риск, что по вашей подписи переоформили недвижимость или зарегистрировали фирму, обратитесь в Росреестр и налоговую с заявлением об оспаривании регистрационных действий и о запрете регистрации без личной явки.
7. Предупредите контрагентов и банк, принимающих от вас документы с ЭП, о компрометации ключа — так меньше шансов, что подписью воспользуются ещё раз, пока сертификат отзывается.

Ответственность за мошенничество с электронной подписью: что грозит по закону

Общие положения таковы: использование чужой электронной подписи без согласия владельца в принципе может подпадать под уголовную ответственность — конкретная статья зависит от обстоятельств дела.

• Статья 159 УК РФ «Мошенничество» применяется, когда с использованием поддельной или похищенной подписи обманным путём завладевают деньгами или имуществом — например, оформляют заём или сделку.
• Статья 159.6 УК РФ «Мошенничество в сфере компьютерной информации» касается хищения путём ввода, удаления, блокирования или изменения компьютерной информации, в том числе с использованием чужой ЭП.
• Статья 272 УК РФ «Неправомерный доступ к компьютерной информации» в целом применяется к случаям, когда злоумышленники получают доступ к личному кабинету, ключу или токену без разрешения владельца.

Однако в разобранном деле №А40-290966/2023 спор ограничился рамками арбитражного процесса о доначислении налога: по имеющимся материалам, уголовное дело в отношении лиц, получивших доступ к ноутбуку и ключу ЭП, не возбуждалось, а пострадавшая компания отстаивала свою позицию именно в арбитражном суде.

Отдельный вопрос — ответственность самого удостоверяющего центра, если он выдал сертификат мошенникам с нарушением порядка идентификации заявителя. Закон обязывает УЦ достоверно проверять личность обратившегося, и нарушение этой обязанности может стать основанием для гражданского иска к центру, хотя на практике доказать его вину сложнее, чем сам факт мошенничества.

Как защитить электронную подпись от кражи и взлома

Полностью исключить риск мошенничества с электронной подписью нельзя, однако большинство типовых сценариев компрометации закрывается несложными организационными мерами.

• Храните ключ на сертифицированном токене — например, Рутокене или JaCarta, — а не файлом на жёстком диске.
• Не передавайте PIN-код и токен другим сотрудникам ни при каких условиях, даже на короткое время.
• Ограничивайте круг лиц с физическим и удалённым доступом к рабочему месту, на котором настроен КриптоПро CSP.
• Регулярно проверяйте перечень активных сертификатов и историю операций в личном кабинете ФНС и на торговых площадках.
• При кадровых перестановках, увольнении подписанта или подозрении на утечку перевыпускайте сертификат сразу, не дожидаясь окончания срока действия.
• Включайте двухфакторную аутентификацию для удалённого входа на рабочие компьютеры и в корпоративные сервисы, где используется ЭП.

Если доверие к действующему сертификату хоть немного поколеблено, лучше не тянуть время и заново оформить ЭП в аккредитованном удостоверяющем центре, чем потом годами решать последствия через суд.

Частые вопросы о мошенничестве с электронной подписью

Что делать, если через мою электронную подпись мошенники подали декларацию?

В первую очередь отзовите скомпрометированный сертификат в удостоверяющем центре, зафиксируйте факт неправомерного доступа — лучше нотариально — и подайте уточнённую декларацию с верными данными вместе с доказательствами взлома.

Есть ли срок давности для восстановления вычета по НДС после подмены декларации?

В деле №А40-290966/2023 трёхлетний срок для корректировки деклараций учитывался, однако его пропуск сам по себе не помешал суду признать: сальдо счёта должно основываться на первоначальных и восстанавливающих показателях, а не на мошеннически поданной декларации.

Как доказать в суде, что декларацию подали не мы, а мошенники?

Ключевым доказательством по этому делу стал нотариальный протокол осмотра, зафиксировавший неправомерный доступ к ноутбуку и ключу подписи с иностранного IP-адреса.

Кто несёт ответственность, если электронную подпись компании скомпрометировали?

Формально подпись оформлена на конкретного человека — руководителя или уполномоченного сотрудника, и именно ему вместе с компанией придётся доказывать факт постороннего вмешательства, если по подписи прошли операции, которых бизнес не совершал.

Как защититься от мошенничества с электронной подписью на будущее?

Хранить ключ на защищённом токене, не передавать PIN-код никому, ограничивать доступ к рабочему месту с настроенным КриптоПро CSP и сразу перевыпускать сертификат при малейшем подозрении на утечку.

Как узнать, не зарегистрировали ли на меня фирму или заём по поддельной подписи?

Запросите выписку из ЕГРЮЛ и ЕГРИП по своим данным, проверьте кредитную историю через бюро кредитных историй и откройте раздел «Электронная подпись» на Госуслугах — вместе эти три шага закрывают большинство типовых схем хищения с использованием ЭП.

Может ли удостоверяющий центр отвечать за то, что выдал сертификат мошенникам?

Формально — да: выпуская сертификат, УЦ обязан достоверно идентифицировать заявителя, и нарушение этого порядка может стать основанием для гражданского иска. На практике доказать вину УЦ сложнее, чем сам факт неправомерного доступа к уже выпущенной подписи, — именно это и произошло в разобранном деле.

Вывод: безопасность ЭЦП не менее важна, чем сама отчётность

Дело №А40-290966/2023 завершилось в пользу компании, но из-за одной подменённой декларации растянулось почти на два года судебных разбирательств. Мошенничество с электронной подписью — не абстрактная угроза, а вполне реальная опасность для бизнеса любого масштаба, если ключ хранится небрежно, а доступ к рабочему месту ничем не ограничен.

Позаботиться о безопасности заранее проще и дешевле, чем потом восстанавливать вычеты через суд. Если нужно получить новый сертификат для руководителя или сотрудника, перевыпустить скомпрометированную подпись или настроить рабочее место с токеном и КриптоПро CSP, разумнее обратиться к специалистам аккредитованного удостоверяющего центра — партнёра СКБ Контур: там подберут подходящий носитель и помогут грамотно оформить всю сопутствующую документацию, включая МЧД для сотрудников.