8 C 110/2022

Plný text

Obvodní soud pro Prahu 6 rozhodl samosoudkyní Mgr. Petrou Andršovou ve věci žalobce: Anonymizováno a.s., IČO IČO zainteresované společnosti 0/0 sídlem Adresa zainteresované společnosti 0/0 sídlem Anonymizováno proti žalované: Anonymizováno s.r.o., IČO Anonymizováno sídlem Jednořadá 1051/53, 160 00 Praha 6 zastoupená advokátkou Anonymizováno sídlem Adresa zástupce zainteresované společnosti 0/0 o zaplacení částky 404 124 Kč

I. Žalovaná je povinna zaplatit žalobci částku 404 124 Kč do tří dnů od právní moci rozsudku.

II. Žalovaná je povinna zaplatit žalobci na náhradu nákladů řízení částku 100 926 Kč, do tří dnů od právní moci tohoto rozsudku k rukám právní zástupkyně žalobce.

1. Žalobce se svým návrhem domáhal vydání rozhodnutí, jehož znění je patrno z výroku tohoto rozsudku. Žalobu odůvodnil tím, že mezi právním předchůdcem žalobce, společnosti , jméno FO, , právnická osoba, ., a žalovanou byla dne 15. 2. 2019 uzavřena smlouva o vedení účetnictví, daňových povinností a zpracování mezd ve znění dodatku č. , hodnota, ze dne 1. 3. 2019. Žalovaná činností dle smlouvy pověřila svoji zaměstnankyni paní , jméno FO, . Za účelem výplaty mezd zaměstnancům žalobce obdržela zaměstnankyně žalované od žalobce přístupové kódy k přihlášení do internetového bankovnictví k účtům žalobce. Dne 12. 11. 2020 zaměstnankyně žalované reagovala, aniž by tušila, že se jedná o podvodnou zprávu, na e-mailovou zprávu, kterou byla vyzvána k přihlášení do služby internetového bankovnictví a aktivaci aplikace , Anonymizováno, klíč. V důsledku zpřístupnění údajů k internetovému bankovnictví prostřednictvím kódu z autentizační SMS zprávy z telefonního čísla zaměstnankyně žalované byly neznámým pachatelem neoprávněně odčerpány z účtů žalobkyně finanční prostředky v celkové výši 1 151 310 Kč. Následně díky přijatým opatřením , Anonymizováno, byla část odcizených prostředků ve výši 747 186 Kč vrácena zpět na účet žalobkyně. Žalobkyni tak vznikla škoda ve výši 404 124 Kč v důsledku jednání zaměstnankyně žalované. Ani po výzvě žalovaná škodu žalobkyni nezaplatila. Pohledávka právního předchůdce žalobce byla postoupena na žalobce smlouvou o postoupení pohledávek ze dne 20. 12. 2022.

2. Žalovaná s žalobou nesouhlasila. Mezi účastníky byla uzavřena smlouva o vedení účetnictví, na základě čehož žalovaná pověřila svoji zaměstnankyni paní , jméno FO, , aby vykonávala účetní služby pro žalobce. Tyto služby mimo jiné spočívaly v provádění platebních operací na základě přímých pokynů žalobce, a to tak, že zaměstnanci žalobce, případně její statutární orgán přeposílali paní , jméno FO, prostřednictvím e-mailových zpráv instrukce k jednotlivým platbám. Velmi často se přitom jednalo o prázdné e-maily obsahující pouze přiloženou fakturu či jiný údaj, ze kterého mělo být patrné, jaká platba má být uskutečněna. Dne 12. 11. 2020 obdržel žalobce dnešní optikou podvodnou e-mailovou zprávu od subjektu vydávajícího se za , právnická osoba, . Žalobce však tuto zprávu přeposlal paní , jméno FO, , stejně jako veškeré další zprávy obsahující instrukce k platbám, tedy tento incident nelze vykládat tak, že by paní , jméno FO, svévolně či nedbale reagovala na podvodnou e-mailovou zprávu, kterou obdržela od třetí osoby, nýbrž reagovala na e-mailovou zprávou zaslanou jí přímo žalobcem, jakožto pokyn k provedení platby. Žalovaná, respektive její zaměstnankyně, nemohla ani neměla povinnost pokyny tohoto druhu přezkoumávat, neboť se jednalo o platební instrukce vycházející z provozních potřeb žalobce. Žalovaná měla za úkol je toliko zpracovat provedením dané platby. Nebylo výjimkou, že paní , jméno FO, obdržela i několik desítek obdobných pokynů od žalobce denně. Škoda tak vznikla výlučně v důsledku zavinění žalobce.

3. V řízení byly prokázány následující skutečnosti:

4. Mezi účastníky nebylo sporu o tom, že spolu uzavřeli smlouvu o vedení účetnictví, daňových povinností a zpracování mezd dne 15. 2. 2019, ve znění dodatku č. 1 ze dne 1. 3. 2019. Předmětem smlouvy bylo vedení účetnictví, zpracování mezd a personalistiky a kompletní zpracování daňových povinností žalobce a dalších společností dle dodatku. V čl. 2.3 se zhotovitel (žalovaná) zavázal poskytovat činnost dle smlouvy s odbornou péčí podle svého uvážení, přičemž je povinen řídit se obecně závaznými právními předpisy a v jejich rámci i pokyny objednatele. V bodě 2.4 se zhotovitel zavázal v rámci své činnosti chránit práva a oprávněné zájmy objednatele a uplatňovat vše, co v souladu se zákonem nebo s obecně závaznými právními předpisy pokládá pro objednatele za prospěšné. Podle čl. 4.6 smlouvy zhotovitel odpovídá objednateli za škodu způsobenou vedením účetnictví v rozporu s platnými právními předpisy či v rozporu s touto smlouvou. V případě vzniklé škody způsobené jednáním či opomenutím zhotovitele je objednatel oprávněn požadovat po zhotoviteli náhradu takto vzniklé škody (smlouva ze dne 15. 2. 2019 a dodatek č. 1).

5. Z podvodného e-mailu, zaslaného na adresu , e-mail, dne 12. 11. 2020 v 10:42, který byl následně přeposlán na adresu , e-mail, , předmět FW: platba pozdržena/payment on hold, bylo zjištěno, že neznámý podvodník zaslal zprávu, která vypadala jako zpráva od , Anonymizováno, ve znění: Vážení zákazníku, platba na Váš účet zveřejněna dne 12/11/2020, k uvolnění platby na Váš účet je však nutné overení, zacnete kliknutím a prihlasenim do svého uctu zde. Jsme pripraveni Vám sloužit lépe. S pozdravem , Anonymizováno, , a dále stejný text v angličtině.

6. Ze zprávy , Anonymizováno, ze dne 10. prosince 2020 o vyřízení reklamace bylo zjištěno, že právní předchůdce žalobce reklamoval platby z běžného účtu , jméno FO, , právnická osoba, . č. , č. účtu, , které byly označeny jako neautorizované. Jednalo se o transakce ze dne 12. 11. 2020 na účet č. , č. účtu, ve výši 340 000 Kč, na účet , Anonymizováno, /, Anonymizováno, ve výši 265 527 Kč, dále ještě jednou 265 527 Kč a v částce 280 256 Kč. Banka v rámci šetření reklamace zjistila, že dne 12. 11. 2020 reagovala disponentka k firemnímu účtu paní , jméno FO, na podvodnou zprávou, která měla vyvolat dojem, že je zaslaná bankou a jejímž obsahem byl odkaz na internetové stránky, jejichž prostřednictvím byla požádána o předání údajů potřebných pro přihlášení do služby internetového bankovnictví a aktivaci aplikace , Anonymizováno, klíč, která slouží kromě zadávání a autorizace plateb iniciovaných prostřednictvím internetového bankovnictví rovněž pro další správu bankovních služeb. Dne 12. 11. 2020 přes její přístupové údaje došlo k aktivaci aplikace , Anonymizováno, klíč. Reklamované platby byly provedeny v důsledku použití těchto unikátních údajů potřebných pro přihlášení do služby internetového bankovnictví a pro aktivaci aplikace , Anonymizováno, klíč prostřednictvím takto aktivované aplikace. Z toho je zřejmé, že tyto úkony byly provedeny buď poškozeným nebo ze strany poškozeného došlo k předání těchto unikátních údajů neznámé třetí osobě, která reklamované platby následně uskutečnila. Podle smluvních podmínek, které jsou součástí smlouvy o účtu mezi poškozeným a , Anonymizováno, , je uživatel účtu zavázán k tomu, aby se choval maximálně obezřetně a zabránil sdělení či zpřístupnění personalizovaných bezpečnostních údajů třetím osobám, rovněž jsou povinni sledovat a dodržovat upozornění, pokyny a doporučení, které , právnická osoba, . publikuje na webových stránkách v příslušné části označené Bezpečné bankovnictví. Ze strany banky také poškozenému byly zaslány prostřednictvím služeb přímého bankovnictví zprávy s informacemi o probíhajících phishingových útocích, včetně popisu nejčastějších způsobů napadení, a také se zdůrazněním nejzásadnějších opatření, která pomohou tuto hrozbu identifikovat a případným ztrátám předejít, a to dne 7. 10. 2019, 19. 11. 2019, 30. 1. 2020, 9. 6. 2020 a 8. 9. 2020. Také technické podmínky, které jsou součástí smlouvy o účtu, stanoví v bodě 1.9.3 pro případ provedení neautorizované transakce v situaci, kdy klient banky není v postavení spotřebitele, že dojde-li k neautorizované transakci v důsledku ztráty, odcizení nebo zneužití platebního prostředku, nese klient v postavení plátce tuto ztrátu v plném rozsahu. Banka tedy nenese za ztrátu z reklamovaných transakcí odpovědnost.

7. Ze zprávy ombudsmanky , Anonymizováno, ze dne 1. 2. 2021, kterou reagovala na stížnost poškozené společnosti , jméno FO, , právnická osoba, ., bylo zjištěno, že ombudsmanka prověřila reklamaci provedenou bankou se závěrem, že došlo k úniku potřebných informací. Dne 12. 11. 2020 paní , jméno FO, z došlé e-mailové pošty se proklikla na stránku, která imitovala webovou stránku , Anonymizováno, pro přihlášení na účet, tam zadala klientské číslo, iPIN a pak kód s autentizační SMS, kterou obdržela. Tyto informace pak podvodníci využili pro přihlášení do internetového bankovnictví firem pana , jméno FO, . Podle logů z jejich internetového bankovnictví došlo k přihlášení do internetového bankovnictví právě prostřednictvím kódu v autentizační SMS, která byla zaslaná na kontaktní telefonní číslo paní , jméno FO, . Následně ještě v rámci téhož přihlášení si podvodníci aktivovali na svém zařízení , Anonymizováno, klíč, a to na základě kódu v certifikační SMS zaslané opět na telefonní číslo paní , jméno FO, , tedy nedostali by se tam, kdyby tento kód neposkytla. Na telefonní číslo paní , jméno FO, pak byla zaslána notifikační SMS o aktivaci , Anonymizováno, klíče s informací: Vážený kliente, právě došlo k aktivaci aplikace , Anonymizováno, klíč, která umožňuje bezpečné přihlašování k účtu a potvrzování operací. Pokud jste aktivaci neprováděl, zavolejte ihned na +, tel. číslo, , Vaše , Anonymizováno, . Na toto upozornění bohužel nikdo nereagoval. Pak už podvodníci využili nově aktivovaný , Anonymizováno, klíč k přihlášení do internetového bankovnictví, kde zadali a prostřednictvím , Anonymizováno, klíče certifikovali reklamované platby. Dále následuje přehled SMS zpráv, které byly ze strany , Anonymizováno, doručeny na telefon paní , jméno FO, (tel. č. , tel. číslo, ): Dne 12. 11. 2020 v 12:33 Váš autentizační kód 1226-3706-466, vygenerován 12. 11. 2020 ve 12:33:33, dne 12. 11. 2020 ve 12:38:33 nová aktivace certifikační kód 1393-9134-693, identifikační číslo 1017375458, a dne 12. 11.2020 ve 12:37: Vážný kliente, právě došlo k aktivaci aplikace , Anonymizováno, klíč, která umožňuje bezpečné přihlašování k účtu a potvrzování operací, pokud jste aktivaci neprováděl, zavolejte ihned na telefonní číslo uvedené, Vaše , Anonymizováno, . Na základě těchto skutečností se tedy neztotožňuje ombudsmanka ze sdělením paní , jméno FO, , že do falešných stránek zadala pouze klientské číslo a žádný jiný údaj. Bez jí zaslaných certifikačních kódů by se podvodníci do příslušných aplikací nedostali. První z plateb odešla ve 13:59, tedy skoro 1,5 hodiny po zprávě, která paní , jméno FO, upozorňovala na aktivaci aplikace. Kdyby paní , jméno FO, včas reagovala, k platbám by nedošlo. Banka na základě svého kontrolního systému vyhodnotila, že platba ve výši 207 000 Kč neodpovídá obvyklému chování klienta, a proto paní , jméno FO, kontaktovala. Pokud se paní , jméno FO, jevil telefonát jako neprofesionální, tak se za to omlouvá, ovšem při probíhajícím útoku kolegové hledají každou vteřinu a je možné z tohoto důvodu nevěnovali takovou pozornost formálnímu vedení hovoru, jak by měli. Platby jsou prováděny v reálném čase a klient nijak banku přes její upozornění neinformoval, že nemá v úmyslu aktivovat aplikaci , Anonymizováno, klíč, tedy platby byly autorizovány a banka je povinna provést platbu, je-li řádně autorizována. Platby jsou prováděny v reálném čase. Banka ovšem nečekala na to, až prostředky zablokuje policie, ale aktivně vyhledala společnost , Anonymizováno, a , právnická osoba, , aby předešla ztrátám klientů, to se také z velké části podařilo a byla vrácena částka 1 174 185,51 Kč. Závěrem je uvedeno, že banka za ztrátu odpovědnost nenese.

8. Ze zprávy , Anonymizováno, ze dne 25. 3. 2024 bylo zjištěno, že , Anonymizováno, zaslala do internetového, případně mobilního bankovnictví k účtu , Anonymizováno, /, Anonymizováno, původního žalobce , jméno FO, , právnická osoba, . zprávy o phishingu, a to 7. 10. 2019 – Bezpečnostní rizika, 19. 11. 2019 – Pozor na podvodné SMS, 30. 1. 2020 – Dávejte si pozor na podvodníky, 9. 6. 2020 – Pozor na podvodné maily a SMS zprávy, 8. 9. 2020 – Odhalte včas podvodné e-maily a SMS zprávy. U uvedeného účtu byly v období odesílání varovných zpráv napojeni na internetové/mobilní bankovnictví tito disponenti: , jméno FO, , , jméno FO, , , jméno FO, . U subjektu , jméno FO, eviduje banka z výše uváděných varovných zpráv přečtenou zprávu Pozor na podvodné maily a SMS zprávy, vloženou do internetového bankovnictví 9. 6. 2020, přečteno 11. 6. 2020. Dále banka zaslala soudu rovněž konkrétní znění uvedených zpráv, přičemž u zpráva ze dne 9. 6. 2020, kterou si přečetla paní , jméno FO, , zní: Vážená klientko, vážený kliente, v posledních dnech zaznamenáváme zvýšený výskyt phishingu, podvodných zpráv zasílaných jménem naší banky, i přestože se nám daří podvodné stránky velmi rychle blokovat, podvodníci jsou při vytváření nových odkazu stejně pohotoví, proto na Vás apelujeme, aby jste pro přihlášení k účtu využívali vždy výhradně adresu www., Anonymizováno, .cz, kterou si ručně zadáte do adresního řádku internetového prohlížeče. Na odkazy pro přihlášení k účtu z podezřelých zpráv neklikejte. Aktuální podobu phishingových útoků naleznete zde. Věříme, že společnými silami a ostražitostí nedáme podvodníkům šanci uspět. Rovněž další zprávy varují před podvody, kdy opakovaně jsou klienti , Anonymizováno, upozorňováni, aby pro přihlášení na účet nepoužívali žádné odkazy.

9. Z připojeného trestního spisu, konkrétně z usnesení Policie České republiky , Anonymizováno, , č. j. , Anonymizováno, , ze dne 30. 6. 2023 bylo zjištěno, že policejní orgán podle § 159a odst. 5 tr. řádu odložil trestní věc podezření ze spáchání trestných činů podvod a dalších, kterých se měl dopustit neznámý pachatel tím, že mimo jiné dne 12. 11. 2020 z blíže nezjištěného místa v úmyslu získat neoprávněný finanční prospěch zaslal do e-mailové schránky , e-mail, podvodnou e-mailovou zprávu, která splňovala náležitosti zprávy banky , právnická osoba, ., která obsahovala sdělení, že nedošlo k uvolnění platby na účet a je nutné se přihlásit pomocí hypertextového odkazu a platbu ověřit, což učinila oprávněná osoba , jméno FO, , která přes uvedený odkaz zadala přihlašovací údaje do internetového bankovnictví, čímž nevědomě poskytla neznámému pachateli přístupové údaje, pomocí kterých se neznámý pachatel přihlásil bez vědomí a souhlasu oprávněného uživatele dne 12. 11. 2020 v časech od 13:58:39 do 14:56:55 do internetového bankovnictví k bankovním účtům společnosti , jméno FO, a.s., společnosti , jméno FO, , právnická osoba, ., společnosti , jméno FO, , právnická osoba, . a společnosti , právnická osoba, , ze kterých provedl neoprávněný převod finančních prostředků. Po odčerpání jednotlivých plateb byla část plateb vrácena zpět a neznámý pachatel způsobil přímou škodu ve výši 413 126 Kč společnosti , jméno FO, , právnická osoba, . Věc byla po provedeném šetření odložena, neboť se nepodařilo zjistit konkrétní osobu pachatele, proti které by bylo možné zahájit trestní stíhání. , jméno FO, v rámci podání vysvětlení uvedla, že dne 12. 11. 2020 jí byl sekretářkou , tituly před jménem, , jméno FO, přeposlán e-mail od banky , právnická osoba, ., ve kterém bylo uvedeno, že platba ze dne 11. 11. 2020 nebyla uskutečněna a je nutné ji ověřit, jelikož den předtím dělala pro společnosti , jméno FO, a.s. a , jméno FO, , právnická osoba, . výplaty, chtěla ověřit, zda výplaty z účtů společností odešly, a proto otevřela odkaz, který byl součástí tohoto e-mailu, a přihlásila se do internetového bankovnictví. Jelikož se po přihlášení nic nedělo, stránka se jen načítala, přihlásila se do internetového bankovnictví tak, jak byla zvyklá, zkontrolovala zvlášť účty obou společností a nezjistila nic nestandardního, poté byla telefonicky kontaktována pracovníkem banky, který si u ní chtěl ověřit, zda zadala platbu ve výši 207 000 Kč ve prospěch účtu , Anonymizováno, . O této skutečnosti informovala majitele společnosti , tituly před jménem, , jméno FO, , který následně komunikoval s bankou. Z bankovního účtu , jméno FO, Centrum byla odčerpána částka 1 133 054 Kč ve prospěch dvou bankovních účtů. Výše škody, která vznikla původnímu žalobci , jméno FO, , právnická osoba, ., byla zjištěna z vyčíslení škody v trestním spisu ze dne 16. 6. 2023 a po vrácení některých neoprávněných plateb činí 404 124 Kč.

10. Ze smlouvy o postoupení pohledávek ze dne 20. 12. 2022 mezi společností , jméno FO, , právnická osoba, ., IČO , IČO, , a , jméno FO, a.s., IČO , IČO zainteresované společnosti 0/0, , bylo zjištěno, že pohledávka, která ve výši 404 124 Kč, která je předmětem soudního řízení u zdejšího soudu pod sp. zn. , spisová značka, proti , právnická osoba, . byla postoupena na společnost žalobce - , jméno FO, a.s (smlouva o postoupení pohledávek, prohlášení nastupující společnosti, oznámení o postoupení pohledávky, doručenka datové zprávy zaslané žalovanému, výpis z obchodního rejstříku žalobce).

11. Po provedeném dokazování soud dospěl k závěru, že žaloba je důvodná.

12. Podle § 2912 odst. 1 o.z. nejedná-li škůdce, jak lze od osoby průměrných vlastností v soukromém styku očekávat, má se za to, že jedná nedbale.

13. Podle §2912 odst. 2 o.z. dá-li škůdce najevo zvláštní znalost, dovednost nebo pečlivost, nebo zaváže-li se k činnosti, k níž je zvláštní znalosti, dovednosti nebo pečlivosti zapotřebí, a neuplatní-li tyto zvláštní vlastnosti, má se za to, že jedná nedbale.

14. Podle § 2913 o.z. poruší-li strana povinnost ze smlouvy, nahradí škodu z toho vzniklou druhé straně nebo i osobě, jejímuž zájmu mělo splnění ujednané povinnosti zjevně sloužit.

15. Podle § 2914 o.z. kdo při své činnosti použije zmocněnce, zaměstnance nebo jiného pomocníka, nahradí škodu jím způsobenou stejně, jako by ji způsobil sám. Zavázal-li se však někdo při plnění jiné osoby provést určitou činnost samostatně, nepovažuje se za pomocníka; pokud ho však tato jiná osoba nepečlivě vybrala nebo na něho nedostatečně dohlížela, ručí za splnění jeho povinnosti k náhradě škody.

16. V řízení bylo prokázáno, že mezi účastníky byla uzavřena smlouva o vedení účetnictví, daňových povinností a zpracování mezd, v níž se žalovaná zavázala mimo jiné, že bude tuto činnost poskytovat s odbornou péčí. Rovněž v čl. 4.6 smlouvy je uvedeno, že odpovídá za škodu způsobenou vedením účetnictví mimo jiné v rozporu se smlouvou. Ke své činnosti žalovaná použila svoji zaměstnankyni , jméno FO, , která po přečtení podvodného e-mailu klikla na v něm uvedený odkaz a dostala se tak na internetové stránky, které vypadaly jako stránky , Anonymizováno, . Následně pak prostřednictvím několika autorizačních SMS umožnila pachatelům trestné činnosti zřídit si přístup k účtu právního předchůdce žalobce a odčerpat z něj finanční prostředky, a to přestože měla postupovat s odbornou péčí a přestože byla rovněž ze strany banky varována právě před tímto typem útoku. Soud proto dospěl k závěru, že žalovaná odpovídá za vzniklou škodu porušením smluvní povinnosti z nedbalosti. O výši vzniklé škody mezi účastníky nebylo sporu.

17. Obrana žalované, že zaměstnankyně žalované jednala na základě pokynu žalobce k platbě, byla jednoznačně vyvrácena zněním předmětného podvodného e-mailu, který žádný pokyn k platbě neobsahoval. Obsahoval pouze smyšlené varování před tím, že platby nebyly uskutečněny a nabádal k přihlášení se k účtu. Pokud by zaměstnankyně žalované postupovala řádně a neklikla na podvodný odkaz a přihlásila by se k účtu prostřednictvím stránek www., Anonymizováno, .cz (tak, jak ve svém varování určeném klientům důrazně doporučuje banka), pak by ke škodě nedošlo.

18. O nákladech řízení bylo rozhodnuto podle § 142 odst. 1 o.s.ř., neboť žalobce byl ve věci zcela úspěšný. Náklady jsou tvořeny soudním poplatkem ve výši 20 207 Kč a náklady právního zastoupení advokátem ve výši 9 940 Kč za jeden úkon x 6,5 (převzetí a příprava zastoupení, předžalobní výzva, žaloba, návrh na změnu žalobce (půl úkonu), účast na jednání ve dnech 28. 11. 2023, 22. 2. 2024, 14. 5. 2024) + 7x režijní paušál 300 Kč + 21% DP, celkem 100 926 Kč.