Постанова від 27 липня 2026 р. у справі №904/6517/25 — Центральний апеляційний господарський суд

ЦЕНТРАЛЬНИЙ АПЕЛЯЦІЙНИЙ

ГОСПОДАРСЬКИЙ СУД

ПОСТАНОВА

ІМЕНЕМ УКРАЇНИ

28.07.2026 м.Дніпро Справа № 904/6517/25

Центральний апеляційний господарський суд у складі колегії суддів:

головуючого судді: Золотарьової Я.С. (доповідач),

суддів: Мартинюка С.В., Фещенко Ю.В.

секретар судового засідання: Янкіна Г.Д.

представники учасників провадження:

від скаржника: Діденко І.В.

від позивача: Четвертак Л.В.

розглянув матеріали апеляційної скарги Акціонерного товариства "Акцент-Банк" на рішення Господарського суду Дніпропетровської області від 21.04.2026 (повне рішення 27.04.2026), суддя Васильєв О.Ю.

у справі №904/6517/25

за позовом: Комунального некомерційного підприємства Сумської обласної ради "Обласна дитяча клінічна лікарня", м. Суми

до: Акціонерного товариства "Акцент-Банк", м. Дніпро

про: стягнення 4 980 000,00грн.

ВСТАНОВИВ:

Короткий зміст справи

КНП Сумської обласної ради "Обласна дитяча клінічна лікарня" звернулося до господарського суду Дніпропетровської області з позовом до АТ "Акцент-Банк" про стягнення безпідставно списаних коштів в розмірі 4 980 000,00грн.

Позовні вимоги обґрунтовані тим, що без відома позивача з розрахункового рахунку КНП СОР "ОДКЛ" (емітованого в AT "Акцент-Банк") було здійснено безпідставне списання грошових коштів в сумі 4 980 000,00 грн. на рахунок НОМЕР_1 (емітований в АТ "Акцент-Банк" та належний ТОВ "Міланабуд").

Короткий зміст рішення суду першої інстанції та мотиви рішення

Рішенням Господарського суду Дніпропетровської області від 21.04.2026 у справі №904/6517/25 позовні вимоги задоволено повністю та присуджено до стягнення з відповідача Акціонерного товариства "Акцент-Банк" на користь позивача - Комунального некомерційного підприємства Сумської обласної ради "Обласна дитяча клінічна лікарня" 4 980 000,00грн. - списаних з рахунку позивача та 74 700,00 грн. - витрат по сплаті судового збору.

Мотиви рішення про задоволення позову гуртуються на таких аргументах:

Суд зазначив, що банк не довів вину клієнта у несанкціонованому списанні коштів та не виконав свій обов`язок щодо фінансового моніторингу підозрілої операції.

Згідно з правовими висновками Верховного Суду, саме на банк покладено обов`язок довести, що користувач своїми діями чи бездіяльністю сприяв втраті або незаконному використанню інформації для ініціювання платежу.

Суд визнав результати службової перевірки банку поверхневими та формальними. Банк не вказав, які саме вимоги безпеки порушив позивач, чи мав він ліцензійне ПЗ та чи міг об`єктивно запобігти зараженню комп`ютера вірусом, який зазвичай діє непомітно для користувача.

Сам по собі факт коректного вводу даних для операції не свідчить про вину клієнта у компрометації ключів.

Суд встановив, що платіж на суму 4 980 000 грн мав очевидні ознаки підозрілості, які банк мав виявити в процесі фінансового моніторингу. Сума платежу значно перевищувала заявлені планові обсяги надходжень лікарні (до 1 млн грн на місяць) та розмір типових разових операцій.

Рахунок був відкритий виключно для "Зарплатного проекту", а спірний платіж був проведений як оплата за послуги на користь юридичної особи, з якою лікарня не мала господарських відносин. Позивач раніше ніколи не здійснював переказів на цього отримувача.

Суд кваліфікував несанкціоноване списання як інцидент кібербезпеки. Оскільки банк є професійним учасником ринку з більшими технічними та фінансовими можливостями, він зобов`язаний забезпечувати такий рівень безпеки, щоб убезпечити активи клієнта від кіберзлочинів. Банк має обов`язок оцінювати всі розпорядження клієнта через призму безпеки дистанційних платежів та завчасно виявляти підроблені документи.

Суд наголосив, що обов`язок банку негайно повернути на рахунок клієнта суму помилково списаних коштів (згідно зі ст. 1073 ЦК України) є окремим спеціальним обов`язком, а не вимогою про відшкодування збитків. При цьому в договірних відносинах з банком саме фінансова установа має спростовувати свою вину у неналежному обслуговуванні рахунку.

Суд вважав встановленими певні обставини, які не заперечувались жодною з сторін, а саме зазначив, що у цій справі обидві сторони не заперечують, що несанкціоноване, помилкове списання відбулося внаслідок злочинних дій третіх осіб. Втім, позивач вважає, що таке списання відбулося через неправомірні дії банку, який не зупинив підозрілий платіж, натомість банк стверджує, що він не мав можливості не виконати належним чином оформлене та підписане клієнтом платіжне доручення, а втрата клієнтом коштів відбулася через необачливі дії самого позивача, який не захистив свій комп`ютер від шкідливих програм.

Таким чином, оскільки банк не зупинив нетипову для лікарні операцію та не надав беззаперечних доказів винної поведінки посадових осіб лікарні, суд поклав відповідальність за втрату коштів на банк.

Короткий зміст вимог апеляційної скарги

Не погодившись з рішенням суду, через систему "Електронний суд" Акціонерне товариство "Акцент-Банк" звернулось до Центрального апеляційного господарського суду з апеляційною скаргою, в якій просить скасувати рішення Господарського суду Дніпропетровської області у справі №904/6517/25 від 21.04.2026 та ухвалити нове, яким у задоволенні позовних вимог відмовити повністю.

Узагальнені доводи особи, яка подала апеляційну скаргу

Апеляційна скарга обґрунтована тим, що рішення Господарського суду Дніпропетровської області від 21.04.2026 по справі № 904/6517/25 є незаконним та необґрунтованим через порушення норм матеріального та процесуального права, а також внаслідок неповного з`ясування обставин, що мають значення для справи.

Банк стверджує, що спірна операція на суму 4 980 000 грн була акцептованою, тобто виконаною за згодою платника. Операція була ініційована через систему "А24-бізнес" з фінансового номера головного бухгалтера, з типового для позивача пристрою (Samsung SM-N986B) та звичної IP-адреси. Платіжна інструкція була підписана дійсним кваліфікованим електронним підписом (КЕП) уповноваженої особи позивача, який пройшов успішну перевірку. Банк вчасно доставив push-сповіщення про списання коштів на два зареєстровані номери позивача безпосередньо в день операції.

Скаржник наголошує, що задовго до здійснення платежу на комп`ютер бухгалтера було встановлено програмне забезпечення для віддаленого керування (Remote Manipulator System) та виявлено шкідливе ПЗ сімейства Remcos RAT.

Згідно з ч. 3 ст. 87 Закону "Про платіжні послуги", якщо платник не забезпечив захист своєї інформації або допустив неправомірні дії з компонентами своєї інфраструктури, надавач платіжних послуг звільняється від відповідальності.

Банк вказує, що суд першої інстанції при обґрунтуванні рішення спирався на нормативно-правові акти, які втратили чинність ще у 2022 році (наприклад, Інструкція № 492 та Закон № 2346-III). Також суд застосував застарілу судову практику 2015- 2021 років, яка стосувалася платіжних карток і не враховувала специфіку нового Закону № 1591-IX "Про платіжні послуги".

Банк заявляв клопотання про проведення комп`ютерно-технічної експертизи, яка була необхідна для з`ясування технічних обставин втручання, проте суд відмовив у цьому.

Суд не дав оцінки LOG-файлам системи, аудіозаписам розмов з працівниками банку та спискам push-повідомлень.

Суд відмовився залучити до справи ТОВ "Міланабуд" (отримувача коштів), хоча рішення безпосередньо впливає на його права.

Банк стверджує, що конструкція "стягнення безпідставно списаних коштів" за ст. 1212 ЦК України є юридично невірною, оскільки Банк не є набувачем цих грошей. Банк лише виконав технічну функцію переказу на користь ТОВ "Міланабуд", тому вимога про повернення коштів має адресуватися саме отримувачу.

Узагальнення доводів та заперечень інших учасників справи

Позивач подав відзив на апеляційну скаргу, в якому зазначає, що Банк не забезпечив належну безпеку коштів та допустив несанкціоноване списання з рахунку, який мав спеціальне призначення.

Позивач заперечує твердження Банку про те, що операція на 4 980 000 грн була належним чином підписана та акцептована. Головний бухгалтер надавав лише одноразовий доступ до системи для формування зарплатної відомості. Зазвичай банк автоматично підтверджував такі операції без додаткового вимагання підписів КЕП, і така процедура діяла весь 2025 рік. Спірний платіж не ініціювався уповноваженими особами лікарні, а був наслідком незаконного втручання.

Позивач наголошує, що рахунок був відкритий виключно для виплати заробітної плати працівникам, а не для розрахунків з контрагентами. Згідно з виписками за 2025 рік, лікарня жодного разу не перераховувала кошти іншим юридичним особам за товари чи послуги. Усі платежі були виключно виплатою зарплати або переказами між власними рахунками. Переказ майже 5 млн грн на користь ТОВ "Міланабуд" був абсолютно нетиповим для цього профілю клієнта.

Також, позивач вважає, що Банк порушив вимоги Закону "Про платіжні послуги". Банк не зупинив нетиповий платіж і не зв`язався з посадовими особами для верифікації, хоча на сайті Банку задекларовано використання ШІ для блокування аномальної поведінки. Протягом тієї ж сесії після спірного платежу відбулися ще дві спроби списання коштів (на 4,75 млн грн та 987 тис. грн), які антифрод-система вже заблокувала через неможливість дозвонитися до клієнта. Це, на думку Лікарні, підтверджує, що Банк мав можливість зупинити і перший платіж, але не зробив цього.

Позивач стверджує, що Банк не надав жодних належних доказів того, що push-сповіщення про списання коштів дійсно були доставлені посадовим особам у момент операції.

29.09.2025. о 12:59 бухгалтер по заробітній платі перетелефонувала головному бухгалтеру з метою підтвердження входу до персонального банківського кабінету лікарні для нарахування заробітної плати працівникам лікарні.

Головним бухгалтером було здійснено підтвердження входу до банківського онлайн кабінету для допуску бухгалтера по заробітній платі для формування відомості лікарні по заробітній платі .

О 13:18:10 було сформовано загальну зарплатну відомість на суму 177536,54 грн. з призначенням платежу «Заробітна плата за 2 пол.вересня 2025; згідно відомості».

О 13:19:35 відповідачем було проведено списання з рахунку Позивача коштів в сумі 177536,54 грн. з призначенням платежу «Перерахов.кошти для зарахування заробітна плата , період 01.09.2025-29.09.2025» для перерахування заробітної плати на карткові рахунки працівників.

При виконанні вищезазначених операцій банк не запитував додаткових погоджень або підтверджень з боку лікарні.

Тобто банківські операції були проведені автоматично без додаткового підтвердження від головного бухгалтера.

Незважаючи на те, що операція щодо виплати заробітної плати працівникам лікарні вже була проведена, доступ до подальших операцій по рахунку в онлайн кабінеті лікарні банк не закрив.

Орієнтовно о 13:54 екран компьютера бухгалтера по заробітній платі вимкнувся та курсор миші почав самовільно рухатися по темному екрану компьютера.

В подальшому було встановлено, що в цей же проміжок часу о 13:56:14 з розрахункового рахунку лікарні КНП СОР «ОДКЛ» UA443077700000026004411211079, емітованого в AT «AБанк», було перераховано грошові кошти в сумі 4 980 000 грн. на розрахунковий рахунок НОМЕР_1 , емітований в AT «A-банк» та належний ТОВ «Міланабуд» (ЄРДПОУ 42427891) з призначенням платежу «Оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ.

Рух справи в суді апеляційної інстанції

Відповідно до протоколу автоматизованого розподілу судової справи між суддями від 07.05.2026 для розгляду справи визначена колегія суддів у складі: головуючого судді - Золотарьової Я.С. (доповідач), суддів -Мартинюка С.В., Фещенко Ю.В.

Ухвалою Центрального апеляційного господарського суду від 11.05.2026 відкрито апеляційне провадження за апеляційною скаргою. Призначено судове засідання на 02.06.2026. Витребувано у Господарського суду Дніпропетровської області матеріали справи (оскарження) №904/6517/25, необхідні для розгляду апеляційної скарги.

15.05.2026 матеріали справи №904/6517/25 надійшли до суду апеляційної інстанції.

Судове засідання, призначене на 02.06.2026, не відбулося у зв`язку з перебуванням судді-члена колегії Мартинюка С.В. у відпустці.

Ухвалою суду від 28.05.2026 судове засідання призначено на 23.06.2026.

У судовому засіданні 23.06.2026 оголошено перерву на 25.06.2026.

У судовому засіданні 25.06.2026 оголошено перерву на 28.07.2026.

В судовому засіданні 28.07.2026 заслухано представників сторін, встановлено обставини справи, досліджено наявні у справі докази, зокрема й ті, які не були досліджені судом першої інстанції (аудіодокази), після чого Центральним апеляційним господарським судом оголошено вступну та резолютивну частини постанови у справі.

Обставини справи, встановлені судом першої інстанції, перевірені апеляційним судом

19.02.2025 КНП СОР "Обласна дитяча клінічна лікарня" підписала заяву про приєднання до Умов та Правил надання банківських послуг в АТ "А-Банк", в якій вказало (поміж іншим), що планові обсяги щомісячних надходжень на рахунок підприємства - до 1 млн.грн., типи надходжень - з бюджету ; мета та характер майбутніх ділових відносин з АТ "А-Банк" - депозити, кредити, зарплатний проект, ЗЕД , тощо.

Також 19.02.2025 КНП СОР "ОДКЛ" (клієнт) підписало заяву на оформлення послуги "Зарплатний проект" в АТ "А-Банк" ( банк ), згідно якої клієнт погоджує надання послуги банком щодо зарахування заробітної плати, авансів на відрядження, стипендій, виплат за договорами цивільно-правового характеру та інших виплат з використанням платіжних карток на рахунки співробітників клієнта.

Ця заява разом з Умовами та правилами надання банківських послуг, які розміщені публічно за посиланням www.a-bank.com.ua/terms. становлять договір, умови якого зрозумілі та не потребують додаткового тлумачення . Клієнт надає право та доручає АТ "А-Банк" здійснювати договірне списання коштів з усіх наявних рахунків клієнта, відкритих у АТ "А-Банк", що випливають з умов договору та/або будь-якого іншого договору, що укладений або буде укладений у майбутньому між клієнтом та банком.

Згідно заяви про оформлення послуги "Зарплатний проект" 19.02.2025 було відкрито поточний банківський рахунок КНП СОР "ОДКЛ" НОМЕР_2 в АТ "Акцент-Банк" .

29.09.2025 о 12 год.59хв. головним бухгалтером було здійснено підтвердження входу до банківського он-лайн кабінету для допуску бухгалтера по заробітній платі для формування відомості лікарні по заробітній платі .

Об 13год.18хв.10сек. програмою було сформовано загальну зарплатну відомість на суму 177 536,54 грн. з призначенням платежу "Заробітна плата за 2 пол.вересня 2025; згідно відомості".

В подальшому, 13 год.19хв.35сек. того же дня АТ "А-Банк" було проведено списання з рахунку КНП СОР "ОДКЛ" коштів в сумі 177 536,54 грн. з призначенням платежу "Перерахов.кошти для зарахування заробітної плати, період 01.09.2025-29.09.2025" для перерахування заробітної плати на карткові рахунки працівників.

В подальшому позивачем було встановлено, що в 13год.56хв.14сек. з рахунку КНП СОР "ОДКЛ" НОМЕР_3 , емітованого в AT "A-Банк", було перераховано грошові кошти в сумі 4 980 000 ,00 грн. на рахунок НОМЕР_1 , емітований в AT "A-Банк" та належний ТОВ "Міланабуд" (ЄРДПОУ 42427891) з призначенням платежу "Оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ.

Обставини справи, додатково встановлені апеляційним судом

Апеляційним судом досліджено та встановлено зміст Заяви про приєднання, у якій вказано, що Клієнт підписанням заяви підтверджує та погоджується, що:

- до укладання цієї угоди, ознайомився з актуальними Умовами та правилами надання банківських послуг АТ "А-БАНК" (в т.ч. з правами та обов?язками), що розміщені за посиланням wwwa-bank.com.ua/terms та до укладання цієї угоди, ознайомлений з інформацією, яка розміщується на веб-сайті та доступна за посиланням www.a-bank.com.ua в повному об?ємі відповідно до 4.2 ст. 12 Закону України "Про фінансові послуги та державне регулювання ринків фінансових послуг"

- ця Заява разом з Умовами та правилами надання банківських послуг, які розміщені публічно за посиланням www.a-bank.com.ua/terms. становлять Договір, умови якого зрозумілі та не потребують додаткового тлумачення;

Відповідно до заяви про приєднання до Умов та Правил надання банківських послуг а АТ "А-БАНК" номер поточного рахунку НОМЕР_4 .

О 13:54:50 платіжна інструкція на 4 980 000 грн була прийнята до виконання та підписана кваліфікованим електронним підписом (КЕП) уповноваженої особи - Берестовської О.М.; О 13:56:37 та 13:56:38 push-сповіщення про списання 4 980 000 грн були доставлені на два фінансові номери, зареєстровані за позивачем.

Так в матеріалах справи наявні PUSH-повідомлення:

- від 29.09.2025 о 13:56:37, текст якого: - 4980000,0 UAH з 2600*1079 на ТОВ "МІЛАНАБУД". Оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ. Баланс 5123749,62 UAH, яке доставлено 29.09.2025 о 13:56:37;

- від 29.09.2025 о 13:56:33, текст якого: - 4980000,0 UAH з 2600*1079 на ТОВ "МІЛАНАБУД". Оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ. Баланс 5123749,62 UAH, яке доставлено 29.09.2025 о 13:56:38.

Також до матеріалів справи надана довідка по LOG-файлам по клієнту, а також витяг із службового розслідування від 25.11.2025.

Відповідно до меморіального ордеру № 24 від 29.09.2025 здіснено переказ грошових коштів на суму 4 980 000,00 грн, призначення платежу: оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ.

В матеріалах справи також міститься висновок судової комп`ютерно-технічної експертизи № СЕ-19/119 25/18769-КТ від 16.12.2025, проведеної у кримінальному провадженні №12025200480002555, в якому зазначено, що до СВ Сумського РУП ГУНП в Сумській області надійшли матеріали з управління протидії кіберзлочинам, згідно яких невстановленою особою у невстановлений спосіб 11.08.2025 було інстальовано додаток віддаленого керування "Remote Manipulator System - Host" на комп`ютер бухгалтера по виплатам заробітної плати КНП СОР "Дитяча клінічна лікарня м. Суми".

Під час огляду SSD-диску комп`ютера було виявлено каталог інстальованого додатку "Remote Manipulator System - Host" за шляхом Program Files (x86). У результаті дослідження було встановлено:

- Виявлено файли, котрі ідентифікуються як шкідливі.

- Програмним забезпеченням "Windows Security" виявлено 2 (два) файли з назвами "edrsrv.exe" та "srv.exe", які мають однакові контрольні суми та є копіями.

- Вказані файли ("edrsrv.exe" та "srv.exe") "відносяться до сімейства шкідливого програмного забезпечення Remcos RAT".

Висновки експертизи:

1. "В файл-образі "SSD R5SL.001" виявлено файли котрі ідентифікуються, як шкідливі".

2. " 2 (два) файли виявлені програмним забезпеченням Windows Security знаходяться у різних каталогах та мають різні імена, але мають однакові контрольні суми. Згідно з виявленою інформацією вище вказані файли відносяться до сімейства шкідливого програмного забезпечення Remcos RAT".

3. " 2 (два) файли виявлені програмним забезпеченням ESET online scanner... мають однакові контрольні суми назви "NSM.LIC" та "client32.ini"".

4. "В файл-образі "SSD R5SL.001" виявлено інформацію стосовно журналів користувачів та операційної системи за період часу з 10.08.2025 до 30.09.2025".

Оцінка аргументів учасників справи і висновків суду першої інстанції

Відповідно до ст. 269 Господарського процесуального кодексу України суд апеляційної інстанції переглядає справу за наявними у ній і додатково поданими доказами та перевіряє законність і обґрунтованість рішення суду першої інстанції в межах доводів та вимог апеляційної скарги. Суд апеляційної інстанції досліджує докази, що стосуються фактів, на які учасники справи посилаються в апеляційній скарзі та (або) відзиві на неї.

Суд апеляційної інстанції не обмежений доводами та вимогами апеляційної скарги, якщо під час розгляду справи буде встановлено порушення норм процесуального права, які є обов`язковою підставою для скасування рішення, або неправильне застосування норм матеріального права.

Колегія суддів не погоджується з висновками суду першої інстанції в частині задоволення позову та уважає, що у задоволенні позову слід відмовити, з таких мотивів.

Спір у цій справі виник у зв`язку з виконанням АТ "Акцент-Банк" 29.09.2025 платіжної операції на суму 4 980 000,00 грн з поточного рахунку Позивача на користь ТОВ "Міланабуд".

Відповідно до ч.ч. 1,3 ст. 1066 ЦК України за договором банківського рахунка банк зобов`язується приймати і зараховувати на рахунок, відкритий клієнтові (володільцеві рахунка), грошові кошти, що йому надходять, виконувати розпорядження клієнта про перерахування і видачу відповідних сум з рахунка та проведення інших операцій за рахунком.

Банк не має права визначати та контролювати напрями використання грошових коштів клієнта та встановлювати інші обмеження його права щодо розпорядження грошовими коштами, не передбачені законом, договором між банком і клієнтом або умовами обтяження, предметом якого є майнові права на грошові кошти, що знаходяться на банківському рахунку.

Згідно з ч.ч. 1,3 ст.1068 ЦК України банк зобов`язаний вчиняти для клієнта операції, які передбачені для рахунків даного виду законом, банківськими правилами та звичаями ділового обороту, якщо інше не встановлено договором банківського рахунка.

Банк зобов`язаний за розпорядженням клієнта видати або перерахувати з його рахунка грошові кошти в день надходження до банку відповідного розрахункового документа, якщо інший строк не передбачений договором банківського рахунка або законом.

Так, 19.02.2025 Позивач підписав Заяву про приєднання до Умов та Правил надання банківських послуг АТ "Акцент-Банк", за текстом якої вказано, що підписанням цієї анкети підтверджую, що ця анкета-заява разом з Умовами та правилами надання банківських послуг АТ "А-Банк" між мною та АТ "А-Банк" становлять договір про надання банківських послуг. Я зобов`язуюся виконувати положення цієї угоди, а також регулярно самостійно ознайомлюватись зі змінами Умов та правил надання банківських послуг на сайті банку.

Також зі змісту Заяви про приєднання до Умов та Правил надання банківських послуг АТ "Акцент-Банк" вбачається, що плановий обсяг щомісячних надходжень на рахунки позивача - до 1 млн. грн. Водночас вказана Заява не містить будь-яких лімітів на суми, які можуть бути перераховані клієнтом з відкритих йому рахунків.

Крім того, в заяві про приєднання до Умов та Правил надання банківських послуг в АТ "А-Банк" від 19.02.2025 міститься графа - встановити кредитний ліміт на поточний рахунок, з двома віконцями "Так" та "Ні". У цій графі відсутня позначка у віконці НІ, тобто позивач при підписанні заяви не встановлював ліміт на поточний рахунок.

Також у цій Заяві вказано: прошу відкрити рахунок для здійснення господарської діяльності. Відповідно до цієї заяви клієнту відкрито поточний рахунок 2600/2650 та спеціальний рахунок 2604.

Крім іншого, цією заявою Позивач підтвердив свою згоду на використання системи дистанційного банківського обслуговування А24-бізнес, а також взяв на себе зобов`язання забезпечувати належний захист інформації та дотримуватися встановлених банком вимог інформаційної безпеки.

Відповідно до статті 63 Закону України "Про платіжні послуги" поточний рахунок - це рахунок, що відкривається банком клієнту для зберігання коштів і виконання платіжних операцій відповідно до умов договору та вимог законодавства.

Отже, матеріалами справи не підтверджується, що рахунок № НОМЕР_3 , з якого було здійснено списання 4 980 000 грн. є спеціальним рахунком, якій може використовуватися лише для виплати заробітної плати.

Апеляційний суд зазначає, що рахунок № НОМЕР_3 є звичайним поточним рахунком групи 2600. Оскільки рахунок належить до групи 2600, до нього мають застосовуватися стандартні правила проведення операцій згідно із Законом України "Про платіжні послуги", без будь-яких додаткових спеціальних вимог чи обмежень.

Твердження позивача про "спеціальний (зарплатний)" характер рахунку не відповідає дійсності. Тому в цій частині доводи позивача апеляційним судом відхиляються, а висновки суду першої інстанції є неправильними.

Підписуючи Заяву про приєднання до Умов та Правил, позивач уклав договір, який складається з двох документів: Умов та Правил та вищезазначеної Заяви, які мають тлумачитися спільно, як договір про надання банківських послуг.

Водночас, апеляційний суд зазначає, що судом першої інстанції не досліджено та не надано оцінку в контексті обставин цієї справи умовам цього договору щодо обсягу прав та обов`язків сторін, зокрема у сфері безпеки (кібербезпеки), а також не досліджено, чи були дотримані як позивачем, так і відповідачем умови цього договору, що призвело до нез`ясування судом обставин справи, що мають значення для справи.

Досліджуючи Умови та Правила, які розміщені на сайті: wwwa-bank.com.ua апеляційний суд звертає увагу на такі їх положення:

Так, відповідно до пункту 3.2.5. Умов і Правил надання банківських послуг в АТ "Акцент - Банк" для належного отримання послуг за Договором клієнт зобов`язаний своєчасно встановлювати доступні оновлення операційної системи та додатків на своєму комп`ютері/телефоні/пристрої, що використовується для підключення до віддалених каналів обслуговування. Використовувати на комп`ютері/телефоні/ пристрої, що використовується для підключення до віддалених каналів обслуговування сучасне антивірусне програмне забезпечення та своєчасно встановлювати на них оновлення антивірусних баз.

Пунктом 3.2.6 Умов і Правил надання банківських послуг в АТ "Акцент - Банк передбачено, що клієнт зобов`язується не встановлювати на телефоні / персональні комп`ютери, що використовується для підключення до системи дистанційного обслуговування неліцензійні операційні системи, так як це відключає захисні механізми, закладені виробником мобільної платформи або операційної системи.

Щоб виключити несанкціоноване використання послуг віддалені канали обслуговування, клієнт зобов`язується не залишати свій комп`ютер/телефон/пристрій, з використанням якого здійснюється отримання клієнтом послуг, без нагляду (п.3.2.7 Умов і Правила надання банківських послуг в АТ "Акцент - Банк").

Згідно п. 3.2.9 Умов і Правил надання банківських послуг в АТ "Акцент - Банк клієнт несе відповідальність в повному обсязі за всі операції, що супроводжуються авторизацією, до моменту письмової заяви Клієнта про блокування картки / рахунку / на рух коштів, номера мобільного телефону на надання банківських послуг.

Відповідно до п. 3.2.10 Умов і Правила надання банківських послуг в АТ "Акцент - Банк" клієнт зобов`язаний зберігати ПІН-код, Коди доступу, Аутентифікаційні дані в таємниці і ні за яких обставин не повідомляти їх третім особам. У разі одержання Клієнтом інформації щодо несанкціонованих операцій з його карткою або при виникненні підозр щодо шахрайства, він повинен якнайшвидше звернутись до Центру клієнтської підтримки Банку за телефонами 7776 (безкоштовно з мобільних в межах України), НОМЕР_7 (для дзвінків з-за кордону) (п.3.2.11 "Умови і Правила надання банківських послуг в АТ "Акцент - Банк").

Згідно пункту 3.2.12 Умов і Правил надання банківських послуг в АТ "Акцент - Банк у разі втрати Картки / ПІНа / постійного пароля / одноразових паролів або виникнення у Користувача підозр, що Картка / ПІН / постійний пароль /одноразові паролі могли бути загублені, або виникнення ризику несанкціонованого використання Картки / ПІНа / постійного пароля / одноразових паролів Держатель повинен негайно виконати одну з наступних дій:

- звернутися до Банку за телефонами 7776 (Безкоштовно з мобільних в межах України), НОМЕР_7 (Для дзвінків з-за кордону);

- якщо Клієнт підключений до мобільного додатку ABank24 - виконати дії, необхідні для припинення дії картки відповідно до Керівництва з використання сервісу.

Вказані вище вимоги Умов та Правил узгоджуються з вимогами Закону України "Про платіжні послуги" та Інструкцією про безготівкові розрахунки в національній валюті користувачів платіжних послуг, затвердженою Постановою НБУ №163 від 29.07.2022 .

Так, ст. 86 Закону України "Про платіжні послуги" встановлено відповідальність надавачів платіжних послуг під час виконання платіжних операцій, а ст. 87 цього Закону визначено відповідальність платників під час виконання платіжних операцій.

Надавач платіжних послуг несе відповідальність перед користувачами за невиконання або неналежне виконання платіжних операцій відповідно до закону та умов укладених між ними договорів, якщо не доведе, що платіжні операції виконані цим надавачем платіжних послуг належним чином.

Надавачі платіжних послуг несуть відповідальність, визначену цим Законом, за виконання помилкової, неакцептованої платіжної операції або виконання платіжної операції з порушенням установлених цим Законом строків.

Користувачі мають право на відшкодування в судовому порядку шкоди, заподіяної надавачем платіжних послуг внаслідок помилкової, неналежної, неакцептованої платіжної операції або виконання платіжної операції з порушенням установлених цим Законом строків (ч. 1-3 ст. 86 Закону).

Платник зобов`язаний відшкодувати шкоду, заподіяну надавачу платіжних послуг, що його обслуговує, внаслідок недотримання цим платником вимог щодо захисту інформації і здійснення неправомірних дій з компонентами платіжної інфраструктури (у тому числі платіжними інструментами, обладнанням, програмним забезпеченням). У разі недотримання користувачем зазначених вимог надавач платіжних послуг, що обслуговує платника, звільняється від відповідальності перед платником за виконання платіжних операцій (ч. 3 ст. 87 Закону).

Пунктом 46 Інструкції про безготівкові розрахунки в національній валюті користувачів платіжних послуг встановлено, що Платник для ініціювання платіжних операцій має право використовувати один або кілька засобів дистанційної комунікації з надавачем платіжних послуг платника. Порядок застосування засобів дистанційної комунікації, передавання платіжної інструкції, права, обов`язки та відповідальність сторін, порядок вирішення спорів у разі їх виникнення визначаються умовами договору між надавачем платіжних послуг платника та платником...Платник під час використання засобу дистанційної комунікації повинен дотримуватися всіх вимог, що встановлює надавач платіжних послуг платника, з питань безпеки оброблення платіжних інструкцій в електронній формі.

Отже у цій справі суду належало відповісти на питання, чи була платіжна операція акцептованою; чи підтверджено належними доказами у справі хто саме ініціював вказану платіжну операцію; чи дотримався під час здійснення та виконання цієї операції позивач та відповідач тих вимог, які встановлені у Законі України "Про платіжні послуги", а також договором, що був укладений між сторонами; чи наявні підстави для відповідальності відповідача з урахуванням вимог чинного законодавства, яке діяло на час виникнення спірних правовідносин. Але, вказаного судом першої інстанції здійснено не було.

Так під час вирішення цієї справи суд першої інстанції застосував норми матеріального права, які не повинні були застосовуватися, оскільки вони втратили чинність на час виникнення спірних правовідносин.

Так, суд першої інстанції у рішенні посилався на норми Інструкції № 492, затвердженої Постановою НБУ від 12.11.2003 № 492, та ст. 32 Закону України "Про платіжні системи та переказ коштів в Україні".

Однак обидва акти втратили чинність з 01.08.2022: Інструкція № 492 - на підставі Постанови НБУ № 118 від 13.06.2022; Закон - у зв`язку з набранням чинності Законом "Про платіжні послуги".

Невірним також є застосування судом Інструкції №22 (Постанова НБУ №22 від 21.01.2004), оскільки зазначена Інструкція втратила чинність з 01.08.2022 на підставі Постанови НБУ №118 від 13.06.2022.

Посилання суду на положення Закону України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення" є також помилковим, оскільки цей Закон втратив чинність у 2020 році.

Щодо застосування судом першої інстанції практики Верховного суду, апеляційний суд звертає увагу на те, що вказана практика не є релевантною для цієї справи, оскільки ця практика стосувалась несанкціонованих операцій з платіжними картками (ПІН-код, фізична присутність тощо), яка регулювала інший правовий режим і не враховує специфіку дистанційного банківського обслуговування за новим Законом України «Про платіжні послуги».

Так, суд першої інстанції посилається на судову практику, яка стосується матеріальних норм, які втратили чинність.

Відповідно до постанови Великої Палати Верховного Суду від 15 травня 2018 року у справі № 373/1281/16-ц (провадження № 14-128цс18) "під судовими рішеннями в подібних правовідносинах слід розуміти такі рішення, де тотожними є предмети спору, підстави позову, зміст позовних вимог та встановлені фактичні обставини, а також має місце однакове матеріально-правове регулювання спірних відносин".

Отже, правові висновки Верховного Суду, які зроблено на підставі правових норм, що втратили свою чинність, не можуть бути застосовані до спірних правовідносин, у зв`язку з неоднаковим матеріально-правовим регулюванням спірних відносин.

Відповідні правовідносини регулюються Законом України "Про платіжні послуги", Цивільним кодексом України, Інструкцією, затвердженою Постановою НБУ №163 від 29.07.2022, договором, укладеним між сторонами.

Надаючи оцінку тим обставинам справи, які були встановлені судом першої інстанції, а також обставинам справи, які були додатково встановлені апеляційним судом, апеляційний суд вказує на таке.

Сторонами не заперечується, що 29.09.2025 о 12 год.59хв. головним бухгалтером було здійснено підтвердження входу до банківського он-лайн кабінету для допуску бухгалтера по заробітній платі для формування відомості лікарні по заробітній платі й о 13:00:17 відбулася авторизаційна сесія з унікальним ідентифікатором auth sid a249201b05effcb4c48b56e9cd75caacad7.

Сесія ініційована з фінансового номера НОМЕР_6 (номер головного бухгалтера Берестовської Олени Миколаївни, закріплений у Заяві про приєднання від 19.02.2025).

Об 13год.18хв.10сек. програмою було сформовано загальну зарплатну відомість на суму 177 536,54 грн. з призначенням платежу "Заробітна плата за 2 пол.вересня 2025; згідно відомості".

В подальшому, 13 год.19хв.35сек. того же дня АТ "А-Банк" було проведено списання з рахунку КНП СОР "ОДКЛ" коштів в сумі 177 536,54 грн. з призначенням платежу "Перерахов.кошти для зарахування заробітної плати, період 01.09.2025-29.09.2025" для перерахування заробітної плати на карткові рахунки працівників.

Після цього авторизована сесія клієнтом завершена не була.

Це підтверджує сам позивач, вказавши у позові про те, що: "Не зважаючи на те, що операція щодо виплати заробітної плати працівникам лікарні вже була проведена, доступ до подальших операцій по рахунку в онлайн кабінеті лікарні банк не закрив".

Водночас апеляційний суд зауважує, що доводи позивача про те, що банк був зобов`язаний самостійно припинити доступ до системи дистанційного обслуговування після здійснення попередньої легальної операції, є безпідставними та суперечать суті функціонування систем дистанційного банківського обслуговування, оскільки ця система працює за принципом суб`єктивного контролю авторизованого сеансу з боку користувача. Банк забезпечує технічну можливість здійснення платежів, однак саме користувач (головний бухгалтер) приймає рішення щодо початку, тривалості та завершення роботи в особистому кабінеті. Здійснення будь-яких дій у системі відбувається шляхом активного волевиявлення клієнта.

Так, авторизована сесія в системі дистанційного обслуговування залишається активною до моменту натискання користувачем кнопки "Вихід" (завершення сесії) або спливу встановленого правилами системи дистанційного обслуговування тайм-ауту неактивності (якщо користувач не здійснює жодних дій протягом визначеного часу).

Тому, у відповідача були відсутні підстави достроково або примусово переривати сесію клієнта одразу після виконання окремого платежу, оскільки це унеможливило б подальшу оперативну роботу користувача з іншими рахунками чи документами.

В подальшому, о 13:54:50 платіжна інструкція на 4 980 000 грн була прийнята до виконання та підписана кваліфікованим електронним підписом (КЕП) уповноваженої особи - Берестовської О.М.

О 13:56:37 та 13:56:38 push-сповіщення про списання 4 980 000 грн були успішно доставлені на два фінансові номери, зареєстровані за позивачем.

Сесія проводилася з типового для позивача пристрою Samsung SM-N986B (модель devicemodel, IMEI/devise id 8ad49a524eb9e7c0), IP-адреси НОМЕР_5 .

Апеляційний суд звертає увагу на те, що після отримання головним бухгалтером на телефон push-сповіщення про списання 4 980 000 грн. (13:56:37 та 13:56:38 29.09.25) і до звернення позивача до банку з повідомленням про несанкціоноване списання коштів пройшло близько трьох календарних днів, оскільки позивач звернувся до банку лише 01.10.25.

Твердження позивача про те, що головний бухгалтер не мав інформації про проведений платіж ще 29.09.25 сприймається апеляційним судом критично, адже саме на її телефон надійшли push-сповіщення про списання 4 980 000 грн. і саме на її телефоні було встановлено мобільний додаток, за допомогою якого лікарнею здійснювались усі платежі.

Відповідно до п. 70 ст. 1 Закону України «Про платіжні послуги» посилена автентифікація - це процедура автентифікації, яка передбачає використання двох чи більше сукупностей даних, що належать до таких різних категорій: а) знань (володіння інформацією (даними), що відома лише користувачу); б) володінь (застосування матеріального предмета, яким володіє лише користувач); в) притаманність (перевірка біометричних даних або інших властивостей (рис, характеристик), притаманних лише користувачу, що відрізняють його від інших користувачів).

Відповідно до ст. 68 Закону України "Про платіжні послуги" електронна взаємодія надавача платіжних послуг із користувачем здійснюється лише після автентифікації користувача, який є фізичною особою, або уповноваженого представника користувача, який є юридичною особою. Під час виконання автентифікації надавачі платіжних послуг зобов`язані виконувати вимоги Національного банку України щодо захисту конфіденційності та цілісності індивідуальної облікової інформації користувачів.

Надавачі платіжних послуг зобов`язані застосовувати посилену автентифікацію користувача під час: 1) отримання користувачем доступу до рахунку за допомогою засобів дистанційної комунікації; 2) ініціювання дистанційної платіжної операції; 3) будь-яких інших дій у разі підозри вчинення шахрайства (або існування ризику шахрайства) чи інших неправомірних дій (або існування ризику вчинення інших неправомірних дій).

Надавачі платіжних послуг зобов`язані розробити та застосовувати елементи посиленої автентифікації, які мають бути незалежними, щоб виявлення факту несанкціонованого доступу до одного захищеного елемента або його розголошення не загрожувало надійності інших елементів, а також запровадити заходи із забезпечення захисту конфіденційності даних автентифікації.

Для проведення дистанційних платіжних операцій надавачі платіжних послуг зобов`язані застосовувати посилену автентифікацію платника, що включає використання унікальних для кожної окремої операції даних, які дають змогу пов`язувати (в результаті виконання алгоритму співставляти контрольний показник з даними операції) операцію на певну суму і конкретного отримувача.

Апеляційний суд погоджується з позицією скаржника, що під час входу позивачем в систему дистанційного банківського обслуговування банком була виконана посилена автентифікація користувача. Вказана посилена автентифікація включала: перевірку використання справжнього підпису та пароля клієнта; перевірку того, що авторизаційну сесію ініційовано з фінансового номера бухгалтера з типового пристрою та IP-адреси; перевірка того, що підписання платіжної інструкції (про перерахування спірної суми) було здійснено за допомогою кваліфікованого електронного підпису (КЕП) клієнта.

Апеляційний суд зазначає, що для того щоб посилена автентифікація (динамічне пов`язування) вважалася виконаною за законом, банк має використати щонайменше два незалежні фактори з трьох можливих категорій: знання (те, що знає тільки користувач: пароль, PIN-код); володіння (те, чим володіє тільки користувач: смартфон із додатком банку, де отримується Push-повідомлення, або фізичний носій КЕП/токен); невід`ємна властивість (біометрія: відбиток пальця, Face ID).

Сторони не заперечують, та матеріалами справи не спростовано, що списання 4 980 000 грн. відбулось після того, як позивач за допомогою власного пароля зайшов у застосунок на своєму (типовому) пристрої, тобто розпочав авторизовану сесію. Після цього здійснив один платіж (нарахування заробітної плати) та не завершуючи авторизовану сесію, з використанням КЕП головного бухгалтера з введенням особистого пароля до нього провів другий платіж (4 980 000 грн.). При цьому відповідач, як і належить, здійснив відправку та підтвердження Push-повідомлення на пристрої (смартфоні), який заздалегідь прив`язаний до цього користувача.

Push-повідомлення - це коротке сповіщення, яке автоматично виринає на екрані смартфона або комп`ютера від встановленого додатка (у даному випадку - банківського додатка або додатку автентифікації). Основною характеристикою Push-повідомлення є те, що воно безпосередньо прив?язане до пристрою, оскільки воно надходить не на номер SIM-карти (як звичайне SMS), а безпосередньо в мобільний додаток банку, встановлений на конкретному смартфоні.

Як вже зазначалось вище, позивач отримав 29.09.2025 о 13:56:37, Push-повідомлення такого змісту: - 4980000,0 UAH з 2600*1079 на ТОВ "МІЛАНАБУД". Оплата за послуги згідно акту № 126 від 29.09.2025, без ПДВ. Баланс 5123749,62 UAH.

Колегія суддів дійшла висновку про те, що операція на суму 4 980 000,00 грн є акцептованою, оскільки була ініційована в авторизаційний сесії, яка розпочалася о 13:00:17 29.09.2025 з фінансового номера НОМЕР_6, закріпленого за головним бухгалтером Берестовською О.М. Проводилася з типового пристрою позивача Samsung SM-N986B з IP-адреси НОМЕР_5 . Платіжна інструкція о 13:54:50 була підписана кваліфікованим електронним підписом уповноваженої особи Позивача. Банк отримав та виконав інструкцію після успішної посиленої автентифікації та на два фінансові номери Позивача відразу були доставлені push-сповіщення.

Окремо апеляційний суд звертає увагу на те, що використання кваліфікованого електронного підпису (КЕП) відповідно до Закону України «Про електронну ідентифікацію та електронні довірчі послуги», КЕП має таку саму юридичну силу, як і власноручний підпис на паперовому документі. Тобто накладання КЕП означає, що клієнт особисто підтвердив волевиявлення на перерахунок саме цієї суми саме цьому отримувачу.

Отже, банк отримав явну згоду платника на виконання операції у формі, передбаченій законом та договором.

Відтак, апеляційний суд доходить висновку про те, що відповідачем було дотримано проведення посиленої автентифікації, а доводи позивача в цій частині не підтверджуються як власними поясненнями, так й матеріалами справи. Натомість зазначені технічні дані операції: авторизаційна сесія, типовий пристрій, використання постійної IP-адреси, використання власного КЕП, push-доставка у сукупності безспірно підтверджують отримання згоди платника на виконання операції, тобто її акцептованість.

Матеріалами справи (експертизою, проведеною в кримінальному провадженні) підтверджується, та не заперечується позивачем, що 11.08.2025 на комп`ютер бухгалтера позивача було інстальовано засіб віддаленого керування Remote Manipulator System Host, на цьому ж комп`ютері виявлено артефакти шкідливого програмного забезпечення сімейства Remcos RAT, саме через цей комп`ютер, за даними поліції та висновку КТ-експертизи № СЕ-19/119-25/18769-КТ від 16.12.2025, у подальшому було виконано спірний переказ 4 980 000 грн.

При цьому, встановлення шкідливого програмного забезпечення відбулася виключно в клієнтському середовищі (зона виключної відповідальності позивача), що прямо виключає відповідальність банку, що узгоджується з ч. 3 ст. 87 Закону України «Про платіжні послуги» та Умовами та правилами надання Банківських послуг.

Водночас, апеляційний суд зазначає, що доказів використання засобу віддаленного керування для здійснення спірної операції до матеріалів справи не надано.

З наведеного вбачається, що вказана операція могла бути ініційована як невстановленими особами (за допомогою встановленої на ком?ютері бухгалтера програми дистанційного керування), так і особисто головним бухгалтером позивача.

Відповідно до пунктів 39 та 69 ст. 1 Закону України «Про платіжні послуги»

неакцептована платіжна операція - платіжна операція, виконана надавачем платіжних послуг платника на підставі наданої ініціатором платіжної інструкції без отримання згоди платника (крім примусового списання (стягнення) або після відкликання такої згоди;

помилкова платіжна операція - платіжна операція, внаслідок якої з вини надавача платіжних послуг здійснюється списання коштів з рахунку неналежного платника та/або зарахування коштів на рахунок неналежного отримувача чи видача йому коштів у готівковій формі;

Проаналізувавши наявні у справі докази, апеляційний суд вказує про те, що позивачем не доведено, яке саме положення Закону України, іншого нормативно-правового акту, або договору не було дотримано відповідачем при проведенні спірної платіжної операції, як і те, що вказана операція була неакцептованою або помилковою.

Водночас, відповідачем було доведена його правомірна поведінка під час здійснення ним платіжної операції, тобто відсутність вини в тому, що позивачем або 3-ою невстановленою особою, було ініційовано платіжний переказ на суму 4 980 000 грн. з розрахункового рахунку позивача.

Відповідно до пунктів 1, 3, 4 частини першої статті 277 Господарського процесуального кодексу України підставами для скасування судового рішення повністю або частково та ухвалення нового рішення у відповідній частині або зміни судового рішення є не з`ясування обставин, що мають значення для справи; невідповідність висновків, викладених у рішенні суду першої інстанції, встановленим обставинам справи, порушення норм процесуального права або неправильне застосування норм матеріального права.

За викладених обставин, колегія суддів апеляційної інстанції вважає, що висновки суду не відповідають фактичним обставинам та матеріалам справи, суд ухвалив рішення внаслідок неправильного застосування норм матеріального права, а також не з?ясував усі обставини, що мають значення для правильного вирішення справи.

Враховуючи вищевикладене колегія суддів апеляційного господарського суду вважає, що апеляційна скарга підлягає задоволенню, рішення Господарського суду Дніпропетровської області від 21.04.2026 у справі № 904/6517/25 необхідно скасувати. Прийняти нове рішення, яким у задоволенні позову слід відмовити повністю.

Зважаючи на задоволення апеляційної скарги відповідача, судові витрати, понесені у зв`язку із апеляційними оскарженнями, згідно статті 129 Господарського процесуального кодексу України слід покласти на позивача.

Керуючись ст. ст. 269, 275, 276, 282-284 Господарського процесуального кодексу України, суд,

ПОСТАНОВИВ:

Апеляційну скаргу Акціонерного товариства "Акцент-Банк" на рішення Господарського суду Дніпропетровської області від 21.04.2026 у справі №904/6517/25 - задовольнити.

Рішення Господарського суду Дніпропетровської області від 21.04.2026 у справі №904/6517/25 - скасувати.

Ухвалити нове рішення, яким у задоволенні позовних вимог відмовити повністю.

Стягнути з Комунального некомерційного підприємства Сумської обласної ради "Обласна дитяча клінічна лікарня" на користь Акціонерного товариства "Акцент-Банк" судовий збір за подання апеляційної скарги у розмірі 89 640,00 грн.

Видачу відповідного наказу, з урахуванням реквізитів, доручити Господарському суду Дніпропетровської області.

Постанова набирає законної сили з дня її ухвалення. Право касаційного оскарження, строк на касаційне оскарження та порядок подання касаційної скарги передбачено статтями 286-289 Господарського процесуального кодексу України.

Повний текст постанови виготовлено і підписано 10.08.2026.

Головуючий суддя Я.С. Золотарьова

Суддя С.В. Мартинюк

Суддя Ю.В. Фещенко