Кибератаки создают риски для расчетов и договоров бизнеса

Хакерская атака может остановить работу сайта, лишить компанию доступа к учетным данным, сорвать расчеты с контрагентами или изменить результаты электронных торгов. При этом последствия технического сбоя не ограничиваются затратами на восстановление информационных систем. Бизнес рискует столкнуться с требованиями о возврате денежных средств, взысканием неустоек, потерей заказов и невозможностью компенсировать понесенные убытки. Судебная практика показывает, что сам факт кибератаки не определяет, кто должен отвечать за ее последствия. При разрешении споров суды выясняют, какие обязательства оказались нарушены, предусматривал ли договор защиту от киберугроз, можно ли было продолжить работу альтернативными способами и чем подтверждается причиненный ущерб.

Кибератака не освобождает от долгов перед контрагентами

Утрата доступа к учетной системе не освобождает компанию от обязанности перечислить деньги, полученные от клиентов. Если сведения о расчетах оказались недоступны после взлома, должнику придется доказать не только саму атаку, но и ее влияние на возможность исполнить конкретное обязательство.

К примеру, по агентскому договору курьерская служба доставляла покупателям заказы, принимала от них оплату и должна была перечислять полученные средства заказчику.

[cta-form text="После сбоя утрачены бухгалтерские документы? Поможем восстановить доказательства операций"]

За несколько месяцев агент накопил задолженность в размере 101,85 млн руб. Принципал обратился в суд с требованием о взыскании этой суммы и договорной неустойки в размере 2,08 млн руб.

Агент оспаривал требования, ссылаясь на хакерскую атаку на информационную базу. По утверждению компании, из-за взлома она не могла определить размер задолженности, а произошедшее следовало признать обстоятельством непреодолимой силы.

Суд отклонил эти доводы по двум причинам:

• не доказан сам факт атаки. Ответчик не представил документов, подтверждающих обстоятельства, на которые ссылался;
• не установлена связь между атакой и неисполнением обязательства. Компания не объяснила и не подтвердила, почему предполагаемый взлом базы данных делал невозможным перечисление полученных денежных средств.

При этом задолженность подтверждалась отчетами агента и актами передачи заказов курьеру. Ответчик не опроверг эти документы и не представил обоснованного контррасчета.

Таким образом, ссылка на потерю учетных данных не помогла агенту избежать взыскания более 103 млн рублей задолженности и неустойки. Суд исходил из того, что невозможность самостоятельно определить сумму долга не доказывает невозможность перечислить полученные от покупателей деньги. Тем более что размер обязательств подтверждался документами, которыми располагал контрагент, а ответчик не представил доказательств, опровергающих эти сведения (постановление Девятого арбитражного апелляционного суда от 29.03.2023 по делу № А40-129508/2022).

Кибератака может оставить бизнес без сайта и клиентов

Для компаний, которые привлекают клиентов через интернет, кибератака может означать не только временную недоступность сайта, но и потерю заказов, необходимость оплачивать восстановительные работы и риск утраты цифровых материалов.

Однако взыскать эти потери с исполнителя, обслуживающего сайт, значительно сложнее, чем подтвердить сам факт технического сбоя.

[cta-form text="Контрагент требует неустойку после кибератаки? Проверим законность начислений"]

К примеру, компания, занимавшаяся бронированием путевок в санатории, использовала специализированный онлайн-сервис, размещенный на серверах одного хостинг-провайдера.

В апреле 2023 года произошел сбой серверов, в результате которого сайт оказался временно недоступен. Для восстановления его работы пришлось привлекать сторонних специалистов, а отсутствие доступа к сайту привело к потере клиентов компании и сокращению продаж.

Компания потребовала взыскать с провайдера более 5,26 млн руб., в том числе:

• 1,28 млн руб. реального ущерба — расходов, связанных с восстановлением сайта;
• 3,98 млн руб. упущенной выгоды — доходов, которые компания рассчитывала получить от бронирования путевок.

Первая инстанция удовлетворила иск. Однако апелляционный суд отказал во взыскании убытков, а кассация поддержала это решение.

Основная проблема заключалась в недостаточности доказательств нарушения обязательств провайдером и возникновения заявленных потерь.

Во-первых, договор предусматривал предоставление услуг хостинга, но не возлагал на исполнителя обязанность защищать данные заказчика от неправомерных действий третьих лиц. Защита от DDoS-атак предлагалась как дополнительная услуга, которую заказчик не приобретал.

Во-вторых, провайдер представил доказательства восстановления доступности сайта с 26 апреля 2023 года. Заказчик утверждал, что сайт оставался недоступным значительно дольше, однако не смог убедительно опровергнуть эти сведения.

В-третьих, документы об оплате восстановительных работ не подтверждали, что именно эти работы потребовались вследствие апрельского сбоя. Суд также обратил внимание на отсутствие обоснования необходимости привлечения шести специалистов в разные периоды.

Наконец, заказчик не доказал упущенную выгоду. Представленных сравнительных данных о выручке оказалось недостаточно, чтобы установить размер дохода, потерянного непосредственно из-за сбоя. При этом компания продолжала предлагать бронирование путевок по телефону и другими способами.

В результате компания не смогла взыскать ни расходы на восстановление сайта, ни упущенную выгоду. Сам факт прекращения онлайн-продаж не означал нарушения обязательств хостинг-провайдером и не подтверждал размер финансовых потерь. Для взыскания убытков требовалось установить, за какие последствия сбоя отвечал исполнитель, какие восстановительные работы были необходимы и сколько заказов компания действительно потеряла из-за недоступности сайта.

Особенно важно, что наличие альтернативных каналов бронирования повлияло на оценку упущенной выгоды. Если клиенты могли оформить заказ по телефону, снижение онлайн-продаж нельзя автоматически приравнивать к потере соответствующего дохода (постановление Арбитражного суда Северо-Западного округа от 17.03.2026 по делу № А56-85885/2024).

Таким образом, если сайт используется для продаж, необходимо фиксировать не только период его недоступности, но и последствия для конкретных операций. Для подтверждения упущенной выгоды могут иметь значение сведения о несостоявшихся заказах, динамика обращений клиентов, история бронирований и данные о доступности альтернативных каналов продаж.

Само по себе снижение выручки за период сбоя не доказывает, что вся разница возникла вследствие кибератаки.

В другом деле АО потребовало возместить убытки после атаки на серверную инфраструктуру подрядчика ООО. Однако, суды пришли к выводу, что потеря сайта не означает, что исполнитель обязан оплатить его создание заново.

Так, исполнитель сообщил заказчику, что в результате хакерской атаки была уничтожена серверная инфраструктура, включая клиентские сайты и архивные проекты. АО утратило доступ к своему сайту и заявил требование о взыскании 1,47 млн руб.

Заказчик считал, что исполнитель обязан был обеспечить защиту сайта от несанкционированного доступа и DDoS-атак. Однако суд разграничил обязательства по разработке сайта и последующему оказанию услуг по его размещению и обслуживанию.

При оценке условий договора суд пришел к выводу, что исполнитель не принимал на себя обязательств по защите от атак, направленных на полное уничтожение серверной инфраструктуры, и обеспечению сохранности сайта от таких угроз.

Кроме того, АО не доказало невозможность восстановления сайта. Исполнитель представил носитель с копией сайта и данными за 2018 год, а заказчик не подтвердил, что эти материалы непригодны для восстановления.

В результате заказчик не смог взыскать 1,47 млн рублей, несмотря на утрату доступа к сайту после хакерской атаки. Суд разграничил расходы на первоначальную разработку сайта и убытки, возникшие вследствие его последующей утраты. Стоимость создания ресурса почти за десять лет до спора сама по себе не подтверждала, сколько потребуется потратить на восстановление сайта после атаки.

Кроме того, заказчик не доказал непригодность предоставленной исполнителем резервной копии. Поэтому даже уничтожение серверной инфраструктуры подрядчика не стало достаточным основанием для возмещения заявленной суммы (постановление Девятого арбитражного апелляционного суда от 21.08.2023 по делу № А40-293189/2022).

Кибератака может привести к отмене результатов торгов

Кибератака на электронную торговую площадку может привести к отмене уже состоявшегося этапа закупки и повторному приему ценовых предложений. Даже участник, успевший подать единственное зарегистрированное предложение, не может рассчитывать на сохранение такого преимущества, если технический сбой помешал конкурентам участвовать в торгах.

[cta-form text="Кибератака сорвала исполнение контракта? Поможем доказать обстоятельства форс-мажора"]

Такой спор возник при проведении электронного аукциона на проектирование и строительство сетей водоснабжения для Сыктывкарского водоканала.

В закупке участвовали две компании. Во время подачи ценовых предложений на площадке «РТС-тендер» возникли технические сложности, вызванные DDoS-атакой.

В результате ценовое предложение одного из участников не было зарегистрировано. Оператор площадки подтвердил, что технические проблемы продолжались с 8:50 до 13:37 и не все участники смогли реализовать право на участие в торгах.

После получения информации о сбое заказчик отменил протокол подачи ценовых предложений и назначил повторное проведение этого этапа закупки. Участник, успевший подать единственное зарегистрированное ценовое предложение, пытался оспорить эти действия, полагая, что закупочная процедура была изменена неправомерно.

Однако антимонопольный орган не нашел нарушений, а суды поддержали его решение.

При рассмотрении спора суд учел, что:

• технические сложности были подтверждены документами оператора электронной площадки;
• сбой препятствовал регистрации ценового предложения одного из участников;
• из-за DDoS-атаки, помешавшей конкуренту участвовать в торгах, заказчик отменил соответствующие протоколы и назначил новую дату подачи ценовых предложений, чтобы восстановить равные возможности участников закупки;
• действия заказчика соответствовали требованиям Федерального закона от 18.07.2011 № 223-ФЗ «О закупках товаров, работ, услуг отдельными видами юридических лиц».

Суды признали действия заказчика правомерными, поскольку DDoS-атака нарушила равные возможности участников закупки. Таким образом, технический сбой может повлечь пересмотр промежуточных результатов закупки даже при отсутствии нарушений со стороны участника, успевшего подать предложение. При этом само по себе наличие зарегистрированного ценового предложения не гарантирует заключения контракта, если из-за атаки другие участники были лишены возможности конкурировать (постановление Второго арбитражного апелляционного суда от 17.07.2025 по делу № А29-14174/2024).

Признается ли кибератака форс-мажором

Кибератаки могут стать причиной неисполнения договорных обязательств, но российское законодательство не относит любую хакерскую атаку к обстоятельствам непреодолимой силы автоматически.

[cta-form text="Из-за сбоя нарушены сроки исполнения договора? Поможем снизить финансовые риски"]

По общему правилу предприниматель несет ответственность за нарушение обязательства, если не докажет, что надлежащее исполнение оказалось невозможным вследствие чрезвычайных и непредотвратимых обстоятельств (п. 3 ст. 401 Гражданского кодекса).

Для признания обстоятельства непреодолимой силой необходимы чрезвычайность, непредотвратимость при данных условиях и внешний по отношению к деятельности должника характер события (п. 8 постановления Пленума Верховного суда от 24.03.2016 № 7).

Следовательно, при ссылке на кибератаку компания должна подтвердить несколько обстоятельств:

1. факт и характер кибератаки. Необходимо установить, что произошел именно внешний инцидент, а не обычная техническая неисправность или ошибка в работе информационной системы. В качестве доказательств могут использоваться журналы событий, технические отчеты, результаты расследования инцидента, сообщения оператора цифрового сервиса и заключения специалистов;

2. чрезвычайность и непредотвратимость. Сам по себе факт противоправных действий третьих лиц не означает, что их последствия невозможно было предотвратить. Суд оценивает обстоятельства конкретного случая, в том числе характер атаки и возможность избежать ее последствий при осуществлении аналогичной деятельности;

3. невозможность исполнить конкретное обязательство. Компания должна показать, какие именно действия не могла совершить из-за атаки. К примеру, отсутствие доступа к учетной базе еще не подтверждает невозможность перечислить деньги контрагенту. А недоступность электронной площадки непосредственно в период подачи ценовых предложений может препятствовать участию в закупке;

4. причинную связь между атакой и нарушением. Необходимо подтвердить, что обязательство не исполнено именно вследствие кибератаки, а не по другим причинам. Это особенно важно, если компания и до инцидента допускала просрочки либо могла исполнить обязательство другим способом;

5. продолжительность препятствий. Если атака привела лишь к временному ограничению доступа, необходимо установить, когда возникли препятствия и когда появилась возможность возобновить исполнение.

При этом нужно учитывать еще одно важное правило: непреодолимая сила освобождает от ответственности за нарушение обязательства, но сама по себе не прекращает обязанность его исполнить, если после устранения препятствий исполнение остается возможным.

К примеру, с поставщика топлива, который из-за DDoS-атаки временно не мог обслуживать топливные карты заказчика, пытались взыскать штраф.

ООО исполняло государственный контракт на хранение и отпуск топлива через сеть АЗС. Отпуск осуществлялся по электронным картам с установленными лимитами. В период новогодних праздников DDoS-атака нарушила работу сервера, обеспечивавшего функционирование карточной системы. В результате на некоторых заправках поставщик не мог получать информацию о лимитах и отпускать топливо.

Заказчик зафиксировал 14 случаев нарушения обязательств и потребовал взыскать с поставщика штраф в размере 10,98 млн рублей. Поставщик возражал, указывая, что сбой произошел вследствие хакерской атаки, а потому оснований для привлечения его к ответственности нет.

Суд первой инстанции отклонил доводы о форс-мажоре, однако снизил штраф до 70 тыс. рублей, поскольку заказчик неправильно определил размер санкций.

Апелляционный суд занял другую позицию. Он признал DDoS-атаку обстоятельством непреодолимой силы, поскольку ее последствия непосредственно препятствовали исполнению обязательств по контракту.

При этом суд опирался не только на объяснения поставщика. В материалах дела имелось письмо организации, обслуживавшей информационную инфраструктуру, подтверждавшее, что с 1 по 3 января 2022 года DDoS-атаки вызвали нарушение интернет-трафика и потерю доступа к серверу. Суд установил, что временная невозможность отпуска топлива возникла вследствие сбоя информационной системы, а не действий или бездействия поставщика.

Кроме того, апелляция установила самостоятельное основание для отказа во взыскании штрафа. Контракт был фактически исполнен полностью, а правильно рассчитанный штраф составлял 70 тыс. рублей — менее 5% цены контракта. Поэтому он подлежал списанию по специальным правилам, установленным постановлением Правительства от 04.07.2018 № 783 (постановление Шестнадцатого арбитражного апелляционного суда от 15.08.2023 по делу № А15-1085/2022).

Таким образом, поставщик избежал взыскания штрафа по двум самостоятельным основаниям. Во-первых, суд признал доказанной связь DDoS-атаки с невозможностью отпускать топливо по электронным картам. Во-вторых, установил предусмотренные законодательством условия для списания начисленной санкции.

Для исполнителей государственных контрактов это означает, что при оспаривании штрафов следует проверять не только возможность ссылаться на непреодолимую силу, но и наличие специальных оснований для списания неустоек. Даже если доказать форс-мажор не удастся, такие основания могут иметь самостоятельное значение.

В то же время даже прямое указание на хакерские атаки в договоре не гарантирует освобождения от ответственности. В одном из споров продавец автомобилей включил в договор с покупателем условие, относившее к обстоятельствам непреодолимой силы в том числе сбои, вызванные хакерскими и DOS-атаками. Суд признал такое расширительное определение форс-мажора ущемляющим права потребителя, поскольку оно не соответствует установленным законом критериям непреодолимой силы (постановление Одиннадцатого ААС от 29.06.2022 по делу № А65-3862/2022).

То есть прямое включение хакерских атак в перечень обстоятельств непреодолимой силы не означает, что любое нарушение обязательства вследствие такого события освобождает сторону от ответственности. В рассмотренном споре суд оценивал не последствия реальной кибератаки, а законность договорного условия, расширявшего основания освобождения продавца от ответственности перед потребителем. Поэтому данный вывод нельзя автоматически распространять на договоры между предпринимателями, в которых стороны вправе согласовывать специальные условия об ответственности в пределах, допускаемых законом.

Как бизнесу подготовиться к спорам после кибератаки

Рассмотренная судебная практика позволяет выделить несколько мер, которые помогут компании подтвердить причины нарушения обязательств, обосновать размер убытков или защититься от необоснованных требований контрагентов.

Во-первых, предусмотреть резервные способы исполнения обязательств и сохранения документов. Если расчеты, продажи или обмен документами полностью зависят от одного цифрового сервиса, его недоступность может остановить работу компании. Поэтому следует заранее определить, какие операции можно выполнять без основной информационной системы, и обеспечить возможность подтвердить их по другим источникам: банковским выпискам, актам, отчетам агентов, первичным документам и переписке с контрагентами. Утрата внутренней учетной базы не означает исчезновения задолженности или невозможности установить ее размер по документам другой стороны. При возникновении сбоя необходимо фиксировать попытки продолжить исполнение обязательств и причины, по которым это оказалось невозможно.

Во-вторых, проверить договоры с ИТ-подрядчиками. Следует установить, кто отвечает за резервное копирование, защиту от DDoS-атак, сохранность данных и восстановление работоспособности сервисов. Важно проверить не только наличие соответствующих обязанностей, но и ограничения ответственности подрядчика, включая исключение упущенной выгоды и предельный размер возмещения. Отдельно стоит предусмотреть порядок передачи резервных копий и периодической проверки возможности восстановления данных. Именно содержание договоров и доказательства пригодности резервной копии имели существенное значение в рассмотренных спорах о потере сайтов.

В-третьих, установить порядок документирования киберинцидентов. Необходимо сохранять технические журналы, сообщения об ошибках, уведомления провайдера, результаты расследования и переписку с ИТ-подрядчиками. В документах следует отражать время начала и окончания сбоя, затронутые системы и конкретные операции, которые невозможно было выполнить. Если атака произошла на инфраструктуру стороннего оператора, важно получить от него письменное подтверждение инцидента. В деле о поставке топлива именно такое подтверждение помогло установить причину нарушения обязательств и признать DDoS-атаку форс-мажором.

В-четвертых, отдельно доказывать финансовые последствия сбоя. Расходы на восстановление необходимо подтверждать договорами, актами, платежными документами и обоснованием необходимости выполненных работ. Для взыскания упущенной выгоды потребуются доказательства реальной возможности получить доход: сведения о заказах, обращениях клиентов, бронированиях и обычных показателях продаж. При этом следует учитывать альтернативные способы получения заказов. Сам факт недоступности сайта не доказывает, что компания потеряла все продажи за соответствующий период.

В-пятых, своевременно уведомлять контрагентов о невозможности исполнения обязательств. В уведомлении следует указать, какие обязательства затронуты, когда возникли препятствия и какие меры компания принимает для восстановления работы. Необходимо соблюдать предусмотренный договором порядок уведомления и сохранять подтверждение его направления. После устранения сбоя следует сообщить контрагенту о возобновлении исполнения. Само уведомление не освобождает от ответственности, но помогает подтвердить действия компании после инцидента.

В-шестых, оперативно фиксировать сбои при участии в электронных закупках. Если из-за кибератаки невозможно подать заявку или ценовое предложение, следует сохранить сообщения об ошибках, зафиксировать время попыток подачи документов и незамедлительно обратиться к оператору площадки и заказчику. В рассмотренном деле о DDoS-атаке на электронную площадку именно подтвержденный технический сбой и обращение участника стали основанием для отмены определения подрядчика и повторного проведения этапа подачи ценовых предложений.

Таким образом, после кибератаки компании недостаточно доказать сам факт вмешательства в информационную систему. Для освобождения от ответственности необходимо подтвердить, почему атака препятствовала исполнению конкретного обязательства. Для взыскания убытков — доказать нарушение со стороны ответчика, причинную связь и размер потерь.

Поэтому юридическая защита бизнеса должна начинаться с фиксации обстоятельств инцидента, а не после предъявления претензии или подачи иска.