Взлом был. Улик не было
Компания выиграла две инстанции подряд и всё равно осталась без 16 миллионов. Во взлом суды поверили, оба. Просто в арбитраже верить мало.
Дело № А40-112564/2025, кассация Московского округа от 01.07.2026.
Фабула. Общество сдало НДС за третий и четвёртый кварталы 2021 года и налог заплатило: 4 236 864 и 4 158 140 рублей. Дальше три года тишины. 21.12.2024 от имени компании уходят уточнёнки, в которых налог вырастает до 7 862 556 и 15 290 619. В феврале 2025-го подаются корректировки обратно, к прежним суммам. На ЕНС уменьшение не отражается. 17 марта появляется решение о взыскании № 3126, и за два дня по инкассовым поручениям с компании уходит больше 16 миллионов.
А в декабре у неё взломали сервер. Неустановленное лицо подобрало логин с паролем, зашло удалённо и заархивировало рабочую информацию под своим. Приходящий администратор списался со взломщиками и перевёл им 62 000 рублей в криптовалюте за пароль. Разархивировали, а сервер оказался заражён; работу восстановили только к концу января. Бухгалтер всё это время формировал отчётность по битой базе.
Инспекция отказала: трёхлетний срок истёк.
Первая инстанция и апелляция компанию поддержали, и по срокам они были правы. НДС за четвёртый квартал 2021 года платился тремя долями, последняя 25 марта 2022 года (п. 1 ст. 174 НК в редакции тех лет), а уточнёнка подана 13.02.2025, внутри трёх лет. По третьему кварталу срок пропущен, но причина уважительная. Вчерашний случай был ровно обратным: там на этой арифметике всё и посыпалось.
Кассация отменила оба акта.
Не потому, что не поверила во взлом. Она посмотрела, чем взлом доказан. А доказан он ровно одной бумагой: постановлением оперуполномоченного об отказе в возбуждении уголовного дела. Вынесено оно на объяснениях двух человек, директора и того самого приходящего админа. Главбуха, который эти декларации сформировал и отправил, не опрашивали вообще.
Дальше цитата, ради которой я и полез в это дело:
«прямых доказательств хакерской атаки на сервер (так называемых „цифровых улик", к которым в том числе относятся логи и журналы событий, сетевой трафик, артефакты в файловой системе, дампы оперативной памяти, отчеты средств защиты, результаты специализированных проверок) в ходе доследственной проверки собрано не было, эксперт (специалист) не привлекался»
Без них объяснения двух лиц недопустимы (ст. 68 АПК), а постановление опера не имеет преюдициального значения (ч. 4 ст. 69 АПК). Дело ушло на новый круг, суду велено подумать о специалисте или экспертизе. Вишенка: в заседании представитель самого общества сообщила, что и это постановление уже отменено, проверка идёт заново.
Теперь перечитайте перечень. Это мотивировка кассации чек-лист на первые часы после инцидента.
Дампы памяти живут до перезагрузки. Логи ротируются. Трафик не пишется вообще, если его не пишут заранее. Всё это существует ровно до момента, когда админ героически переставит сервер и вернёт компании работу. К февралю, когда обнаружится списание, снимать нечего.
(Админ ни в чём не виноват. Он делал то, за что ему платят: поднимал бизнес. Просто рядом должен стоять кто-то, кто в этот момент думает про суд.)
Про подпись общего пользования я уже писал: вопрос не в том, можно ли передавать ключ, а в том, что вы зафиксировали заранее. С инцидентом то же самое.
Доказательства по такому спору собираются в тот день, когда спора ещё нет и никто не верит, что он будет.
Что из перечисленного кассацией реально нашлось бы у вас через два месяца после инцидента?
🔥 — логи и журналы событий, у нас это настроено
🤷♂️ — что-то бы нашлось: трафик, отчёты средств защиты
🤔 — не знаю. После этого поста пойду спрашивать у админа
🙈 — ничего. Сервер бы переставили в первый же день
Компания выиграла две инстанции подряд и всё равно осталась без 16 миллионов. Во взлом суды поверили, оба. Просто в арбитраже верить мало.
Дело № А40-112564/2025, кассация Московского округа от 01.07.2026.
Фабула. Общество сдало НДС за третий и четвёртый кварталы 2021 года и налог заплатило: 4 236 864 и 4 158 140 рублей. Дальше три года тишины. 21.12.2024 от имени компании уходят уточнёнки, в которых налог вырастает до 7 862 556 и 15 290 619. В феврале 2025-го подаются корректировки обратно, к прежним суммам. На ЕНС уменьшение не отражается. 17 марта появляется решение о взыскании № 3126, и за два дня по инкассовым поручениям с компании уходит больше 16 миллионов.
А в декабре у неё взломали сервер. Неустановленное лицо подобрало логин с паролем, зашло удалённо и заархивировало рабочую информацию под своим. Приходящий администратор списался со взломщиками и перевёл им 62 000 рублей в криптовалюте за пароль. Разархивировали, а сервер оказался заражён; работу восстановили только к концу января. Бухгалтер всё это время формировал отчётность по битой базе.
Инспекция отказала: трёхлетний срок истёк.
Первая инстанция и апелляция компанию поддержали, и по срокам они были правы. НДС за четвёртый квартал 2021 года платился тремя долями, последняя 25 марта 2022 года (п. 1 ст. 174 НК в редакции тех лет), а уточнёнка подана 13.02.2025, внутри трёх лет. По третьему кварталу срок пропущен, но причина уважительная. Вчерашний случай был ровно обратным: там на этой арифметике всё и посыпалось.
Кассация отменила оба акта.
Не потому, что не поверила во взлом. Она посмотрела, чем взлом доказан. А доказан он ровно одной бумагой: постановлением оперуполномоченного об отказе в возбуждении уголовного дела. Вынесено оно на объяснениях двух человек, директора и того самого приходящего админа. Главбуха, который эти декларации сформировал и отправил, не опрашивали вообще.
Дальше цитата, ради которой я и полез в это дело:
«прямых доказательств хакерской атаки на сервер (так называемых „цифровых улик", к которым в том числе относятся логи и журналы событий, сетевой трафик, артефакты в файловой системе, дампы оперативной памяти, отчеты средств защиты, результаты специализированных проверок) в ходе доследственной проверки собрано не было, эксперт (специалист) не привлекался»
Без них объяснения двух лиц недопустимы (ст. 68 АПК), а постановление опера не имеет преюдициального значения (ч. 4 ст. 69 АПК). Дело ушло на новый круг, суду велено подумать о специалисте или экспертизе. Вишенка: в заседании представитель самого общества сообщила, что и это постановление уже отменено, проверка идёт заново.
Теперь перечитайте перечень. Это мотивировка кассации чек-лист на первые часы после инцидента.
Дампы памяти живут до перезагрузки. Логи ротируются. Трафик не пишется вообще, если его не пишут заранее. Всё это существует ровно до момента, когда админ героически переставит сервер и вернёт компании работу. К февралю, когда обнаружится списание, снимать нечего.
(Админ ни в чём не виноват. Он делал то, за что ему платят: поднимал бизнес. Просто рядом должен стоять кто-то, кто в этот момент думает про суд.)
Про подпись общего пользования я уже писал: вопрос не в том, можно ли передавать ключ, а в том, что вы зафиксировали заранее. С инцидентом то же самое.
Доказательства по такому спору собираются в тот день, когда спора ещё нет и никто не верит, что он будет.
Что из перечисленного кассацией реально нашлось бы у вас через два месяца после инцидента?
🔥 — логи и журналы событий, у нас это настроено
🤷♂️ — что-то бы нашлось: трафик, отчёты средств защиты
🤔 — не знаю. После этого поста пойду спрашивать у админа
🙈 — ничего. Сервер бы переставили в первый же день