Хакерская атака обернулась для перевозчика из Ленобласти штрафом от ПФР

Арбитражный суд Петербурга и Ленобласти оштрафовал ООО "Сотранс комавтосервис" на 24,12 тыс. рублей за пропуск срока предоставления сведений о работниках компании в Пенсионный фонд России (ПФР).

"Сотранс комавтосервис", ведущее деятельность с 1992 года, базируется в Тосненском районе Ленобласти. Основными направлениями являются автомобильные грузоперевозки, логистика, сервисное обслуживание коммерческого транспорта, поставка запчастей. В 2025 году компания заработала 237,7 млн рублей, чистая прибыль — 114,9 млн, указано в "Контур.Фокус". Учредители общества — Мария Кабанова и Вячеслав Шевченко.

В процессе ответчик объяснил небольшую задержку в сдаче отчётности — порядка 2 недель — хакерской атакой группы Old Gremlins в ночь с 25 на 26 января 2025 года. Тогда, как сообщала Фонтанка.ру, внутренние данные перевозчика оказались зашифрованными — от финансовой отчётности и цифр продаж с остатками товара до контрактов и бухгалтерии. После атаки на заблокированном экране компьютера появилось название хакерской группировки Old Gremlin и почта для обратной связи. За восстановление данных мошенники потребовали 45 биткоинов — около 500 млн рублей.

"Сотранс комавтосервис" после этого киберинцидента обратился с заявлением в полицию и прокуратуру, было возбуждено уголовное дело по ст. 163 УК (вымогательство). Под домашний арест по обвинению в этом преступлении в декабре 2025 года был помещён Антон Махно, теперь уже бывший начальник IT–отдела перевозчика. В апреле этого года срок домашнего ареста, продлённый первой инстанцией, был оставлен в силе апелляционной коллегией Горсуда Петербурга, уточнила глава Объединённой пресс–службы судов Петербурга Дарья Лебедева.

ПФР просил суд оштрафовать компанию на 48,5 тыс. рублей (по 500 рублей за каждого из 97 сотрудников). "Сотранс комавтосервис" просил отказать, ссылаясь на форс–мажор.

"ДП" направил запрос в "Сотранс комавтосервис".

Количество кибератак в стране исчисляется сотнями тысяч. Вместе с тем эти атаки отличаются по силе, мощности и сложности. И например, DDoS–атака на "Электронный дневник", устроенная школьником, вряд ли должна иметь ту же оценку признаков чрезвычайности и непредотвратимости, как сложная многовекторная DDoS–атака с использованием ботнета из миллиона устройств, APT–атака (когда киберпреступники вторгаются в сеть жертвы и остаются незамеченными в течение значительного периода времени) или атака с использованием уязвимости нулевого дня (когда киберпреступники узнают об уязвимости системы раньше разработчиков). При этом подавляющее большинство кибератак успешно предотвращается. Поэтому автоматически наличие хакерской атаки и подача заявления о возбуждении уголовного дела не подтверждают наличие форс–мажора, подчёркивает партнёр юридической компании "Маранц, Соловьёв и партнёры" Александр Соловьёв.

"Нашим клиентам мы рекомендуем заблаговременную разработку плана реагирования на киберинцидент (IPR), который среди прочего должен предусматривать процессуальную судебную и досудебную стратегию для минимизации убытков и компенсаций вреда, причинённого в результате кибератаки", — говорит эксперт.

В судебной практике по делам с подобными обстоятельствами есть устойчивая позиция: противоправные действия третьих лиц не относятся к обстоятельствам непреодолимой силы. Вместе с тем есть единичные судебные акты, рассматривающие кибератаку как форс–мажор. Так, 16–й Арбитражный апелляционный суд отказал ФКУ "Центр хозяйственного и сервисного обеспечения МВД по Республике Дагестан" во взыскании с ООО "Нефтепродуктснаб" 10,9 млн рублей штрафа по госконтракту на поставку топлива. В январе 2022 года на некоторых АЗС поставщика в результате сбоя программного обеспечения отпуск топлива не осуществлялся в общей сложности в течение 14 дней. Эта ситуация была вызвана массированной DDoS–атакой в адрес ресурса hoz05.ru, на котором были развёрнуты сервисы, обеспечивающие работоспособность системы подрядчика. Кибератака проходила в новогодние праздники и длилась 3 дня.