«Ъ» проанализировал судебные решения по спору владельца сайта и хостинг‑провайдера из-за DDoS-атаки

Российская судебная практика по спорам между владельцами сайтов и хостинг‑провайдерами только формируется, однако интерес к ней стремительно растёт на фоне увеличения числа кибератак. По оценкам экспертов, в 2025 году количество DDoS‑атак выросло более чем вдвое, что делает вопрос распределения ответственности между бизнесом и IT‑подрядчиками особенно актуальным, пишет «Ъ».

Поводом для анализа стало дело казанской туристической компании «Саната», которая в 2018 году разместила свои сайты у хостинг-провайдера Timeweb. В апреле 2023 года из-за DDoS-атаки произошёл сбой, в результате которого сайт онлайн-бронирования перестал работать, а часть данных оказалась утеряна. Компания потребовала взыскать с провайдера почти 5,3 млн рублей, включая убытки и упущенную выгоду.

Первая инстанция поддержала истца, указав, что провайдер должен был обеспечить защиту от DDoS-атак, фильтрацию трафика и устойчивость инфраструктуры. Суд также отметил, что после восстановления сайт долгое время функционировал неполноценно.

Однако апелляция в октябре 2025 года отменила это решение, встав на сторону Timeweb. Суд указал, что по условиям договора хостинг не включает хранение данных и защиту от кибератак, а сама атака может рассматриваться как вмешательство третьих лиц. Кроме того, установлено, что сайт возобновил работу уже через неделю после инцидента. В марте 2026 года эту позицию поддержала кассация.

Юристы отмечают, что ключевую роль в подобных спорах играют условия договора. Как правило, базовые услуги хостинга ограничиваются предоставлением инфраструктуры, тогда как защита от DDoS-атак, резервное копирование и обеспечение непрерывности бизнеса должны отдельно оговариваться в соглашениях об уровне сервиса (SLA).

Эксперты подчёркивают, что в России суды чаще встают на сторону провайдеров, так как их ответственность обычно прямо ограничена контрактом, а доказать причинно-следственную связь между действиями хостинга и убытками клиента сложно. При этом за рубежом намечается обратная тенденция: если провайдер игнорирует базовые стандарты кибербезопасности, суды могут признать его ответственность за ущерб клиентов.

Участники рынка не исключают, что по мере роста числа киберинцидентов и усложнения IT-инфраструктуры аналогичный подход со временем может получить развитие и в российской практике.