云南省楚雄彝族自治州中级人民法院民 事 判 决 书（2019）云23民终971号上诉人（原审原告）：徐琼，女，1965年7月17日出生，住云南省楚雄市。委托诉讼代理人：张玉才，云南光前律师事务所律师。上诉人（原审被告）：中国银行股份有限公司楚雄州分行，住所地：云南省楚雄州楚雄市鹿城东路**。统一社会信用代码：91532300217430888X。负责人：张人栋，该行行长。委托诉讼代理人：黄晓玫，云南精益律师事务所律师。上诉人徐琼、中国银行股份有限公司楚雄州分行（以下简称中国银行楚雄州分行）因信用卡纠纷一案，不服云南省楚雄市人民法院（2019）云2301民初11号民事判决，向本院提起上诉。本院于2019年6月5日受理后，依法组成合议庭，于2019年7月16日公开开庭审理了本案，上诉人徐琼及其特别授权的委托诉讼代理人张玉才、上诉人中国银行楚雄州分行特别授权的委托诉讼代理人黄晓玫到庭参加诉讼。本案现已审理终结。上诉人徐琼上诉请求：1、撤销原判，改判由被上诉人赔偿上诉人因信用卡被盗刷而产生的损失84795元，并以月利率1%为标准支付自2019年2月12日起至上述款项还清之日止的利息；2、一、二审诉讼费由被上诉人承担。事实与理由是：一、一审法院对案涉信用卡被盗刷的原因认定错误，上诉人没有泄露校验码及信用卡的交易密码、有效期、安全码。在判决书第19页“关于案涉信用卡被盗刷的原因”中，一审法院在没有证据支撑的情况下，主观臆断地推断上诉人自行泄露了校验码717113，且未能妥善保管好验证码143420以及信用卡的交易密码、有效期、安全码，并认定这是信用卡被盗刷的根本原因，这一推断有违公平原则，也违反举证责任的分摊。上诉人作为人民教师，也是多年的信用卡用户，熟知信用卡交易的流程和需要注意的安全事项，深知妥善保管上述信息的重要性，而一审法院仅凭五笔交易发生在上诉人与非银行客服电话通话过程中，就推断上诉人不仅泄露了校验码，还未能妥善保管好验证码以及信用卡的交易密码、有效期、安全码，不但缺乏证据支撑，也不符合常理，导致上诉人需要承担巨额资金损失。同类型的案件很多，储户或信用卡使用人均未泄露交易密码等，银行卡仍然被盗刷，这也是不争的事实，而本案在没有任何证据证明的情况下以推断的形式认定上诉人在电话中泄露交易密码。二、上诉人徐琼在案涉信用卡被盗刷的过程中不存在过错，信用卡被盗刷的根本原因是银行对客户的开户信息没有尽到保密义务、对账户资金监管不到位。1、2018年10月30日13:47分，上诉人的手机突然收到一条短信，内容为：“尊敬的客户！您的中国银行（信用逾期还款），已被锁定，并录入征信黑名单系统办理恢复解除，请联系客服：0731—89710206【中国银行】”。上诉人信用额度高，自使用信用卡以来从未发生过逾期还款，担心信用卡出问题，就按短信提供的内容拨打该电话号码。电话接通后，对方准确无误地主动报出上诉人的姓名、身份证号码、信用卡卡号，核实上诉人身份，使上诉人确信是被上诉人工作人员的行为。在此过程中上诉人为了开通信用卡，才向对方告知收到的短信校验码717113。首先，对方是外省电话，却在上诉人没有泄露信用卡资料的情况下主动告知上诉人开卡资料信息，这就意味着银行一方在经营管理过程中没有尽到妥善管理和保存上诉人银行卡开户信息的义务，使不法分子骗取了上诉人的信任，导致了本案的发生；其次，银行所发短信提示内容不够明确，银行所发短信内容为：“校验码：717113，尊敬的客户，你正在进行中国银行移动支付义务的开通操作，请勿向任何人提供你收到的短信校验码【中国银行】”，并未明示该校验码是用于激活ApplePay，对此银行是具有重大过错的。短信所提示的验证码作用与上诉人要求解锁信用卡的要求相符，所以上诉人才告知他人，而一审显然忽视了这一重大情节。2、如一审判决所推断，是上诉人未能妥善保管好验证码143420以及信用卡的交易密码、有效期、安全码，造成了信用卡被盗刷，那么，盗刷信用卡之人用卡行为等同于上诉人本人，换而言之五笔刷卡交易均系正常交易，并无任何可疑之处，中国银行欺诈侦测团队根据什么情况认定交易异常？为何能在交易发生后及时检测到并告知上诉人？上诉人在一审中已经明确提出，并获得法庭支持，要求被上诉人进行说明，但被上诉人对此未进行说明，而法庭在判决本案时忽略了该重要情况，主观推断是上诉人泄露交易密码所致，导致判决错误。如果是上诉人泄露交易密码，就不会出现银行发现交易异常的情形，因此一审的推断与客观事实不符。所以，上诉人认为中国银行具有重大过错，应承担全部责任。在本案中上诉人已经尽到合同约定的义务，不存在任何过错，不应为信用卡被盗刷承担任何责任。三、上诉人的损失金额应由被上诉人全额承担，才符合公平原则。1、一审法院在判决书第19页中认定案涉交易系通过第三方支付平台（汇付宝）或者移动支付方式ApplePay完成。汇付宝和ApplePay均为被上诉人的合作支付机构，该类快捷支付服务是银行和特约商户共同推出的一项新类型业务，银行在拓展类似新业务的时候，有义务充分征得用户的同意，并将安全注意事项向用户作出充分完整的告知。被上诉人作为发卡方，与持卡人相比，更有技术上的优势，更加有义务在技术上加强防范措施，以保障持卡人的资金和信息安全。银行与第三方支付机构存在支付和结算方面合作关系，这种新型支付方式会产生新的交易风险，该风险系银行和第三方交易机构自身系统或交易流程存在漏洞导致，不应由客户承担因此产生的损失。上诉人认为应由被上诉人承担因盗刷产生的全部损失后，再根据被上诉人与第三方支付机构之间的合同约定条款，向第三方支付机构追偿。2、一审认定中国银行欺诈侦测团队在检测到涉案信用卡发生金额4980元、19989元为可疑交易后，就应该立即采取止付措施，这样信用卡就不会被盗刷。被上诉人有能力履行却怠于履行，放任资金流出，才会出现本案纠纷，因此，被上诉人应当承担全部责任。上诉人中国银行楚雄州分行上诉请求：1、撤销一审判决中“由中国银行股份有限公司楚雄州分行在本判决生效之日起五日内赔偿徐琼84**.5元，并以年利率4.35%为标准支付自2019年2月12日起至上述款项还清之日止的利息”的判决内容，改判驳回徐琼的诉讼请求；2、判决徐琼承担一、二审诉讼费用。事实与理由是：一审判决对涉案交易事实的发生的经过、原因和涉案刷卡金额是否为徐琼所为以及损失责任的分担等方面进行了详细的分析和认定，上诉人同意其中的大部分内容，但对其中的少部分内容不予认可，具体如下：一、一审判决认定4980元的交易非徐琼所为证据不充分。一审判决己经认定：交易金额为4980元的消费商户名称为南通海仕瑞柏商贸有限公司，交易渠道为个人电脑、交易账号为尾号4569的实体卡，受理机构为“汇付宝”，交易内容为购买海尔（Haier）蒂樽立式空调柜机，并有收货人的姓名和详细地址，一审判决对此事实也作了认定。上述交易详细信息与真实交易信息相同，尚不能认定为虚假交易。上述交易是通过个人电脑进行的，虽然交易发生时徐琼正在通话，但不影响其操作电脑，或者徐琼也可以授权他人在电脑上进行交易。公安机关对该案已经立案侦查，完全可以通过上述交易信息查清是否为盗刷交易，但现在公安机关尚未有调查结论，故尚不能认定为非徐琼本人或者其授权人所进行的交易。二、一审判决认定上诉人未充分尽到提示告之义务，进而判令上诉人承担被上诉人10%的损失是错误的。一审判决认为上诉人在向徐琼发送的短信中未明确说明开通移动支付业务和第三方支付机构的具体名称，未说明开通的9633的卡号为虚拟卡而非实体卡等问题，上诉人认为，客户在手机上开通移动支付时，在开通页面本身就有“条款和条件”即服务协议内容，并需选择同意才能进行下一步开通操作。本案虽然开通移动支付的不是徐琼本人，但电脑系统只能默认是持卡人本人开通，本人己经看过协议内容并同意开通，开通后的9633为虚拟卡本人也知道，故短信内容无须再重复提示。至于在交易短信中告之第三方支付机构的具体名称问题，与徐琼的信用卡被盗刷之间没有因果关系，因为徐琼既然没有在短信通知的时间从事过任何信用卡交易，那么其就应当知道不管是在什么第三方支付机构发生的交易都不是自己进行的，其就应当引起必要的重视，并采取措施防止进一步的损失。徐琼向一审法院起诉请求：1、判令徐琼对尾号为4569的信用卡于2018年10月30日所发生的总金额为84795元的五笔交易不承担还款责任；2、判令中国银行楚雄州分行消除徐琼因信用卡被盗刷而产生的负面个人征信记录；3、由中国银行楚雄州分行承担本案全部诉讼费用。一审法院经审理确认的本案事实是：徐琼系楚雄州特殊教育学校教师。2009年6月12日，徐琼向中国银行楚雄州分行申请办理中银买乐联名卡。由徐琼填写并由中国银行楚雄州分行加盖“中国银行股份有限公司楚雄州分行银行卡业务专用章”的中银买乐联名卡申请表后附有《中银买乐联名卡领用合约》。该合约就买乐联名卡的使用进行如下约定：……第五条、中银买乐联名卡只限持卡人本人使用，不得转让或转借他人，否则由此产生的一切损失由申请人承担。第七条、申请人应妥善保管用于ATM、电话银行、交易、网上银行及其他有关服务的个人密码，否则由此造成的一切损失由申请人承担。凡使用密码进行的交易均视为申请人本人所为；未使用密码进行的交易，以记载有申请人签名的交易凭证为该项交易的有效凭据；通过电话银行人工服务办理的业务，以中国银行的语音记录为申请人办理业务的有效凭据。通过电话银行自动语音系统办理的业务，以输入电话银行密码为申请人办理业务的有效凭据。第八条、申请人应在中国银行认可的、符合国家标准和行业惯例的安全技术和商户环境下载互联网使用信用卡，否则申请人应对在互联网使用信用卡引致的一切风险和损失自行承担责任。第十条、中国银行有权依据其认定的正当理由或风险控制等相关因素，在未予提前通知的情况下，随时停止申请人使用联名卡。第十一条、联名卡遗失、被窃时，申请人应及时致电中银信用卡客服热线办理挂失手续，挂失自挂失手续办理完毕时开始生效，乙方对挂失手续生效前发生的交易承担责任，对挂失手续生效后的交易不承担责任。其后，徐琼收到了卡号为尾号为4569的中国银行信用卡。在徐琼使用信用卡的过程中，中国银行楚雄州分行将信用卡额度由5000元调整至210000元，徐琼则将预留的电话号码进行变更。根据《中国银行股份有限公司移动支付产品手册》所载明内容，中国银行推出的移动支付产品是指用户凭已有实体卡片，通过移动设备发出申请，银行通过空中发卡等手段在客户移动设备上加载设备卡后，客户可以凭借设备卡进行有卡消费，使用场景包括在适用的机上进行“刷”手机支付，在支持在线有卡支付的商户内进行线上支付等。移动支付中使用的设备卡是一种移动设备绑定的银行卡，本身无账户，通过与银行后台实体卡的账户关联关系满足支付需求，即下发至移动设备中的移动支付卡。设备卡消费与取现密码默认与主卡（实体卡）一致，设备卡不支持密码更新。设备卡验密验签规则，复用主卡规则。其中，线下POS消费交易与主卡规则一致，线上有卡支付(商户APP内的IN–APP交易）强制验密。用户可通过第三方或中国银行客户端APP入口，申请加载设备卡。设备卡加载时需验证持卡人的身份信息，包括但不限于：姓名、证件类型、证件号、卡号、银行预留手机号、ATM取款密码（借记卡）、CVN及有效期（信用卡）等。客户端将加载申请发送至中国银行，中国银行进行个人信息验证，并校验主卡状态。验证成功后，后台将建立初始状态的映射关系，并将个人化数据下发至移动设备中。设备卡加载成功后，客户需要激活方可使用。设备卡支持短信验证码激活，用户触发动态验证申请，银行将动态验证码发送至持卡人预留手机号中，通过验证后，银行完成账户准备并更新映射关系状态为可使用状态。ApplePay是中国银行与苹果公司合作开发的移动支付产品，非独立的第三方支付服务平台，没有独立的账户，也不经手款项的收付，只是将原有的实体银行卡变成移动设备上的“虚拟银行卡”后进行“刷手机”支付。中国银行持卡客户可以通过苹果手机或ipad终端填写信用卡信息后发起申请，通过身份验证后，中国银行后台将设备卡发至设备中的安全芯片，支持客户持移动设备实现借贷记的消费支付。开通ApplePay的具体流程为：打开苹果手机中的Wallet，点击增加信用卡或借记卡，然后通过摄像头功能或者手动输入实体卡卡号、有效期、安全码（三位数CVV）进行申请，在同意《中囯银行股份有限公司移动支付(贷记应用）服务协议》后，信用卡用户可以选择通过短信验证或拨打客服电话来激活设备卡。激活设备卡后，信用卡用户即可进行移动支付。使用苹果手机通过ApplePay在POS上消费时，把手机顶部靠近POS机，手机上显示默认的设备卡，将手指放在TouchID上，当支付信息成功发送至POS机后，手机即震动并显示“Done”（完成）。汇付宝（Heepay）支付服务系统则是汇元银通（北京）在线支付技术有限公司创办和运营的第三方支付平台，支持银行卡快捷支付、信用卡无卡支付等在线支付服务，在2012年获得中国人民银行颁发的第三方支付牌照。2018年10月30日，徐琼的信用卡（尾号：4569）陆续发生六笔交易，金额分别为0元、4980元、19989元、19998元、19863元、19965元，具体交易信息及经过根据时间顺序分述如下：2018年10月30日10时50分，徐琼使用的型号为iphone6的手机接收到+85292905978发送的短信“尊敬的徐琼客户您好！你的中国银行（信用逾期还款）征信系统删除记录已失败，请联系客服：0731-89710206【中国银行】”。同日12时38分，徐琼的手机接收到+85292905980发送的短信“尊敬的客户您好！你的中国银行（信用逾期还款）已被锁定，并录入征信黑名单系统办理恢复解除，请联系客服：0731-89710206【中国银行】”。同日13时47分，徐琼的手机接收到+85292905968发送的短信，内容与上述12时38分接收的短信一致。同日14时24分3秒，徐琼拨通了短信中的电话0731-8971****，双方通话时长为24分6秒。2018年10月30日14时33分12秒，徐琼名下尾号4569的实体信用卡发起虚拟卡设备卡绑定申请交易，并于14时33分44秒发起动态验证申请（即短信动态验证发送）。14时33分45秒，徐琼的手机接收到95566发送的短信：“校验码：717113,尊敬的客户，您正在进行中国银行移动支付业务的开通操作，请勿向任何人提供您收到的短信校验码【中国银行】”。14时34分33秒，银行系统收到了短信验证通知并成功激活尾号为9633的设备卡，进而开通了中国银行移动支付业务（ApplePay）。14时34分34秒，徐琼即收到95566发送的短信，“您的信用卡9633于2018年10月30日已开卡成功。为了用卡顺利请激活时设置消费密码【中国银行】”。14时36分41秒，徐琼的手机接收到95566发送的短信“您正在使用信用卡4569进行无卡支付，支付金额RMB0.00元，短信验证码是143420，输入验证码后本次交易即时生效”。14时37分20秒，徐琼的手机接收到95566发送的短信“您的信用卡4569于2018年10月30日，POS消费RMB0.00元。境外21%返现火爆来袭，详询手机银行【中国银行】”。14时38分50秒，徐琼的手机接收到95566发送的短信“您的信用卡4569于2018年10月30日，POS消费RMB4980.00元。境外21%返现火爆来袭，详询手机银行【中国银行】”。14时48分9秒，徐琼与0731-89710206的通话结束。15时17分14秒，徐琼的手机接收到95566发送的短信“您的信用卡9633于2018年10月30日首次交易RMB19989.00元成功【中国银行】”。中国银行欺诈侦测团队监测到上述异常交易后，于15时17分21秒致电（电话8297****）徐琼，电话在15时17分36秒接通。欺诈侦测团队的工作人员在电话中询问徐琼上述金额为4980元、19989元的交易是否为本人所为，徐琼否认上述交易为本人所为，并同意将信用卡暂停使用。双方通话时间为1分38秒。在双方通话期间，中国银行95566客服平台分别于15时17分53秒发送短信“您的信用卡9633于2018年10月30日POS消费RMB19998.00元。境外21%返现火爆来袭，详询手机银行【中国银行】”、于15时18分28秒发送短信“您的信用卡9633于2018年10月30日，POS消费RMB19863.00元。境外21%返现火爆来袭，详询手机银行【中国银行】”、于15时19分发送短信“您的信用卡9633于2018年10月30日，POS消费RMB19965.00元。境外21%返现火爆来袭，详询手机银行【中国银行】”、于15时19分13秒发送短信“您的信用卡4569因出现疑似风险交易，于2018年10月30日已被暂停使用，如有疑问请及时联系我行客服中心【中国银行】”至徐琼手机上。15时19分49秒，尾号9633的设备卡被注销。交易金额为4980元的消费商户名称为南通海仕瑞柏贸易有限公司、交易渠道为个人电脑、交易账号为尾号4569，受理机构为“汇付宝”。根据中国银联商户协查，该笔交易的具体内容为购买海尔(Haier)蒂樽2匹定频立式空调柜机，收货人为曹继坤，收货地址为四川省成都市金牛区北站西二巷2号附19号。交易金额为19989元、19998元、19863元、19965元的消费商户名称为赣州市果爱水果销售，交易渠道为有限销售点终端（POS，随行付支付有限公司开发），交易方式为ApplePay，交易账号为与上述尾号4569的信用卡通过银行后台建立关联关系的设备卡（虚拟卡）尾号9633。上述五笔交易均为验密交易（非免密），密码重试次数均为0次。2018年10月30日16时02分，徐琼向楚雄市公安局富民派出所报案称，其在富民辖区特殊教育学校办公楼1楼接到冒充中国银行工作人员的诈骗电话被告知征信有问题并向其发送了验证码，其将验证码告知对方后信用卡上先后被盗刷5笔钱财，共计80000余元。2018年11月14日，楚雄市公安局作出楚市公（富）立字【2018】5246号《立案决定书》，决定对徐琼银行卡被盗刷案立案侦查，截止至庭审辩论终结前，该案仍未侦破。尾号4569的信用卡2018年11月账单结欠总计88513.10元人民币。2019年2月12日，徐琼向尾号4569的信用卡中存入款项89643元。一审法院认为，本案争议焦点为：一、案涉信用卡金额为4980元、19989元、19998元、19863元、19965元的交易是否为徐琼本人所为？二、如上述交易非徐琼所为，则因案涉信用卡被盗刷所造成的损失应如何分担？针对争议焦点一，一审法院认为，徐琼向中国银行楚雄州分行处申领信用卡后，双方即形成信用卡合同关系，中国银行楚雄州分行应按照徐琼的支付指令在约定的额度内向徐琼提供支付结算服务，徐琼则应当按期归还信用卡消费款项。中国银行楚雄州分行在庭审中认可金额为19989元、19998元、19863元、19965元的交易非徐琼本人所为，但对金额为4980元的交易是否系盗刷持有异议。对此，一审法院认为，第一、上述五笔消费交易时间较为集中，交易地址均为异地，交易的方式、频率以及金额与徐琼以往的小额、间断消费交易习惯不符，且均发生在徐琼拨打0731-89710206并告知验证码之后，故金额为4980元的交易在时间上与后四笔交易具有连续性；第二、中国银行欺诈侦测团队监测到异常交易后致电徐琼进行核实，徐琼在电话中否认金额4980元的交易系本人所为，并在知晓账户交易情况后立即向公安机关报案，公安机关已于2018年11月14日对徐琼银行卡被盗刷一案立案侦查；第三、中国银行楚雄州分行提交证据不足以证实该笔交易系徐琼本人或授权他人进行。综上所述，结合在案证据以及交易习惯，一审法院认定案涉信用卡于2018年10月30日发生的金额合计为84795元的交易均非徐琼本人所为。针对争议焦点二，一审法院认为，根据《中华人民共和国合同法》第六十条之规定：当事人应当按照约定全面履行自己的义务。当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。徐琼作为持卡人，所透支消费的款项资金来源于发卡银行提供的授信额度，为保障信贷关系中的资金安全，徐琼在日常交易中应审慎用卡，注意交易安全，并妥善保管信用卡信息及交易密码，中国银行楚雄州分行则负有保障信用卡交易系统、交易账号安全，并对交易的风险及内容进行提示告知的义务。(一）关于案涉信用卡被盗刷的原因。一审法院认为，案涉交易系通过第三方支付平台（汇付宝）或者移动支付方式完成。客户在与第三方支付平台建立首次业务关联或进行移动支付时，除密码等一般的身份验证因素外，银行还将事先或进行首笔支付时对第三方支付机构或移动支付客户端提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。中国银行于2018年10月30日向徐琼发送的校验码717113、验证码143420系银行进行身份鉴别必不可少的信息。除短信验证码外，ApplePay添加信用卡时还需输入信用卡卡号、到期日、安全码后方能激活设备卡。徐琼在庭审中陈述称自己仅泄露了校验码717113，但根据第三方支付、移动支付的开通操作必经流程，徐琼收到验证码与上述支付方式开通的时间间隔，徐琼与0731-89710206的通话时长，以及徐琼在拨打了非银行客服电话0731-8971****后即连续发生五笔非免密异常交易，且密码重试次数均为0次的情况，可以合理地推断徐琼不仅自行泄露了校验码717113，还未能妥善保管好验证码143420以及信用卡的交易密码、有效期、安全码，上述信息的泄露是案涉信用卡被盗刷的根本原因。案涉五笔交易不以实体卡作为交易介质，对徐琼提出中国银行楚雄州分行未有效识别伪卡交易导致盗刷发生的诉称，一审法院不予采纳。(二）徐琼在案涉信用卡被盗刷的过程中是否存在过错。一审法院认为，第一、徐琼自2009年即申领了中国银行楚雄州分行发放的信用卡，信用额度由5000元提升至210000元。在使用信用卡的过程中，中国银行均通过95566向其发送账户交易信息、每月银行账单。徐琼在收到非中国银行客服电话发送的短信，称其信用卡逾期还款，征信系统删除记录失败后未通过官方客服电话或其他正常渠道查询核对自己的信用卡账单，而是轻信短信内容拨打了非中国银行客服电话0731-8971****。第二、95566发送的短信内容中已说明，校验码是用于开通移动支付业务，短信验证码是用于无卡支付，与+85292905978等电话发送的信用卡逾期性质截然不同，且95566发送的短信尾部均有提示“请勿向任何人提供您收到的短信校验码”、“输入验证码后本次交易即时生效”。特别是0元无卡支付的交易验证码，徐琼明知自己未发生任何交易，仍然未加警惕注意，轻信对方并向对方告知验证码。第三、徐琼与0731-89710206自2018年10月30日14时24分3秒开始通话，通话时间长达24分6秒。在双方保持通话的过程中，95566即向其发送了信用卡4569发生POS消费0元、4980元的交易信息。徐琼在使用电话期间，未警惕对方询问信用卡的私人信息，未及时注意到已经发生的异常交易，进而采取挂失或冻结支付等止损措施，导致了信用卡在发生0元、4980元交易的38分钟后连续发生四笔合计79815元的交易，扩大了信用卡被盗刷的损失。综合以上认定，一审法院认为，徐琼在信用卡被盗刷的过程中，未能妥善保管交易验证码、个人密码等信用卡信息，未尽到合同约定的义务，存在重大过错。(三）中囯银行楚雄州分行在案涉信用卡被盗刷的过程中是否存在过错。一审法院认为，第一、根据在案证据，中国银行楚雄州分行向徐琼发送校验码、验证码时，已作出了“请勿向任何人提供您收到的短信校验码”、“输入验证码后本次交易即时生效”的风险提示，且说明了校验码和短信验证码的用途。在信用卡发生交易后，也已及时通过短信通知徐琼交易信用卡尾号、交易渠道和金额。第二、中国银行欺诈侦测团队在监测到案涉信用卡发生金额为4980元、19989元的可疑交易后，立即与持卡人徐琼联系确认，并采取暂停使用信用卡的措施，有效地防止了损失的扩大。第三、徐琼提交的现有证据虽不足以证实中国银行楚雄州分行未尽到保障交易系统、交易账号安全的义务，但中国银行推出的新型支付方式，产生了新的交易风险，应当充分告知持卡人支付平台、支付功能、交易规则、交易风险等相关信息。根据《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》（银监发〔2014〕10号）第十条之规定：商业银行应就大额支付、可疑支付及时通知客户。对开通短信或其他方式即时通知功能的客户，应就每一笔支付交易即时通知客户。通知信息中包含但不限于第三方支付机构名称、交易金额、交易时间等。中国银行楚雄州分行发送移动支付业务开通操作的校验码、无卡支付的短信验证码，以及因此发生的首笔交易的短信通知中，均未明确说明移动支付业务第三方支付机构（汇付宝）的具体名称。在发送设备卡开卡成功的短信时，亦未说明尾号9633的设备卡系虚拟卡而非实体信用卡，导致徐琼收到上述信息后未能注意到告知校验码、验证码的风险和后果，以及所开设备卡系虚拟卡的事实。故一审法院认为，中国银行楚雄州分行未充分尽到提示告知义务。(四）案涉信用卡被盗刷所造成的损失分担问题。一审法院认为，根据《银行卡业务管理办法》（银发〔1999〕17号）第三十九条之规定:发卡银行依据密码等电子信息为持卡人办理的存取款、转账结算等各类交易所产生的电子信息记录，均为该项交易的有效凭证。鉴于本案的五笔交易均通过非免密的方式完成，且密码重试次数均0次，校验码、验证码的泄露仅是交易成功的必经一环。徐琼未尽到必要的谨慎注意义务，未妥善保管好个人密码、验证码、安全码等交易的有效凭据，且未及时注意到异常交易，对信用卡盗刷的发生以及损失的扩大，存在重大过错。中国银行楚雄州分行未充分尽到提示告知义务，对损失的产生亦存在一定的过错，故一审法院综合双方未尽义务的情形及过错程度，酌情认定由中国银行楚雄州分行承担徐琼因盗刷而产生的损失8479.5元（84795元×10%），其余损失应由徐琼自行承担。对徐琼诉请的利息损失，一审法院以8479.5元为基础，按照中国人民银行同期贷款年利率4.35%自2019年2月12日起予以支持。综上所述，依照《中华人民共和国合同法》第六十条、第一百零七条、第一百一十九条，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条的规定，判决：由中国银行股份有限公司楚雄州分行在本判决生效之日起五日内赔偿徐琼84**.5元，并以年利率4.35%为标准支付自2019年2月12日起至上述款项还清之日止的利息。案件受理费960元（已减半收取），由徐琼负担864元（已交），由中国银行股份有限公司楚雄州分行负担96元（未交）。以上应由中国银行股份有限公司楚雄州分行负担的执行款项，限于判决生效之日起五日内一次性付清，款交一审法院。二审庭审中，上诉人徐琼、上诉人中国银行楚雄州分行对一审判决认定的事实未提出异议，故对一审判决认定的事实，本院予以确认。归纳双方当事人的诉辩主张，本案的争议焦点是：徐琼被盗刷的款项应由谁承担责任？本院认为，案涉交易系通过第三方支付平台（汇付宝）或者移动支付方式完成，客户在与第三方支付平台建立首次业务关联或进行移动支付时，除密码等一般的身份验证因素外，银行还应事先或进行首笔支付时对第三方支付机构或移动支付客户端提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。中国银行于2018年10月30日向徐琼发送的校验码717113、验证码143420系银行进行身份鉴别必不可少的信息，除短信验证码外，ApplePay添加信用卡时还需输入信用卡卡号、到期日、安全码后方能激活设备卡。徐琼向楚雄市公安局富民派出所报案时称将验证码发给了打电话给她的人，在一审庭审中陈述称自己仅泄露了校验码717113，但根据第三方支付、移动支付的开通操作必经流程，徐琼收到验证码与上述支付方式开通的时间间隔，徐琼与0731-89710206的通话时长，以及徐琼在拨打了非银行客服电话0731-8971****后即连续发生五笔非免密异常交易，且密码重试次数均为0次的情况，在无其他相反证据的情况下，一审判决认定徐琼不仅自行泄露了校验码717113，还未能妥善保管好验证码143420以及信用卡的交易密码、有效期、安全码，是导致案涉信用卡被盗刷的根本原因并无不当。徐琼自2009年即申领了中国银行楚雄州分行发放的信用卡，信用额度由5000元提升至210000元，在使用信用卡的过程中，中国银行均通过95566向其发送账户交易信息、每月银行账单，徐琼在收到非中国银行客服电话发送的短信，称其信用卡逾期还款，征信系统删除记录失败后未通过官方客服电话或其他正常渠道查询核对自己的信用卡账单，而是轻信短信内容拨打了非中国银行客服电话0731-8971****，且95566发送的短信内容中已说明，校验码是用于开通移动支付业务，短信验证码是用于无卡支付，与+85292905978等电话发送的信用卡逾期性质截然不同，并且95566发送的短信尾部均有提示“请勿向任何人提供您收到的短信校验码”、“输入验证码后本次交易即时生效”，特别是0元无卡支付的交易验证码，徐琼明知自己未发生任何交易，仍然未加警惕注意，轻信对方并向对方告知验证码，结合徐琼与0731-89710206自2018年10月30日14时24分3秒开始通话，通话时间长达24分6秒，在双方保持通话的过程中，95566即向其发送了信用卡4569发生POS消费0元、4980元的交易信息，徐琼在使用电话期间，未警惕对方询问信用卡的私人信息，未及时注意到已经发生的异常交易，进而采取挂失或冻结支付等止损措施，导致了信用卡在发生0元、4980元交易的38分钟后连续发生四笔合计79815元的交易，扩大了信用卡被盗刷的损失，故一审判决认定徐琼在信用卡被盗刷的过程中，未能妥善保管交易验证码、个人密码等信用卡信息，未尽到合同约定的义务，存在重大过错，并判处其承担信用卡被盗刷损失的主要责任并无不当。中国银行楚雄州分行向徐琼发送校验码、验证码时，已作出了“请勿向任何人提供您收到的短信校验码”、“输入验证码后本次交易即时生效”的风险提示，且说明了校验码和短信验证码的用途，在信用卡发生交易后，也已及时通过短信通知徐琼交易信用卡尾号、交易渠道和金额，中国银行欺诈侦测团队在监测到案涉信用卡发生金额为4980元、19989元的可疑交易后，立即与持卡人徐琼联系确认，并采取暂停使用信用卡的措施，有效地防止了损失的扩大，徐琼提交的现有证据虽不足以证实中国银行楚雄州分行未尽到保障交易系统、交易账号安全的义务，但中国银行推出的新型支付方式，产生了新的交易风险，应当充分告知持卡人支付平台、支付功能、交易规则、交易风险等相关信息；中国银行楚雄州分行发送移动支付业务开通操作的校验码、无卡支付的短信验证码，以及因此发生的首笔交易的短信通知中，均未明确说明移动支付业务第三方支付机构（汇付宝）的具体名称，在发送设备卡开卡成功的短信时，亦未说明尾号9633的设备卡系虚拟卡而非实体信用卡，导致徐琼收到上述信息后未能注意到告知校验码、验证码的风险和后果，以及所开设备卡系虚拟卡的事实，故一审判决认定中国银行楚雄州分行未充分尽到提示告知义务，判处其承担徐琼的信用卡被盗刷所产生损失的10%并无不当。中国银行楚雄州分行上诉主张金额为4980元的交易属非盗刷所致，对此主张，本院认为，本案所涉五笔消费交易时间较为集中，交易地址均为异地，交易的方式、频率以及金额与徐琼以往的小额、间断消费交易习惯不符，且均发生在徐琼拨打电话0731-8971****并告知验证码之后，金额为4980元的交易在时间上与后四笔交易具有连续性；中国银行欺诈侦测团队监测到异常交易后致电徐琼进行核实，徐琼在电话中否认金额4980元的交易系本人所为，并在知晓账户交易情况后立即向公安机关报案，公安机关已于2018年11月14日对徐琼银行卡被盗刷一案立案侦查；中国银行楚雄州分行提交的证据不足以证实该笔交易系徐琼本人或授权他人进行。故一审法院认定案涉信用卡中发生的金额为4980元的交易非徐琼本人所为并无不当。综上所述，本院认为，一审判决认定事实清楚，适用法律正确，判处正确，上诉人徐琼、中国银行股份有限公司楚雄州分行的上诉理由均不能成立，本院不予支持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项的规定，判决如下：驳回上诉，维持原判。上诉人徐琼预交的二审案件受理费1708元由上诉人徐琼负担；上诉人中国银行股份有限公司楚雄州分行预交的二审案件受理费50元由上诉人中国银行股份有限公司楚雄州分行负担。本判决为终审判决。审 判 长 倪志敏审 判 员 李 梅审 判 员 何永丽二〇一九年十一月二十一日法官助理 尹 玲书 记 员 郑秋霞