广西壮族自治区桂林市中级人民法院 民 事 判 决 书 （2019）桂03民终3255号 上诉人（原审被告）：中国工商银行股份有限公司桂林市阳桥支行，住所地广西壮族自治区桂林市。 负责人：邓炜琦，该支行行长。 委托诉讼代理人：薛晔，女，该支行营业部业务经理。 委托诉讼代理人：赖闻诗，男，中国工商银行股份有限公司桂林分行业务经理。 被上诉人（原审原告）：朱宝玉，女，1947年2月17日出生，汉族，住广西壮族自治区桂林市象山区。 委托诉讼代理人：秦美玲，广西剑化犁律师事务所律师。 上诉人中国工商银行股份有限公司桂林市阳桥支行（以下简称工行阳桥支行）因与被上诉人朱宝玉银行卡纠纷一案，不服广西壮族自治区桂林市象山区人民法院（2019）桂0304民初25号民事判决，向本院提起上诉。本院于2019年10月24日立案后，依法组成合议庭进行了审理。本案现已审理终结。 工行阳桥支行上诉请求：一、请求撤销象山区人民法院（2019)桂0304民初25号民事判决书，依法另行改判；二、诉讼费用由被上诉人承担。庭审时，工行阳桥明确改判工行阳桥支行承担30%责任，朱宝玉自行承担70%责任。事实和理由：一、一审判决仅凭被上诉人单方面陈述就认定本案系上诉人银行结算账户系统不安全导致被上诉人信息泄露，从而引发其银行卡被盗刷属于认定事实错误，违反证据规则。被上诉人没有任何证据证明上诉人银行结算系统有泄露客户信息的行为，也没有任何证据证明银行结算系统存在安全隐患。在被上诉人提供的受案回执中，公安机关并没有做查明事实的描述，公安机关也并没有侦破该案并查明案件事实。被上诉人的主张被伪卡盗刷没有证据支持。根据《最高人民法院关于民事诉讼证据的若干规定》第二条规定，被上诉人应当对其手机被屏蔽的事实负有举证责任。一审法院在没有证据证明客户手机信息被盗取的情况下仅凭被上诉人单方面陈述自己未将身份信息及验证透露给他人及提供报警回执及挂失等看似资金被盗取后的一系列行为便认定被上诉人资金被他人盗取，推定本案系上诉人违反储蓄合同中安全保障客户资金安全义务被他人盗刷资金，严重违反了证据规则。二、被上诉人没有尽到妥善保管银行预留手机验证码等重要认证信息的义务。被上诉人申领工行银行卡，填写了《个人客户业务申请书》并在申请人栏处签名，即与上诉人建立银行卡领用合同法律关系，双方权利义务应依《中国工商银行个人银行结算账户管理协议》第十四条的内容确定。银行向客户预留手机发送的验证码具有动态密码的属性，与客户银行卡交易密码均属于银行验证客户是否同意交易的重要信息。该验证码由被上诉人本人保管，预留手机号是被上诉人本人在开户时通过银行柜台进行验证的，用于接收银行发送的信息，银行也在发送信息的过程中提示客户切勿将验证码告知他人的提示，所以验证码指定发送预留手机的行为具有私密性和唯一性，若非被上诉人本人泄露，他人是无从得知被上诉人预留手机号的。持卡人只要妥善保管好手机及手机中的验证信息，尽到基本的安全注意义务，是可以有效防范资金被盗的风险，资金安全绝对有保障。本案中诉争交易系被上诉人通过注册银联云闪付绑定工行储蓄卡完成的网上支付交易，被上诉人银行预留信息及银行预留手机号接收的验证短信是完成银联云闪付绑定银行卡的必要条件，二者缺一不可。验证短信由被上诉人银行卡预留手机接收并个人掌握，被上诉人负有妥善保管验证短信的义务。如非被上诉人泄露，他人无法得知银行验证短信内容，更无法完成银联云闪付绑定银行卡行为，被上诉人的资金也不会被支付。三、上诉人已履行了必要的审查义务，不存在过错，不应当承担任何赔偿责任。涉案交易均通过银联云闪付完成支付，根据银联提交至象山人民法院的回函中提到，被上诉人银行卡注册云闪付为实名认证，并且通过了云闪付的认证程序完成注册并进行交易，整个认证过程需输入被上诉人的姓名、银行卡号、身份证件号及银行预留手机号码等私密信息进行绑定，绑定时银行向被上诉人银行卡预留手机号发送验证信息短信认证是否为本人操作，被上诉人手机需接收短信后输入唯一的、正确的手机验证码后才能绑定成功，且绑定成功后只需输入云闪付的支付密码即可完成交易。整个交易流程需要经过身份信息的核实及验证码两道核实才能完成，且最为重要的银行预留手机验证码只有被上诉人本人手机才能接收到，动态验证码验证作为完成支付验证的最后一个环节，是上诉人确认交易是否为客户本人及其授权人的最重要的依据，上诉人通过客户反馈回银联的验证码基于相互信赖原则完成银行卡绑定认证。已尽到极为严格的审查环节，并依据指令完成绝对的支付义务，不存在过错，不应承担任何赔偿责任。 朱宝玉辩称，一审判决认定事实清楚，适用法律正确，应当维持。工行阳桥支行要求按比例分担责任没有事实依据和法律依据；认为本案系朱宝玉没有妥善保管银行卡密码及个人信息没有事实依据。第三方支付平台银联本身在书面答复中仅以超过承担责任的时限为由拒绝赔偿，因此要求朱宝玉自己承担损失不当。 朱宝玉向一审法院起诉请求：1、判令被告退回原告存款27900.96元，并支付利息695元（27900.96×贷款利息×5个月）；2、本案诉讼费由被告承担。 一审法院认定事实：2009年5月21日，原告朱宝玉在被告工行阳桥支行办理个人储蓄卡，被告向原告核发62×××11借记卡一张，预留的短信接收号码为139××××7289，该卡由原告持有并使用。该卡于2018年11月3日至5日期间通过无卡网上支付的方式共交易44笔，款项共计为27900.96元，交易时间均为0点至凌晨3点之间，交易类型为消费，每笔金额均在1000元以下。2018年11月6日，原告至被告处进行查询及沟通。次日，原告向桂林市公安局象山分局阳桥派出所报案，并将银行卡挂失。为了案件事实的查明，一审法院致函中国银联股份有限公司广西分公司，该公司回函称（节录）:朱宝玉卡号62×××11于2018年10月26日开通云闪付，开通云闪付的手机号为157××××9540,银行卡实名认证时间为2018年11月2日，银行卡在银行端预留及接收验证信息的手机号为139××××7789；该银行卡在2018年11月3日前未使用云闪付进行消费或支付，2018年11月3日至5日期间的交易是通过朱宝玉实名认证的云闪付账号登录云闪付APP发起的二维码主扫交易，交易时需要输入云闪付的支付密码。庭审中，原告认可139××××7789系其本人号码，但否认157××××9540为其手机号，而该手机号归属为海口。 一审法院认为，原告朱宝玉在被告工行阳桥支行处办理了银行卡，双方之间即形成了储蓄合同关系，该合同系当事人真实意思表示，内容未违反法律、行政法规强制性规定，应属合法有效，双方均应严格恪守合同。结合本案双方当事人的诉辩意见，本案的争议焦点为涉案银行卡内资金交易的损失由何方承担。针对该争议焦点，该院作如下评析：首先，原告朱宝玉在发现涉案银行卡账户存款交易情况后，向被告工行阳桥支行进行反映并要求挂失，同时向公安机关报案，符合常人财产被盗后的正常反应。其次，关于原、被告是否存在过错及违约行为的问题。根据中国银联股份有限公司广西分公司的回函可以确认，原告的工商银行卡在2018年11月3日至5日期间进行的44笔交易系通过云闪付进行支付，而原告主张并非其本人操作。根据《中华人民共和国商业银行法》第四条第一款规定“商业银行以安全性、流动性、效益性为经营原则”，第六条规定“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”，可见，保护储户存款安全既是银行的合同义务也是法定义务。被告作为借记卡的发卡行及相关技术、设备和操作平台的提供者，具有较强的资信能力和防范风险能力，也具备足够的实力和相应的制度进行风险预测和预防，应当提供完善的技术设备，确保银行卡内的数据信息不被非法窃取并加以使用，从而确保银行卡内资金的安全。本案中，并未有证据证明是原告本人开通云闪付业务或是原告委托他人进行该项交易，被告也未提供证据证实原告曾使用预留手机号进行过云闪付的密码验证，或使用预留手机号向银行申请过涉案银行卡绑定云闪付支付义务。且发生的44笔交易过于频繁，均发生于凌晨，存在异常情形。因此，该院认定原告银行卡系被人盗刷。该情况表明被告交易系统在防伪技术及安全保障上存在安全隐患，致使银行卡内的数据信息被非法窃取并加以使用。因此，被告在本案中存在违约行为，应对原告存款损失承担赔偿责任。被告没有证据证明原告对其银行卡内存款被盗刷造成损失存在过错及违约行为，因此被告应当对原告的损失予以全额赔偿。故对原告要求被告赔偿被盗刷的存款27900.96元，并支付因此造成的利息损失695元，共计28595.96元，该院予以支持。依照《中华人民共和国合同法》第八条、第六十条、第一百零七条、第一百二十一条，《中华人民共和国商业银行法》第四条、第六条，《中华人民共和国民事诉讼法》第四十八条、第六十四条第一款，《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第五十二条规定，判决：被告中国工商银行股份有限公司桂林市阳桥支行应于本判决生效之日起十日内赔偿原告朱宝玉存款及利息损失共计28595.96元。 本院二审期间，当事人围绕上诉请求依法提交了证据。本院组织当事人进行了证据交换和质证。本院依职权向中国移动通信集团广西有限公司桂林分公司调查朱宝玉139××××7289号手机于11月3日至11月7日期间开通、取消手机短信功能的情况；向桂林市公安局刑事警察支队秀峰第一责任区刑警大队调取公安机关对犯罪嫌疑人李玉菁的讯问笔录。中国移动通信集团广西有限公司桂林分公司于2019年11月14日书面回复：139××××7289手机号于2018年11月3日2：00通过网上营业厅办理取消短信功能业务；2018年11月6日在阳桥营业厅办理开通短信功能业务；2018年11月7日5：08分通过网上营业厅办理取消短信功能业务；2018年11月7日5：10通过网上营业厅办理开通短信功能业务。李玉菁的讯问笔录显示：其通过嗅探短信的工具获取短信信息，通过短信信息获得手机号码然后获得他人短信验证码登录银行账号。再通过银行账号窃取受害人身份信息、银行卡信息，然后又通过短信验证码窃取受害人银行卡中的钱款。李玉菁的作案对象包括本案当事人朱宝玉。工行阳桥支行、朱宝玉认可该证据的真实性、合法性和与待证事实的关联性。 经释明，各方当事人对一审法院查明的案件事实均无异议，本院依法予以确认。根据二审调查取得的新证据，本院另查明：朱宝玉139××××7289号手机于2018年11月3日2：00通过网上营业厅办理取消短信功能业务，2018年11月6日14：41在阳桥营业厅办理开通短信功能业务。朱宝玉的银行卡被盗刷均发生在该手机号码被取消短信功能期间。 本院认为，朱宝玉向工行阳桥支行申领银行卡并进行活期存款业务双方之间形成合法有效的储蓄合同关系。本案二审的争议焦点是朱宝玉就案涉银行卡被盗刷是否存在使用上的过错，其是否应当按比例承担相应法律责任。《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”第二十九条第一款规定：商业银行办理个人储蓄存款业务,应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。《电子支付指引》第四十二条规定:“因银行自身系统、内控制度或为其提供服务的第三方服务机构的原因、造成电子支付指令无法按约定传递、传递不完整或被篡改,并造成客户损失的,银行应按约定予以赔偿。因第三方服务机构的原因造成客户损失的,银行应予赔偿,再根据与第三方服务机构的协议进行追偿。”在储蓄存款合同中,工行阳桥支行作为商业银行,具有保障储户账户资金安全的法定义务。因此,该行作为银行卡的发行者及相关技术、设备和交易平台的提供者,应对交易机具、交易场所、交易平台加强安全管理,并对各项软硬件设施及时更新升级,最大限度地防范资金交易安全漏洞。特别是随着电子银行业务的发展,通过网络进行电子交易带来巨大便利的同时,也伴随着更多潜在的风险,工行阳桥支行联合第三方支付平台向客户所提供的电子交易系统,由银行及第三方支付开发、设计并负责维护,故其理应采取严格的技术保障措施,保障其提供的电子交易系统安全性,防范犯罪分子针对银行卡的犯罪行为。网上银行业务不同于物理卡交易,银行无法凭借真实有效的银行卡来验证持卡人身份,而是通过卡号、登录及交易密码、动态验证码等持卡人网络交易身份认证信息的一致性来核实客户身份。银行提供的证据证明上述信息验证通过的,通常即认定构成具有受领权的权利外观、银行的给付属于适当履行的表面证据。但上述网银交易中债务履行适当性的认定,在性质上属于事实推定。即以相关验证信息的私密性为前提,推定系争交易由持卡人或其授权所为。如果持卡人提供证据证明相关交易系他人冒用持卡人名义、使用持卡人网络交易身份认证信息所为的,即可推翻上述事实推定。本案中,现有证据无法证明朱宝玉在管理和使用银行卡中存在泄漏个人信息和交易密码等不适当的履约行为。根据犯罪嫌疑人的供述,涉案资金损失系因犯罪嫌疑人非法获取朱宝玉的身份信息、账户信息、交易密码,进而完成转账所致的盖然性较高。犯罪嫌疑人通过非法手段完成网络盗刷说明银行及第三方支付平台在技术层面仍然存在可被攻击的漏洞，其应当继续完善防范技术。故工行阳桥支行在履行与储户之间达成的合同关系时未尽到保护储户资金安全的合同义务，其应当承担相应违约责任。一审判决其偿还朱宝玉存款本息及利息并无不当 综上所述，工行阳桥支行的上诉请求不能成立，应予驳回。原审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。 二审案件受理费514元，由中国工商银行股份有限公司桂林市阳桥支行负担。 本判决为终审判决。 审 判 长  程 锦 审 判 员  朱孟儒 审 判 员  王 艳 二〇一九年十一月二十五日 法官助理  黄 荣 书 记 员  周 红