江苏省南通市中级人民法院 民 事 判 决 书 （2018）苏06民终3592号 上诉人（原审原告）：施玉萍，女，1970年6月5日生，汉族，住江苏省启东市。 委托诉讼代理人：袁石斌，江苏扬子江律师事务所律师。 委托诉讼代理人：高洪新，江苏扬子江律师事务所律师。 被上诉人（原审被告）：中国建设银行股份有限公司启东支行，住所地江苏省启东市。 负责人：王新，该行行长。 委托诉讼代理人：姚彬，男，该行职员。 委托诉讼代理人：高天润，男，中国建设银行股份有限公司南通分行职员。 被上诉人（原审被告）：中国移动通信有限公司，住所地北京市西城区。 法定代表人：尚冰，该公司董事长。 委托诉讼代理人：孟兰凯，江苏法德永衡律师事务所律师。 委托诉讼代理人：张少华，江苏法德永衡律师事务所律师。 上诉人施玉萍因与被上诉人中国建设股份有限公司启东支行（以下简称启东建行）、中国移动通信有限公司（以下简称中国移动公司）储蓄存款合同纠纷一案，不服江苏省启东市人民法院（2018）苏0681民初557号民事判决，向本院提起上诉。本院于2018年9月17日立案后，依法组成合议庭进行了审理。本案现已审理终结。 施玉萍上诉请求：撤销一审判决并改判被上诉人赔偿其62500元；一、二审诉讼费由被上诉人负担。事实和理由：一、一审判决根据高度盖然性理论，认定启东建行已履行通知义务没有事实和法律依据；认定持卡人疏忽泄露信息只是一种猜测，在银行也掌握注册第三方平台所需全部信息的前提下，无法推定出泄露信息的一方就是持卡人。依据中国移动公司在一审中的答辩，在我手机被屏蔽期间及短信系统记录中可知，案发期间，启东建行的验证码信息被病毒软件拦截导致我未收到短信验证码，表明启东建行在履行合同过程中未正确尽到通知义务，该行应承担相应责任。我对启东建行发送的短信内容并不知情，在此前提下，该行以发送过短信免责，只能表明银行对储户权益的漠视。相关行业规定从未承诺或保证商业银行只要发送了短信，即可视为银行已完成储户资金安全保障的全部法定义务，并可据此免责。相反，为规范非银行支付机构网络支付业务，防范支付风险，保护当事人合法权益，中国人民银行发布施行的《非银行支付机构网络支付业务管理办法》第十条第（二）项规定，银行应当事先或在首笔交易时自主识别客户身份并与客户直接签订授权协议，明确约定扣款适用范围和交易验证方式，设立与客户风险承受能力相匹配的单笔和单日累计交易限额，承诺无条件全额承担此类交易的风险损失先行赔付责任。如果启东建行按上述规定的要求执行，我的完全可以避免，但本案中启东建行安保不足，导致储户资金被盗，该行应依法承担责任。二、中国移动公司称2017年前的免费短信不在短信账单中，系推卸责任。我每月支付信息费，由启东建行收取，而该行与中国移动公司签订有委托协议，不存在免费短信之说。 启东建行未应诉答辩。 中国移动公司辩称:一、保留免费短信详单不属我司法定义务。案涉短信属于建设银行通过端口号码向施玉萍下发的通知短信，施玉萍无需就接收该短信再向我司支付信息费，故称之为免费短信。《电信条例》第三十三条规定，“电信用户要求提供国内长途通信、国际通信、移动通信和信息服务等收费清单的，电信业务经营者应当免费提供。”可见，我司的法定义务是提供“收费详单”，不包括不收费的免费短信记录。二、案涉短信原始数据客观上已无法提供。依据《电信服务规范》、《数字蜂窝移动通信业务》的相关规定，“移动电话原始话费数据及点到点短消息业务收费详单原始数据保留期限至少为5个月。”我司保留短信原始数据的法定期间是6个月。案涉短信发生在2016年7、8月，2018年我司被追加为本案共同被告，已远远超过法定保留期间。需要说明的是，端口号码用户一般是企业法人，其下发的通知短信海量，受限于技术条件，即使要求我司提供，在近两年之后案涉短信原始数据客观上也无法还原。三、我司是否提供案涉短信详单与施玉萍资金损失之间没有因果关系，而且现有证据足以证明我司履行了短信转发义务。施玉萍发生资金损失在前，要求我司提供短信详单在后。我司是否提供与施玉萍的资金损失之间没有因果关系，充其量只能影响本案案件事实查明。但综合分析施玉萍与启东建行提交的短信记录，可以认定2016年7月31日至8月3日期间，包括建设银行下发的通知短信在内，发往施玉萍手机的所有通知短信均被病毒劫持、转发到了犯罪分子控制的手机号码。事实上，如果我司没有转发，则上诉人、犯罪分子均不会收到通知短信，也就不会发生施玉萍的资金受损。故应当认定我司已履行了短信转发义务。综上，施玉萍的诉请缺乏事实和法律依据，请求依法驳回。 施玉萍向一审法院起诉请求：1、判令启东建行赔偿64994元；2、本案诉讼费用由启东建行承担。诉讼过程中，施玉萍变更诉讼请求为：1、判令启东建行、中国移动公司赔偿62500元；2、本案诉讼费用由启东建行、中国移动公司承担。 一审法院认定事实：施玉萍在启东建行办理了中国建设银行结算通卡，卡号62×××87，同时开通了交易提醒短信通知义务，接收信息的手机号码为138××××6832。此后，启东建行正常扣取短信服务费，并提供短信提示义务。2016年7月24日，施玉萍在如东嘉禧贸易商行消费支出2000元。2016年8月2日，施玉萍的上述账户交易支出62500元，商户网点号及名称为821290059334449银证财富。2016年8月10日，施玉萍在正常消费时发现余额不足。同日14时许，施玉萍向启东市公安局汇龙镇中心派出所报警称，前述银行卡一直由其持有并未丢失，但账户内现金在7月31日起被他人盗用64994元。次日，启东市公安局作出立案决定。同年8月29日，中国建设银行江苏省分行电子银行部发出业务联系书，载明施玉萍被他人盗用的现金共计8笔，分别为：中移电子商务有限公司2笔，合计995元；平安付科技服务有限公司1笔99.99元；易宝支付有限公司3笔，合计899.01元；天翼电子商务有限公司1笔500元；银证财富1笔62500元。以上共计64994元。同年9月6日，施玉萍账户被退还现金500元。 2016年12月8日，一审法院组织施玉萍及启东建行对施玉萍138××××6832号手机部分业务记录进行证据确认，施玉萍按以下步骤操作：→江苏移动掌上营业厅→详单查询→点击要查询的时间（7月）→短信详单→录入验证码→进入短信详单界面。查询结果未发现7月31日有启东建行发送的交易提醒短信通知。施玉萍提供的依相同路径取得的手机短信详单书面记录亦未能显示同年8月3日前启东建行发送过短信通知。 另查明，2016年7月24日、7月27日、8月10日，施玉萍使用案涉银行卡消费，启东建行向施玉萍138××××6832的手机号码发送短信通知，但施玉萍138××××6832的短信详单未显示接收过启东建行发送的短信通知。 庭审中，中国移动公司陈述，2017年之前，移动用户的消费清单不显示端口发送来的免费短信（10086除外）。 庭审中，启东建行陈述案涉62500元系通过第三方平台进行交易，并提供了2016年7月31日至8月3日间向手机业务运营商发送短信的后台记录，该记录显示2016年7月31日07时27分58秒至2016年8月3日14时47分24秒共向138××××6832手机号码发送23条短信，其中2016年8月2日01时48分11秒短信内容为：“任何索要验证码的都是骗子，千万别给！13:48发的验证码947115，您尾号2087账户在开通通联支付网络服务股份有限公司快捷支付。”2016年8月2日01时49分04秒短信内容为：“您尾号2087的账户，已开通通联支付网络服务股份有限公司快捷支付，开通后交易扣款将由商户发起，请妥善保管短信验证码···”。2016年8月2日01时51分01秒短信内容为：“您尾号2087的储蓄卡账户8月2日13时49分消费支出人民币62500.00元，活期余额346.20元”。 另查明，2015年，中国建设银行股份有限公司与中国移动公司签订MAS集团短彩信业务协议，约定由中国移动公司为中国建设银行股份有限公司提供集团短信、集团彩信业务事宜。 还查明，根据《中国银监会中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》（银监发【2014】10号）文件规定，客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别，账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方权利与义务。商业银行应对客户通过第三方支付机构进行大额资金划转强化身份认证，确保由客户本人发出资金划转要求。对预留的手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一次检验，通过后方可进行支付。商业银行应就大额支付、可疑支付要及时通知客户。对开通短信或其他方式及时通知功能的客户，应就每一笔支付交易即时通知客户。通知信息中包含但不限于第三方支付机构名称、交易金额、交易时间等。 一审法院认为，施玉萍在启东建行处办理了卡号为62×××87的中国建设银行结算通卡，亦存入相应的资金，双方之间构成储蓄合同关系，双方当事人俱应遵循诚实信用原则，按照合同约定全面履行通知、协助、保密等义务。一审法院认为，本案的争议焦点为：1、启东建行、中国移动公司有无向施玉萍发送验证码。2、启东建行在客户使用互联网平台进行转账交易时是否尽到了安全保障义务，启东建行与中国移动公司有无过错。 对于争议焦点一，一审法院认为，施玉萍在申办结算通卡时，同时开通了短信提示业务，因此，启东建行有义务在每次交易后向其进行短信告知。本案中，施玉萍认为，其案涉2087银行卡2016年8月2日被他人盗刷62500元，但启东建行未向其发送验证码，并提供消费详单予以证明，消费详单显示在2016年8月2日未能接收到启东建行发送的信息。启东建行向施玉萍发送信息分成2个步骤，首先是向手机运营商发送信息，然后由手机运营商向客户发送信息。本案中，启东建行的证据显示，其已委托中国移动公司向施玉萍发送验证码，且系统反馈信息发送成功。中国移动公司认为，其已向施玉萍的138××××6832手机号码发送验证码，否则交易不可能发生，因该信息属于免费信息故在消费详单未能体现，且施玉萍手机中了木马病毒，所有短信均被转发至131××××3705的手机号码。一审法院认为，结合施玉萍之前自己消费时接收的验证码短信亦未能在消费详单中体现，启东建行向施玉萍发送的含验证码的信息属于免费信息，故在施玉萍的消费详单中不显示信息接收记录。施玉萍提供消费详单难以达到启东建行未向其发送验证码的证明目的。且启东建行提供的系统查询信息显示其于2016年8月2日01时48至01时51分期间已向施玉萍预留的138××××6832手机号码发送含验证码信息及账户余额变动信息。而根据施玉萍138××××6832手机号码消费详单，该手机号码几乎在启东建行发送信息的同时，向131××××3705的手机号码发送字节数几乎相当的信息。根据高度盖然性理论，一审法院认定启东建行已于2016年8月2日01时48至01时51分期间按约通过中国移动公司向施玉萍预留的手机号码发送了含验证码的短信及账户变动短信。 对于争议焦点二，一审法院认为，案涉62500元系互联网平台交易，银行卡互联网平台交易需具备三个条件，银行卡号、密码和验证码，三者缺一不可。由于密码是由储户自行设置，储户设置密码后，只有银行系统才能有效识别，除储户本人知道该密码外，任何人包括交易银行在内的其他人均无法查询到该密码，该密码具有唯一性和保密性，由储户自行保管。且验证码系系统自动随机生成后发送至储户预留的手机号码。在他人知道银行卡号，但不知道银行卡密码的情况下，也无法完成交易。据此，施玉萍在他人处使用案涉62×××87的中国建设银行卡消费时，泄露了其相关的个人信息和账户信息的可能性较高。从施玉萍的手机短信被连续转发的情况来看，无法排除他人利用木马病毒控制了施玉萍138××××6832号码的手机，从而盗取施玉萍62×××87中国建设银行卡上的钱款。启东建行已按照规定，在接收到交易请求时，发送短信即时通知客户，并向客户预留的手机号码发送了验证码，故一审法院认为启东建行根据规定，利用银行卡号、密码、验证码来判别客户合法性身份和确认交易有效性，尽到了相应的安全保障义务，其在履行储蓄合同中并无过错。中国移动公司根据启东建行的委托已向施玉萍预留的手机号码发送验证码等信息，已尽到合同约定的义务，在履行合同中亦无过错。 综上，对施玉萍的诉讼请求不予支持。本案另涉的刑事案件正在侦查阶段，施玉萍对其诉称的被盗刷资金，可依法另行主张。判决：驳回施玉萍的诉讼请求。本案受理费1425元（施玉萍已预交），由施玉萍负担。 二审中，当事人没有提交新的证据。 本院经审理，一审查明的事实属实，本院予以确认。 经双方当事人确认，本案二审争议焦点为：启东建行是否已履行短信通知义务、中国移动公司是否已履行信息转发义务？启东建行、中国移动公司是否应对施玉萍的资金损失承担赔偿责任？ 本院认为： 一、启东建行向施玉萍发送信息分成两个步骤，先由启东建行向手机运营商即中国移动公司发送信息，再由中国移动公司向施玉萍发送信息。根据启东建行的举证，其系统在案涉银行卡开通多家第三方支付平台快捷支付时，均已发出短信验证码，并提醒需妥善保管短信验证码；在交易发生后，亦实时针对交易情况发出了余额变动短信进行提示，发送短信的目标手机号码为施玉萍在该行预留的手机号码。而在启东建行发出案涉交易相关短信后的数秒钟，施玉萍的手机号码即向131××××3705的手机号码发送了字节数几乎相当的信息。再结合开通第三方支付平台快捷支付时，只有在正确输入验证码后才能发出交易指令的一般操作流程，一审法院根据高度盖然性原则，认定启东建行已通过中国移动公司向施玉萍的手机号码发送了案涉交易相关信息并无不当。至于施玉萍的手机号码未收到短信，责任不应归咎于启东建行和中国移动公司。 二、案涉交易系通过第三方支付平台进行的交易，一方面，该交易方式不需使用实体银行卡，亦不受空间阻隔，公安机关虽已对施玉萍银行卡现金被盗案立案侦查，但在公安机关尚未破案之前，不足以认定案涉交易系他人盗刷；另一方面，通过第三方支付平台进行交易，通常需进行持卡人的身份证号码、银行卡号、预留手机号、短信验证码等诸多要素的验证后方可成功绑定银行卡进行支付。验证过程中，作为验证要素中最为关键的短信验证码是发送到持卡人在银行预留的手机号码上，该手机应由持卡人自行掌控，短信验证码只有持卡人本人知晓并掌握，故持卡人应对手机信息安全负责。对银行而言，只要对相应信息验证一致，已尽审核义务，即可根据交易指令从银行卡上支出资金。本案中，启东建行已通过中国移动公司向施玉萍的手机号码发送了验证码，在施玉萍未能举证证明启东建行未尽审核义务，在信息验证方面存在过错的情况下，要求启东建行、中国移动公司对其资金损失承担赔偿责任,缺乏事实与法律依据。 综上，施玉萍的上诉请求不能成立，应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。 二审案件受理费1425元，由施玉萍负担。 本判决为终审判决。 审判长 刘 琰 审判员 张 敏 审判员 刘丽云 二〇一八年十一月二十九日 书记员 何燕燕