广东省广州市中级人民法院民 事 判 决 书（2017）粤01民终14928号上诉人(原审被告)：中国农业银行股份有限公司广州农讲所支行,住所地:广州市越秀区。负责人：王丹，该行行长。委托诉讼代理人：易青，中国农业银行股份有限公司广东省分行营业部职员。委托诉讼代理人：邓丹桂，中国农业银行股份有限公司广州北秀支行职员。被上诉人(原审原告)：刘婉芳，女，汉族，1969年2月23日，住广州市海珠区。上诉人中国农业银行股份有限公司广州农讲所支行（以下简称农行农讲所支行）因与被上诉人刘婉芳借记卡纠纷一案，不服广州市越秀区人民法院（2017）粤0104民初7660号民事判决，向本院提起上诉。本院依法组成合议庭审理了本案，现已审理终结。上诉人农行农讲所支行上诉请求：一、撤销原审判决，改判驳回刘婉芳的全部诉讼请求。二、本案一审、二审诉讼费用由刘婉芳承担。事实和理由：农行农讲所支行认为原审法院事实认定错误、法律适用错误。一、刘婉芳以在我行开立储蓄账户起诉我行，只提供了交易明细和报警回执等证据材料，未能证明存在资金损失，应承担举证不能的不利后果。第一，交易流水只是涉案银行卡交易情况的客观记录；第二，报警回执只能证实其曾向公安机关报警且报警内容为刘婉芳单方主观陈述，本案并未侦破，并无公安机关或人民法院有效的法律文书对案件性质进行定性；第三，刘婉芳怠于主张诉讼权利，时隔两年才起诉，导致我行与移动公司案发当天的短信发送记录均无法调取。且刘婉芳无证据证明案发当时其手机短信接收情况，应承担举证不能的不利后果。二、涉案交易应认定为刘婉芳自己所为，原审判决认为交易非刘婉芳所为属于事实认定错误。涉案交易并非普通的取款或者转帐交易，全部是通过第三方支付平台开展的交易，该种交易模式无需使用实体银行卡，仅需要客户身份证信息、银行卡信息及预留手机号码和动态验证码等信息即可进行。动态验证码是发送到持卡人预留手机号码，为持卡人本人所持有，且要在极短时间内输入，否则失效。只要操作人正确输入相关信息，涉案交易就应视为持卡人本人的合法交易。案发时，刘婉芳136××××6681手机在本人掌控下，且其承认有使用其他银行卡网上消费，证明刘婉芳有使用银行卡网上交易的习惯。刘婉芳对于第三方支付的交易形式是知晓、理解并接受的，不能排除刘婉芳或者其委托他人进行操作的可能性，涉案无论是否刘婉芳本人实施，均应视为其本人的交易行为。三、我行已采取有效方式验证了客户身份，不存违法违约行为，且未泄露客户的任何信息，不存在任何过错。涉案交易输入正确卡号、身份证号、手机号码及刘婉芳控制的短信验证码，与第三方支付公司签订快捷协议，第三方支付机构将银行预留信息发送我行进行验证，我行按照正常程序验证匹配信息，在校验一致的情况下才能成功绑定银行账户并完成交易，已采取有效方式验证了客户身份，无违法违约行为。农行农讲所支行已履行合同义务，不存在过错。四、刘婉芳存在过错，即便涉案交易非其本人操作，刘婉芳作为完全民事行为能力人，应具有基本的风险意识，可以且应当对其自身故意或过失泄露个人信息承担全部损失，原审判决农行农讲所支行承担主要责任没有事实和法律依据。刘婉芳作为储户，具有妥善保管个人身份信息、账户信息的义务，这些信息具有一定私密性，外人一般不容易获取，涉案交易使用了刘婉芳正确身份信息及绑定涉案银行卡，现该案并未侦破，没有证据证明其个人信息、账户信息是如何泄露的，刘婉芳应承担举证不能的不利后果；即便涉案交易非刘婉芳操作，亦可合理推断是因其风险意识薄弱或某些行为导致个人身份信息、账户信息泄露。据刘婉芳诉状中陈述，经派出所调查后认为是刘婉芳上网查询交警信息时点击非法链接被恶意软件入侵，导致涉案交易。刘婉芳应当对此承担全部后果，而不应由银行为消费者个人的故意或过失行为买单。原审判决我方赔偿刘婉芳主要损失无事实和法律依据。五、刘婉芳未能证明存在资金损失和银行存在违约或过错的情况下，原审判决我方承担主要赔偿责任属于适用法律错误。根据《中华人民共和国民事诉讼法》第六十四条第一款规定和《最高人民法院关于民事诉讼证据的若干规定》第二条规定，刘婉芳未对其主张举证，而原审法院未依据前述“谁主张谁举证”的判决其承担举证不能的责任，反而认为农行农讲所支行未对相关证据进行举证，属于举证责任分配不当，法律适用错误。六、第三方支付交易成交量巨大，若仅凭刘婉芳声称非本人操作即判决银行承担责任，则很可能引发客户金融道德风险，对金融秩序稳定及第三方支付市场的极大破坏。在第三方支付模式下，是由刘婉芳授权第三方支付机构委托银行依据指令进行扣款，该支付方式已经被人民银行确认为合法且广泛被大众接受并适用到生活中。被上诉人刘婉芳辩称：一、刘婉芳的损失是由于涉案账户确实发生扣划；二、案涉账户并非刘婉芳本人操作，刘婉芳已经向公安机关报案；三、刘婉芳很难防范网络盗刷，农行农讲所支行应当承担保护储户存款的责任。被上诉人刘婉芳向原审法院起诉请求：一、农行农讲所支行偿还刘婉芳存款损失本金45881.50元及利息损失（利息按银行同期一年定期存款利率为标准，从2015年4月2日计算至农行农讲所支行实际支付之日止，暂计至2017年4月1日为1376.45元）；二、农行农讲所支行承担案件诉讼费。原审法院认定事实：2002年12月4日，刘婉芳在农行农讲所支行开设个人结算账户，存折账户为44×××40，卡号为95×××12，并预留其本人手机号136××××6681为短信服务通知号码。刘婉芳称其在2015年4月3日收到手机短信通知，发现账户上少了4万多元，便于当天20时20分向广州市公安局海珠区分局龙凤街派出所报案。根据农行农讲所支行提供的《活期存款子账户交易明细》显示，涉案账户在2015年3月26日至2015年4月2日期间，通过第三方平台收支交易共41笔，其中支出38笔共47981.3元，退款3笔共2099.8元。支出具体情况为：26日5笔2298.5元、27日3笔298.5元、28日4笔798.5元、29日9笔11587.3元、30日14笔32700元、4月2日3笔298.5元。上述交易的第三方平台为：“财付通快”（实际为财付通支付科技有限公司）9笔共3599.8元、“顺丰快捷”（实际为顺丰速运有限公司）15笔共1492.5元、“易宝支付”（实际为易宝支付有限公司）11笔共20100元、“0001030012”（实际为快钱支付清算信息有限公司）2笔共17587元、“江苏千米”（实际为广州银联网络支付有限公司）1笔共202元、“消费”（实际为深圳市神州通付科技有限公司，现已更名为美的支付）3笔共5000元。退款具体情况为：财付通于3月27日退款1500元、3月30日退款2笔共599.8元。案发后，“财付通”于2017年4月24日退款1500元，“顺丰快捷”于2017年5月18日退款1492.5元，“易宝支付”于2017年5月24日和6月1日退款20000元和100元，上述共退款25192.3元。刘婉芳予以确认，并变更诉讼请求为本金22789元。庭审中，农行农讲所支行表示网上支付需绑定银行卡，具体流程是输入手机号、身份证号码、姓名、卡号、验证码，每一笔消费时，第三方公司都会发送验证码到客户绑定的手机号码，如果该手机号码回复了，第三方公司会将支付请求及验证码发送给银行，其银行在第三方公司验证的基础上验证匹配信息无误后，才将款项支付给第三方公司。同时表示，银行发送余额变动短信的格式一般为“您尾号XXXX账户X月X日X时X分完成财付通人民币XXX元，人民币余额XXX元”，即指银行只在客户发生交易、动账的时候，才会发送交易动账短信给客户。故农行农讲所支行认为，刘婉芳所称在2015年4月3日才收到其银行的短信是不可能的，要求刘婉芳提供2015年4月3日的短信内容。刘婉芳称因时间太长且手机坏了无法提供。农行农讲所支行称其行也只保存客户一年的短信记录。庭审后，原审法院向广州市公安局海珠区分局龙凤街派出所调取了《受案登记表》、《立案决定书》、《调取证据通知书》、《调取证据材料清单》、《活期一本通/活期存单账户主档查询》、《中国农业银行活期存折明细清单》、《询问笔录》、《受案回执》等。在上述材料中反映，刘婉芳于2015年4月3日报警时，该分局于当天21时15分向刘婉芳进行询问，刘婉芳向警方陈述：“2015年3月26日14时37分，我手机136××××6681收到一条短信，短信内容是我车辆有违章，叫我登陆一个网址进行处理，并附了一个链接地址给我，我用手机按照对方发过来的链接网站点进去，界面是‘广东省公安交警支队’，但界面很快就不见，弹出标注‘违章照片.apk’，提示安装，于是按照提示点了安装，安装了几次后都看不到照片，我就不再理会。4月2日，手机软件提示我手机有病毒，我逐进行清理，之后就收到中国农业银行的信息，里面有我在该行的余额，一看跟我实际的存款有出入，差额约有45000元。4月3日下午，我到农行农讲所支行将该明细但打印出来，经核对，发现从3月26日开始到4月2日止，账户约有45000元共约有30笔显示‘财付通’、‘顺丰快捷’等项目的支出，但其这段时间我没用这类的消费，我意识到可能被诈骗了，就在家打110报警，并到派出所备案。那个网址现在看不到了。”警方问刘婉芳：“对此事银行方面如何表态？”刘婉芳答：“银行称需要查该笔款项转向何处再通知我。”2015年4月8日，该分局以“刘婉芳被诈骗”为由立案作出立案决定书，现无证据显示公安机关对案件有侦查结果。原审法院于2017年5月25日致函中国移动通信集团广东有限公司广州分公司，要求调取刘婉芳在2015年3月25日至2015年4月3日期间的短信记录。该公司于2017年5月31日复函原审法院：移动电话原始话费数据及点到点短消息业务收费详单原始数据保留期限至少为5个月，故贵院来函调取的短信记录时间超出我司规定的保存范围。原审法院认为：刘婉芳在农行农讲所支行处开立个人银行结算账户及申领银联借记卡，并开通了网上银行转账业务，刘婉芳与农行农讲所支行之间建立了储蓄合同关系。随着银行电子支付系统、互联网以及第三方支付平台的出现，商业银行与客户之间储蓄合同的权利义务关系实际并未改变，即刘婉芳负有妥善保管借记卡号、网上银行密码及联系电话等信息的义务，农行农讲所支行负有保障持卡人账户内资金安全及谨慎审查电子交易信息的义务。本案系因通过第三方支付机构导致涉案借记卡账户资金损失产生的纠纷，本案争议的焦点是：农行农讲所支行对涉案借记卡账户资金是否已尽安全保障义务、涉案交易是否刘婉芳或授权他人所为、涉案账户2015年3月30日之前的损失是否已超过诉讼时效。按照交易流程规则，无论是消费或转账，均需要银行卡密码、网上银行登录密码及验证码等完全正确方能交易成功。能够正确使用该两个预设密码的，要么是刘婉芳本人，要么是刘婉芳以外的掌握了该两个密码的行为人所为。刘婉芳否认其本人操作，否认收到验证码，根据公安机关提供的报警资料及涉案的交易情况，判断刘婉芳因安装不明软件致使手机中病毒导致验证码被拦截具有高度盖然性，这与刘婉芳自称在案发前点开了不明网址，其个人私密信息在此过程中不慎泄露有必然关系，刘婉芳对此存在过错，故其对涉案借记卡的损失应承担相应的责任。根据《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》（银监发【2014】10号）第十四条的规定，商业银行应将与第三方支付机构的合作业务纳入全行业务运营风险检测系统的监控范围，对其中的商户和客户在本行的账户资金活动情况进行实时监控，达到风险标准的应组织核查，特别是对其中大额、异常的资金收付应做到逐笔监测、认真核查、及时控制。第十五条规定，商业银行应对客户通过第三方支付机构进行的交易建立自动化的交易监控机制和风险监控模型，及时发现和处置异常行为、套现或欺诈事件。据此，尽管刘婉芳在保护个人私密信息上存在过错，但本案实际情形是农行农讲所支行发送的验证码并非刘婉芳回应，农行农讲所支行也未提供相关证据证明验证码信息已送达至刘婉芳手机，由此说明，在当前高科技日新月异的情形下，以验证码方式保护结算账户的资金安全也存在风险。按照风险控制原理，对网银的性能、功能、可能的风险的预见以及预先防范加以阻却应是作为以盈利为目的的商事主体的农行农讲所支行所应尽的职责，现农行农讲所支行无证据证明其对这种异常交易行为实施了监控，也未能提供涉案电脑交易地点、资金去向及流转等关键事实，不足以判断涉案交易系刘婉芳或其授权他人所为，故农行农讲所支行对案涉借记卡的损失应承担主要责任。关于农行农讲所支行主张案涉借记卡2015年3月30日之前的损失已超过诉讼时效的问题，从公安机关调取的材料反映，发生涉案账户的最后一笔即2015年4月2日被支出后，刘婉芳即向农行农讲所支行反映并查询，此时方知自己权利被侵害，经与农行农讲所支行交涉未果，逐于2017年3月30日向原审法院提起诉讼，故刘婉芳的请求未超过法律规定的二年诉讼时效，对农行农讲所支行的抗辩原审法院不予采纳。综上，农行农讲所支行应对涉案借记卡的资金损失承担80%即22789元×80%=18231.2元的责任，刘婉芳承担损失20%即22789元×20%=4557.8元的责任。由于该借记卡账户属于普通的个人结算账户，故刘婉芳的利息损失应按中国人民银行规定的活期存款利率及计息办法计付。原审法院依照《中华人民共和国合同法》第八条、第六十条、第一百零七条、第一百一十三条、第一百二十条以及《中华人民共和国民法通则》第一百三十五条之规定，判决：农行农讲所支行于判决发生法律效力之日起10日内，向刘婉芳赔偿18231.2元及利息（从2015年4月3日起计至清付之日止，按中国人民银行规定的同期活期存款利率计付）。如果未按判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。一审案件受理费981元，由刘婉芳负担602.5元，中国农业银行股份有限公司广州农讲所支行负担378.5元。本院二审经审理查明的事实与原审法院查明的事实一致。上诉人农行农讲所支行二审陈述，部分第三方平台以涉案交易已超过6个月时间为由，拒绝将盗刷款项赔付给刘婉芳。本院认为，二审审理的范围在于对双方存在争议的事实和法律适用问题进行审查。农行农讲所支行及刘婉芳对于原审法院查明涉案款项系因刘婉芳自行安装不明软件致手机中毒，其个人信息被他人盗取导致卡内资金被盗刷的事实并无异议。但农行农讲所支行认为刘婉芳已就涉案款项被盗向公安机关报案，案件目前尚在侦破追赃过程中，故尚不能认为刘婉芳存在实际损失。农行农讲所支行对于网上交易进行了验证，该交易视为刘婉芳本人的交易，且刘婉芳个人信息泄露过错在其本人，故农行农讲所支行不存在过错，不应承担赔偿责任。刘婉芳认为，交易并非其本人操作，农行农讲所支行未能及时发现其账户内款项变动的异常，未能为储户的账户提供安全保障义务，故农行农讲所支行对于其账户内的款项被盗取存在过错，应当承担主要责任。综合诉辩双方的意见，本案二审争议的焦点在于：一、刘婉芳是否存在存款损失；二、农行农讲所支行对于被上诉人刘婉芳的资金被盗是否存在过错，应否承担赔偿责任。关于争议焦点一，根据查明的事实，虽然公安机关对于刘婉芳卡内资金被盗已立案侦查，被盗款项如被追回，则刘婉芳不存在实际损失。但本案系刘婉芳基于与农行农讲所支行之间的储蓄存款合同关系起诉，与刑事案件审查的系不同的法律关系，涉及的责任主体也不相同。根据查明的事实，刘婉芳账户存款金额确有减少，且该金额的减少并非因刘婉芳本人支取和消费造成，因此刘婉芳存款损失是客观存在的。对于该损失，刘婉芳既可选择通过刑事追赃途径获得补偿，也有权通过民事途径要求其认为有责任的民事主体予以补偿。如刘婉芳因此获取了超出其损失的利益，根据损失填补原则，其应当将所获利益予以返还。故农行农讲所支行关于刘婉芳不存在资金损失的主张，缺乏事实和法律依据，本院不予采信。关于争议焦点二，本院认为，根据查明的事实，涉案存款被盗取的主要原因在于刘婉芳自行下载来路不明的软件，致手机信息被拦截，并为犯罪嫌疑人所利用，据此盗取了刘婉芳卡内资金。涉案交易系由电脑撮合的网络交易，对于提供了正确的验证码及交易密码的交易，均应视为持卡人本人的交易，后果也应由持卡人本人承担。现有证据不能证明农行农讲所支行在此交易过程中存在过错。对于原审法院关于农行农讲所支行对于网络交易过程中使用验证码验证的风险未能予以防范，对刘婉芳账户交易异常情况未进行有效监控，从而导致刘婉芳账户资金损失，故农行农讲所支行存在过错，应当承担主要责任的认定，本院认为，通过第三方交易平台进行的网络支付模式，需进行身份证号、卡号、电话号、短信验证号等诸多要素的验证后方可成功捆绑银行卡进行支付。捆绑银行卡的行为系第三方交易平台的主动行为，也即是持卡人或持卡人授权的人主动交易的行为。验证过程也是由第三方平台向持卡人登记的手机号码发送。发卡行仅是对第三方平台发送的验证信息与发卡行预留的信息进行核对验证。各要素核对一致即捆绑成功，捆绑的银行卡即可用于支付。该过程所发送的动态验证码与发卡行并无关联，且在极短的时间内诸多要素必须碰撞一致，除非持卡人的动态验证密码泄露，否则破译难度极大，故该交易模式应是安全和可控的。作为验证要素中最为关键的动态验证码是发送到持卡人登记的手机号码上，该手机由持卡人自行掌控，故保障持卡人的手机信息安全义务应当由持卡人自行承担。结合本案的事实，刘婉芳因其下载了恶意木马软件，导致手机中毒，信息被盗，责任在于刘婉芳本人。至于刘婉芳称其未收到动态验证码及短信通知，刘婉芳并未能提供相关证据予以证实。如在捆绑银行卡的交易过程中，第三方支付平台未能发送验证码，则支付行为也不可能完成。根据现有证据可以认定，涉案交易过程中第三方支付平台及发卡行发送的验证码及短信应是被木马软件截留。刘婉芳在公安机关所做笔录中，自称其在删除了病毒后，即收到了发卡行的短信通知即可印证。本案涉案金额仅为4万余元，相对于银行系统每日处理的海量交易数据，涉案第三方交易资金并非大额资金，其交易方式，交易频率也并非异常。原审法院认定农行农讲所支行未尽监管义务并无充分证据。原审据此认定农行农讲所支行承担主要责任依据不足，刘婉芳应自行承担其资金损失的责任。但鉴于刘婉芳在向农行农讲所支行反映情况后，农行农讲所支行在协助刘婉芳向第三方支付平台索赔过程中不够及时，导致部分款项因超过6个月的索赔期限而无法追回，对此农行农讲所支行应承担部分怠于履行协助义务的责任。本院酌情认定农行农讲所支行对于刘婉芳22789元资金损失承担30%即6836.70元的责任，并支付该部分金额的活期存款利息。综上所述，上诉人农行农讲所支行关于涉案存款被盗刷的主要责任在于持卡人刘婉芳的上诉理由成立，本院予以支持。原审判决认定事实清楚，适用法律正确，但对于过错主次责任认定不当，导致判决结果欠妥，本院对此予以调整。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（二）项的规定，判决如下:一、变更广州市越秀区人民法院（2017）粤0104民初7660号民事判决为：中国农业银行股份有限公司广州农讲所支行于本判决发生法律效力之日起十日内，向刘婉芳支付赔偿款6836.70元及利息（利息自2015年4月3日起至实际清付之日止，按中国人民银行同期活期存款利率计付）;二、驳回刘婉芳的其他诉讼请求。如果未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。一审案件受理费981元，由刘婉芳负担686元，中国农业银行股份有限公司广州农讲所支行负担285元；二审案件受理费370元，由刘婉芳负担259元，中国农业银行股份有限公司广州农讲所支行负担111元。本判决为终审判决。审判长  赵琦铭审判员  庄晓峰审判员  王泳涌二〇一七年十月三十日书记员  辛 野