山西省太原市中级人民法院民事判决书（2020）晋01民终1454号上诉人（原审原告）：乔晋媛，女，1970年10月12日出生，汉族，太原市公安局交通警察支队警察，住太原市。被上诉人（原审被告）：中国银行股份有限公司太原综改区支行，住所地山西综改示范区太原唐槐园区龙盛街18号科技创新孵化基地4号楼A区商铺。负责人：王立国，行长。委托代理人：孟榕榕、李志华，山西新晋界律师事务所律师。上诉人乔晋媛因与被上诉人中国银行股份有限公司太原综改区支行（以下简称中行太原综改区支行）侵权纠纷一案，不服太原市小店区人民法院（2019）晋0105民初8424号民事判决，向本院提起上诉。本院于2020年3月4日立案后，依法组成合议庭进行了审理。上诉人乔晋媛，被上诉人中行太原综改区支行的委托代理人孟榕榕、李志华到庭参加诉讼。本案现已审理终结。乔晋媛上诉请求：1、撤销一审判决，支持上诉人的全部诉讼请求或发回重审；2、本案一、二审诉讼费用由被上诉人承担。事实理由：一、上诉人未向银行申请过移动支付业务，是他人盗取信息后开通，上诉人资金损失因“移动支付业务”而起，一审法院却未对该业务开通主体、开通流程进行审查，径直认定被上诉人无过错明显不妥。二、被上诉人作为移动支付业务开办方，在未对开通人身份进行鉴定情况下开通移动支付业务，其管理漏洞被犯罪分子盗取信用卡信息，一审法院却错误认定被上诉人已经尽到合理的安全警示和告知义务，不应承担赔偿责任。综上，请求二审法院查明事实，依法改判或发回重审。中行太原综改区支行辩称，1、被上诉人在业务开通前已尽到审慎审查义务，确定开通人有开通资格。开通时严格遵守流程，规范操作，不存在过错。开通后，消费进行中谨慎监管，风险防控及时尽责。2、上诉人自己泄露关键信息是造成其损失发生的根本原因，从合理性及社会效果以及利益衡量而言，驳回其诉求才可维护公平正义和社会稳定。乔晋媛向一审法院起诉请求：1．依法判令被告撤销中国银行尾号为3648信用卡（违规发放，应为无效）；2．依法判令被告尾号为3648信用卡与原告持有的中国银行尾号7880的捆绑关系，3648产生的99690元依法由被告承担；3．本案诉讼费、律师费、保全费等相关费用由被告承担。事实和理由：2019年8月22日11：17分，原告收到106550667070947发来短信称：中国银行信用卡可提额，并附有链接。原告误以为真，点击该链接致信用卡7880信息及原告公民身份信息被盗。8月22日11时49分，原告收到中国银行95566发来的短信称：您正在进行中国银行移动支付业务的开通操作，校验码：318053。由于其时原告手机显示正申请信用卡7880的提额操作，遂输入了该验证码。11时50分，原告收到中国银行95566发来的短信称：信用卡启用账号3648的信用卡开卡成功，开卡时间2019年08月22日，提示：为了您用卡顺利请激活时务必设置消费密码。此时原告并未做任何操作。11时51分，原告收到中国银行95566发来的信息称：信用卡3648首次交易人民币49893元，交易类型POS消费。与此同时，原告接到号码为010-82971199的电话提示：尾号为3648的虚拟信用卡存在交易风险，通知原告已对此卡进行了止付。然而，原告对尾号为3648的虚拟信用卡开通一事并不知情，该来电称3648是原告7880信用卡的绑定卡。此前原告并未授权此卡与原告持有的中国银行信用卡尾号7880进行捆绑。11时52分，原告又收到中国银行95566发来的短信称信用卡3648卡POS消费人民币49797元。至此3648信用卡共消费99690元。根据《中国银行股份有限公司信用卡信用领用合约》2018版第一条第一款之规定，领用信用卡，申请人的“申请资料须由申请人亲自签名。”被告在办理3648信用卡未要求原告签名也未做任何审核工作。被告以开通移动支付的名义办理3648信用卡的开通时，（以偷换概念的手法：以移动支付之名掩虚拟信用卡之实）疏于履行信用卡申领审核义务，未尽到谨慎审查职责，从而客观上放任并促成了不法分子假冒原告身份之名开办信用卡的事实。严重侵犯了原告的合法权益。经与中国银行手机银行在线人工客服了解：中国银行虚拟信用卡业务已于2016年10月22日凌晨停止办理。被告却于2019年8月22日办理了3648虚拟信用卡，并与7880信用卡强行进行捆绑。原告从中国人民银行官网查询到2014年3月，中国人民银行有关官员表示，“虚拟信用卡”的发卡流程全程网络化，省略了风险控制的关键环节，突破了现行发卡面签审核等基本管理要求。对反洗钱和账户实名制产生了较大冲击，同时，由于办卡流程无法有效确认客户本人办卡意愿，在目前个人身份信息非法买卖及个人信息被非法窃取行为未得到有效遏制的情况下，还存在较大的冒名办卡风险（如本人被冒名办卡），极易发生损害消费者合法权益的问题。央行对虚拟信用卡此项业务进行暂停，以保障消费者权益，防范支付风险。在这样的社会环境下，被告作为职能管理部门，更应该审慎审核，依法依规履职尽责，而不是在上级主管部门已明示其风险的情况下，对上级指示精神置若罔闻，给不法分子留下了可趁之机，致原告财产严重受损，严重侵犯了原告作为金融消费者的合法权益。被告又称3648信用卡是华为钱包所开通，原告并未使用华为钱包，如信用卡确系中国银行委托华为钱包所开，被告依然对此信用卡的发行负有法定审核责任。被告对此虚拟信用卡卡号始终不对原告公开，严重侵犯了原告在金融活动的交易信息的知情权。且中行的系统里一直显示7880没有申请虚拟卡。《中华人民共和国反洗钱法》第一章第三条之规定：在中华人民共和国境内设立的金融机构和按照规定应当履行反洗钱义务的特定非金融机构，应当依法采取预防、监控措施，建立健全客户身份识别制度。本次事件中，被告对客户身份完全未加有效识别。实行被告违规发行虚拟信用卡，给原告的财产及身心造成了极大的损害，原告多次与被告反映未果，提起诉讼，以维权益。一审法院认定事实：原告在被告处申领了卡号为62590714＊＊＊＊7880的长城环球通信用卡，并预留了手机号码。2019年8月22日11：17，原告收到号码为106550667070947的短信，内容为“主题：［中国银行］鉴于您近期用卡记录良好，现可提升卡片信用额50000元，无需审核，点击http：／t．cn／AiQ0yJQU申请，退订回T”。原告打开了链接，根据要求输入了卡号和身份证号、预留手机号，并填写信用卡有效期，之后显示是正在审核，审核过程中界面跳转，要求输入验证码。11：47和11：49，原告收到中国银行95566的两条短信，内容均为“校验码：318053，尊敬的客户，您正在进行中国银行移动支付业务的开通操作，请勿向任何人提供您收到的短信校验码［中国银行］EMUI已防止第三方应用恶意读取和使用验证码。切勿泄露他人。”之后，原告填写了校验码。11：50，原告收到95566的两条短信，内容为“信用卡启用，账号状态＊3648已开卡成功，开卡时间2019年08月22日提示为了您用卡顺利请激活时务必设置消费密码”“您的信用卡3648于2019年08月22日已开卡成功。为了您用卡顺利请激活时务必设置消费密码。［中国银行］”。11：51，原告收到95566的短信，内容为“交易提醒，金额RMB49893．00，信用卡＊3648首次交易时间2019年08月22日”。同时，原告接到了010-82971199的电话。11：52，原告收到95566的两条短信，内容为“信用卡提醒，金额RMB49797．00，信用卡＊3648，POS消费，时间2019年08月22日，提示您的卡片可用余额已低于20％”，“您的信用卡7880因出现疑似风险交易，于2019年08月22日已被暂停使用，如有疑问请及时联系我行客服中心。［中国银行］”。经查询卡号为62590714＊＊＊＊7880的信用卡的对账单显示，2019年8月16日卡号后四位7880支出23元，交易描述为支付宝快捷支付江选芬，8月22日卡号后四位3648分别支出49797元和49893元，交易描述为宠物乐园。交易信息显示上述两笔8月22日的交易的商户信息是位于重庆市万州区果园路1号附9号的万州区个体户杨德垒宠物用品店。庭审中，双方均认可事发时，涉案信用卡的消费额度为125000元，事发后，原告办理了涉案信用卡的卡号更换业务，不能再进行移动支付。另查明，被告提交2019年8月22日11时51分29秒原告与010-82971199的风险提示通话录音，010-82971199是中国银行总行反欺诈电话，主要内容为向原告核实之前发生的交易是否是原告本人的消费，得知不是原告的消费后，办理了止付。原告对此不予认可，陈述当时的通话时间是58秒，而被告提供的是1分多，且当时向我询问的是个男的，但是被告提供的是女声，当时告诉我是中国银行信用卡中心的，我开了一个虚拟信用卡，虚拟信用卡发生了交易要给我进行止付，我问虚拟信用卡是什么卡，我说用了这么长时间都不知道，为此我还与业务员因此发生了争吵，他说可能是华为pay或者是iphonepay开通的，通话中是我的声音，但是我与被告通过很多次话，是被告提取我的声音。被告提供2018年6月29日向原告预留的手机号码发送的涉案尾号为7880的中行信用卡的增额短信，内容为“尊敬的客户，感谢使用中行信用卡。根据总额和信用评分，拟将您的信用卡额度提升至125000元人民币，长期有效，我们将于近期完成额度调整，增额结果以最终审结结果为准，如不愿接受此服务，请致电客服。祝您用卡愉快。［中国银行］”。原告抗辩其没有注意到，被告只负责发，其不一定能收到短信。被告提交涉案设备卡的卡号及刷卡明细，设备卡的卡号显示为62591014＊＊＊＊3648的外呼查询移动支付卡号。原告认为这个卡号是通过华为pay开通的中国银行的移动支付，证明我的手机号开通了华为pay。开庭之前。华为的客服确认了我的手机没有开通华为pay，所以尾号3648的信用卡是华为pay的映射卡的推断是不成立的。尾号3648的信用卡是我名下的信用卡，我有权知道卡号，但被告迟迟不予告知，且刷卡明细与我无关，我没有开尾号3648的信用卡也没有刷卡，被告操作不规范。再查明，2019年8月27日，太原市公安局迎泽分局郝庄责任区刑警队向原告出具受案回执，主要内容为：你于2019年8月22日报称的乔晋媛被骗案我单位已受理（受案登记表文号为2019005305）。原告陈述事发当日其便打了110报警，报警以后，公安机关让其去银行查交易信息和卡号，我去银行查不到卡号，银行的工作人员说用身份证查一下，看我名下是否有尾号为3648的卡，查询后发现也没有这张卡，我向刑警队反馈，刑警队说没有自己的账号和对方的账号所以无法立案，所以该案公安机关尚未立案。一审法院认为，公民的合法权益受法律保护。原告主张被告在未经其同意的情况下为其开立了尾号为3648的虚拟信用卡，被告疏于履行信用卡申领审核义务，未尽到谨慎审查职责，从而客观上放任并促成了不发分子假冒原告身份之名开办信用卡的事实，故被告应当撤销尾号3648的信用卡，解除与尾号7880的信用卡的捆绑关系，并承担尾号3648的信用卡产生的交易额99690元。根据原告提交的短信截图，中国银行已明确告知原告开通的是移动支付业务，且双方提供的尾号为7880的信用卡的消费记录中也记载有卡号3648的消费明细，可以证明被告为原告开通的是移动支付义务，而非原告主张的虚拟信用卡。从本案查明的事实来看，本案所涉两笔交易共计99690元均是由于原告点击了106550667070947短信中的链接，向第三方提供了自己的卡号、身份证号、预留手机号及信用卡有效期等信息，同时将验证码告知了第三方，导致其信用卡开通了移动支付业务，款项被第三方盗刷。根据原告提交的短信截图，可以证明发送短信的号码并非中国银行的客服号码，短信的内容也与中国银行增额短信的内容和形式存在明显差别，上述内容凭借一般生活经验均可进行判断。开通移动支付业务的验证码是以动态密码的方式下发的，具有私人密码的使用效力，除非本人泄露，他人不得知晓。且中国银行告知验证码的两条短信中均有“请勿向任何人提供您收到的短信校验码”及“切勿泄露他人”的内容，可以看出被告已经尽到了合理的安全警示和告知义务，并无过错。原告在收到该短信的情况下，仍向他人泄露验证码，其本人并未妥善保管验证码。故对于涉案款项99690元被第三方盗刷的后果应由原告承担。原告已将本案进行刑事报案，被告应积极配合公安机关破案，协助公安帮助原告追回损失。综上，原告基于被告存在过错而主张的各项诉请，证据不足，一审法院不予支持。判决：驳回原告乔晋媛的诉讼请求。二审审理中上诉人提交两份证据：1、《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》，证明被上诉人开卡时未按通知要求进行多因素身份鉴别；2、2019年12月31日提取的录音，证明银行客服告知其虚拟信用卡与设备信用卡都是已经停办的业务。被上诉人对上述两份证据的真实性及关联性均不认可。被上诉人当庭提交证据1.移动支付开办流程演示视频，证明移动支付的开通流程；证据2.上诉人与中行客服的六份录音摘要，证明客服已明确告知其案涉业务是移动支付业务。庭后又提交7880卡申请开办移动支付业务的系统截屏。本院认为被上诉人提交的证据均不符合新证据标准，不予采信。对上诉人证据1的真实性予以采信。二审查明的事实与一审法院认定一致，予以确认。本院认为，案涉的“移动支付业务”是指消费者通过移动终端对所消费的商品或服务进行账务支付的一种新型网上支付方式。客户需通过移动设备、互联网或者近距离传感直接或间接向银行金融企业发送支付指令产生货币支付和资金转移，实现资金的移动支付。本案焦点为案涉移动支付业务的开通是否为上诉人本人申请开通，被上诉人对开通此业务是否存在过错。移动支付业务的开通首先应由客户向银行发起开通申请，根据查明的事实，上诉人乔晋媛主观是因提升信用卡额度进行手机操作，但在接到中国银行客服系统发送“您正在进行中国银行移动支付业务的开通操作，请勿向任何人提供您收到的短信校验码”的短信时，未加识别将校验码错误提供给犯罪分子，致使犯罪分子盗取信息后开通了移动支付业务。被上诉人关于“开通的申请是上诉人乔晋媛开卡时预留的手机号码发起，开通过程中所涉及的相关信息均与上诉人预留信息相符，即视为其本人申请开通”的抗辩，仅适用乔晋媛本人真实意愿的申请，并不适用于犯罪分子盗取信息后的开通交易，故上诉人信用卡的移动支付业务并非本人所申请办理。上诉人主观上虽未申请办理案涉业务，但客观却将短信校验码泄露给犯罪分子，上诉人应自负校验码未尽妥善保管的相应责任，即对其信用卡被盗刷损失承担30%的责任。上诉人与被上诉人系信用卡服务合同关系。被上诉人作为银行，负有对持卡人的账户资金、交易安全等提供安全设备和技术平台等重要义务。本案中，上诉人的信息被第三方采用非法手段恶意获取后骗取银行进行交易，被上诉人仅识别系上诉人手机终端发出的信息，就错误认为系上诉人本人，说明银行的交易系统存在技术缺陷。上诉人非金融系统人员，其对开通“移动支付业务”会与其所持信用卡绑定，产生一张“映射卡”的业务流程并不通晓，而银行在给上诉人发送开通该业务短信时，并未尽到上述风险告知和提示义务，开通过程具有明显的漏洞和安全隐患。被上诉人作为相关技术、设备和操作平台的提供者，在其与信用卡用户的合同关系中应当为客户进行风险防范并保证未被授权者不能获取敏感支付数据。故被上诉人在开通移动支付业务过程中存在主要过错责任，应当对上诉人的信用卡被盗刷损失承担70%的责任。另，上诉人主张的律师费、保全费等费用因无事实依据及证据佐证，本院不予支持。综上所述，乔晋媛的上诉请求部分成立，应予支持；一审认定有误，应予纠正。依照《中华人民共和国民事诉讼法》第一百七十条第一款第二项规定，判决如下：一、撤销太原市小店区人民法院（2019）晋0105民初8424号民事判决。二、被上诉人中国银行股份有限公司太原综改区支行于判决生效之日起十日内赔偿上诉人财产损失99690元的70%，计69783元。三、驳回上诉人乔晋媛的其他诉讼请求。如果未按本判决指定的期间履行给付金钱义务，应当按照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。二审案件受理费100元，由中国银行股份有限公司太原综改区支行负担。本判决为终审判决。审判长 武 涛审判员 刘 涛审判员 李国虎 二O二O年五月十一日书记员 惠 曈