上海市徐汇区人民法院民 事 判 决 书（2020）沪0104民初5125号原告：徐江天，男，1976年2月29日出生，汉族，住上海市徐汇区。委托诉讼代理人：付华华，北京国枫(上海)律师事务所律师。被告：招商银行股份有限公司上海淮海支行，营业场所上海市徐汇区。负责人：邓琳琳，行长。委托诉讼代理人：高兴，上海邦信阳中建中汇律师事务所律师。委托诉讼代理人：郑彬彬，上海邦信阳中建中汇律师事务所律师。原告徐江天诉被告招商银行股份有限公司上海淮海支行储蓄存款合同纠纷一案，本院于2020年4月8日受理后，依法适用简易程序，于同年5月14日公开开庭进行了审理。原告委托诉讼代理人付华华、被告委托诉讼代理人郑彬彬到庭参加诉讼。本案现已审理终结。徐江天向本院提出诉讼请求：招商银行股份有限公司上海淮海支行赔偿存款损失598,988元及该款自2015年9月12日至实际清偿之日止，按中国人民银行同期存款利率计算的利息损失。事实和理由：其是招商银行股份有限公司上海淮海支行的一名储户,持有后者发行的卡号为XXXXXXXX********、XXXXX********的借记卡各一张。2015年9月10日至9月12日期间,该两张借记卡共向他人转账总计61万元，但该卡一直存放在其处,并未遗失,而其本人并未进行上述交易,且该期间其一直位于菲律宾境内(自2015年9月5日至9月13日)。2015年9月15日其回国准备取款时发现卡内金额大大减少,遂立即向招商银行股份有限公司上海淮海支行电话查询上述账户转账的情况。经确认,该银行卡在2015年9月10日至12日之间发生的转让交易并非其授权操作,其遂立即向公安部门报警。2015年11月10日上海市公安局徐汇分局向其出具了沪公(徐)立告字[2015]5882号《立案通知书》，现该刑事案件已审理终结。依据(2017)沪02刑终703号判决书查明的事实显示,其账户金额的减少系犯罪嫌疑人童某某、唐某某等通过非法获某公民个人信息,租赁服务期自动匹配盗取的网银登录名和密码,再利用短信转移等功能屏蔽受害人,最终达成存款转账的手段窃取所致。由于其在招商银行股份有限公司上海淮海支行处申请了银行卡并将钱款存于指定的银行卡中,双方形成储蓄存款合同关系，而招商银行股份有限公司上海淮海支行对其账户资金未尽到安全保障义务,故理应对其账户资金损失承担全部赔偿责任。由于犯罪分子从招商银行股份有限公司上海淮海支行发行的银行卡中盗刷了60万元，在招商银行北京分行静安里支行发行的银行卡中盗刷了1万元，最终经法院判决，犯罪人退赔了11,012元，故其认为其中的1万元应赔偿招商银行股份有限公司北京分行静安里支行发行的银行卡损失，余款在招商银行股份有限公司上海淮海支行发行的银行盗刷金额中予以扣除。现其诉至法院。招商银行股份有限公司上海淮海支行辩称：首先，犯罪分子从其发行的银行卡中仅盗刷60万元，在招商银行股份有限公司北京分行静安里支行发行的银行卡中盗刷了1万元，徐江天将退赔的1万元在招商银行股份有限公司北京分行静安里支行发行的银行卡中扣除，于法无据。其次，徐江天诉称的交易系通过网上银行交易进行，而完成所有交易均需通过网银登录名、登录密码、卡号、手机号、动态验证码、交易密码等安全要素才能完成，而此均系徐江天自行设置及掌握，银行根据双方的合同关系，将依据合同约定发出的电子指令均视为徐江天本人操作。其对系争的资金转账没有任何过错。再次，徐江天在其他网站或系统中所设置的密码与网银密码一致，导致被案外人获某，故徐江天自身存有过错。故不同意诉讼请求。根据当事人陈述和经审查确认的证据，本院认定事实如下：2004年12月，徐江天在招商银行股份有限公司上海淮海支行处办理一张卡号为XXXXXXXX********的“金葵花卡”。该卡章程的第六条规定，“金葵花卡”密码包括查询密码和交易密码，持卡人可通过招商银行营业网点、电话银行、网上银行和自助设备等渠道进行修改，持卡人使用密码进行的交易，视为本人所为，所产生的电子信息记录为该项交易的有效凭证。持卡人未使用密码进行的交易，登记有与本人姓名一致的签名的交易凭证为该交易的有效凭证。招商银行有权根据有效凭证将持卡人使用“金葵花卡”的收支款项、费用等记入其账户。第十九条规定，持卡人因密码泄露、卡片管理或使用不当而造成的经济损失，以及未及时办理挂失或在已办理口头挂失但自动解除后发生的经济损失，均由持卡人承担。2014年4月4日，徐江天填写申请表申请开通该卡网上银行，功能中包括自助设备转账、账务变动通知。《招商银行个人客户电子银行业务服务协议》中约定，甲方及甲方监护人应妥善保管其银行账户、登录名、授权码、密码、手机号码、身份证件号码等个人信息及数字证书。因对上述个人信息保管不当或遗失数字证书所造成的风险及损失由甲方自行承担。甲方自设密码发生泄露或遗忘的，甲方应及时前往乙方营业网点办理密码挂失和重置手续，并承担手续办妥之前所产生的一切后果。对于通过甲方银行账号、登录名、密码或数字证书发出的电子交易指令，全部视为甲方发出，甲方应对所有通过其相关银行账号、密码或数字证书提交的电子交易指令承担责任。乙方根据甲方的电子交易指令办理业务，对所有使用甲方银行账号、登录名、密码或数字证书进行的操作均视为甲方所为，该操作所产生的电子信息记录均为乙方处理电子银行业务的有效凭据。2015年9月10日至同年9月12日，徐江天该账户分十二笔，将合计60万元的款项转至章一丹账户。同年11月10日，上海市公安局徐汇分局对徐江天银行卡被盗刷案出具了立案告知书。2017年7月19日，上海市第二中级人民法院作出(2017)沪02刑终703号刑事裁定书，认定被告人童某某、唐某某经预谋和约定分成比例后，由唐某某出资非法购买公民个人信息数据，并给童某某提供住处。自2015年9月起，被告人童某某用非法获某公民个人信息的大量数据，与被告人唐某某一起对上述数据进行切割、整理，保留原始数据中的移动电话号码、身份证号、密码等内容，随后由被告人童某某使用专门的扫号软件，在其租赁的服务器上用盗取的网银登录名和登录密码进行自动匹配，选取登录名和密码正确的信息，再使用变号软件用被害人的电话号码拨打通信运营公司客服电话，以被害人的名义在被害人的移动通讯功能中开通短信助手业务，增设短信过滤、短信保管、短信转移等功能，然后登录被害人网上银行主页，输入截取的银行发送的转账验证码等方式，将被害人银行卡账户中的存款转账后予以侵吞。2015年8月29日至9月21日期间，共计从7名被害人的账户中转账或消费人民币1,728,261.50元，所得赃款除部分由被告人童某某替唐某某归还债务外，余款化用殆尽。同时认定被告人童某某使用上述手法于2015年9月10日至9月12日期间，将被害人徐江天名下银行卡(卡号：4100……29及5240……38)中的资金人民币610,000元转账至卡号为XXXXXXXXXXX********户名为章一丹的银行卡内。另查，徐江天名下，开户行为招商银行股份有限公司北京分行静安里支行的账户XXXXXXXX********于2015年9月10日、9月11日，分两笔将合计1万元的款项转至章一丹账户。同年9月15日，北京市公安局西城分局对徐江天银行卡被盗刷案出具了受案回执。2019年12月10日，上海市黄浦区人民法院依据前述刑事案件，向徐江天发还了11,012元，并作出终结本次执行的裁定书。上述事实，有“金葵花卡”章程、生效判决书、当事人的陈述等证据证实。本院认为，徐江天与招商银行股份有限公司上海淮海支行间建立储蓄存款合同关系，该合同关系合法有效，应受法律保护。根据《中华人民共和国商业银行法》第六条“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”以及第二十九条第一款“商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则”的规定，在储蓄存款合同中，招商银行股份有限公司上海淮海支行作为商业银行，具有保障储户账户资金安全的法定义务。因此，招商银行股份有限公司上海淮海支行作为借记卡的发行者及相关技术、设备和交易平台的提供者，应对交易机具、交易场所、交易平台加强安全管理，并对各项软硬件设施及时更新升级，最大限度地防范资金交易安全漏洞，特别是随着电子银行业务的发展，通过网络进行电子交易带来巨大便利的同时，也伴随着更多潜在的风险，招商银行股份有限公司上海淮海支行向客户所提供的电子交易系统，由招商银行股份有限公司上海淮海支行进行开发、设计并负责维护，故招商银行股份有限公司上海淮海支行理应采取严格的技术保障措施，保障其提供的电子交易系统安全性，防范犯罪分子针对银行卡的犯罪行为。而且，从双方利益衡量的角度，将包括案涉银行卡信息泄露在内的银行卡欺诈风险分配给招商银行股份有限公司上海淮海支行亦更为合理。随着电子银行业务的发展，商业银行作为从电子交易系统的开发、设计、维护者，也是从电子交易的风险中获得经济利益的一方，相较于持卡人而言,应当也更有能力采取更为严格的技术保障措施，以增强防范银行卡违法犯罪行为的能力。在储蓄存款合同的履行中，银行应采取措施识别银行卡的使用人是否为持卡人本人或经授权的人；在诉讼中，银行对系争交易是向持卡人本人或经授权的人履行负有举证责任。本案根据查明的事实，涉案银行卡的网上交易须输入正确的用户名、登录密码、附加码、取款密码及验证码，方能完成网银转账交易。招商银行股份有限公司上海淮海支行亦是以验证通过为由，主张其在债务履行过程中并不存在违约；但在本案中，根据生效刑事判决书认定，涉案资金损失系因案外人童某某等人非法获某徐江天的身份信息、账户信息后，通过使用变号转件截获银行发送的验证码，进而完成转账所致。在存在网络盗刷的情况下，招商银行股份有限公司上海淮海支行仍仅以验证通过为由主张属于适当履行，不能成立。招商银行股份有限公司上海淮海支行网银登录系统对此种短时间内集中的、大量的不同登录名异常登录不能识别、预警并进行干预，致使犯罪分子最终确认网银登录信息并登录网银系统而进行下一步的转账操作。此外，招商银行股份有限公司上海淮海支行向徐江天提供短信验证码转账功能，即说明招商银行股份有限公司上海淮海支行向徐江天提供了以短信验证码作为网银转账操作中身份认证一环的安全模式，故招商银行股份有限公司上海淮海支行对该模式向徐江天负有安全保障的法定义务，短信验证码通过通讯运营商系统传输、接收过程中，其安全性完全取决于通讯运营商系统的安全性，而从本案情况看，招商银行股份有限公司上海淮海支行发送的短信验证码在通讯运营商系统中被过滤、转移，最终并未发送到接收端，徐江天并未接收到短信验证码，而招商银行股份有限公司上海淮海支行系统未采取措施以防止短信验证码被截取。综上，招商银行股份有限公司上海淮海支行提供的电子交易系统对徐江天账户资金未尽到安全保障义务，应承担违约责任。招商银行股份有限公司上海淮海支行关于自己未违约以及自己的行为与损失无关的辩称，本院不予支持。虽然招商银行股份有限公司上海淮海支行辩称，徐江天在其他网站或系统中所设置的密码与网银密码一致，导致被案外人获某，故徐江天构成违约，但本院认为，本案中虽然徐江天的身份信息、手机号码、登录名以及登录密码、交易密码等信息被案外人所获某，但这些信息如何泄露的，已无法查明，仅以此并不能推断出徐江天在其他网站或系统中所设置的密码与网银密码一致，而且密码存在的意义在于其私密性、不为外人所知性，故密码的功能体现并不取决于内容相同与否，而取决于私密与否，即使徐江天在相关网站使用了相同的密码，也不足以证明徐江天未尽到妥善保管个人网银相关信息的义务，故招商银行股份有限公司上海淮海支行的该项辩称不予支持。至于招商银行股份有限公司上海淮海支行辩称，“银行卡章程规定，使用密码进行的交易均视为持卡人本人所为”，本院认为，招商银行股份有限公司上海淮海支行未举证证明徐江天在办理相关业务时签署过该章程，而且，适用该条款的条件是交易过程中使用了银行卡且使用的银行卡是真实的，而本案所涉交易是未使用银行卡进行交易的场景，不应适用该条款，故招商银行股份有限公司上海淮海支行的该项辩称不予支持。综上所述，徐江天账户资金遭网络盗刷，在没有证据证明徐江天存在违约行为等可归责事由的情况下，招商银行股份有限公司上海淮海支行对冒名者的付款行为不能产生清偿的效果，仍应当就被盗刷的款项对徐江天承担全部支付责任。徐江天主张同期存款利率计算利息损失，于法有据，本院予以支持。但由于徐江天已实际收取针对两张银行卡的退赔款11,012元，虽然徐江天主张其中1万元，其自动冲抵招商银行股份有限公司北京分行静安里支行所发银行卡的损失，但并无法律依据，本院对此按照两张银行卡损失的金额按比例分摊。根据《中华人民共和国合同法》第八条、第六十条、第一百零七条、第一百二十二条的规定，判决如下：招商银行股份有限公司上海淮海支行应于本判决生效后十日内赔偿徐江天存款损失589,169元及以该款为基数，自2015年9月12日至实际清偿之日止，按中国人民银行同期存款利率计算的利息损失。如果未按本判决指定的期间履行给付金钱义务,应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定,加倍支付迟延履行期间的债务利息。案件受理费减半收取计4,895元，由徐江天负担80元，招商银行股份有限公司上海淮海支行负担4,815元。如不服本判决，可以在判决书送达之日起十五日内，向本院递交上诉状，并按对方当事人的人数提出副本，上诉于上海金融法院。审判员  杨阳二〇二〇年五月十四日书记员  陈燕附：相关法律条文一、《中华人民共和国合同法》第八条依法成立的合同，对当事人具有法律约束力。当事人应当按照约定履行自己的义务，不得擅自变更或者解除合同。依法成立的合同，受法律保护。第六十条当事人应当按照约定全面履行自己的义务。当事人应当遵循诚实信用原则,根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。第一百零七条当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。第一百二十二条因当事人一方的违约行为，侵害对方人身、财产权益的，受损害方有权选择依照本法要求其承担违约责任或者依照其他法律要求其承担侵权责任。二、《中华人民共和国民事诉讼法》第二百五十三条被执行人未按判决、裁定和其他法律文书指定的期间履行给付金钱义务的，应当加倍支付迟延履行期间的债务利息。被执行人未按判决、裁定和其他法律文书指定的期间履行其他义务的，应当支付迟延履行金。