上海金融法院民 事 判 决 书（2019）沪74民终436号上诉人(被上诉人、原审原告)：陆敏，男，1979年3月15日出生，汉族，户籍地上海市普陀区。委托诉讼代理人：陈友峰，上海齐坦律师事务所律师。上诉人(被上诉人、原审被告)：上海浦东发展银行股份有限公司上海分行，住所地中国(上海)自由贸易试验区浦东南路**。负责人：汪素南，行长。委托诉讼代理人：钱前，上海虹桥正瀚律师事务所律师。委托诉讼代理人：朱思衡，上海虹桥正瀚律师事务所律师。上诉人(被上诉人、原审被告)：上海浦东发展银行股份有限公司，住，住所地上海市/div>法定代表人：高国富，董事长。委托诉讼代理人：钱前，上海虹桥正瀚律师事务所律师。委托诉讼代理人：朱思衡，上海虹桥正瀚律师事务所律师。原审第三人：中国电信股份有限公司上海分公司，住，住所地中国(上海)自由贸易试验区世纪大道****/div>负责人：马益民，总经理。委托诉讼代理人：张震，上海一曼律师事务所律师。上诉人陆敏、上诉人上海浦东发展银行股份有限公司上海分行(以下简称浦发银行上海分行)、上诉人上海浦东发展银行股份有限公司(以下简称浦发银行)因与原审第三人中国电信股份有限公司上海分公司(以下简称电信上海分公司)财产损害赔偿纠纷一案，不服上海市黄浦区人民法院(2017)沪0101民初27923号民事判决，向本院提起上诉。本院于2019年5月9日立案后，依法组成合议庭，适用普通程序，公开开庭进行了审理。上诉人陆敏的委托诉讼代理人陈友峰，上诉人浦发银行上海分行及上诉人浦发银行上海分行共同的委托诉讼代理人钱前、朱思衡，原审第三人电信上海分公司的委托诉讼代理人张震到庭参加诉讼，本案现已审理终结。陆敏的上诉请求：1.撤销一审判决，依法改判浦发银行上海分行、浦发银行赔偿陆敏人民币274,945元(以下币种均为人民币)及利息损失；2.本案一、二审受理费由浦发银行上海分行、浦发银行承担。事实与理由：1.陆敏与浦发银行上海分行、浦发银行建立合法有效的储蓄存款合同关系，浦发银行上海分行、浦发银行未尽到对陆敏银行卡账户资金的安全保障义务，应该承担赔偿责任。浦发银行上海分行作为网络银行交易系统、技术系统的安全保障方，其没有尽到相应的安全保障义务，应承担陆敏银行卡账户资金被盗损失的赔偿责任。2.电信上海分公司并非储蓄存款合同的当事人，对陆敏银行卡账户资金没有安全保障义务，依据不告不理原则，一审法院不应认定其承担赔偿责任。浦发银行上海分行、浦发银行的答辩意见：1.浦发银行上海分行、浦发银行在履行储蓄存款合同中未存在过错，不应对陆敏的银行卡账户损失承担责任。浦发银行上海分行审查了涉案交易的登录名、密码之后才办理转账，不存在过错，且陆敏没有证据证明浦发银行的交易系统存在漏洞。2.本案系侵权责任纠纷，一审有权追加第三人查明事实，根据一审查明的事实，本案所涉银行账户资金被盗取，系因电信上海分公司开通短信过滤业务，导致网络银行动态密码短信被拦截，电信上海分公司在办理该业务时存在过错。纵观整个交易过程，陆敏也存在过错，其在收到电信上海分公司发送的短信过滤业务的通知后，没有及时取消该业务，导致了账户资金被盗转。且陆敏是电信上海分公司员工，注意义务应高于一般持卡人，其应该就该银行卡账户资金损失承担相应的责任。综上，一审判决错误认为浦发银行上海分行、浦发银行与陆敏、电信上海分公司属于混合过错，实为适用法律不当。混合过错是指侵权人与被侵权人对于损害结果发生都有过错的。混合过错的成立要件为存在侵权行为、受害人也有过错、受害人过失行为是损害发生或扩大的共同原因。因此，在本案中，即使要认定混合过错，也应该是认定陆敏与电信上海分公司之间存在混合过错。故不同意陆敏的上诉请求。浦发银行上海分行、浦发银行的上诉请求：1.撤销一审判决，改判驳回陆敏的全部诉讼请求；2.本案一、二审受理费由陆敏承担。事实与理由：一审判决认定事实错误，适用法律不当。1.一审错误认定浦发银行上海分行未识别案外人的登录导致陆敏的损失。电子银行汇款需要三重密码“登录密码、交易密码和动态密码”，只有三重密码全部匹配一致，电子银行方可办理转账业务。导致转账成功的关键是“动态密码和交易密码”录入成功。本案并无异常交易痕迹，且成功登陆浦发银行网银系统也不能导致案外人成功转账，二者之间并无直接因果关系。2.一审错误认定陆敏未收到动态密码短信验证码的原因归结于浦发银行上海分行、浦发银行。陆敏未收到(看到)短信的原因，是因为电信上海分公司未经陆敏同意，擅自开通短信过滤业务所致，而该业务的开通并非浦发银行、浦发银行上海分行所能控制。3.一审错误认定陆敏没有过错。陆敏在收到短信过滤业务办理成功的短信后，未及时取消该业务，导致款项被划转，其应对自身损失承担责任。4.一审未认定浦发银行上海分行、浦发银行或者电信上海分公司为被害人，因此浦发银行上海分行、浦发银行与电信上海分公司之间的责任认定不应为混合过错，即便是混合过错，也应该是陆敏与电信上海分公司之间存在混合过错。陆敏的答辩意见：不同意浦发银行上海分行、浦发银行的上诉请求。1.浦发银行上海分行、浦发银行对陆敏的涉案银行卡账户资金负有安全保障义务，账户资金被非法划账，银行方应就该损失承担全部赔偿责任。2.电信上海分公司并非陆敏银行卡账户资金的安全保障方，不应和浦发银行上海分行、浦发银行处于同样的诉讼和赔偿地位，一审将电信上海分公司认定为责任承担方，与事实不符，和法律相悖。3.陆敏在收到短信通知后即刻拨打电信上海分公司客服电话及浦发银行客服电话，在款项被划转后也立即报警，其履行了持卡人的谨慎注意义务，没有过错。一审法院认定事实：陆敏为浦发银行卡持卡人，其中两张银行卡号分别为XXXXXXXX********、XXXXXXXX********。2015年9月21日凌晨3点38分，陆敏连续收到电信上海分公司发出的短信“尊敬的上海电信客户您好，您本次访问网厅的随机密码是******，验证码在您登陆后将失效”，陆敏马上致电电信，接听的客服说没关系，只要手机在自己手上就没问题。当天白天上班时，陆敏发现短信收到量明显减少又致电电信上海分公司发现该手机号被设置了短信助手业务，包括短信过滤、短信拦截等短信服务，就马上取消了该服务。9月22日凌晨，陆敏手机又收到电信上海分公司发出的短信“尊敬的上海电信客户您好，您本次访问网厅的随机密码是******，验证码在您登陆后将失效”，陆敏意识到有问题，马上致电电信，发现手机又被设置了短信过滤等短信助手业务，并立即取消了该业务。1时10分，陆敏手机收到浦发银行短信：“您本次登陆的动态密码为***，正在重新绑定您的浦发手机银行的登陆设备，请您妥善保管该信息，切忌将该信息转发他人。【浦发银行】”。陆敏随即致电浦发银行客服，发现上述两张卡内金额已于9月21日被分七次转移到他人名下，其中尾号8987银行卡通过网上银行和手机银行被分六次转出270,000元，尾号9457银行卡被一次转出10000元，共280,000元，上述七笔均转入福建省农村信用社联合社章一丹的账户内。陆敏立即要求被告冻结名下所有银行卡，并于当日报警。另查，浦发银行对尾号9457卡于9月21日4时37分27秒至8时13分08秒、对尾号8987卡于同日8时03分28秒至8时27分42秒向陆敏手机发出跨行汇款及网银取款短信。浦发银行还于同日4时31分54秒、36分21秒向陆敏手机发送“您正登陆浦发网上银行，请确认网址ebank.spdb.com.cn后输入动态密码******，请勿在其他网站地址使用，以防欺诈！”，4时39分16秒发送“您本次设置网上银行交易限额的动态密码是******，请注意核实是否由本人操作”，5时24分28秒发送“您正在修改手机银行单日对外转账支付限额，本次动态密码******，请务必妥善保管您的手机、密码、使用便捷的手机银行服务”，而陆敏手机均因已绑定短信助手服务未收到。2015年11月28日上海市公安局黄浦分局将童某某、唐春模、杨水建、辛道煌抓获。2017年5月24日上海市黄浦区人民法院对上述四名犯罪嫌疑人作出一审有罪刑事判决。4名犯罪嫌疑人上诉后，2017年7月19日，上海市第二中级人民法院作出(2017)沪02刑终703号民事裁定书，裁定驳回上诉，维持原判。刑事案件查明：犯罪嫌疑人童某某、唐春模经预谋和预定分成比例后，由唐春模出资非法购买公民个人信息数据，并给童某某提供住处。自2015年9月起，被告人童某某用非法获某公民个人信息的大量数据，与被告人唐春模一起对上述数据进行切割、整理，保留原始数据中的移动电话号码、身份证号、密码等内容，随后由被告人童某某使用专门的扫号软件，在其租赁的服务器上用盗取的网银登录名和登录密码进行自动匹配，选取登录名和密码正确的信息，再使用变号软件用被害人的电话号码拨打通信运营公司客服电话，以被害人的名义在被害人的移动通讯功能中开通短信助手业务，增设短信过滤、短信保管、短信转移等功能，然后登陆被害人网上银行主页，输入截取的银行发送的转账验证码等方式，将被害人银行账户中的存款转账后予以侵吞。2015年8月29日至9月21日期间，共计从7名被害人的账户中转账或消费1,728,261.50元，所得赃款除部分由被告人童某某替唐春模归还债务外，余款化用殆尽。具体如下：……(7)被告人童某某使用上述手法于2015年9月21日将被害人陆敏名下银行卡(卡号：6217……87及9843……57)中的资金共计280,000元转账至卡号为XXXXXXXXXXX********户名为章一丹的银行卡内。再查明，被害人丁鼎发现其名下招商银行卡于2015年9月16日凌晨被他人盗刷，遂向公安机关报案，公安机关经侦查于2015年11月27日在儋州市盛源御景酒店8825房间先后抓获了被告人童某某和杨水建，在儋州市怡心花园B4-501室抓获了被告人辛道煌，在儋州市恒大二期XX栋XXXX室抓获了被告人唐春模。公安人员抓获四名被告人时，从其身上或住处查获了其携带的便携式电脑、U盘、移动电话机等作案工具和储存公民个人信息数据的存储介质，并依法扣押，调取了被告人童某某和辛道煌租用的服务器的相关数据。经上海弘连网络科技有限公司计算机司法鉴定所鉴定：经去重，从被告人童某某处查获243,287条公民个人信息，从被告人唐春模处查获5,162,101条公民个人信息，从被告人杨水建处查获1,750,358条公民个人信息，从被告人辛道煌处查获202,250条公民个人信息。(2016)沪0101刑初1072号刑事案件向陆敏发还追缴款5,055元。一审法院认为：陆敏在浦东银行上海分行处办理了银行卡并将资金存入银行卡账户中，双方建立储蓄存款合同关系，该合同合法有效，应受法律保护。根据《中华人民共和国商业银行法》第六条“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”以及第二十九条第一款“商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则”的规定，在储蓄存款合同中，浦发银行上海分行作为商业银行，具有保障储户账户资金安全的法定义务。浦发银行作为银行卡的发行者及相关技术、设备和交易平台的提供者，应对交易机具、交易场所、交易平台加强安全管理，并对各项软硬件设施及时更新升级，最大限度地防范资金交易安全漏洞，特别是随着电子银行业务的发展，通过网络进行电子交易带来巨大便利的同时，也伴随着更多潜在的风险，浦发银行上海分行向客户所提供的电子交易系统，由浦发银行进行开发、设计并负责维护，故浦发银行理应采取严格的技术保障措施，保障其提供的电子交易系统安全性，防范犯罪分子针对银行卡的犯罪行为。陆敏是电信上海分公司的电信用户，根据《中华人民共和国电信条例》第五条“电信业务经营者应当为电信用户提供迅速、准确、安全、方便和价格合理的电信服务”，电信业务经营者开发新业务，应当对业务使用程序的安全性提供保障，随着网络交易的不断发展，各行各业对其业务的依附，不能一味追求方便电信用户而忽视使用安全，应设计安全程序，防范犯罪分子针对特殊行业的犯罪行为。根据查明的事实，陆敏涉案账户中七笔资金被转出导致损失，是案外人童某某等人通过如下步骤完成：第一步，从其他渠道非法取得包括陆敏身份信息、登录名、登录密码及交易密码等账户信息在内的个人信息数据；第二步，通过专门的扫号软件，在租赁的服务器上用获某的登录名、登录密码在被告的网银系统进行自动匹配，确定正确的登录名及密码信息；第三步，使用变号软件，用获某的陆敏的电话号码致电通讯运营商，以陆敏的名义开通短信助手业务，增设短信过滤、短信保管、短信转移等功能，用以截取陆敏手机号码收到的银行短信验证码；第四步，用正确的登录名及密码信息再次登录被告的网银系统进行转账操作，输入截取的被告发送至陆敏手机号码的短信验证码，完成转账。从上述转账的过程可以看出，案涉七笔转账均是在陆敏未发出转账指令的情况下发生。关于浦发银行上海分行、浦发银行及电信上海分公司在此过程中是否构成侵权，本案所涉转账，从开通短信助手、登录网银、发送短信验证码、接收并输入短信验证码缺一不可，而发送短信验证码、接收并输入短信验证码完成转账均以登录被告的网银系统为前提，案外人获某相关个人信息后，经过切割、整理，然后再通过扫号软件进行匹配，然而浦发银行网银登录系统却对这种短时间内集中的、大量的不同登录名异常登录不能识别、预警并进行干预，致使案外人最终确认网银登录信息并登录网银系统而进行下一步的转账操作。此外，浦发银行向陆敏提供短信验证码转账功能，即说明浦发银行向陆敏提供了以短信验证码作为网银转账操作中身份认证一环的安全模式，故浦发银行对该模式向陆敏负有安全保障的法定义务，短信验证码通过电信上海分公司系统传输、接收过程中，其安全性完全取决于电信上海分公司系统的安全性，而从本案情况看，案外人选取登录名和密码正确的信息，再使用变号软件用陆敏的电话号码拨打电信上海分公司通信运营公司客服电话，以陆敏的名义在陆敏的移动通讯功能中开通短信助手业务，增设短信过滤、短信保管、短信转移等功能，浦发银行发送的短信验证码在电信上海分公司系统中被过滤、转移，最终并未发送到接收端，陆敏并未接收到短信验证码，电信上海分公司仅凭手机号及密码就可办理手机短信服务，而浦发银行系统未采取措施以防止短信验证码被截取。综上，因浦发银行上海分行系浦发银行的分支机构，其向客户发放的银行卡均系浦发银行银行卡，浦发银行提供的电子交易系统对陆敏账户资金未尽到安全保障义务，电信上海分公司办理手机业务的程序对手机用户的认证也未尽到安全保障义务，均应承担侵权责任。浦发银行上海分行、浦发银行与电信上海分公司属于混合过错，其关于自己未违约以及自己的行为与陆敏损失无关的辩称，本院不予支持。浦发银行上海分行、浦发银行及电信上海分公司应承担按份责任。关于此过程中陆敏是否违约，浦发银行上海分行、浦发银行辩称，陆敏在其他网站或系统中所设置的密码与网银密码一致，导致被案外人获某，故陆敏构成违约。本案中虽然陆敏的身份信息、手机号码、登录名以及登录密码、交易密码等信息被案外人所获某，但这些信息如何泄露的，已无法查明，而且密码存在的意义在于其私密性、不为外人所知性，故密码的功能体现并不取决于内容相同与否，而取决于私密与否。即使陆敏在相关网站使用了相同的密码，也不足以证明陆敏未尽到妥善保管个人网银相关信息的义务，故浦发银行上海分行、浦发银行的该项辩称不予支持。本案因陆敏明确不要求电信上海分公司承担责任，故应由电信上海分公司承担的责任损失，由陆敏自行承担。因(2016)沪0101刑初1072号刑事判决已追缴退还陆敏部分钱款，但该款项并不足以弥补侵权给其造成的损失，故陆敏有权就未受弥补的损失向两被告主张侵权责任，本案判决应扣除陆敏已收到的钱款。至于陆敏主张利息损失，因事发至今已逾三年，陆敏主张按浦发银行上海分行、浦发银行公布的三年期存款利率计息，亦可予准许。综上所述，浦发银行上海分行、浦发银行在储蓄存款合同履行过程中，对陆敏账户资金未尽到安全保障义务，又不能证明陆敏存在违约行为可以减轻责任，故应按份承担赔偿陆敏损失的责任。依照《中华人民共和国侵权责任法》第六条、第十二条、第十五条第六款，《中华人民共和国商业银行法》第六条、第二十九条第一款，《中华人民共和国电信条例》第五条之规定，判决浦发银行上海分行、浦发银行应于本判决生效之日起十日内赔偿陆敏损失137,472.50元；浦发银行上海分行、浦发银行应于本判决生效之日起十日内赔偿陆敏自2015年9月22日起至实际偿付之日止的利息损失(以137,472.50元为基数，按上浦发银行上海分行、浦发银行三年期存款利率计算)。案件受理费5,899元，由浦发银行上海分行、浦发银行负担2,949.50元，陆敏负担2,949.50元。本院二审期间，当事人均未提交新证据，经审查，原审查明的事实属实，本院予以确认。本院认为，本案争议焦点是在侵权之诉中，对于银行、持卡人以及电信上海分公司的侵权责任的认定问题。根据《中华人民共和国侵权责任法》第十二条规定，二人以上分别实施侵权行为造成同一损害，能够确定责任大小的，各自承担相应的责任；难以确定责任大小的，平均承担赔偿责任。首先，根据已查明的事实，本案是一起因案外人非法获某持卡人银行卡及身份信息，并利用变号软件从电信运营商处截取动态验证密码短信，通过非法匹配持卡人的手机银行及网络银行登录账户及密码，盗取持卡人银行卡账户资金的盗刷行为。在该侵权行为中，案外人的盗刷行为是陆敏银行卡账户资金损失的直接原因，但是作为发卡行的浦发银行上海分行、浦发银行，以及作为提供电信业务的电信上海分公司、持卡人陆敏对于该损失是否具有过错，是认定本案中各方侵权责任承担的事实基础。根据该银行卡账户资金被盗刷的经过可知，完成涉案银行卡账户资金的划转，需要持卡人的电子银行登录名、登录密码、交易密码、动态验证码。1.在该过程中，浦发银行上海分行、浦发银行未识别出案外人利用非法手段登录陆敏银行卡网络银行及手机银行账户之行为。浦发银行上海分行、浦发银行辩称其技术系统不存在漏洞，已尽到对陆敏银行卡账户资金的安全保障义务。但银行卡账户的资金安全是银行存款业务的重要基础，银行应在现行技术可能和经营成本可负担的条件下，充分保障持卡人的资金安全。因此，随着网上金融交易的普及和发展，银行也应及时有效提高网上金融交易的安全性。对于案外人利用“撞库软件”这一常见的匹配持卡人账户及身份信息登录银行卡网上账户的盗刷行为，发卡行应通过提升其网络交易系统的安全性予以及时因应。比如通过限制撞库的次数，识别异常登录和异常交易等技术手段防范网上盗刷行为。显然，浦发银行上海分行、浦发银行在技术安全保障方面存在安全漏洞，对陆敏银行卡账户资金被非法盗转存有过错。2.关于在资金划转阶段的动态验证密码被截取之事实，电信上海分公司为陆敏开通了短信过滤业务，将银行发送至陆敏本人手机号码的短信通知过滤，导致陆敏本人未收到该动态验证密码短信。至于该短信过滤业务是如何开通，案外人在刑事案件中供认系通过“变号软件”非法开通。电信上海分公司作为银行卡短信服务提供商，其在开通短信过滤业务环节时，应知晓相关的银行通知短信的意义及该业务存在重大风险隐患，电信上海分公司显然未尽到相应的审核义务。而动态验证密码是银行卡账户资金被划转的关键环节，因此，电信上海分公司对于陆敏的银行卡账户资金被盗取亦存在过错。3.本院注意到，陆敏系电信上海分公司的员工，相比较一般持卡人，或者更易了解短信过滤业务的意义。然而陆敏在获知开通了短信过滤业务之后，并未立即采取措施取消该业务，未尽到一般持卡人的谨慎注意义务，存在过错。综上事实，可知，浦发银行上海分行、浦发银行、电信上海分公司、陆敏对于银行卡账户资金之盗刷均存在过错，该盗划侵权行为系多因一果所致。其次，关于各方的责任分配。传统民法理论认为，多因一果系数人无意思联络的分别行为间接结合在一起，相互助力而发生同一损害后果。多因一果致人损害并非数人共同积极加害，其责任承担与共同侵权不同，不应承担连带责任，而是根据行为人的过错大小或者数行为致损害结果发生的原因力大小分别承担相应的民事责任。无意思联络人的数人侵权原则上承担按份责任。而责任是指侵权行为人因其侵害他人权益依法应当承担的损害赔偿债务责任，故此责任应以确定侵权人应当承担的损害赔偿债务份额为前提。损害赔偿债务份额的确定，首要考虑因素是过错，对同一损害，应当斟酌数行为人的过错大小。其次还需要考虑原因力大小。1.在本案中，浦发银行上海分行、浦发银行作为发卡行对陆敏银行卡账户资金负有的安全保障义务是基于其在提供金融服务(产品)时，相对于金融消费者(持卡人)而言，具有较强的信息、组织、技术等专业优势。《商业银行法》第六条规定，商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯，因此该安全保障义务是商业银行应履行的法定的专业高度注意义务。浦发银行上海分行、浦发银行违反该法定专业注意义务，构成重大过失，或者说对本案银行卡账户盗划损失，银行作为该账户的守门人，未尽到应有专业安全保障义务，具有重大过错。2.电信上海分公司作为提供电信服务的专门机构，对短信过滤业务带来的潜在风险应较一般人有更多的察觉，其对于本案损失具有一般过错。3.陆敏作为持卡人，其是侵权行为的受害人，但因其疏于谨慎注意，亦未及时取消短信过滤业务，对损失的发生亦具有一般过错。因此，一审判决酌定浦发银行上海分行、浦发银行对陆敏银行卡盗划损失承担50%责任，未有不可，本院予以确认。另外，陆敏在上诉请求中认为，依据不告不理原则，一审判决不应认定电信上海分公司的责任。对此问题，本院认为，一审判决依据查明的事实，在侵权之诉中对各侵权行为人的侵权债务份额进行阐述，系对案件事实的法律论证，并未超出陆敏的诉请范围，并无不妥。此外，混合过错是指侵权人与被侵权人对于损害结果发生都有过错。混合过错的成立要件为存在侵权行为、受害人也有过错、受害人过失行为是损害发生或扩大的共同原因。本案中，陆敏对其损失发生也确有过错，但一审判决以存在混合过错为由，认定浦发银行上海分行、浦发银行与电信上海分公司承担侵权责任，本院难予认同。综上，上诉人浦发银行上海分行、上诉人浦发银行、上诉人陆敏的上诉请求均不具有事实与法律依据，应予驳回；原审判决结果尚无不当，本院可予维持。根据《中华人民共和国民事诉讼法》第一百七十条第一款第一项、第一百七十五条之规定，判决如下：驳回上诉，维持原判。二审案件受理费5,899元，由上诉人上海浦东发展银行股份有限公司上海分行、上诉人上海浦东发展银行股份有限公司和上诉人陆敏各半负担。本判决为终审判决。审判长 肖 凯审判员 孙雪梅审判员 王承晔二〇一九年十月二十八日书记员 杨蓓蕾附：相关法律条文一、《中华人民共和国民事诉讼法》第一百七十条第二审人民法院对上诉案件，经过审理，按照下列情形，分别处理：（一）原判决、裁定认定事实清楚，适用法律正确的，以判决、裁定方式驳回上诉，维持原判决、裁定；……第一百七十五条第二审人民法院的判决、裁定，是终审的判决、裁定。