北京市第二中级人民法院民 事 判 决 书（2020）京02民终255号上诉人（原审被告）：中国工商银行股份有限公司北京市分行，营业场所北京市西城区复兴门南大街2号B段。负责人：施刚，行长。委托诉讼代理人：李民峰，男，该公司职员。被上诉人（原审原告）：王连义，男，1973年6月4日出生，汉族，住北京市丰台区。上诉人中国工商银行股份有限公司北京市分行（以下简称工行北分）因与被上诉人王连义信用卡纠纷一案，不服北京市西城区人民法院（2019）京0102民初5635号民事判决，向本院提起上诉。本院于2020年1月3日立案后，依法组成合议庭进行了审理。本案现已审理终结。工行北分上诉请求：1.撤销一审判决，改判驳回王连义一审全部诉讼请求；2.一、二审诉讼费由王连义承担。事实和理由：一审判决认定事实不清，适用法律错误。一、根据本案现有证据，无法证明涉诉交易为盗刷交易。一审法院认定涉诉交易为盗刷交易的依据为浙江省苍南县人民法院作出的（2015）温苍刑初字第1628号刑事判决书，但根据该判决“2014年11月10日左右，被告人林某丙、陈某甲通过在工商银行网银上预留手机号码，然后绑定财付通的方法，盗刷走被害人王某的工商银行卡存款850元。”“返还清单11、返还被害人王连义850元。”的内容并无法确认与本案涉诉交易的关联性。首先，本案涉诉交易发生时间为2014年11月20日起至2014年12月2日期间，与刑事判决载明日期不符。其次，本案涉诉交易金额为8278.46元，与刑事判决载明金额不符。王连义虽然与刑事判决载明的被害人“王连义”同名，但在无其他证据加以辅助证明的情况下并不能得出二者为同一人的结论。二、即便涉诉交易确如刑事判决载明的犯罪手段所进行的盗刷交易，王连义作为网上银行账户及登录密码的唯一持有者在信息保管环节必然存在过错，应承担相应的责任。犯罪分子必须掌握王连义的网上银行信息、身份信息及银行卡信息才能完成交易。在本案中，王连义开立网上银行时间为2008年12月，开通渠道为柜面，网银登陆密码为其自行设定。而登陆网上银行必须输入网银账号及登陆密码，在王连义作为网银账号、登陆密码等信息唯一保管者的情况下，即使本案存在盗刷交易，王连义也应对上述信息的保管不善从而导致盗刷交易发生负有完全责任，银行并未泄露王连义的信息，对于涉诉交易，银行按照交易指令付款不存在任何过错。王连义辩称，一审法院认定事实清楚，适用法律正确，请求二审法院驳回上诉，维持原判。涉案信用卡就是被盗刷的，有相关报警记录及侦破案件的材料可以证明。王连义向一审法院起诉请求：1.确认涉案信用卡项下债务不由王连义承担；2.工行北分协助王连义撤销人民银行征信记录中的不良记录；3.本案诉讼费用由工行北分承担。一审法院认定事实：王连义在工行北分办理了卡号为XXXX的牡丹交通信用卡。涉案银行卡截至2013年6月27日，卡内资金余额为0元。2014年11月20日起至2014年12月2日期间，涉案信用卡项下经深圳市财付通科技有限公司支付通道，发生上百笔POS消费，以及一笔退货资金返还，总计发生欠款8278.46元。2016年3月31日，浙江省苍南县人民法院作出（2015）温苍刑初字第1628号刑事判决书，载明“2014年7月份以来，被告人林某乙、林某甲利用发送木马和在工商银行网银上预留手机号码，并绑定财付通等快捷支付软件的手段，盗刷全国各地被害人的银行卡存款。后被告人林某甲又将该作案手段传授给被告人黄某、林某丙、陈某甲等人。”“本案被告人通过QQ向被害人电脑、手机发送木马病毒，拦截银行手机认证码的方式，对被害人在银行预留手机号码进行更改，再将被害人银行卡绑定财付通、支付宝等第三方支付平台，继而盗刷银行卡内存款，显然已侵害到计算机信息系统的安全。”“2014年11月10日左右，被告人林某丙、陈某甲通过在工商银行网银上预留的手机号码，然后通过绑定财付通的方法，盗刷走被害人王某的工商银行卡存款850元。”“返还清单：11、返还被害人王连义850元。”2014年12年2日，王连义向北京市公安局丰台分局石榴园派出所就涉案银行卡被盗刷报案，该派出所出具京公丰（石）受案字[2014]000922号《受案回执》和《立案告知书》。2014年12月19日，该派出所出具京公丰（石）立字[2014]000071号《立案决定书》，决定对王连义银行卡被盗刷案立案侦查。一审法院另查明，2008年12月5日，王连义申请对涉案银行卡开通网上银行，并获批准。一审法院认为，王连义在工行北分办理信用卡，双方据此建立了信用卡合约关系，该合同关系是双方当事人的真实意思表示，不违反法律、行政法规的强制性规定，应属合法有效。王连义自工行北分领取了涉案信用卡，并办理了个人客户电子银行服务，王连义同工行北分均应遵守《牡丹交通卡领用合约》、《电子银行个人客户服务协议》的相关规定，按照协议约定行使权利，并履行各自的义务。该协议约定，王连义应妥善保管其银行账号、登录ID或注册手机号、电子银行口令卡、U盾及相关密码等信息和设备；协议另约定因对上述个人信息保管不当或遗失数字证书所造成的风险及损失由王连义自行承担；对于通过银行账号、登录名、密码或数字证书发出的电子交易指令，全部视为王连义发出，王连义应对所有通过其相关银行账号、密码或数字证书提交的电子交易指令承担责任。但本案查明，经司法机关确认，王连义的工行北分储蓄卡内资金850元被犯罪分子盗取，犯罪手段以及盗取涉及的资金支付通道与本案银行卡诉争的款项高度一致，法院据此认定，涉案银行卡资金亦被该犯罪分子使用相同的犯罪手段盗取，应属被盗刷的情形。另，依据《中华人民共和国商业银行法》的相关规定，工行北分负有保障储户银行卡账户内存款安全的义务，工行北分应确保银行交易系统安全，并确保银行卡交易可靠性。法院据此认定，工行北分未尽到保障王连义涉案银行卡账户资金安全的义务，故涉案银行卡项下诉争资金，并非王连义本人发出指令，王连义对此不承担还款责任。另，本案争议资金系信用卡刷卡款项，其性质应属借款款项，本案经审理查明，王连义并无借款意思表示，故其对本案诉争款项及由此产生的其他债务不承担还款责任；工行北分亦应协助王连义撤销其在中国人民银行个人征信系统中的逾期未还款记录。关于工行北分提出本案涉嫌经济犯罪，应当驳回王连义起诉，将案件移交公安机关处理的辩称意见，法院认为，根据《最高人民法院关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》第十条：人民法院在审理经济纠纷案件中，发现与本案有牵连，但与本案不是同一法律关系的经济犯罪嫌疑线索、材料，应将犯罪嫌疑线索、材料移送有关公安机关或检察机关查处，经济纠纷案件继续审理。本案中王连义因其与工行北分订立的信用卡合约提起本案民事诉讼，与刑事案件的审理应属不同的法律关系。故，相关的刑事案件审理并不影响法院根据审理查明的事实，对工行北分应否承担民事赔偿责任做出认定，法院对工行北分此项抗辩意见不予采信。综上，依照《中华人民共和国合同法》第六十条、第一百零七条，《中华人民共和国商业银行法》第六条，《中华人民共和国民事诉讼法》第六十四条第一款之规定，判决：一、王连义对被盗刷的卡号为6222370118559232的信用卡损失8278.46元及由此产生的利息、滞纳金不承担偿还责任；二、中国工商银行股份有限公司北京市分行于判决生效后十日内协助王连义撤销其在中国人民银行个人征信系统中的逾期未还款记录。二审中，当事人没有提交新证据。本院对一审法院查明的事实予以确认。本院认为，王连义在工行北分办理信用卡，双方据此建立信用卡合约关系，该合同关系是双方当事人的真实意思表示，且不违反法律、行政法规的强制性规定，合法有效，双方均应依约履行合同义务。关于工行北分提出的根据本案现有证据无法认定涉案交易为盗刷交易的上诉主张。《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第一百零八条规定，对负有举证证明责任的当事人提供的证据，人民法院经审查并结合相关事实，确信待证事实的存在具有高度可能性的，应当认定该事实存在。对一方当事人为反驳负有举证证明责任的当事人所主张事实而提供的证据，人民法院经审查并结合相关事实，认为待证事实真伪不明的，应当认定该事实不存在。法律对于待证事实所应达到的证明标准另有规定的，从其规定。涉案信用卡为牡丹交通卡，王连义主张其仅使用该卡向交管局缴纳过几次罚款，此外从未使用过该卡，并提供浙江省苍南县人民法院作出（2015）温苍刑初字第1628号刑事判决书，证明涉案款项交易系盗刷交易。对此，本院认为，首先，本院经向公安机关核实，确认该刑事判决书中的被害人王连义与本案当事人王连义系同一人；其次，该刑事判决书所记载的银行卡被盗刷时间与本案信用卡诉争交易发生时间仅相隔十天，且犯罪手段、盗取涉及的资金支付通道均与本案信用卡诉争款项交易模式高度一致；再次，从涉案信用卡交易明细可以看出，诉争交易从2014年11月20日开始至2014年12月2日止，绝大部分天数以每天几十笔在几分钟之内连续交易的方式进行消费，而王连义认可的其本人操作的几笔交易，发生在距诉争交易开始的一至两年前，且交易描述仅为“缴罚”和“ATM存款”；最后，工行北分并未提供证据推翻王连义所主张的上述事实。综上，王连义主张的诉争交易系盗刷的事实之存在具有高度可能性，一审法院对此所作认定，并无不当。工行北分的该项上诉意见，缺乏事实和法律依据，本院不予支持。关于工行北分提出的王连义未能妥善保管个人信息存在过错的上诉主张。《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条规定，当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。本案中，前述刑事判决书记载的被告人盗刷王连义银行卡的犯罪过程等相关事实中，并未提及被害人存在点击被告人发送的某链接或下载某软件等可能导致个人信息泄露等事实，且工行北分并未提供证据证明王连义存在泄露个人信息的情形。故对于工行北分的该项上诉意见，本院亦不予支持。此外，工行北分述称，前述刑事案件中涉及的银行卡盗刷犯罪过程，应该是犯罪分子通过网上银行利用病毒向被害人预留手机号添加新号码后拦截手机验证码绑定财付通支付工具，从而无需输入银行卡密码而只需输入犯罪分子自行设定的财付通支付密码即可进行消费；工行北分认可王连义本案信用卡的预留手机号后存在其他手机号码。王连义称涉案信用卡被盗刷时其并未收到任何余额变动提示，仅在2014年12月2日收到欠款短信；工行北分辩称，对于通过何种方式在何时向王连义发送欠款提示因时间久远，无法提供任何证据。本院认为，银行负有确保其交易系统稳定、安全、可靠，以保障客户银行卡账户内资金安全的义务。从以上事实可以看出，银行在维护网上银行系统安全、抵御木马病毒攻击方面以及客户添加预留手机号时的验证方式、客户账户出现明显交易异常时的风险提示等方面仍需进一步提升风险预警和防控能力，以应对虚拟交易方式不断普及、信息技术手段不断更新的互联网时代下对客户账户资金安全保障所提出的新的挑战。综上所述，工行北分的上诉请求不能成立，应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国合同法》第六十条、第一百零七条，《中华人民共和国商业银行法》第六条，《中华人民共和国民事诉讼法》第一百七十条第一款第一项之规定，判决如下：驳回上诉，维持原判。二审案件受理费747元，由中国工商银行股份有限公司北京市分行负担（已交纳）。本判决为终审判决。审 判 长  杨 光审 判 员  种仁辉审 判 员  钱丽红二〇二〇年一月十七日法官助理  付天缘书 记 员  牛 倩