.MsoNormal{margin-top:0cm;margin-bottom:0px}海口市龙华区人民法院民事判决书（2016）琼0106民初9220号原告：吴晓聂，男，汉族，1967年10月8日出生，住海口市。委托诉讼代理人：吴俊仁，海南瑞来律师事务所律师。被告：中国工商银行股份有限公司海口秀英支行，住所地：海口市滨海大道。负责人王红日，职务：行长。委托诉讼代理人：蒋斯琳，女，该行职员。委托诉讼代理人：李秋桦，男，该行职员。原告吴晓聂与被告中国工商银行股份有限公司海口秀英支行银行卡纠纷一案，本院于2016年8月29日受理后，依法由审判员张为群适用简易��序，公开开庭进行了审理。原告的委托诉讼代理人和被告的委托诉讼代理人到庭参加了诉讼，本案现已审理终结。原告向本院提出诉讼请求：1.请求判令被告支付原告存款40500.00元及利息损失（从2016年6月12日起，按中国人民银行同期同类贷款基准利率计算至全部履行完毕之日止，暂计至2016年8月31日为352.35元）；2.请求判令被告承担原告为索赔支出的律师费5000.00元。事实与理由：原告吴晓聂系被告中国工商银行股份有限公司海口秀英支行（以下简称被告，或工行秀英支行）的储户（卡号为×××）。2016年6月12日15:51至15：58，短短七分钟内，原告陆续收到被告发来9条手机短信通知，告知”您尾号8214卡6月12日15:51POS支出（消费）4900元”（9条短信，除了具体的时间和金额不一样外，其它内容一样，短信显示，在七分钟之内9笔支出（消费）共计40500元）。因为原告在被告处并没有”尾号8214”的储蓄卡，所以，当时原告并没有理睬这些短信。2016年6月14日，原告发现卡上余额不对，经查询，发现与前述9条短信同样的时间，被告从���告持有的尾号2033的储蓄卡上，划走了同样的金额。原告立刻联系被告，并按被告的指示到派出所报了案。经被告查询得知，9笔消费支出是通过海口的POS机上刷卡转走的，刷卡的卡号为”621475*********8214”，商户名称是海口星海潮票务管理有限公司。原告在被告处开立银行账户，办理借记卡，并存入存款，双方形成储蓄存款合同关系，合法有效，依法受法律保护，被告负有保障原告存款安全的合同义务。案外人持有的卡号与原告持有的卡号，完全不一样，被告却错误的从原告存款账户划走款项，被告应当承担赔偿责任。对于本案原告认为：首先，本案有三个关键的事实，也是讨论本案责任的前提。原告在被告处”预留手机”、接收业务信息提醒的号码是150XXXX****。这个事实，不仅有原告的当事人陈述可以证明，被告提��的证据”业务申请确认书”以及短信发送明细也可以证明，多个证据能够相互印证。根据被告的陈述，以及被告95588服务电话的解答，客户可以提供多个手机号给银行，但哪个手机号可以办理什么业务，需要客户明确指定（银行有存档）。就本案来说，吴晓聂”预留手机”接收业务信息提醒的手机号是150XXXX****，虽然138XXXX****这个手机号码也提供给银行，但只是给银行存档的一个备用联系电话，并没有指定办理什么业务。原告从来没有开通过手机银行、网络银行等业务。这个最最重要的事实，有原告的当事人陈述（附件第1页）可以证明，被告提供的”客户信息”（附件第5页）也清楚的证明这个事实。特别是，从本案被告提供的证据上看，被告系统也并没有记载有案外人替原告开通过手机银行、���络银行等业务；二、原告从来没有自行开通过手机银行，更没有开通过HCE借记卡，即使是案外人，也不是以正常的方式开通HCE借记卡。被告主张原告于2016年6月12日12：54登录手机银行开立并启用了尾号8214的HCE借记卡，并提供了证据”短信验证码：547021”（附件第9页）欲以证明。但是，被告也清楚，开通HCE借记卡的前提条件，就是必须开通手机银行，这个事实，有被告自己提供的HCE借记卡业务流程（六）予以证明（附件第11页），在原告银行卡尚未开通手机银行的情况下，案外人能于2016年6月12日启用HCE借记卡（附件第6页），只能证明，被告的安全系统已经被案外人破译了！至于被告提供的”短信验证码”（附件第9页），很清楚的记载，该短信验证码的”senddate”（发送时间）为2016年6月10日（��告于2016年6月10日亦收到同样的手机短信（附件第2页）可印证），而非被告主张的2016年6月12日12：54发送该短信验证码开通了HCE借记卡。三、被告的安全系统已经被案外人破译，案外人启用HCE借记卡，既无须正常程序开通手机银行，也无须正常程序开通HCE借记卡，因此，可以推测，案外人也无须知道原告的取款密码即可使用HCE借记卡。自行开通手机银行的第一道关卡，就是”短信验证码”，开通后的第一次使用手机银行的第一道关卡，也是”短信验证码”。经调查了解，并经被告95588服务电话确认，客户要开通手机银行，只有两种途径，一是到柜台申请（显然不适合本案，被告无法提供原告到柜台申请开通的任何证据），二是通过被告网络自行申请（限于查询或小额支付等业务）。但即使是通过被告网络自行开通，也��要通过多重安全防火墙：首先，点击”注册”后的第一步，被告应当发送”短信验证码”到客户”预留手机”上（附件第17页），但显然，被告没有发送类似短信验证码，原告也没有收到过类似短信验证码；其次，自行开通后的第一次使用，”系统为了用户的安全还会进行手机验证，系统向绑定的手机号发送验证码”（附件第21页），但显然，被告还是没有发送类似短信验证码，原告也没有收到过类似短信验证码。所以可以充分证明，案外人在启用HCE借记卡前，就应当已经破译了被告的安全系统，案外人甚至都无须开通手机银行（被告没有证据证明原告银行卡有过开通手机银行的记录），自然，也根本就无须知道原告的取款密码！开通HCE借记卡，除了必须开通手机银行业务外，第一道关卡，也是”短信验证码”。这道关卡，从被告自己提供的HCE借记卡业务流程（八）（附件第12页）可以清楚的看出，但是，2016年6月12日，案外人启用HCE借记卡（附件第6页）的当天，被告并没有向原告预留手机发送过类似的短信验证码（附件第7页），亦没有向原告留存在被告处的备用联系电话发送过短信验证码（附件第8页），显然，只有一种可能，就是案外人已经破译了被告的安全系统，自然，也根本就无须知道原告的取款密码！所以我们认为：1.在被告的安全系统已经被案外人完全破译的情况下，被告没有证据证明案外人仍必须知道原告的取款密码，因此，原告的取款密码是否泄露，已经无关紧要。从被告提供的所有证据，都没有看出原告的银行卡曾经在哪天哪时通过什么方式开通过手机银行，也没有看出2016年6月12日是如��开通HCE借记卡（虽然信息记载是那天开始启用），却能启用HCE借记卡，却能刷卡消费，充分证明，被告的安全系统，对案外人来说，已经不起任何作用，在这种情况下，案外人根本就不再需要原告的取款密码，被告也无法证明这种情况下，案外人还需要密码，甚至还需要与原告同样的密码！所以，原告的取款密码是否泄露，与案外人破解被告的安全系统导致盗刷结果的发生，没有任何的关系；2.关于举证责任的问题，被告负有举证责任，应当举证证明原告曾经开通过手机银行、曾经使用过手机银行开通过HCE借记卡、曾经且必须使用正确的取款密码才能使用HCE借记卡。根据《最高人民法院关于民事诉讼证据的若干规定》第五条第二款”对合同是否履行发生争议的，由负有履行义务的当事人承担举证责任”。原告、被告提供的证据，均能证明原告在被告处开立银行账户，双方存在有效的储蓄存款合同关系，原告的义务是存入款项，而被告的义务，是对原告存入的款项进行妥善保管、安全维护、确保案外人不能破解被告的安全系统挪用原告存入的款项。而本案，原告对其存入款项的义务，已经举证完毕，被告的安全保障义务，是否履行，应当举证证明，但被告现有的证据，却相反的，只能证明了被告的多重安全保障系统，在案外人的面前如同虚设，没有任何一道关卡发生作用，因此，被告仍主张原告泄露密码导致盗刷根本就没有任何的证据支持，没有任何证据证明原告泄露密码，甚至，没有任何证据证明案外人盗刷，需要或者曾经使用过原告的密码；3.原告已经尽到自己的安全保障义务。原告的安全保障义务，其实只有保证不对外泄露自己密码的义务。但如果被告的安全系统发挥作用的话，案外人既使破��了原告的密码，被告仍有”短信验证码”可以防止盗刷事件的发生。但，现有的证据，却证实了，被告的安全保障系统全部没有发挥作用，作为第一道关卡的”短信验证码”，没有送达过一次。至于被告主张已”告知原告如手机银行登录行为非本人操作，按短信内容提示操作可强制退出”欲以此证明原告有过错，但，首先，原告”预留手机”号码是150XXXX****，而被告却向138XXXX****发送上述提醒短信（附件第8页），原告清楚138XXXX****没有办理登记过银行业务，被告将提醒短信发送到该手机，已经证明了被告没有履行安全提醒义务，过错在被告；其次，即便如此，原告收到该短信后，亦已按被告的提示，使用预留手机150XXXX****，按被告要求的标准格式操作，但被告却没有履行���制退出的义务（附件第3页）。案外人破译被告的安全系统，证明了被告没有尽到安全保障义务；被告没有发送短信验证码给原告预留手机，也证明了被告没有尽到安全保障义务；而被告将提醒短信发送到原告非预留手机，同样证明了被告没有尽到安全保障义务；原告按被告的要求操作但被告却没有强制退出，不仅证明了原告已尽到自己的安全义务，同时还证明了被告没有尽到安全保障义务。因此，原告存款被盗刷，完全是因为被告没有尽到安全保障义务的原因，被告应当赔偿原告的全部损失，并以此为契机，查实、修复自己的安全系统。我们还认为，原告在与被告签订储蓄存款合同时，明确以”非格式条款”的方式，”手写体”的方式，特别选择了”不开通手机银行”选项。但现在已查明的���实，却是案外人，可以用任意的手机，自主的开通原告的手机银行，虽然被告辩解说有”格式条款”已标明任何人可以通过任何手机、在掌握客户信息的情况下，可以自主开通，但根据《合同法》第四十一条的规定，该格式条款，明显与原被告双方以”非格式条款”约定”不开通手机银行”相冲突，”应当采用非格式条款”，因此，被告严重违约。银行对客户利益有重大影响的事项，负有向客户告知的法定义务，但对于”任何人可以通过任何手机、在掌握客户信息的情况下，可以自主开通客户的手机银行”这一重大的风险，被告却没有”采取合理的方式提请对方注意”，告知客户这一重大的风险，不仅严重违反了《合同��》第三十九条的规定，也严重违反了《消费者权益保护法》第二十八条规定的”采用网络、电视、电话、邮购等方式提供商品或者服务的经营者，以及提供证券、保险、银行等金融服务的经营者，应当向消费者提供经营地址、联系方式、商品或者服务的数量和质量、价款或者费用、履行期限和方式、安全注意事项和风险警示、售后服务、民事责任等信息”。储蓄存款合同中，客户，仅仅负有不泄露密码的安全义务。而银行，应当承担更重大的安保责任。但就本案或之后类似本案的案件而言，银行却把安保责任，全部推到了客户头上，只要案外人知悉了客户的信息，就可以擅自开通手机银行，盗取客户的银行款项，在这整个流程中，银行，仅仅发送一个登陆提示，没有任何的其它安保措施，没有尽到最基本的安保责任。综上，被告严重违约，���有尽到最基本的风险提示和资金安全保障义务，希望法院能充分考虑到银行应当承担的金融安全责任的重要性，作出公正的判决，促进银行升级改造其安全系统，也能让社会上的你、我，能够安全、放心的使用银行业务！被告辩称，1.8214尾号的HCE借记卡系原告本人开立，2016年6月12日发生的十笔POS交易均为原告本人交易行为。根据《账户对应卡号清单》、卡号为×××的借记卡卡片信息柜面查询结果截图、95588工银信使短信发送历史明细、《电子银行客户信息查询凭证》及HCE借记卡业务手机渠道功能介绍图示的内容，尾号为2033的借记卡系主卡，尾号为8214的HCE借记卡系附属卡，两卡共用账号为×××的基本账户。开立HCE借记卡须登录手机银行进行操作，原告本人于2016年6月12日12:54登录手机银行开立并启用了尾号8214的HCE借记卡，接着在15时51分17秒至15时58分15秒期间进行了九笔输密POS消费交易，从原告注册手机银行至完成九笔POS消费交易过程需要原告尾号2033的借记卡主卡卡号和密码、手机银行登录密码、原告预留银行手机号码、身份证号码和95588工银信使发送的动态验证码、原告生成8214尾号HCE借记卡的手机等要素，最后由原告将其生成8214尾号HCE借记卡的手机靠近具有读取HCE借记卡功能的POS机并输入支付密码，以上所有要素和动作齐备才能完成支付。原告8214尾号的HCE借记卡系在其本人手机中通过登录手机银行模拟生成的、尾号2033借记卡的附属卡，并不具有实体物理介质，不具有可复制性。原告注册、登录手机银行并使用HCE借记卡进行POS消费交易须经多重密码和信息验证，只有原告本人才能知悉和掌握。同时，原告当天12时48分58秒、12时54分29秒两次收到被告95588工银信使发送的登录设备变动提示短信后并未进行强制退出操作或修改登录密码，上述15时51分17秒至15时58分15秒期间九笔交易操作与尾号2033的借记卡主卡当天12时49分37秒发生的POS消费交易均为本人交易行为。2.被告已依约向原告履行了支付储蓄存款的义务，不存在违约行为，原告再次要求被告进行兑付没有事实和法律依据。根据《个人银行结算账户管理协议》（ICBC[总]02001201401）第十四条、《中国工商银行借记卡章程》第七条、《中国工商银行电子银行章程》第八条、《中国工商银行电子银行个人客户服务协议》（ICBC[总]01009201401）第三条第（五）款的约定，凡使用正确密码进行的交易，被告均视为原告本人行为。依据密码等电子信息办理的各类交易所产生的电子信息记录均为该交易的有效凭证。被告根据原告的电子银行业务指令办理业务，对所有使用被告在被告处设定的身份标识信息（包括账户账号、卡号、用户名、电话或手机号码、终端设备信息等），并按照原告在被告设定的身份认证方式（包括密码、客户证书、动态口令等）通过身份验证的电子银行操作均视为原告所为，该操作所产生的电子信息记录作为被告处理电子银行业务的有效依据。原告应妥善保管账户介质、注册电子银行卡号（账号、登录ID或注册手机号码）、密码、印鉴、本人有效身份证件、接收短信认证的手机及有关业务凭证等，因原告保管不善造成的损失由原告自行承担。因此，只要电子信息记录载明款项由持有正确密码并使用原告已设定的身��标识信息、身份认证方式的人通过身份认证的人所提取，那么该款项视为被告已正确兑付。被告已对2016年6月12日发生的十笔POS消费交易进行正确兑付，并已分别于6月21日、9月21日结息33.07元、0.16元，不存在重复兑付的理由。3、涉案九笔交易须使用的密码、身份标识信息以及身份认证方式，包括借记主卡卡号、借记卡主卡及附属卡支付密码、手机银行登录密码、原告电子银行渠道预留银行手机号码、身份证号码和95588工银信使发送的动态验证码、原告生成8214尾号HCE借记卡的手机等，由原告本人设定和掌握，具有唯一性的特点，其他人无法知晓，原告应尽到妥善保管上述相关信息及设备的义务。尾号为2033的借记卡主卡和尾号为8214的HCE借记卡附属卡的支付密码均由原告本人通过专用的密码键盘设置生成，密码数据通过加密后传输和保存，被告工作人员无法获知原告密��。原告一旦对账户设定密码，他人根本不可能知晓，原告相应地就负有妥善保管存款密码的义务。由于只有原告知晓两张借记卡的密码，若发生密码泄露的情况，只可能是原告主动透露给他人或者是由于自身使用过程中未尽小心谨慎的义务而被他人获取。原告对借记卡及密码未尽妥善保管义务造成损失，按约应承担一定责任。涉案九笔交易需由原告本人注册、登陆被告手机银行客户端，在客户端中开通激活HCE借记卡附属卡，并将生成该附属卡的手机靠近具有读取HCE借记卡功能的POS机并输入支付密码方可完成支付交易。实现涉案九笔交易过程中，除尾号为2033的借记卡主卡和尾号为8214的HCE借记卡附属卡的支付密码外，还需使用由被告本人所设定的借记主卡卡号、手机银行登录密码、原告电子银行渠道预留银行手机号码、身份证号码和95588工银信使发送的动态验证码、��告生成8214尾号HCE借记卡的手机等身份标识信息以及身份认证方式进行身份验证，前述身份验证要素缺一不可，仅由原告知悉和掌握，如他人全部掌握前述交易必备要素，只可能是原告主动透露给他人或者是由于自身使用过程中未尽小心谨慎的义务而被他人获取。原告对上述身份验证要素未尽妥善保管义务造成损失，按约应承担一定责任。4.被告已依约履行交易短信通知和操作风险提示义务，且原告接收所有手机银行登录设备变更及消费交易短信通知后未对操作表示异议，也未采取风险防范措施，说明涉案九笔交易为原告本人行为。如非其本人行为，原告存在过错，应承担相应不利后果。根据95588工银信使非验证码类短信发送历史明细，原告将其拥有的150XXXX****、138XXXX****两个手机号码均设定为95588工银信使短信通知手机号，2016年6月至9月被告均依约向原告正常提供工���信使短信通知服务。被告分别于2016年6月10日、11日、12日和14日向原告发送数条手机银行登录设备变化的短信通知，并告知原告如手机银行登录行为非本人操作，按短信内容提示操作可强制退出，并提醒原告尽快修改手机银行登录密码。其中2016年6月12日被告在交易发生前均发送了登录设备变化和操作风险提示的短信通知，根据原告提供的短信接收截图看，原告并未对手机银行登录设备变化存有异议或进行强制退出、修改密码操作，且原告收到当天15时51分17秒尾号为8214的附属卡第一笔POS消费交易发生的短信通知后如确实对交易有异议，应尽快登录手机银行、拨打95588客服电话或到就近网点将尾号对8214的附属HCE借记卡进行销户或修改支付密码操作，以阻止交易继续发生，防止损失扩大。然而从原告账户历史明细看原告同日15时51分17秒后仍使用尾号为8214的附属HCE借记卡���密继续进行多笔交易，反面证明了原告认可当日交易为其本人交易行为。综上，原告的诉讼请求毫无事实和法律依据，请求法院依法驳回原告的诉讼请求。当事人围绕诉讼请求依法提交了证据，本院组织当事人进行了证据交换和质证。对当事人无异议的证据，本院予以确认并在卷佐证。对有争议的证据和事实，特别是涉及本案相关的事实认定如下：1.从原告在被告处的开户资料来看，原告在开户时，在网上银行和手机银行是否开通栏处，填写的是”否”；2.原告涉案的尾号为2033的银行卡于2016年6月10日13点55分、6月11日10点53分被号码为134XXXX****的手机进行手机银行登录，于2016年6月12日12点48分被登录网上银行、6月12日12点54分被号码为184XXXX****的手机进行手机银行登录。原告的涉案银行卡以上的被登录网上银行和手机银行登录时，被告均向原告预留的号码为138XXXX****手机发出了”您于X月X日X:X登录手机银行（网上银行），登录编号XXX。您本次登录与上次登录设备不同，如非本人操作，转发本短信至95588可强制退出，并尽快修改登录密码”的短信提示。另原告涉案的尾号为2033的银行卡于2016年6月10日13点37分被号码为150XXXX****的手机进行手机银行登录。6月11日10点53分被进行手机银行登录时，原告在收到被告发出的银行登录短信后在该手机上依据被告发出的上述短信提示进行过签退操作，但被告处回的短信为”对不起，您在手机银行的签退交易未能成功，请稍候再试，谢谢！”，之后原告就再未予以理睬；3、根据被告提交的证据和在庭审及质证笔录的陈述，原告在被告处开办的银行卡，虽然在开户时没有开通网上银行和手机银行，但之后持卡人或他人均可在网上和手机上凭卡号、有效身份证件及银行卡密码可自行开通，其中手机银行的开通只能在一个号码上开通，但不局限于开户时预留的手机号码，且开通注册时的短信验证码是发给即时操作注册的手机，而并非预留手机。本院认为，原告在被告处开立的尾号为2033的银行储蓄卡，双方形成了合法的储蓄合同关系，原告应按约定合规使用该银行卡，被告应按约定保证原告资金账户的安全使用。原告的涉案银行卡于2016年6月12日被注册登录手机网上银行，并开立和启用了尾号为8214的HCE借记卡，通过该借记卡，于2016年6月12日进行了九笔的POS交易，共交易40500元，原告否认开通该HCE借记卡并认为该九笔交易并非其本人操作而要求被告赔偿。经查明原告在被告处办理的储蓄卡被注册并开通手机网上交易，必须掌握该储蓄卡的卡号、原告的身份证号码及交易密码，否则无法完成注册并开通手机网上交易，而交易密码是由原告自行设定并也只能原告个人才能知晓。原告的储蓄卡被注册并开通手机网上交易所进行的九笔交易，交易密码只能是原告知晓的情况下，应视为原告本人所为，如非本人所为，也只能是原告本人对其账号、身份信息和账户密码保管不当所致，存在过错。原告主张的”被告的安全系统已经被案外人完全破译，无需交易密码即可完成注册”的说法，没有事实根据，本院不予以采纳。但从本案原告在收到被告发出的银行登录短信后即依据被告发出的上述短信提示进行过签退操作的情况看，该九笔交易非原告本人操作的可能性大，但原告在进行签退操作被被告告知没有成功的情况下，就采取听之任之的做法，对此也存在一定的过错。另外，在原告在开办涉案储蓄卡时，原告已注明不开通网上银行和手机银行情况下，原告主张的”被告对于任何人可以通过任何手机、在掌握客户信息的情况下，可以自主开通客户的手机银行这一重大的风险，被告却没有采取合理的方式提请对方注意，告知客户这一重大的风���”的说法，本院认为合理，予以采纳。特别是本案中，行为人在用非预留手机号码操作开通网上银行和手机银行进行注册登录时，起到重要防范作用的短信验证码，被告不是发送到客户的预留手机上，而是发送到正在操作的注册登录的手机上，致使短信验证码的起不到应有的防范作用，对此被告也存在过错，应对原告的损失40500元及利息损失承担一半的责任。原告起诉要求被告承担为索赔支出的律师费5000元，没有依据，本院不予支持。综上，对于原告的损失，原、被告均��过错，各承担一半的责任，依据《中华人民共和国民法通则》第一百一十条规定，判决如下：一、限被告中国工商银行股份有限公司海口秀英支行于本判决生效之日起十日内赔偿原告吴晓聂20250元及利息损失（利息的计算方法：以本金20250元从2016年6月12日开始按中国人民银行同期一年期贷款基准利率计付至清偿之日止）；二、驳回原告其他的诉讼请求。如未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条规定，加倍支付迟延履行期间的债务利息。案件受理费946元，减半收取计473元，由原、被告各负担一半。如不服本判决，可以在判决书送达之日起十五日内，向本院递交上诉状，并按对方当事人的人数提出副本，上诉于海南省海口市中级人民法院。审判员张为群二〇一六年十二月二十八日书记员蒋琼慧