山西省高级人民法院民事裁定书（2020）晋民申1621号再审申请人（一审被告、二审被上诉人）：中国银行股份有限公司太原综改区支行。负责人：王立国，行长。委托诉讼代理人:王宇,山西德为律师事务所律师。委托诉讼代理人:周子乾,山西德为律师事务所律师。被申请人（一审原告、二审上诉人）：乔晋媛，女，1970年10月12日出生，汉族，住太原市迎泽区。再审申请人中国银行股份有限公司太原综改区支行因与被申请人乔晋媛侵权纠纷一案，不服山西省太原市中级人民法院（2020）晋01民终1454号民事判决，向本院申请再审，本院依法组成合议庭，由王东担任审判长并主审、许文杰、赵凯参加合议，对该案进行了审查，现已审查终结。中国银行股份有限公司太原综改区支行申请再审称：（一）原判决认定的基本事实缺乏证据证明。1.原二审判决认定“被申请人信用卡移动支付业务并非本人办理”的说法不成立。根据中国人民银行颁布的《银行卡业务管理办法》第五十四条规定“持卡人的义务包括：持卡人应当遵守发卡银行的章程及《领用合约》的有关条款”。在中国银行信用卡《领用合约》和《章程》中均明确“基于持卡人签字形成的交易凭证和／或凭信用卡磁条、芯片号或密码等电子数据和／或卡片信息而办理的各项交易所产生的信息记录之一或全部均属于该项交易的有效凭据。如有关交易确已发生，除非乙方存在法律规定的过错，甲方不得以无交易凭证、交易凭证上签字非本人所为、密码非本人输入、本人未提供手机验证码或未输入密码等验证信息理由拒绝偿付因交易发生的款项”。在本案中，原判决认为再审申请人“移动支付业务开通过程中所涉及的相关信息均与被申请人预留信息相符，即视为其本人开通”的抗辩仅适用被申请人本人真实意愿的申请，并不适用犯罪分子盗取信息后的开通交易，不仅违背了双方之前的约定，也完全否定了“支付敏感信息校验”与“认定为持卡人本人”的因果关系，将“信息校验通过即认定为本人”颠倒为“本人才能进行信息校验”，这种错误的事实认定不仅使支付敏感信息校验丧失了其本来的作用，而且通过个案司法裁判否定了金融监管机构的技术标准和监管要求，也使得所有开办电子支付业务的金融机构陷于诉讼风险。2.原二审判决认定“再审申请人仅识别系被申请人手机终端发出的信息，就错误认为系被申请人本人，说明银行的交易系统存在技术缺陷”毫无事实依据。中国银行信用卡业务系统为三级系统，在公安部进行了备案，并于2017年12月通过了公安部信息安全等级保护评估中心的安全等级测评，系统符合国家信息系统等级保护要求，交易安全可靠。在交易过程中，系统并非仅识别系被申请人手机终端发出的信息就错误认为系被申请人本人，而是基于信用卡卡号、有效期、安全码、动态校验码等关键安全要素进行身份认证后确认。系统不存在技术缺陷，完全符合《中国金融移动支付应用安全规范》和《中国银联移动支付技术规范》等技术标准。同时，再审申请人拥有先进的“网御系统”，2019年共监测实时交易总量37.19亿笔，累计筛查风险交易总量68.8万笔，阻断可疑交易金额72.36亿元，在积极配合司法机关打击各类电信诈骗犯罪、保障客户信息和资金安全方面的成绩赢得了社会的广泛认可，获得“2019年度国家网络与信息安全信息通报先进单位”荣誉称号。在本案中，被申请人产生第一笔可疑消费时，再审申请人防欺诈系统就已自动识别，同时向被申请人发出电话风险提示及询问客户是否为本人消费，得知非本人操作后，再审申请人工作人员立即告知其第一条增额短信是诈骗短信，并征得同意后完成止付。从第一笔交易发生的时间到完成止付仅用了59秒，防止了被申请人损失的进一步扩大。3.原二审判决认定“开通过程具有明显的漏洞和安全隐患，再审申请人作为相关技术、设备和操作平台的提供者，在其与信用卡用户的合同关系中应当为客户进行风险防范并保证未被授权者不能获取敏感支付数据”与事实严重不符。移动支付的开通过程是：用户通过第三方客户端APP将信用卡卡号、有效期、安全码等验证因素发送至银行进行设备卡申请，银行进行信息验证后建立初始映射关系，并使用持卡人预留手机号的动态密码进行设备卡激活。以上移动支付业务开通过程，被申请人使用的是人民银行大力推广的支付标记化技术，最大程度的保障了用户支付敏感信息的安全，同时，系统完全符合《中国金融移动支付支付标记化技术规范》的要求，不存在漏洞和安全隐患。在本案中，犯罪分子获取的敏感支付数据是由被申请人自己提供的，而非从银行获取。被申请人收到诈骗短信后，主动点击非法链接，在犯罪分子预先设置的网页上输人应由本人妥善保管的卡号、有效期、安全码、预留电话等支付敏感信息；随后无视银行的反复提醒，在业务类型明显不相符的情况下，将作为关键安全要素的动态验证码又提供给他人，致使他人完全掌握了被申请人可用于开通移动支付业务的全部支付敏感信息。（二）原审判决适用法律确有错误。1.再审申请人作为信用卡发卡行，所涉及的业务系统和流程均符合相应的国家技术规范和金融监管机构的制度要求，不应承担任何责任。一是再审申请人为被申请人开通移动支付业务的流程符合相关技术标准。中国银联具有制定电子化支付技术标准的职能及权力，开通移动支付的业务流程各家银行均须严格遵守执行，是目前技术条件下规范移动支付业务法律依据中的最高位阶。本案中，再审申请人严格按照上述流程为被申请人开通移动支付，并及时发送提示短信，告知被申请人开通业务类型、切勿泄露校验码等注意事项，不存在任何过错。二是再审申请人对开通移动支付业务客户的身份识别标准，均符合金融监管机构的要求，已经尽到法律规定的审查义务。根据《中国银行业监督管理委员会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》（银监发【2014]10号）、《中国人民银行关于进一步加强银行卡风险管理的通知》（银发【2016]170号）相关规定，申请人严格遵循双（多因素）验证方式进行客户身份验证，身份认证由至少两种方式组成：一种方式是验证客户知晓的支付敏感信息，如信用卡号、有效期、安全码；另一种方式是验证客户持有、特有并用于实现身份认证的信息，如向预留手机号码发送的动态校验码。同时，再审申请人账户变动通知、可疑交易通知等方面均符合金融监管机构的制度要求，不存在任何漏洞。2.被申请人主动点击非法链接，无视界面、短信的异常和发卡银行反复提醒，向犯罪分子泄露支付敏感信息造成损失，理应由其自己承担全部责任。一是被申请人无视诈骗短信、网页的异常，点击非法链接并输入支付敏感信息，将自身置于风险之中。至案发时，被申请人使用中行信用卡已5年之久，并曾进行过两次增额操作，有足够的理由相信被申请人对中行信用卡业务流程及服务方式均较为熟悉。作为一名中行信用卡的老用户，无视诈骗短信与以往的中行信用卡业务短信在发送平台号码、内容、格式、业务流程等诸多方面存在明显不同，并在与平时明显不同的网页上输入支付敏感信息，未尽持卡人注意义务。二是被申请人明知业务类型不相符，仍无视警告将作为持卡人身份认证重要依据的检验码泄露给他人。再审申请人在向被申请人发送包含有验证码的短信中，明确说明业务类型为“开通移动支付”，并提示“请勿向他人泄露”。被申请人在短信、网页异常，业务类型不相符的情况下，无视警告，仍在非法网站上输入了校验码，致使自己的银行账户丧失了最后一道安全保障，为犯罪分子大开方便之门。三是被申请人疏于防范，被申请人身为公安干警却未能识别常见的电信诈骗犯罪行为，存在重大过失。不法分子以“信用卡快速提额”为诱饵、利用移动支付进行诈骗的犯罪方式，在网络、电视、广播等各种媒体中常有报道，更是公安机关重点打击的违法犯罪行为。被申请人作为一名从警近三十年的公安干警，却未能识别常见的电信诈骗，不仅未将其收到的诈骗短信作为线索提及时供给公安机关打击犯罪，反而轻信其“无需审核即可提升额度”的诱惑，点击非法域名，泄露本应由自己严格保密的银行卡支付敏感信息，致使犯罪分子得逞，存在重大过失。3.案涉嫌刑事犯罪，被申请人应积极配合公安机关侦破案件，并挽回损失。本案系典型的电信诈骗，被申请人作为受害人，应通过积极配合公安机关尽早侦破案件来挽回自己的损失。在公安机关尚未正式立案之前、甚至无法排除是否存在持卡人与他人串通的情况下，被申请人无视自己的重大过失，将严格按照监管要求和技术规范开展正常金融业务的申请人诉至法院，要求银行为其本人的过错和不法分子的犯罪行为承担责任的行为于法无据。如果每个被害人都试图利用民事诉讼将过错与损失转嫁银行，不仅客观上会助长犯罪行为，也背离了“坚决遏制电信网络新型违法犯罪发展蔓延势头”的方向，损害社会和谐稳定。根据《中华人民共和国民法总则》第六条、《电子商务法》第五十七条第二款，人民法院应根据公平原则和过错责任原则，综合认定因泄露支付敏感信息而造成银行账户遭受损失的责任主体。本案二审法院罔顾被申请人自身存在重大过失的基本事实，颠倒“身份认证”与“本人行为”的因果关系，在再审申请人业务流程完全符合相应技术标准和金融监管要求的前提下，判令再审申请人承担责任，在事实认定和法律适用方面均存在严重错误。故请求：1.撤销山西省太原市中级人民法院作出的（2020）晋01民终1454号民事判决；2.驳回被申请人全部诉讼请求，维持太原市小店区人民法院（2019)晋0105民初8424号民事判决；3.本案全部诉讼费用由被申请人承担。本院认为：综合本案一审、二审及再审申请人的主张，本案的焦点问题是原判决认定的基本事实是否缺乏证据证明以及原判决适用法律是否确有错误。京银保监[2020]38号信访事项答复意见书载明：中行设备卡的实际开通流程并未按照协议要求验证“持卡人姓名、开户时预留的证件类型、证件号码”，存在瑕疵。即再审申请人在对被申请人提供移动支付业务过程中违反《中国银行股份有限公司移动支付（贷记应用）服务协议》第二条之规定。该协议之违反致使再审申请人对被申请人财产安全保护程度客观降低，继而导致被申请人财产被盗风险加大。案涉损失虽因被申请人轻信非法链接继而输入敏感信息后被不法分子盗刷所致，但再审申请人作为金融安全服务提供方，对被申请人的移动支付业务的操作负有监督义务，对金融业务过程中所存风险应当及时进行有效提示与事前预防。再审申请人作为相关技术、设备和操作平台的提供者，在其与信用卡用户的合同关系中应当为客户进行风险防范并保证未被授权者不能获取敏感支付数据。现再审申请人疏于履行谨慎审查与监督义务致使被申请人财产受损理应负担主要责任，被申请人轻信非法链接继而输出敏感信息亦存在疏于履行持卡人注意义务，理应承担次要责任。因此原审法院所作认定并无不当，适用法律并无错误。综上，再审申请人中国银行股份有限公司太原综改区支行的再审申请不符合《中华人民共和国民事诉讼法》第二百条规定的情形。依照《中华人民共和国民事诉讼法》第二百零四条第一款、《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第三百九十五条第二款之规定，裁定如下：驳回中国银行股份有限公司太原综改区支行的再审申请。审判长 王 东审判员 许文杰审判员 赵 凯二〇二〇年十一月三日法官助理 张华峰书记员 高丽云