辽宁省朝阳市中级人民法院民 事 判 决 书（2021）辽13民终345号上诉人（原审被告）：中国工商银行股份有限公司朝阳分行，住所地朝阳市双塔区朝阳大街四段3号。负责人：李军，行长。委托诉讼代理人：张志宏，辽宁东宝律师事务所律师。委托诉讼代理人：陈静，女，1981年3月24日出生，蒙古族，该行职员，住朝阳市双塔区。被上诉人（原审原告）：李晨兵，男，1969年6月16日出生，汉族，个体，住凌源市。委托诉讼代理人：李晨明（系李晨兵兄弟），男，1969年6月16日出生，汉族，无业，住凌源市。上诉人中国工商银行股份有限公司朝阳分行因与被上诉人李晨兵信用卡纠纷一案,不服凌源市人民法院（2020）辽1382民初4235号民事判决，向本院提起上诉。本院依法组成合议庭进行了审理。上诉人中国工商银行股份有限公司朝阳分行的委托诉讼代理人张志宏、陈静，被上诉人李晨兵及其委托诉讼代理人李晨明到庭参加诉讼。本案现已审理终结。中国工商银行股份有限公司朝阳分行上诉请求：1、请求撤销原审判决，依法改判或发回重审；2、一、二审诉讼费由被上诉人负担。事实和理由：1、原审对银行卡号和密码泄露过错的举证责任分配错误，根据公安机关《受案登记表》，被上诉人在报案时自己承认点击了手机短信中的信用卡提额链接，我行并没有向其发送过该链接，其在与我行客服人员沟通中陈述点开非法界面后进行了提额操作，必然会泄露其银行卡和手机的相关信息，进而造成银行卡被盗刷。被上诉人点击短信链接、提额操作等证据，均是保存在被上诉人手机中，举证责任应由被上诉人负担，被上诉人银行卡被盗刷消费时，我行及时向其发送短信提醒。2、本案送达程序违法；3、没证据证明被上诉人款项被盗刷在我行平台操作，李晨兵所点击的短信链接应是非法的诈骗短信链接，李晨兵点击非法链接的行为属于牡丹信用卡领用合约第二条第二项约定的经密码和验证要素检验通过交易含授权交易即视为甲方信用卡申领人本人所为，并由甲方承担交易款项之责任情形。支付安全用卡须知第二条就是不要泄露银行卡的卡号，有效期及密码等相关信息，第五条，请您在安全的互联网环境下使用信用卡，不要随意点击不安全的链接，悬浮窗口、电子邮件及短信等渠道提供的网站或支付链接。本案李晨兵被盗刷系其点击非法链接所致，在现有的技术条件下，任何银行对此均无法进行防范。上诉人尽到了应有的安全保障义务。李晨兵信用卡被盗刷致损，系因其点击非法链接后，按链接提示开通了applepay功能的过程中泄露该卡重要信息，根据苹果手机所设置开通applepay支付流程，开通这个过程要输入被绑定银行主卡的卡号、密码、有效期、安全码，预留的手机号码，以及向预留手机号码发送的动态验证码等信息，一旦动态验证码泄露，被不法分子利用，持卡人即丧失对该卡的绝对控制权，这些信息只有主卡申办人和预留号码手机的机主能够完全掌握，也就是只有李晨兵或者其授权的人才可以开通applepay支付卡，案涉的五笔消费是通过其自己申请的applepay虚拟支付卡进行支付，并不需要使用绑定的实体银行卡，其损失责任应由其自行承担，账户安全险是上诉人赠给客户的保险，本案不具备给付条件。李晨兵二审中答辩称，本人在受案登记表中陈述，我本人曾经点击了某个链接，在办案过程中民警提问你的信用卡被盗刷你最近使用过卡吗？我说使用过，在加油站加油的时候用过，最近我点击过工商银行的那个短信，工商银行给我发的短信我也打印出来了，我无法区别真假，而且我现在手机也保留着工商银行发给我的短信链接。我提供的向公安机关反映的线索只是为了公安机关提供办案条件增加成功率。工商银行给我发了一整套完整的信用卡被盗刷的拒付的流程和表格，而且你们在大地保险公司也给储户投了被盗刷险。你的系统并不是无懈可击，根据高度盖然性推断，我没有泄露我的银行密码。中国人民银行银行业监督管理委员会银监发2014年的10号文件规定，银行客户银行账户与第三方支付机构首次建立业务联系时应经双重认证，即支付机构的认证，还需通过商业银行的客户身份鉴别账户所在银行应通过渠道或其他有效方式，直接验证客户身份，商业银行通过电子渠道验证和辨别客户身份，应采取双因素验证，不具备双因素和多因素认证的客户，其任何账户不得与第三方关联，这就是说刚才对方律师提到的给我开通applepay，我不知道开通，工商银行在我不知情的情况下，替我开通了所谓的applepay，责任在工商银行。上诉人没有采取紧急避险措施，没有履行审核交易人合法身份的义务，上诉人应承担违约责任。李晨兵向一审法院提出诉讼请求：1.判令被告工商银行朝阳分行赔偿原告被盗刷款项18,781元，并按中国人民银行同期同类贷款利率给付利息至赔偿完毕为止；2、判令被告承担诉讼费及因盗刷产生的罚息、违约金及信用卡分期利息。一审法院认定事实：2014年原告在被告处办理了卡号为62×××13的信用卡。2020年3月22日15时，原告接到中国工商银行短信通知，显示于许昌市欧亚黄金珠宝首饰销售处有四笔消费，金额分别为3,808元、4,980元、4,995元、4,998元，于许昌市东城区李派蛋糕店有一笔消费，金额为200元。原告接此短信后于同日16时到凌源市公安局宋杖子派出所报案。于同日拨打客服95588申请工商银行对上述五笔支付金额（合计18,981元）予以处理。2020年3月23日，原告到被告柜台处申请办理非本人交易拒付业务，并按工作人员指示填写《牡丹卡非本人交易拒付业务申请指引》、《牡丹卡账务查询申明书》、《争议交易附加说明》、《非本人交易明细声明》。2020年8月2日，被告告知原告申请的非本人交易拒付业务未能办理，要求原告自行承担偿还被盗刷款项的责任。2020年3月至9月期间，原告为维持该张信用卡正常使用，每月按照最低还款额度进行还款，后于2020年7月，原告在被告处将卡号为62×××13的信用卡冻结，并按被告指示重新开办卡号为62×××95的信用卡。后原告将案涉被盗刷的金额、利息及罚息分期还清。截止2020年10月31日，原告为此共支付22,789.83元（被盗刷金额18,981元、罚息1,124.80元、违约金81.03元、手续费2,603元）。原告因此款项向被告追索未果，而诉至本院。一审法院判决认为，案涉五笔交易均为同日发生，且发生地为河南许昌。原告在发现信用卡被冒用后立即进行报案，同时拨打客服电话反映情况。原告的行为符合一般人在发现信用卡异常交易后的正常反应，其已尽警觉和注意义务。原告对其信用卡被他人盗刷的主张已经完成了初步举证责任。在被告未能举证反驳原告的主张或证明系原告授意他人持卡消费的情况下，法院推定上述争议的五笔交易系被他人冒用盗刷造成的。案涉信用卡被冒用盗刷，透支使用者并非原告本人，因此应根据导致信用卡被盗刷的责任来确定谁应对该五笔被盗刷款额负责。在信用卡消费的过程中，信用卡的真实性与密码的符合性是确保资金安全和正当消费的两个关键环节，银行负有保障信用卡真实性及唯一性的义务，而持卡人则负有妥善保管信用卡及其密码的义务。关于银行卡账号和密码泄露过错的举证责任，由于被告作为发卡行及相关技术、设备和操作平台的提供者，在其与原告的合同关系中占据优势地位，该举证责任应由被告承担。本案中被告未出席庭审，且未提供任何证据证明原告作为持卡人存在银行卡保管不善或泄露密码的故意或过失,应当承担举证不能的法律后果。故被告应对原告的损失承担全部赔偿责任，即赔付22,789.83元及相应利息、罚息。诉讼期间，被告工商银行朝阳分行经本院传票传唤，无正当理由未到庭参加诉讼，视为其放弃依法行使诉讼权利，应自行承担对己不利的法律后果，本院依法缺席判决。综上，原告的诉讼请求有事实与法律依据，本院依法予以支持。依据《中华人民共和国商业银行法》第六条、第二十九条第一款、第三十三条，《中华人民共和国民事诉讼法》第一百四十四条的规定，判决如下：一、被告中国工商银行股份有限公司朝阳分行于本判决生效后十日内返还所透支的原告李晨兵信用卡本金、利息、其他费用共计22,789.83元；二、被告中国工商银行股份有限公司朝阳分行自2020年11月1日起按中国人民银行同期同类贷款利率给付利息至上述款项付清之日止。被告如果未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条的规定，加倍支付迟延履行期间的债务利息。案件受理费减半收取135元，由被告负担。二审中，中国工商银行股份有限公司朝阳分行向本院提交新证据：证据一、邮件详情单，用以证明在详情单上没有写明收件单位的法定代表人，指定代收人或者负责人的联系电话，送达程序违法。证据二、李晨兵申请工行信用卡申请表一份，用以证明牡丹信用卡领用合约第二条第二项约定，经密码或验证要素检验通过的交易是信用卡领取人本人所为，并由甲方承担责任，安全用卡须知第二条，是不要泄露银行卡的卡号，有效期及密码等相关信息，第五条是提示要在安全的互联网环境下使用信用卡，不要随意点击不安全链接，悬浮窗口、电子邮件、短信等渠道提供的网站或支付链接。证据三、中国工商银行客户服务中心信息化管理平台截图7张；第一张截图能够证明2020年的3月22日13:59:54内容是已激活applepay信用卡产品，并配备尾号4220的设备卡号，激活需要输入的手机验证码，同时该份短信也是该平台该日给李晨兵发送的第一份短信，因此能够证明李晨兵接收的短信链接不是我行发送的事实。第二张截图证明李晨兵尾号4220的虚拟支付卡开通了余额变动提醒业务。第三至七张截图证明我行向李晨兵发送消费金额余额、可用余额、短信信息。证据四、信用卡账户安全险这个条款，以及李晨兵的信用卡交易明细一份；证明李晨兵2月份没有消费记录，不具备给付条件。证据五、非本人交易附加说明一份。是李晨兵填写的，证明其本人说明3月22日，他本人收到工商银行字样的短信，按短信指引进行了信用卡提额操作。被上诉人李晨兵针对证据一、二质证称，密码不是单一要素，其他的检验要素也要并存，我还是强调你银行按商业银行法规定是保证我资金安全的，比如你的验证要素，必须应该有除了密码以外的电子令牌和人脸识别，必须有身份证，人是本人，才能放钱款。这都是霸王条款，是无效的。针对证据三质证称，我没有接收到这样的短信，另外他所谓发送的短信还是违背了前面我提到的根本原则，我并没有点击过非法链接，短信只能证明上诉人发送了并不能证明我方确实收到了短信。针对证据四质证称，和本案没有关联性。针对证据五质证称，这个是我给公安机关提供的线索，不应就此认为我泄露了密码。被上诉人李晨兵向本院提交新证据：手机短信截图，是工商银行给我发送的短信提额页面，证明如果短信和链接是非法的，我承担点击非法链接的后果，如果短信和链接不是非法的，就不要指证我点击非法链接。上诉人质证称，时间点都不是3月22日的，我们要求被上诉人出示3月22日的所谓工商银行发送的短信，如果不能出示应该视为其点击的是非法链接。本院对一审查明的事实予以确认。本院认为，被上诉人李晨兵在公安机关的受案登记表自述其是通过点击信用卡提额的短信链接之后发生的盗刷，因李晨兵系手机持有人，故提供该短信链接以及短信链接是否系上诉发送的举证责任在被上诉人方，因其并未提交信用卡被盗刷前上诉人给其发送的短信链接，不能证明其点击的短信链接系上诉人中国工商银行股份有限公司朝阳分行所发送，而其向本院提交的手机短信截图日期显示的日期与被上诉人点击短信链接后信用卡被盗刷的时间不相符，不能证明其系点击该短信链接后信用卡被盗刷，而上诉人提供的中国工商银行客户服务中心信息化管理平台截图能够证明被上诉人李晨兵激活了applepay信用卡产品，并配备尾号4220的设备卡号，李晨兵接收的短信链接不是上诉人银行发送的。因被上诉人李晨兵未尽到谨慎防范义务，致使其信用卡被盗刷，应承担相应责任。被上诉人银行卡被盗刷时，上诉人中国工商银行股份有限公司朝阳分行及时向被上诉人发送短信提醒，现有证据无法证明上诉人在该案中存在过错，故上诉人不应承担责任。综上，上诉人的上诉请求成立，原审法院判决认定事实清楚，但举证责任分配及适用法律不当，导致处理结果不当，应予纠正。依照《中华人民共和国民事诉讼法》第六十四条、《最高人民法院关于适用的解释》第九十一条、第一百七十条第一款（二）项之规定，判决如下：一、撤销凌源市人民法院（2020）辽1382民初4235号民事判决；二、驳回李晨兵的全部诉讼请求一审案件受理费135元，二审案件受理费370元，合计505元，由被上诉人李晨兵负担。本判决为终审判决。审判长  张九东审判员  刘永志审判员  王海娇二〇二一年四月八日书记员  贲 娜（法官助理代）