河北省沧州市中级人民法院 民 事 判 决 书 （2020）冀09民终2910号 上诉人（原审被告）：交通银行股份有限公司沧州分行，住所地：河北省沧州市运河区解放西路颐和广场13号楼。 负责人：勾振洋，行长。 委托诉讼代理人：李小伟，系银行职员。 委托诉讼代理人：李英，河北沧狮律师事务所律师。 被上诉人（原审原告）：李立红，女，汉族，1984年2月17日出生，住河北省沧州市运河区。 委托诉讼代理人：乔辉，天津团民律师事务所律师。 上诉人交通银行股份有限公司沧州分行（以下简称交通银行）因与被上诉人李立红储蓄合同纠纷一案，不服河北省沧州市运河区人民法院（2019）冀0903民初572号民事判决，向本院提起上诉。本院于2019年5月22日立案后，依法组成合议庭审理了本案。本案现已审理终结。 交通银行上诉请求：请求撤销（2019）冀0903民初572号民事判决内容，驳回被上诉人一审全部诉讼请求，诉讼费和上诉费由被上诉人承担。事实与理由：一、一审法院认为被上诉人泄露银行卡号和密码信息应承担相应的过错责任是错误的，被上诉人对自己泄露银行卡号和密码造成的银行卡内资金被盗刷应负全部责任。上诉人是没有责任的。被上诉人领银行卡(信用卡和储蓄卡)时,上诉人就和被上诉人约定,上诉人是凭银行卡卡号和被上诉人设定的支付密码匹配,就给予付款。本案,由于被上诉人自己泄露银行卡卡号和密码造成的盗刷,上诉人是没有责任的。被上诉人借记卡和贷记卡密码是被上诉人设置,知晓密码的只有被上诉人。因此,在网上银行、手机银行和买单吧等无卡操作的环境下,上诉人确认客户各项业务指令的方式为银行卡号、交易密码、短信密码等身份确认工具生成的密码信息。根据《中华人民共和国商业银行法》、《中华人民共和国银行业监督管理办法》、《电子银行业务管理办法》等规定,在电子渠道交易过程中,银行只需根据相对方在交易行为中所提供的电子信息来识别并确认客户身份。本案中,上诉人办理的好享贷和转账等业务均根据被上诉人设置的账户指令办理,均应视为持卡人本人交易,银行在整个交易过程的安全保障不存在过错,后果应由被上诉人自行承担。二、一审法院认为上诉人未尽到风险安全提示义务,与事实不符。本案中,上诉人通过多种方式对被上诉人进行风险提示。被上诉人于2017年2月8日向上诉人申请开通尾号4647借记卡的网上银行和手机银行,相应《大平洋个人借记卡综合申请书》和业务开通确认书均由被上诉人签字确认,上诉人在业务开通确认书中进行了安全提示,一审法院在一审判决中均未提及。三、被上诉人2018年1月19日上午9点13分到上诉人处只是打印银行卡流水,并未要求挂失储蓄卡。一审法院认定与事实不符。由于被上诉人自己泄露了银行卡号和密码,造成卡内资金于2018年1月18日晚被盗刷112917元。被上诉人应承担全部责任,上诉人无责任。2018年1月19日上午,被上诉人到是上诉人处打印银行卡流水时没有要求挂失银行卡,有录像为证。2018年1月19日下午被上诉人通过自主机具挂失。这说明被上诉人2018年1月19日上午根本没要求上诉人挂失银行卡。否则,被上诉人2018年1月19日下午不会再去自主机具挂失银行卡。因此,2018年1月19日被上诉人银行卡卡内资金被盗40078.99元与上诉人无关。一审法院调取上诉人提供的录像,上诉人已提供完整的视频录像,明确显示被上诉人在柜台未进行挂失储蓄卡,仅要求被上诉人打印流水。由于被上诉人主张对是否挂失存在异议,且上诉人已按照一审法院要求提供证据,上诉人不应承担举证不能的不利后果。四、一审法院认为上诉人擅自开通好享贷业务,与事实不符。本案中,上诉人办理的好享贷和转账等业务均根据被上诉人设置的账户指令办理,操作过程中需要被上诉人通过密码等验证方式进行好享贷和转账等业务操作,被上诉人通过密码等验证方式发生的交易应视为本人操作,未通过验证上诉人无法擅自开通好享贷业务。五、一审法院认为《交通银行太平洋个人借记卡领用合约》第三条3.1和第四条(一)为无效格式条款,无事实和法律依据。《合同法》第三十九条规定,“格式条款是当事人为了重复使用而预先拟定,并在订立合同时未与对方协商的条款”。但本案所涉《交通银行太平洋个人借记卡领用合约》中约定,被上诉人应妥善保管太平洋卡、密码和预留手机号码因卡片、手机号对应的SM卡、UM卡以及用户识别码遗失、被第三方复制、盗取和密码泄露而造成的损失由原告承担，但因上诉人方过错造成的损失除外。该条款并未完全免除上诉人责任,根据合同法第四十条,该条款不满足免除上诉人责任的情形。据以上情况,一审法院认定涉案条款为格式条款并宣称无效，是曲解了合同法对格式条款的规定,明显是使用法律错误。六、社会影响及价值分析。目前虽然我国不承认判例制度，但如果贵院以客户泄露账户信息和密码的前提下让银行承担败诉的法律后果，其后果可想而知，一旦客户因电信诈骗而损失均由银行买单，同时仅通过异地IP来确认盗刷引起的损失难以界定，增加客户联合诈骗分子骗取银行资金的可能。故此判例，不仅于法无据保护客户，而且还会变相支持诈骗，其社会影响和司法价值可能有悖于司法初衷。 被上诉人李立红辩称，(一)银行未尽到贷款审查核实义务,负有过错。根据《零售客户交易清单》显示,2018年1月18日,手机银行贷款第一笔36000元,来源于该信用卡本身额度,第二笔贷款120000元,该贷款来源于信用卡,但是超出信用卡本身额度,为交通银行好享贷业务,两笔贷款系通过李立红尾号7759的信用卡贷款所得,贷款并非李立红本人申请,交通银行没有当面核实本人身份,也没有李立红签字的贷款合同,擅自开通好享贷业务,也未告知本人,导致犯罪分子有机可乘进行贷款。根据《商业银行法》第三十四条、三十五条、三十六条、三十七条、商业银行贷款需要签订书面合同,需要对借款人借款用途及偿还能力还款方式等进行严格审查,实行审贷分离、分级审批的制度,经商业银行审查评估借款人资信良好才能提供贷款,因此交通银行违反上述法律规定,贷款审批存在过错,对于该资金损失应当自己承担责任。银行在贷款下发后没有通知李立红贷款详情，李立红卡内出现转账并不知道来源于自己信用卡,直到李立红打信用卡官方电话才知道贷款是来源于好享贷,李立红尾号4647的储蓄卡内资金仅仅67元,并没有资金损失的风险。(二)银行对储蓄卡内资金损失未尽到安全保障义务,电子银行系统存在以下漏洞。1、被告官方手机银行APP以及网上银行注册程序不能识别、验证用户的真实身份。既然银行采用非当面审核的方式识别用户身份,并从中获利,其应当采用身份证上传,人像识别等现在广泛应用于金融APP的手段进行用户识别,犯罪嫌疑人没有上传身份证件就可以注册登录买单吧APP,其相对于其他银行的金融安全管控手段,其电子银行系统存在重大漏洞。2、银行没有检测交易异常及及时止付的安全机制。在一审庭审中拿出了转账操作实施步骤的截图,该截图显示,每一笔交易需要输入卡号、密码、手机验证码,银行也称每一笔交易都需验证码和密码每笔操作最快也需要3分钟,但实际上,本卡内资金盗刷系异地操作,几秒一笔,速度很快,李立红根本没有预防时间和挂失时间,该贷款及后续交易发生在晚上11点,服务器地址为广东省广州市,对方银行徽商银行,户名张桂平,多处明显操作异常,银行作为金融机构有足够资金与技术检测出交易异常并实现其安全保障义务。3、第三人可以将银行卡和第三方任意授权转账。本案第三人利用信息绑定了手机银行和网上银行以外,还利用第三方支付平台如微信财付通、上海映信信息科技有限公司网上支付和(特约)翼支付以及恒丰银行,第三人可以任意将该卡在第三方支付平台进行支付转账侧面证明了被告电子银行系统存在安全隐患的事实。4、李立红作为卡片持有人都不知道自己银行卡有好享贷业务。犯罪嫌疑人知道李立红信用卡额度36000及好享贷额度120000。这些信息完全是交通银行泄露了客户详细信息所致,因为每个人的信用卡额度及贷款业务情况不同,显然是熟知交通银行业务规则的人所为。根据《电子银行业务管理办法》第三十八条,金融机构应采取适当的加密技术和措施保证电子交易数据传输的安全性与保密性,以及所传输交易数据的完整性,真实性与不可否认性。第四十条，金融机构采取适当的措施和采用适当的技术,识别与验证使用电子银行服务客户的真实有效身份,并应依照与客户答订的有关协议对客户作业权限,资金转移戚交易限额等实施有效管理。《电子银行业务管理办法》第八十九条规定,因电子银行系统存在安全隐患和其他非客户原因等进成损失的,金融机构应当承担相应责任。由于银行电子银行系统存在安全漏洞和银行泄露客户信息的事实,导致他人利用原告信息盗取原告卡内资金的行为,不应视为原告本人的行为,银行未尽到安全保障义务应承担违约责任。(三)李立红两次申请挂失,银行迟迟没有完成指示。李立红在2018年1月18日我方在发现盗刷后第一时间给交通银行信用卡中心进行电话挂失,但是银行在提供的录音中电话转到信用卡时不明原因挂断,次日,我方在交通银行开门后第一时间去打印流水办理挂失,宿辉作为同行者可以证实,但是银行提供的录像中声音图像不明,在银行没有挂失的情况下,下午又发生了数笔盗刷,42400元被盗刷。银行与消费者地位存在明显差异,该差异决定了了银行应当在提供金融服务时尽到更安全谨慎的责任,反映在举证责任上,银行应当充分举证证实自身已经完全穷尽可能的安全谨慎的措施。李立红发生盗刷后第一时间给银行打电话反应盗刷及挂失,在第二天又去柜台打印流水做挂失,银行都没有第一时间给与挂失,或者采取其他保护措施,李立红仅是资金的间接管理者,银行才系资金直接管理人，其天然负有保障储户存款安全的义务,下午又发生的盗刷42400元,均是由于银行过失导致的扩大损失,银行应当全部赔偿。 李立红向一审法院起诉请求：1.请求被告赔偿原告借记卡内资金152095.99元以及损失;2.诉讼费等由被告承担。 一审法院认定事实：2015年7月30日,原告李立红在被告交通银行处开通了编号为6222627180000164647的储蓄卡（太平洋薪金卡）。后原告李立红在被告处开通了编号为4581237181487759的信用卡。2018年1月18日晚,两张银行卡发生多笔非本人操作交易，原告得知其银行卡被他人盗刷后立即拨打交通银行客服电话，告知了客服人员银行卡被盗刷的情况，称泄露了信用卡的卡号和交易密码，客服人员为原告挂失了信用卡并告知2018年1月19日再电话向原告反馈查询情况，原告要求客服人员将电话转接到储蓄卡服务，电话未成功转接，挂断原因不明。2018年1月19日上午9点13分，原告到银行打印了储蓄卡银行流水，原告称打印银行流水时要求客服人员挂失了储蓄卡，被告称原告仅来打印了流水并未要求挂失储蓄卡。被告提交了当时办理业务的监控录像，但该监控录像不能显示出原告的画面、声音以及要求挂失的情形。2018年1月19日10点42分，原告到沧州市报警，称其泄露了验证码，信用卡被贷款了156000元，其意识到被诈骗后其挂失了工资卡，被骗了112917元。沧州市公安局运河分局向李立红出具立案通知书，该案目前尚在侦查中。2018年1月19日下午，原告的储蓄卡又发生盗刷,原告到交通银行自助柜员机挂失了储蓄卡。2018年1月21日，原告的储蓄卡收到多笔网上支付退款。再查明，2018年1月18日、19日原告的储蓄卡发生的多笔非本人交易间隔时间短暂，最短交易间隔时间仅为数秒，其中部分交易显示ＩＰ地址为223.104.225.223、223.104.255.192，非原告ＩＰ地址。原告的信用卡内156000元（其中36000元来自信用卡额度，120000元来自好享贷业务）被提现到储蓄卡，储蓄卡内资金于2018年1月18日、19日以手机银行转账、个人网银转账、网上支付的方式被盗刷及21日网上支付退款后资金损失152995.99。截止到2019年3月9日，信用卡欠款及手续费共计190001.12元。上述事实有原告提交的储蓄卡复印件、银行回单、交通银行零售客户交易清单、交通银行账户交易明细、交通银行查询的电子渠道开通信息、交通银行官方电话通话录音及文字材料、太平洋个人借记卡综合申请书、沧州市公安局运河分局立案告知书、原告电话进行挂失及到被告银行柜台进行挂失的录音录像、信用卡复印件、交通银行信用卡电子账单、被告提交的太平洋个人借记卡综合申请书及领用合约、交通银行股份有限公司个人电子银行服务协议、原告到柜台本人签约电子渠道的回单、原告在公安机关的询问笔录、原告通过被告官方电话挂失的通话录音、原告到被告柜台挂失和打印银行流水的录音录像、买单吧申请好享贷流程以及当事人的陈述予以证实。 一审法院认为，原告李立红在被告交通银行处申请办理编号为6222627180000164647的储蓄卡及4581237181487759的信用卡，原告与被告之间建立了储蓄合同关系。两张银行卡的历史交易明细清单显示，信用卡内资金156000元被提现到储蓄卡中后被盗刷，资金损失152995.99元。原被告双方对于2018年1月18日、19日，两张银行卡被他人盗刷事实均予以认可。原告李立红在电话挂失录音及报警询问笔录中均表示泄露了账户信息，故原告自己应承担相应的过错责任。原告李立红否认开通网上银行业务，被告提交了原告签约的电子渠道回单用以证明李立红自愿开通了网上银行业务，原告李立红对签字不予认可，经一审法院释明后未对签字申请司法鉴定，亦未提交相应证据予以证明，原告李立红对此应承担举证不能的不利后果。根据《中华人民共和国商业银行法》第六条的规定，商业银行应当保障存款人的合法权益不被任何单位和个人侵犯。被告交通银行作为以营利为目的商事主体，在向金融消费者提供服务的过程中，更有能力预防和避免犯罪嫌疑人通过科技手段来侵害金融服务系统，以保障消费者资金安全。当原告的银行卡在异常的时间迅速发生多笔大额异地交易时，被告交通银行应当有能力监控到交易异常并及时向原告进行风险安全提示，被告称其向原告发送了风险安全提示短信，但被告未提供证据予以证实，故被告未尽到风险安全提示义务，存在过错。原告主张打印银行流水时要求客服人员挂失了储蓄卡，挂失储蓄卡后又发生盗刷，被告应当承担赔偿责任。被告称原告到银行仅打印了流水并未要求挂失储蓄卡，原告交通银行有责任有能力提供完整的交易视频记录以查明原告是否在柜台对储蓄卡进行了挂失，但被告提交的当时办理业务的视频记录缺失原告的画面及声音，被告交通银行应当承担举证不能的不利后果。关于好享贷业务，根据《中华人民共和国商业银行法》第三十六条、第三十七条的规定，商业银行贷款，商业银行应当对借款人进行审查，并签订书面贷款合同，原告称被告交通银行在原告没有申请的情况下擅自开通好享贷业务，被告交通银行未提交书面贷款合同亦未提交其他证据证明原告申请开通了好享贷业务，被告提供的买单吧申请好享贷流程，不能证明原告申请开通了好享贷业务，被告应当承担举证不能的不利后果。被告辩称，《交通银行太平洋个人借记卡领用合约》第四条(一)中已提示原告应妥善保管太平洋卡、密码和预留手机号码。因卡片、手机号对应的SM卡、UIM卡以及用户识别码遗失、被第三方复制、盗取和密码泄露而造成的损失由原告承担。《交通银行太平洋个人借记卡领用合约》第三条3.1中约定:原告应妥善保管安全要素,任何情况下均不应将安全要素以任何方式提供给任何人,并应承担安全要素任何原因被他人知悉所产生的一切后果。一审法院认为上述条款系被告交通银行为重复使用而预先印制，系合同法意义上的格式条款，该条款免除了被告交通银行的主要义务及相应的法律责任，根据《中华人民共和国合同法》第四十条的规定，该格式条款无效，被告交通银行应当承担与其过错程度相应的责任。综上所述，原被告双方均违反合同，存在违约行为，应当各自承担相应的责任。综合考虑本案的具体情况，根据诚实信用和公平原则，本院酌定原告李立红自己对被盗刷的152995.99元承担30％的责任即45898.8元，被告交通银行承担70％的责任即107097.2元，原告信用卡被盗刷后产生的手续费及利息等费用由被告承担。综上所述，依照《中华人民共和国合同法》第六条、第四十条、第一百零七条、第一百二十条、《中华人民共和国商业银行法》第六条、第三十七条、《最高人民法院关于适用的解释》第九十条之规定，判决如下：被告交通银行股份有限公司沧州分行赔偿原告李立红损失107097.2元，限判决生效后十日内履行完毕；原告李立红信用卡被盗刷后产生的手续费及利息等费用由被告承担。案件受理费3360元，由原告负担1000元，被告负担2360元。 本院二审期间，上诉人交通银行为证实其主张提交如下证据：1、交通银行挂失凭单，证实被上诉人于2018年1月19日十四点在自助柜员机进行挂失操作，该事实也说明了被上诉人所主张的在其提出挂失的申请时，上诉人没有进行挂失这一主张于法无据。一审中上诉人提交的录音以及被上诉人办理业务的视频，可以证实被上诉人当时并未要求上诉人对其银行卡进行挂失。2、提交银行宣传手册一组，证实银行尽到了安全防范告知义务。3、两份判例，证实因用户个人原因导致款项丢失，经法院审理该责任不应由银行承担。4、短信记录，证实在2018年1月18至1月21日期间，交通银行每次以短信的形式向被上诉人手机号1831771492(被上诉人在交通银行预留的手机号)发送短信密码(只有知晓该密码才可以进行交易)、进出账金额、账户余额等信息。从短信内容可知，银行卡的交易都是通过短信密码完成，而该密码只有被上诉人1831777492手机可以接收，任何人包括上诉人在内都不可能知道该密码;交通银行在每一条短信密码后，均附有警示短信“严防诈骗!不要告诉任何人!”可知，交通银行多次以短信形式向客户(被上诉人)发送风险安全提示短信，交通银行已经尽到提示、安全告知等义务。5、挂失流程，证实被上诉人主张的柜台挂失主张不成立。根据该证据可知，柜台挂失需要客户签字的回单，而被上诉人并不能提交其进行柜台挂失的证据及挂失签字的回单，故其主张柜台挂失的主张不成立。 李立红质证称，风险提示的宣传手册与本案没有关联性，手册从来没有向被上诉人提供过。对上诉人提交的2017年2月8日的账户交易明细，系被上诉人开通维护功能、签约手机号功能当天银行自助扣除的款项一块钱，上诉人在一审中提交了签约的证据，显示开通日期证是2017年2月8日，不能证明上诉人的证明目的，即李立红使用过手机银行。上诉人也没有提交开通之后的流水，说明被上诉人未使用过手机银行。对上诉人提交的挂失登记簿证据予以认可，证实被上诉人两次申请挂失，银行未完成指示。在2018年1月19日又发生盗刷后被上诉人立即做了自主挂失。对于信用卡在册卡量，和本案没有关联性，真实性、合法性不予认可。对上诉人提交的短信截图和本案没有关联性不予认可。判决书和本案没有关联性不予认可：对交通银行提供的短信记录质证称，1、真实性不予认可。该记录来源于交通银行自己制作，不能证明其向李立红发送了上述短信和李立红收到短信内容。2、证明目的不认可：短信内容中并没有关于李立红申请好享贷贷款120000元和信用卡额度取现36000元的内容，因此银行在发放120000元贷款时未向李立红短信告知该贷款具体内容如:“您正在申请办理好享贷贷款业务，贷款额度120000元，贷款利率、货款业务风险和违约责任等”，银行在办理李立红信用卡36000元取现业务时，未向李立红短信告知信用卡取现金额、分期期数、利率内容和业务风险等。2018年1月18日案发时，最早的短信时间为(2018011822037)和(20180118212149)的两条短信内容显示“您正在进行信用卡现金分期交易”，该交易业务具体内容银行未告知，按照正常人收到短信只会以为是信用卡己经消费的额度正在办理分期，并不可能联想到是信用卡正在贷款和取现，之后的短信内容:“您尾号4647的卡4647于01月18日21:22手机银行转账36000元”，“您尾号4647的卡于01月18日21:25手机银行转账120000元”，该短信不能让李立红知道钱款来自于好享贷贷款和自己的银行卡取现。因此，银行所发送的短信未引起李立红对他人正在冒名进行信用卡贷款12000元及取现36000元的警觉，因此银行未尽到贷款及取现业务的风险提示义务，银行负有过错。3、按照正常办理银行贷款业务的情況，客户本人申请办理业务时，银行需核实身份，无论是电话还是短信，都应当告知客户，银行未核实本人身份擅自发放贷款和办理取现，应当对后续的风险自己承担责任，更别说未短信告知李立红业务详情了，李立红不可能知道银行发放贷款和信用卡取现，又怎么防范风险呢。4、短信中的短信验证码，李立红未收到也没有输入过，短信接收时间间隔短暂7秒、10秒的都有，李立红不可能在这么短的时间里输入手机验证码，在贷款和取现之后短暂时间中发生多笔异地操作转账，短信中在本人未操作的情况下，又是财付通签约又是开通、关闭渠道转账功能和跨行代付，明显的交易异常，足以说明银行风险防范不到位。对交通银行出具的挂失流程证明目的不认可。1、该流程我方没有能力核实，银行自己如何操作于客户无关，李立红在去银行现场柜台告知盗刷并办理挂失业务时，按照银行要求提交了相关证件，银行如何操作，操作后是否挂失都是银行的事情了，我只需要完成提出挂失要求即可。2、挂失不是只有现场挂失，被告所述只是其中一种，我方打电话申请过挂失，电话中我方向银行工作人员告知了盗刷事宜，并提出了挂失要求，银行未办理。 本院认为，2018年1月19日，被上诉人李立红向沧州市运河公安分局报警，在该报警询问笔录中记录，2018年1月18日晚上20时左右，李立红接到自称淘宝客服的退货退款电话，并按其要求操作手机绑定银行卡，并将验证码告诉对方，随后李立红被诈骗，银行卡损失112917元。被上诉人李立红因操作手机绑定银行卡、泄露银行账户信息等原因造成的损失，其应请求案外的侵权人承担相应的责任，上诉人交通银行不应承担赔偿责任。2018年1月19日被上诉人李立红因银行卡异常到上诉人交通银行处办理业务，被上诉人李立红主张其办理的是银行卡挂失业务，上诉人交通银行不予认可，双方均未提交充足的证据证实其主张。上诉人交通银行提交的银行宣传手册、挂失流程及办理业务的视频记录等证据不能证实其尽到了风险安全提示义务及办理业务详细的内容。因上诉人交通银行未对被上诉人李立红尽到风险安全提示义务，存在过错，被上诉人李立红的银行卡挂失业务未办理成功，导致其银行卡再次发生损失，故上诉人交通银行应对2018年1月19日被上诉人李立红的损失40078.99承担相应的赔偿责任。本院酌定被上诉人李立红对40078.99元的损失承担30％的责任即12023.70元，上诉人交通银行承担70％的责任即28055.29元，并承担40078.99元产生的手续费及利息等费用。 综上所述，上诉人交通银行股份有限公司沧州分行的上诉请求部分成立，应予以支持。依照《中华人民共和国合同法》第一百零七条、第一百二十条、《中华人民共和国侵权责任法》第二十八条、《最高人民法院关于适用的解释》第九十条、《中华人民共和国民事诉讼法》第一百七十条第一款第二项规定，判决如下： 一、撤销河北省沧州市运河区人民法院（2019）冀0903民初572号民事判决； 二、上诉人交通银行股份有限公司沧州分行于本判决生效后十五日内赔偿被上诉人李立红损失28055.29元，并承担40078.99元产生的手续费及利息等费用。 一审案件受理费3360元，由上诉人交通银行股份有限公司负担616元，被上诉人李立红负担2744元。二审案件受理费2442元，由上诉人交通银行股份有限公司负担448元，被上诉人负担1994元。 本判决为终审判决。 审判长 张 梅 审判员 余志刚 审判员 李悦萍 二〇二〇年八月六日 书记员 尤凌霄