广西壮族自治区桂林市中级人民法院 民 事 判 决 书 （2019）桂03民终3391号 上诉人（原审被告）：中国工商银行股份有限公司桂林市红岭路支行，住所地广西壮族自治区桂林市秀峰区中隐路**广源国际社区小区**楼****，统一社会信用代码：9145030077910761XA。 负责人：邓炜琦，该支行行长。 委托诉讼代理人：赖闻诗，中国工商银行股份有限公司桂林分行员工。 委托诉讼代理人：扈敏，中国工商银行股份有限公司阳桥支行员工。 被上诉人（原审原告）：李强，男，1991年10月23日出生，侗族，住广西壮族自治区龙胜各族自治县。 委托诉讼代理人：杨晓华，广西嘉沁律师事务所律师。 上诉人中国工商银行股份有限公司桂林市红岭路支行（以下简称：工行红岭路支行）因与被上诉人李强借记卡纠纷一案，不服广西壮族自治区桂林市秀峰区人民法院（2018）桂0302民初1169号民事判决，向本院提起上诉。本院于2019年10月29日立案后，依法组成合议庭进行了审理。本案现已审理终结。 工行红岭路支行上诉请求：一、撤销广西壮族自治区秀峰区人民法院（2018)桂0302民初1169号民事判决，依法另行改判；二、诉讼费用由被上诉人承担。事实和理由：一、一审判决仅凭被上诉人单方面陈述及有限的证据就认定本案系银行结算账户系统未尽审慎审查义务，引发其银行卡被盗刷属于认定事实错误，违反证据规则。本案中，一审法院并没有充分论证如何认定涉案的交易为他人盗刷，综合本案案情，能够认定盗刷事实的证据也只有被上诉人的报警记录以及涉案银行卡特定时间在第三方支付平台频繁的异常交易记录。通常认为，持卡人在发现银行卡被盗刷后第一时间予以报警，是认定银行卡交易非持卡人本人操作的重要证据，如果持卡人恶意报假警，违反了治安管理处罚法第二十三条第（一)项之规定，其行为妨害了公安机关正常的工作秩序，依法应给予治安行政处罚，因此，报警记录并不能作为认定盗刷事实的一般标准依据，也就是说一审法院不能仅以持卡人的报警记录及历史交易明细就认定盗刷事实，还应结合案件其他证据，比如异常的交易记录、发卡行的提醒告知短信、部分第三方支付平台的退款记录、银行审查业务流程等证据，结合个人的生活经验，按照高度概然性证明标准，综合判断是否存在盗刷事实。所以上诉人认为一审法院未对事实进行深入分析，便认定上述交易为盗刷的依据理由不足，违反证据规则。二、被上诉人通过注册手机银行修改预留手机的流程合法有效,符合上诉人业务操作流程。被上诉人在将手机银行与手机号进行绑定时，上诉人已按照业务要求实行了银行卡号、姓名、身份证号码、银行交易密码四重认证，确保客户身份真实可靠，在修改预留手机时仅需要确认修改手机是否在可接收认证码的前提下便可修改，无需再次验证。一审法院根据《关于加强商业银行与第三方支付机构合作业务管理的通知》中的要求来判断银行系统与客户进行身份认证的程序不安全的认定是错误的。三、被上诉人没有任何证据证明上诉人银行结算系统有泄露客户信息的行为，也没有任何证据证明银行结算系统存在安全隐患。在被上诉人提供的受案回执中，公安机关并没有做查明事实的描述，公安机关也并没有侦破该案并查明案件事实。被上诉人的主张被盗刷没有证据支持。根据《最高人民法院关于民事诉讼证据的若干规定》第二条规定：“当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实有责任提供证据加以证明。没有证据或证据不足以证明当事人的事实主张的，负有举证责任的当事人承担不利后果。本案中被上诉人应当对自己已尽到妥善保管银行卡信息、银行卡密码等重要私密信息负有举证责任。一审法院在没有证据证明银行结算系统有泄露客户信息的情况下仅凭被上诉人单方面陈述自己未将身份信息及银行卡密码透露给他人及提供报警回执及挂失等看似资金被盗取后的一系列行为便认定被上诉人资金被他人盗取，推定本案系上诉人违反储蓄合同中安全保障客户资金安全义务被他人盗刷资金，严重违反了证据规则。四、被上诉人没有尽到妥善保管银行客户信息及银行卡密码等重要认证信息的义务。被上诉人申领工行银行卡，填写了《个人客户业务申请书》并在申请人栏处签名，即与上诉人建立银行卡领用合同法律关系，双方权利义务应依《中国工商银行个人银行结算账户管理协议》第十四条的内容确定：“对于预留密码的账户，凡使用正确密码进行的交易均视为甲方本人所为，甲方应妥善保管账户介质、密码、印鉴、本人有效身份证件及有关业务凭证等，因甲方保管不善造成的损失由甲方自行承担客户银行卡客户信息及交易密码属于银行验证客户是否同意交易的重要信息，由被上诉人本人保管，具有私密性和唯一性，若非被上诉人本人泄露，他人是无从得知被上诉人客户信息及交易密码的，并且银行泄露客户信息及密码的可能性几乎为零。持卡人只要妥善保管上述信息，尽到基本的安全注意义务，是可以有效防范资金被盗的风险，资金安全绝对有保障。五、上诉人已履行了必要的审查义务，不存在过错，不应当承担任何赔偿责任。根据合同的相对性原则和正确履行原则，上诉人履行合同义务须向被上诉人即合同相对人履行，除非双方当事人在合同中约定向第三人履行，或者合同未约定，在履行过程中经合同相对人明确授权或者指令，由第三人接受合同义务人的履行。在银行卡绑定第三方支付平台的情形下，被上诉人均是向第三人履行合同义务，第三方支付平台的账号和支付密码由持卡人自行设置和保管，发卡行按指令支付款项的行为不应认定为合同履行错误。因此，被上诉人因个人账户信息和支付密码外泄导致被盗刷，与发卡行无关。综上所述，没有证据证明上诉人系统存在安全漏洞问题，也无法判断被上诉人财付通账户是被恶意消费还是合法支付，若按照无过错责任原则对持卡人实行保护将促使持卡人在主观上放松安全防范的警惕性。如果被上诉人不为其泄露银行个人信息及交易密码的行为承担相应责任，将纵容持卡人肆意泄露银行卡信息及验证信息，扩大银行卡的安全风险，并将上述风险转嫁到银行身上，使银行责任无限扩大，同时也会造成极坏的社会影响，在一定程度上纵容犯罪，导致部分持卡人恶意诉讼，将银行当作公共提款机。被上诉人在享有使用银行卡的权利，享受取款、消费带来的便利的同时，也应当履行妥善保管银行卡及密码的义务。一审判决事实认定错误，请求二审法院查明事实，依法改判，维护上诉人的合法权益。 被上诉人李强辩称：1、本案上诉主体不适格，一审判决书的主体是工行红岭路支行，但从上诉状来看，落款、盖章都是阳桥支行，因此我认为上诉人的主体不适格。2、本案事实清楚，证据充分，适用法律正确，依法应驳回上诉，维持原判。 被上诉人李强向一审法院起诉请求：判令被告赔偿原告79546.46元。 一审法院认定事实：2018年9月30日，原告到被告营业大厅申请办理了一张卡号为62×××27的银行借记卡作为个人银行结算账户，预留联系电话为137××××7654，开户后卡内存入金额306845.52元。原告签字认可的《个人银行结算账户管理协议》第十四条约定：“对于预留密码的账户，凡使用正确进行的交易均视为甲方（开户申请人）本人行为，甲方应妥善保管账户介质、密码、印鉴、本人有效身份证件及有关业务凭证等，因甲方保管不善造成的损失由甲方自行承担。” 2018年10月8日，原告与广汽汇理汽车金融有限公司签订《划款授权和承诺书》，授权指定其62×××27账号为缴费账户。2018年10月12日，原告的上述银行卡账户划扣了4023.87元到广汽汇理汽车金融有限公司，其卡内剩余302821.65元。 2018年10月13日1时5分，原告开户时预留的手机号码137××××7654收到工商银行客服电话95××8发送的验证短信，内容为“短信验证码860492，您在我行预留的手机号码为137××××7654，请您输入六位短信验证码完成手机号验证。（短信编号：281521），请勿泄露短信验证码。[工商银行]”。8时53分，该号码再次收到工商银行客服电话95××8发送的验证短信，内容为“短信验证码935061，您在我行预留的手机号码为137××××7654，请您输入六位短信验证码完成手机号验证。（短信编号：402681），请勿泄露短信验证码。[工商银行]”。 当日，手机号199××××3853以原告身份信息注册了工商银行的手机银行，绑定本案所涉银行卡，并通过手机银行客户端将原告开户时预留的手机号码修改为该号码。工商银行客服电话95××8在19时16分14秒和49秒向该号码发送了验证短信，内容分别为“短信验证码506116，您在我行预留的手机号码137××××7654将修改为199××××3853，请您输入六位短信验证码完成手机号验证。（短信编号301771）[工商银行]”、“验证码：065230，短信编号：461655[工商银行]”。 此后至2018年10月16日3时17分28秒期间，工商银行客服电话95××8向199××××3853号码发送了58条内容为“手机QQ支付验证码XXXXXX（泄露有风险），您于X时X分申请开通尾号7027的中国工商银行快捷支付[工商银行]”的短信，其中13日从19时23分27秒至23时57分33秒期间18条、14日从0时5分15秒至3时7分21秒期间20条、15日从3时12分54秒至21时55分9秒期间14条、16日从2时38分55秒至3时17分28秒期间6条。另，在10月13日的22时51分15秒，发送了1条内容为“验证码：469775（短信编号：422891），您正在使用Android设备通过工银融e行手机银行渠道登录工银通行证，请勿泄露短信验证码。[工商银行]”的短信。 在上述期间，9个QQ号码通过手机号199××××3853接收到的支付验证码绑定涉案银行卡并将卡内款项转账至其他QQ账户。转账记录如下：1.2018年10月13日19时44分59秒，绑定QQ号23×××47转账8999.09元；2.2018年10月13日21时27分36秒，绑定QQ号24×××30转账8999.02元;3.2018年10月14日0时7分48秒，绑定QQ号19×××43转账8859.13元;4.2018年10月14日1时33分14秒，绑定QQ号30×××33转账8898.02元;5.2018年10月14日2时13分27秒，绑定QQ号29×××06转账8917.02元;6.2018年10月15日3时32分10秒，绑定QQ号18×××28转账7989.02元；7.2018年10月15日22时1分1秒，绑定QQ号29×××73转账8989.05元;8.2018年10月15日22时1分2秒，绑定QQ号27×××05转账8999.09元;9.2018年10月15日22时1分3秒，绑定QQ号16×××56转账8897.02元。9笔转账共计79546.46元，涉案卡内余额223275.19元。转账发生期间，原告身处广西龙胜县。 2018年10月22日10时45分19秒、10时57分10秒、11时47分20秒、12时4分57秒，原告开户时预留的手机号码137××××7654先后收到工商银行客服电话95××8发送的4条验证短信，内容与其10月13日收到的两条短信一致，均为“短信验证码XXXXXX，您在我行预留的手机号码为137××××7654，请您输入六位短信验证码完成手机号验证。（短信编号：XXXXXX），请勿泄露短信验证码。[工商银行]” 2018年10月23日，原告发现涉案银行卡存在异样，遂联系工商银行客服电话95××8,95××8将上述9笔支出以短信形式发给原告，原告随即联系了财付通客服,客服反馈此9笔资金通过QQ23×××47、24×××30、29×××06、30×××33进行支出，绑定了涉案银行卡，预留手机被改绑为199××××3853，不符合该公司规定的盗刷及赔付情形。同日,原告至被告处交涉，打印了涉案银行卡的账户历史明细清单，并到桂林市公安局秀峰分局报案,桂林市公安局秀峰分局作出《立案告知书》和《受案回执》，立信用卡诈骗案侦查。截至目前，该案没有侦破。 庭审中，原、被告均表示不清楚手机号码137××××7654在2018年10月13日和10月22日收到的6条验证短信用于办理何种业务，原告同时表示不知为何会收到的上述短信，其未使用过所收到的验证码。 同时查明，原告在申办涉案银行卡时未开通手机银行业务，而工商银行开通手机银行业务不需持卡人至银行柜台操作，通过手机客户端下载手机银行APP，任何人可以任意手机号申请注册，填入该手机号收到银行系统发送的注册验证码后，即开通以该手机号作为账号的手机银行。但使用手机银行交易必须绑定银行卡，操作流程如下：1.输入个人身份信息，需填入姓名及身份证件号码；2.输入卡号添加银行卡，该银行卡持卡人信息需与第一步输入的身份信息一致，且未开通注册过手机银行，若欲绑定的银行卡持卡人此前开通过手机银行，则新注册的账号无法绑定该卡，需至银行柜台进行操作；3.输入银行卡交易密码，绑定完成。手机银行绑定银行卡后，可在手机号管理中修改持卡人在办理银行卡时预留的手机号，输入银行系统向修改后的手机号发送的短信验证码后即完成更改，修改过程中银行系统不向原预留号码发送验证信息，此后所有交易信息亦均发送至新的预留号码。 QQ钱包支付协议载明，手机QQ支付是由财付通公司基于腾讯手机QQ客户端提供的支付服务，用户在支付款项时通过在手机QQ支付页面直接使用财付通余额完成支付，或输入用户的银行卡卡号、有效期（信用卡需填写）、姓名、身份证号（国内银行卡用户需填写）、银行预留手机号码及账单地址等信息，经财付通公司与银行信息交互及系统校验通过后完成支付。 另查明，199××××3853为归属地重庆的电信手机号，而原告在中国电信股份有限公司无办理号码信息。 一审法院认为，原告在被告处开设账户，被告向原告发放借记卡，双方形成存储合同关系。根据双方的诉辩意见，本案的争议焦点为原、被告在履行存储合同过程中有无过错。 当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。被告主张原告未妥善保管银行卡密码，泄露了信息导致其存款通过财付通QQ钱包支付给他人。但本案中，被告无任何证据证明原告存在自行泄露银行卡密码的过错。 《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条规定：“客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证的同时，还需通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方的权利义务。”根据上述举证规则以及法律、规章的规定，原告要求被告承担赔偿责任，应当举证证实被告未依照《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条进行双重认证。本案中，手机QQ支付需填写持卡人姓名、卡号、在银行预留的电话号码并依据该电话号码获取验证码后开通并支付。上述开通及支付过程可认定为被告进行双重认证的方式。我国自2013年9月1日开始实施电话用户真实身份信息登记，而本案被告银行系统允许非持卡人名下的手机号以持卡人名义注册手机银行并绑定持卡人的银行卡，在无法确定该操作中所输入的交易密码是否为持卡人本人操作的情况下，将持卡人申办银行卡所预留的手机号变更为非其本人名下的手机号时既未向原预留号码发送提醒信息又未进行进一步验证，上述行为直接导致通过不法手段获取持卡人交易密码等信息的犯罪分子可在第三方支付平台随意使用非持卡人名下的手机号得到支付验证码盗取持卡人资金，而交易密码等信息遭泄露的持卡人在预留手机号被他人修改后却无从知晓本人银行卡的动态。故被告在履行存储合同过程中存在过错。 在没有证据证实原告有过错的情况下，被告没有理由免除自己按照合同约定支付存款的义务。相反，与储户相比，具有专业保密技术优势的被告，努力改进银行卡防伪技术，规范银行卡业务操作流程，防止储户银行卡被盗刷，为储户的存款提供最大限度的安全保障，是存储合同要求其应当履行的义务，也才能最大限度的为储户提供存款的安全感，建立银行诚信企业的形象。因此，被告的辩解意见该院不予采纳，原告要求被告赔偿79546.46元被盗刷款项的诉讼请求，该院予以支持。 综上所述，依照《中华人民共和国合同法》第六十条、第一百零七条、《中华人民共和国商业银行法》第六条、第二十九条第一款、《中华人民共和国民事诉讼法》第六十四条第一款及《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第九十条，参照《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条，判决：被告中国工商银行股份有限公司桂林市红岭路支行赔偿原告李强经济损失79546.46元。上述应付款项，义务人应于本案判决生效之日起十日内履行完毕。如果未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。权利人可在本案生效判决规定的履行期限届满之日起二年内，向该院申请执行。本案案件受理费1789元（原告已预交），由被告中国工商银行股份有限公司桂林市红岭路支行负担。 本院二审期间，上诉人工行红岭路支行向本院提交以下证据：该行修改预留手机号的操作流程截图，证明客户修改预留手机号，该行需向原手机和新手机分别发送不同的验证码进行验证，来确认是否本人修改。被上诉人李强认为这个证据与本案无关。本院认可该证据的真实性、合法性，但不认可其关联性，故不予采纳；被上诉人李强向本院提交了以下证据：两张中国工商银行股份有限公司红岭路支行与中国工商银行股份有限公司阳桥支行的工商查询信息，证明上诉人的上诉主体不适格，本案不应受理。上诉人工行红岭路支行对该证据的真实性、合法性、关联性无异议，但对证明内容有异议，其认为红岭路支行作为上诉主体是适格的。本院认为，工行红岭路支行虽然不具备独立的法人资格，但具有独立的诉讼主体资格，是适格的上诉主体，故对该证据，本院不予采纳。 经审理查明，一审查明的事实属实，本院依法予以确认。 关于上诉人红岭路支行上诉状上的落款及加盖的公章均为中国工商银行股份有限公司阳桥支行，红岭路支行上诉是否具有法律效力的问题。本院认为，上诉人工行红岭路支行与中国工商银行股份有限公司阳桥支行的共同上级机构中国工商银行股份有限公司桂林分行对此作出说明，工行红岭路支行无独立行政印章，其是中国工商银行股份有限公司阳桥支行下一级对外营业网点，统一由中国工商银行股份有限公司阳桥支行管理。鉴于此，上诉人工行红岭路支行的上诉状虽落款及加盖的公章均为中国工商银行股份有限公司阳桥支行，但是该上诉行为也可认定为工行红岭路支行的意思表示，具有法律效力，上诉人工行红岭路支行的上诉应当予以受理。被上诉人认为上诉主体不适格的主张不成立，本院不予支持。 被上诉人李强向工行红岭路支行申领银行卡并进行活期存款业务双方之间形成合法有效的储蓄合同关系。本案二审的争议焦点是李强就案涉银行卡被盗刷是否存在使用上的过错，其是否应当按比例承担相应法律责任。《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”第二十九条第一款规定：商业银行办理个人储蓄存款业务,应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。《电子支付指引》第四十二条规定:“因银行自身系统、内控制度或为其提供服务的第三方服务机构的原因、造成电子支付指令无法按约定传递、传递不完整或被篡改,并造成客户损失的,银行应按约定予以赔偿。因第三方服务机构的原因造成客户损失的,银行应予赔偿,再根据与第三方服务机构的协议进行追偿。”在储蓄存款合同中,工行红岭路支行作为商业银行,具有保障储户账户资金安全的法定义务。因此,该行作为银行卡的发行者及相关技术、设备和交易平台的提供者,应对交易机具、交易场所、交易平台加强安全管理,并对各项软硬件设施及时更新升级,最大限度地防范资金交易安全漏洞。特别是随着电子银行业务的发展,通过网络进行电子交易带来巨大便利的同时,也伴随着更多潜在的风险,工行红岭路支行联合第三方支付平台向客户所提供的电子交易系统,由银行及第三方支付开发、设计并负责维护,故其理应采取严格的技术保障措施,保障其提供的电子交易系统安全性,防范犯罪分子针对银行卡的犯罪行为。但根据目前公安部门破获的案件来看，犯罪嫌疑人通过非法手段完成网络盗刷，说明银行及第三方支付平台在技术层面仍然存在可被攻击的漏洞，其应当继续完善防范技术。故工行红岭路支行在履行与储户之间达成的合同关系时未尽到保护储户资金安全的合同义务，其应当承担相应违约责任。本案中,现有证据无法证明李强在管理和使用银行卡中存在泄漏个人信息和交易密码等不适当的履约行为。综上，一审判决上诉人工行红岭路支行偿还被上诉人李强存款本金及利息并无不当。 综上所述，工行红岭路支行的上诉请求不能成立，应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。 二审案件受理费1789元，由上诉人中国工商银行股份有限公司桂林市红岭路支行负担。 本判决为终审判决。 审判长 王 艳 审判员 朱孟儒 审判员 李 柳 二〇一九年十二月三日 书记员 聂思祺