北京市第二中级人民法院民 事 判 决 书（2019）京02民终14527号上诉人（原审原告）：张桂鑫，男，1986年3月1日出生，汉族，住广东省潮安县。委托诉讼代理人：陈森彬，北京市松涛律师事务所律师。被上诉人（原审被告）：中国工商银行股份有限公司北京马连道茶城支行，营业场所北京市西城区红莲南路57号1幢1层。负责人：王进方，行长。委托诉讼代理人：李嘉，女，中国工商银行股份有限公司北京分行职员。委托诉讼代理人：李民峰，男，中国工商银行股份有限公司北京分行职员。上诉人张桂鑫因与被上诉人中国工商银行股份有限公司北京马连道茶城支行（以下简称工行马连道支行）借记卡纠纷一案，不服北京市西城区人民法院（2018）京0102民初4146号民事判决，向本院提起上诉。本院于2019年12月2日立案后，依法组成合议庭公开开庭进行了审理。上诉人张桂鑫委托诉讼代理人陈森彬，被上诉人工行马连道支行委托诉讼代理人李嘉到庭参加了诉讼。本案现已审理终结。张桂鑫上诉请求：撤销一审判决，改判支持张桂新的一审诉讼请求。事实和理由：一、一审判决多次出现“此种情形下原告一般不会经常性地随身携带案涉借记卡的关联U盾”一类的表述，高度盖然性原则不能在多个环节中采用，由此得出的概率符合事实的可能性极低，认定事实错误。二、一审判决归纳争议焦点存在逻辑缺陷。首先，我方没有泄露账号、密码、U盾等验证信息，即使如一审判决猜测有泄露情节，只要并非泄露给实际盗取资金者，就属于工行马连道支行管理不善所致，与信息泄露无关。其次，工行马连道支行掌握涉案资金的去向等相关信息，但因信息不对称，我方无从得知，基于对储户负责的义务，银行有责任协助储户追回被盗刷资金，但工行马连道支行至今无所作为，有渎职及庇护相关责任人之嫌。三、工行马连道支行在案发后的次日才向我方发送余额变动提醒短信，与正常情形下的即时通知不符，贻误了最佳报警、追回时机。即便有“延迟交易”但并非“延时通知”，因交易和通知的操作权限完全在于工行马连道支行，其应当承担相应不利后果。涉案500000元的大额资金转账，工行马连道支行应设置手机验证码或者给我方打电话予以确认后再行操作，工行马连道支行存在明显管理疏漏，应承担相应责任。四、在借记卡盗刷案件中，银行与储户间形成的是储蓄合同关系，盗刷者盗窃的是银行款项而非盗窃储户。根据合同相对性原则，工行马连道支行所欠我方款项，应当根据我方需求即时给付。否则，工行马连道支行应承担相应违约责任，在未举证证明存在法定免责事由的情况下工行马连道支行无法免责。关于被盗刷款项，工行马连道支行应当自行追缴。根据《商业银行法》第六条之规定，工行马连道支行应当证明我方借记卡内资金被取走时取款人出具了真实的账号、密码、U盾等验证信息且及时保全涉案全部信息，并积极采取补救措施。但工行马连道支行无法提供上述证明，亦未采取任何补救措施，应承担相应不利后果。工行马连道支行辩称，不同意张桂鑫的上诉请求。我方无违约之处，不应承担相应责任。同意一审判决。张桂鑫向一审法院起诉请求：判令工行马连道支行赔偿张桂鑫损失500000元。一审中，张桂鑫向法院提交以下证据予以证明：证据1.《受案回执》、通话记录；证据2.借记卡账户历史明细清单、网银界面截图；证据3.借记卡、U盾；证据4.张桂鑫挂失的短信、银行发送于卡内资金被盗走次日发来的短信提醒。工行马连道支行向法院提交以下证据证明：证据1.个人业务申请资料（借记卡开户申请书、电子银行个人客户注册申请书、客户确认签字页、《中国工商银行个人电子银行章程》《中国工商银行电子银行个人客户服务协议》）；证据2.网上银行登录截屏、网银批量汇款业务的操作步骤截屏；证据3.电子银行查询系统、网银交易日志查询、批量交易解析明细，证明案涉交易的交易方式为U盾交易，系通过批量交易业务完成，案涉交易所涉终端的MAC地址与张桂鑫在此前网银交易中常用终端MAC地址相同，应为同一台电脑；证据4.银行通过集约系统向张桂鑫发送的短信记录；证据5.借记卡交易明细。另经张桂鑫申请，一审法院向北京市公安局大兴分局北臧村派出所调取了制作时间为2018年1月12日19时50分至20时15分的询问笔录以及案涉借记卡的复印件。经庭审质证，一审法院对张桂鑫和工行马连道支行提交的以上证据的真实性均予以确认并在卷佐证。其中关于工行马连道支行提交的证据3、证据4，张桂鑫以其系银行单方制作为由不认可真实性，对此一审法院认为，证据3均系从银行系统按不同的检索方式提取的数据，证据4系银行集约系统的记录留存，该两组证据形式完备、内容完整，亦能与案涉借记卡交易记录从逻辑上能相互匹配，故一审法院对该2组证据的真实性予以确认。一审法院认定事实：2011年6月6日，张桂鑫在工行马连道支行处开设了卡号为×××的借记卡账户。同日，张桂鑫填写《电子银行个人客户注册申请书》，申请开通网上银行、手机银行及账户余额变动短信提醒。工行马连道支行为张桂鑫开通了上述业务，其中网上银行的网银认证介质类型为二代U盾，开通对外转账功能。张桂鑫预留的手机号码为186XXXXXXXX。《电子银行个人客户注册申请书》第一页载有“客户提示：1.您使用电子银行应注意防范不法分子通过假冒、欺诈、计算机病毒等方式盗用您账户，为安全地使用电子银行，请您认真阅读并遵守《中国工商银行电子银行章程》、《中国工商银行电子银行个人客户服务协议》相关内容……”，第二页载有“致U盾客户的特别风险提示：您的网上银行已经开通，U盾是您保护网上银行账户资金安全的重要工具。在网上银行使用您的银行卡号（或存折账号）和U盾及相应密码，即可将您的账户资金支出，不需要使用银行卡或存折本身。因此，为了保护您的账户资金安全，请您务必本人妥善保管U盾，切勿将U盾及密码交给他人。客户确认：本人自愿申请注册中国工商银行电子银行，同意遵守《中国工商银行电子银行章程》《中国工商银行电子银行个人客户服务协议》及相关业务规定。如开通余额变动提醒业务，则同意遵守《中国工商银行个人客户工银信使服务协议》。对因违反规定造成的损失和后果，本人愿意承担一切责任……”张桂鑫在《电子银行个人客户注册申请书》第二页右下角“客户确认”框里签字确认。《中国工商银行电子银行章程》约定：第八条“中国工商银行对所有使用客户在中国工商银行设定的身份标识信息（包括账户账号、卡号、用户名、电话或手机号码、终端设备信息等），并按照客户在中国工商银行设定的身份认证方式通过身份验证的电子银行操作均视为客户本人所为，并以客户发出的指令作为办理电子银行业务的有效依据。”第十二条“客户使用电子银行应注意风险防范，风险包括但不限于（一）电子银行登录密码、支付密码或用户名等重要信息被他人猜出、偷窥，或利用木马病毒、假网站、假短信、假电话等手段获取，可能导致客户账户信息泄露、资金被盗、被他人进行恶意操作等情况。……（三）U盾、IC卡、电子密码器等身份认证介质被他人盗取或在未经允许的情况下被他人使用，且身份认证介质密码同时被窃取，可能造成账户资金被盗等情况……”第十三条“客户应采取风险防范措施，安全使用电子银行。这些措施包括但不限于：（一）妥善保管与办理电子银行业务相关的各项重要物品或资料，如身份证、银行卡、存折、U盾……（二）保护好自己的银行卡密码、存折密码、电子银行密码（口令）、工银电子密码器密码、U盾密码等重要信息，不要告知包括银行人员在内的任何人，不要在计算机、电话、手机或其他电子设备上记录或保留。通过具有存储和显示输入号码功能的设备办理电子银行业务后，应立即清除所存储的密码和账户等信息。客户在使用电子银行过程中暂时离开或在完成电子银行交易后，应及时退出电子银行系统……”第十四条“因中国工商银行内部人员违规操作或法律规定银行负有责任的其他原因所造成的客户账户资金损失由银行承担相应责任。因客户泄露交易密码、U盾等身份认证介质保管不善、未尽到风险防范与保密义务或因客户引起的其他原因导致客户损失的，中国工商银行不承担责任……”。《中国工商银行电子银行个人客户服务协议》约定：银行根据客户的电子银行业务指令办理业务，对所有使用客户在银行设定的身份标识信息（包括账户账号、卡号、客户编号、电话或手机号码、客户名称、终端设备信息等），并按照客户在银行设定的身份认证方式（包括密码、客户证书、动态口令等）通过身份验证的操作均视为客户所为，该操作所产生的电子信息记录均为银行处理电子银行业务的有效凭证。2018年1月12日也即诉争交易发生当日，案涉借记卡的交易情况为：10时52分转入4951.85元（此时账户余额为505560.49元）、10时53分转出5000元、15时44分转出500000元、16时16分转入5000元、16时19分转出5000元、16时56分16秒转入300000元、16时56分57秒转入200000元、18时02分转出500000元（此时账户余额为560.49元）。就以上交易，张桂鑫主张18时02分转出500000元的交易非本人所为，其本人对该交易毫不知情。张桂鑫发现卡内资金异常后，向北京市公安局大兴分局北臧村派出所报案，该派出所制作了时间为2018年1月12日19时50分至20时15分的询问笔录，张桂鑫在询问笔录中对诉争交易情况作出如下陈述：“2018年1月12日17时许，我在北京市大兴区君悦国际小区17号楼101我的家里，用电脑操作我妻子的网上银行，把我妻子卡里的钱分两次转到我的卡里，第一次转了贰拾万元，第二次转了三十万元，转完之后，我就退出了我妻子的网上银行，然后登录我的网上银行，查看钱已经到账了，一共五十万元，然后我就退出登录，就出门了。当我开车到芦求路上，我拿出手机登录网上银行看了一眼，发现我的卡里的五十万元没有了，只剩下500多元，这500多元是之前就在我的卡里的。我立即给银行打电话挂失我的银行卡，随后就打电话报警了。”经查，案涉借记卡于18时02分发生的500000元的对外转账交易也即本案争议交易，系通过网上银行转账汇款的批量汇款以及U盾验证完成，需要在登录网银的电脑终端插入物理介质U盾才可完成交易。网上银行批量汇款交易的具体操作步骤如下：1.在电脑终端登录网上银行（需要输入网上银行账号、登录密码）；2.在网页界面选择转账汇款、批量汇款，然后根据提示输入批量转账总笔数、批量转账总金额。该页面下方记载有交易提示，内容为：批量转账汇款指令非实时到账，每日分批次执行，您提交的批量指令将在最近的批次中进行处理，……15时00分至17时00分提交的指令，最快可能在18时00分处理……；3.根据提示插入U盾，在网银界面提示框中输入U盾密码，后在网银界面会有提示框，内容为“请您核对下列交易信息，同时将下列加粗的信息与U盾显示屏中的信息进行核对，若核对信息显示不一致，请将U盾拔出并终止交易。若核对显示信息一致，请按U盾上的确认按钮（OK键）以确认交易；需要取消本次交易，请按U盾上取消钮（C键）以取消交易”。根据工行马连道支行提交的电子银行查询系统、网银交易日志查询、批量交易解析明细、短信发送记录以及当庭陈述，案涉借记卡于2018年1月12日18时02分发生的500000元的对外转账交易的详情为：第一，2018年1月12日16时26分，有人登录案涉借记卡的网上银行提交批量转账申请，总笔数为7笔（分别为：500000元、100000元、100000元、100000元、100000元、90000元、2898488元），交易对象均为郭建飞，总金额3888488元，此时案涉借记卡的实际余额为560.49元；第二，同日16时56分，张桂鑫向该案涉借记卡转入两笔共计500000元，此时账户余额为500560.49元；第三，同日18时02分，批量汇款业务中的第一笔500000万元处理成功，即为案涉争议交易，交易完成后账户余额为560.49元。张桂鑫在庭审中陈述，批量汇款项下的其他6笔交易因为借记卡账户余额不足，故未处理成功，至于网银交易日志查询中显示的3888488元“交易成败标志-成功”是指“提交批量指令”成功，而非实际交易成功。案涉借记卡网银日志查询结果显示，行为人于2018年1月12日16时26分登录案涉借记卡网上银行提交批量转账申请所使用的电脑终端MAC地址为40-8D-5C-08-0C-FB。案涉借记卡在之前的网上银行使用情况为：2016年6月8日至2016年8月10日期间，共有27笔网上银行交易记录，其中9笔网上银行交易所使用电脑终端的MAC地址为40-8D-5C-08-0C-FB，此后直至案涉争议交易发生前，该借记卡无网上银行交易记录。一审庭审中，张桂鑫陈述，2016年8月之前，张桂鑫较为经常的使用案涉借记卡的网上银行业务。2016年8月之后，因为张桂鑫搬家后住所附近没有工行网点，故不再经常使用案涉借记卡办理业务。根据百度百科词条释义，MAC地址，也叫物理地址、硬件地址，它是一个用来确认网络设备位置的地址，是网络中的每台设备的唯一的网络标识，由网络设备的制造商生产时写在硬件内部。MAC地址如同身份证上的身份证号码，具有唯一性。另查，就案涉争议交易，工行马连道支行于2018年1月13日11时向张桂鑫的手机号码186XXXXXXXX发送余额变动提醒短信，内容为：“您尾号为1909卡12日18时02分工商银行支出一笔共500000元，余额560.49元。”一审法院认为：工行马连道支行为张桂鑫开立结算账户并为其办理与该账户相关联的借记卡，双方之间即形成借记卡服务合同法律关系。张桂鑫与工行马连道支行法律地位平等，均应全面履行自己的合同义务，遵循诚实信用原则，共同维护存款安全，对保护存款的安全负有通知、协助、保密等义务。电子银行作为新型的交易平台，具有方便、快捷的特征，储户无需到银行交易柜台，亦无需持有实体借记卡，仅凭卡号、密码、身份认证介质（U盾等）等关键要素信息即可完成账号资金转账等一系列操作。银行系统根据输入的账号密码、交易密码、身份认证介质信息等关键信息来验证储户身份从而完成交易。案涉交易系通过网上银行并通过U盾验证完成，故本案的争议焦点在于，完成争议交易所需的账号、密码、U盾等验证信息的泄露的责任由谁承担？对此法院从以下几个方面予以论述：第一，张桂鑫在申请开通电子银行时，其签字确认“自愿申请注册中国工商银行电子银行，同意遵守《中国工商银行电子银行章程》《中国工商银行电子银行个人客户服务协议》及相关业务规定……对因违反规定造成的损失和后果，本人愿意承担一切责任……。”《电子银行个人客户注册申请书》《中国工商银行电子银行章程》《中国工商银行电子银行个人客户服务协议》等文件在多处提示对张桂鑫借记卡、银行账号、密码、U盾等验证等要素的重要性及泄露后果进行风险提示。张桂鑫作为以上要素、介质的直接保管者和使用者，负有妥善保管之合同义务。第二，对于张桂鑫所述其从未向他人提供过案涉借记卡及U盾以及案涉争议交易发生时其随身携带案涉借记卡及关联U盾的主张，法院不予采信，理由如下：首先，案涉争议交易的完成时间为1月12日18时02分，张桂鑫发现卡内资金被转走的时间亦在18时左右，但争议交易在网上银行发起申请并进行U盾验证的时间为16时26分，即便张桂鑫在18时左右携带U盾，亦不足以得出其在16时26分前后亦随身携带U盾的推断。其次，张桂鑫在一审庭审中陈述，其在2016年8月之后即不经常使用案涉借记卡的网上银行业务，根据一般生活经验，此种情形下张桂鑫一般不会经常性的随身携带案涉借记卡的关联U盾。最后，张桂鑫自述其在17时左右操作其配偶网银向案涉借记卡转账500000元，由此也可以看出，张桂鑫与其配偶有可能存在共同保管、使用银行账户、关联认证介质的情况。第三，案涉争议交易系通过网上银行的批量转账业务进行，交易完成需要登录案涉借记卡的网上银行，并插入物理设备U盾进行验证，且根据MAC地址查询结果显示，案涉争议交易得以完成所使用的电脑设备终端系张桂鑫本人常用的电脑设备终端。由此可以得出，案涉争议交易的行为人具备以下条件：其能接触张桂鑫的常用电脑设备，其掌握案涉借记卡的网银账号、密码，其能取得案涉借记卡的关联U盾。根据一般逻辑推理及生活经验，行为人得以同时具备以上条件，其所需信息只能从张桂鑫处获取，换而言之，张桂鑫的借记卡要素信息及U盾在其本人知情或者不知情、有意或者无意的情形下，已然泄露给行为人，张桂鑫应自行承担借记卡关键信息泄露及未妥善保管U盾的责任。另外还需要注意的是，案涉争议交易系批量转账业务，根据交易规则，该业务并非实时到账，15时00分至17时00分提交的指令，最快须在18时00分处理交易。本案中，案涉争议交易分为以下几个阶段：行为人于16时26分在网上银行发起批量转账申请（此时案涉借记卡中的余额仅560.49元）——张桂鑫在17时左右往案涉借记卡中转入500000元——18时02分批量转账申请得以执行，张桂鑫刚转入的500000元被转至案外人账户。根据以上情况，行为人似乎是在知晓张桂鑫将要往案涉借记卡转入大额资金，故提前发起批量转账业务，并利用批量转账业务非实时到账的特点完成交易，以上特征似乎也能反映出行为人对张桂鑫的相关情况较为了解。最后，根据张桂鑫的陈述、其提交的证据以及法院经审理查明的事实，不足以证明涉案交易系行为人利用银行系统的漏洞所致。工行马连道支行根据电子银行业务的相应规则，在验证了相应关键要素之后通过并完成案涉争议交易并无过错。另外，张桂鑫与工行马连道支行之间存在借记卡服务合同法律关系与张桂鑫所报刑事犯罪案件不属于同一法律关系，工行马连道支行所持本案应中止审理的主张，法院不予支持。判决：驳回张桂鑫的诉讼请求。二审中，双方当事人确认，一审判决认定的“第三，同日18时02分，批量汇款业务中的第一笔500000万元处理成功”中“500000万元”表述有笔误，应为500000元；一审判决认定的“原告在庭审中陈述，批量汇款项下的其他6笔交易因为借记卡账户余额不足，故未处理成功”中“原告在庭审中陈述”表述有笔误，应为工行马连道支行在庭审中陈述。本院对于上述两处笔误予以更正，对于一审判决认定的其他事实，本院予以确认。本院认为，关于张桂鑫主张对于涉案500000元转账，工行马连道支行未设置手机验证码或者给其打电话予以确认后再行操作，存在管理疏漏一节，诉争500000元转出交易系通过网上银行的批量转账业务进行，交易完成需要登录案涉借记卡的网上银行，输入账号密码，并插入物理设备U盾进行验证，张桂鑫主张工行马连道支行还应设置手机验证码或者给其打电话予以确认，缺乏依据，本院不予支持。虽然诉讼中张桂鑫表示其事先对于诉争500000元的转账交易不知情，主张并非其本人或者授权他人操作，并对工行马连道支行于诉争交易的次日才发送余额变动提醒短信提出异议，但是，余额变动提醒系在交易完成之后由银行向客户发出的告知，并非交易之前的确认短信，且本案中，在诉争交易完成之后的11分钟左右，工行马连道支行已经为涉案借记卡办理了临时挂失，故在张桂鑫与工行马连道支行之间的法律关系中，尚没有充分证据显示工行马连道支行对于诉争转账交易的发生负有法律责任。至于张桂鑫主张工行马连道支行掌握涉案资金去向等相关信息，有责任协助储户追回资金一节，工行马连道支行已经初步提供了诉争交易收款人的姓名及账号部分信息，张桂鑫如果需要工行马连道支行进一步提供相关信息，可以依法处理，上述情节尚不构成本案中其要求工行马连道支行承担赔偿责任的充分依据。综上，张桂鑫的上诉请求不能成立，应予驳回；一审判决结果正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项之规定，判决如下：驳回上诉，维持原判。二审案件受理费8800元，由张桂鑫负担（已交纳）。本判决为终审判决。审 判 长 何江恒审 判 员 刘苑薇审 判 员 王军华二〇一九年十二月十一日法官助理 江 潇书 记 员 祝 石