广东省广州市中级人民法院民 事 判 决 书（2019）粤01民终23310号上诉人（原审原告）：林秀岳，男，1964年3月16日出生，汉族，住广东省广州市越秀区。委托诉讼代理人：张兵，广东格林律师事务所律师。被上诉人（原审被告）：中国工商银行股份有限公司广州东城支行，住所地：广东省广州市天河区水荫路115号天溢大厦。负责人：肖惠华。委托诉讼代理人：龚晓英，中国工商银行股份有限公司广州东城支行职员。委托诉讼代理人：周道树，中国工商银行股份有限公司广州分行职员。上诉人林秀岳因与被上诉人中国工商银行股份有限公司广州东城支行（以下简称工行东城支行）信用卡纠纷一案，不服广州市天河区人民法院（2019）粤0106民初2764号民事判决，向本院提起上诉。本院于2019年11月26日立案受理后，依法组成合议庭对本案进行了审理，现已审理终结。上诉人林秀岳上诉请求：1、撤销一审判决。2、判令被上诉人承担信用卡交易支出金额11282元及因此逾期产生违约金和利息3、恢复林秀岳征信记录；4、判令工行东城支行赔偿林秀岳律师费人民币4000元：5、本案一、二审诉讼费由被上诉人承担。事实和理由：一、一审法院判决认定事实错误。1、一审法院认定上诉人“无法证明开通手机银行、绑定信用卡等行为非本人所为”存在错误。首先，上诉人作为被上诉人信用卡持有人，在发现信用卡被盗刷后，及时向银行挂失，并向成都市公安局高新技术产业开发区分局芳草街派出所、广州市公安局越秀分局报案，声明信用卡盗刷非本人所为。其次，涉案的上诉人信用卡被开通手机银行、财付通业务和银行信用卡盗刷期间，上诉人身在新疆出差，并不在上述手机银行交易发生地广西。故以上事实足以证明开通手机银行并绑定涉案信用卡等行为非上诉人所为。2、一审法院认定“信用卡密码是具有唯一性和排他性的，除非林秀岳故意或过失泄露外，其他人包括银行在内都无法获知”过于绝对。从目前的网络通信技术水平，不能排除他人恶意拦截网络信息、入侵网络设备，并进行违法交易操作的可能性。二、被上诉人在上诉人涉案信用卡被盗刷的过程中存在明显过错。上诉人在申请涉案的信用卡时，预留了手机号码138××××1628，开通了短信服务，有关信用卡发生的所有业务，都会通过预留手机得到短信通知。但上诉人的涉案信用卡绑定在手机银行时，却未收到被上诉人的短信通知。故开通手机银行被上诉人存在未尽告知的义务。2、被上诉人的自助方式开通手机银行，通过一个手机号码就可以注册，但被上诉人却不核实注册手机号的实名信息及其与手机银行上绑定的银行卡所有人身份是否一致，存在明显漏洞。3、根据被上诉人在一审法院提交的证据4林秀岳手机号码修改记录显示，在2018年10月18日，上诉人“开通”的手机银行上连续发生三次修改手机号码的记录，手机号码分别是17136754631、136××××4211、136××××5232，被上诉人对频繁修改手机号码，未审慎尽职，引起重视。上述修改的手机号码均非上诉人所有，但被上诉人在上述记录是否本人手机一栏均注明是（即上诉人林秀岳），被上诉人未经核实就确认上述手机号码是上诉人所有，以致在手机银行上发生五笔盗刷时，交易信息发送至手机银行预留的手机上，其应对此承担过错责任。4、上诉人的涉案信用卡在2018年10月18日至2018年10月23日期间通过手机银行所发生的五笔盗刷，被上诉人均未及时通过上诉人申领信用卡时所预留的电话138××××1628进行告知，其辩称上述手机银行的相关业务信息发送至手机银行所预留的电话上，但是在2018年10月26日被上诉人却通过上诉人信用卡所预留的电话138××××1628短信告知本人信用卡在手机银行上进行密码调整，其辩称输密调整属于信用卡业务，故将信息发送至开卡时预留的联系方式。手机银行绑定的信用卡在手机银行上发生交易属于手机银行业务，手机银行绑定的信用卡在手机银行上输密调整属于信用卡业务，被上诉人这种为规避责任的说法，偷换概念，充分说明其对上述五笔盗刷交易存在未尽告知的过失。被上诉人作为以营利为目的的金融企业，在向金融消费者提供服务过程中，更有能力预防和避免他人恶意通过科技手段侵害金融服务系统，以保障金融消费者的资金安全。但被上诉人却将防范和控制银行卡被盗刷的风险责任完全寄希望于上诉人严守身份信息、卡号、密码上，而以所谓的上诉人泄露了上述信息为由推卸其本应承担的安全保障义务，强加给上诉人承担不合理的责任。被上诉人工行东城支行辩称：一审法院认定的事实清楚，适用法律正确。请求法院驳回上诉人的上诉请求，维持原判。林秀岳向一审法院起诉请求：1、判令工行东城支行承担涉案信用卡透支金额11282元及因此产生的利息（以工行东城支行出具的信用卡对账明细为准）；2、判令恢复林秀岳的征信记录；3、判令工行东城支行向林秀岳支付律师费4000元；4、判令工行东城支行承担本案诉讼费用。一审法院查明的事实：2014年2月28日，林秀岳向工行东城支行提交《工银信用卡申请表（个人卡）》申请工行信用卡，工行东城支行核发卡号为51×××31信用卡供林秀岳使用。2018年10月18日、10月20日、10月21日、10月22日，上述信用卡通过财付通一充值服务进行四笔2820元的消费交易及发生信使费2元，合计11282元。林秀岳、工行东城支行对以上事实均无异议。庭审中，林秀岳表示上述消费交易非其本人所为，是他人盗刷。为证明其主张，林秀岳向一审法院提交以下证据：1、手机短信截屏，显示林秀岳手机于2018年10月26日00：03、00：04分收到中国工商银行发送的短信，提示林秀岳的涉案银行账户正在通过手机银行进行POS消费输密调整；2、成都市公安局高新技术产业开发区分局芳草街派出所出具的《接（报）处警登记表》，该表载明林秀岳于2018年10月26日11时01分报警，报警内容为：信用卡被异常消费。登记内容为：经了解，林秀岳的工商信用卡（62×××16）收到消费二万五千余元的消费提醒；经询问，林秀岳此卡在自己身上，无副卡，密码未告诉可疑人员，未在不正当场所消费；3、《报警回执》，用以证明林秀岳于2018年10月31日向广州市公安局越秀区分局报警。工行东城支行对上述证据的真实性无异议，但就认为短信内容及报警内容均无法直接指向涉案几笔交易。2018年10月31日，林秀岳向工行东城支行提交《工银账户安全险理赔申请表》，申请将上述11282元消费款退回。因双方协商未果，林秀岳遂提起本案诉讼。林秀岳为此向一审法院提交《民事委托代理合同》及律师费发票，用以证明其为追讨涉案款项支付律师费4000元。工行东城支行认为律师费发票只能证明原告缴纳了税费，无法证明费用的实际发生。庭审中，工行东城支行提交以下证据：1、《工银信用卡申请表》，证明林秀岳申请开卡所留联系电话为138××××1628，并开通短信提醒（余额变动提醒，未勾选视同开通且起点金额为0，手机号码取自林秀岳所填写的资料）；2、工行手机银行自助注册流程截图，证明开通手机银行流程为：输入手机号—输入短信验证码—设置登录密码—输入身份信息（姓名、身份证号码）即注册成功，随后添加银行卡（输入卡号、卡密码）即可绑定银行卡；3、林秀岳手机银行记录，证明林秀岳于2018年10月18日通过自助注册方式开通手机银行业务，并于2018年10月26日注销；4、林秀岳手机号码修改记录，证明：2018年10月18日，林秀岳通过手机银行添加136××××5232、136××××4211、17136754631三个手机号码；5、《财付通回复》一份，证明涉案款项的交易日期、交易金额与林秀岳所述无异，校验手机为136××××5232，商户名称为腾讯米大师移动支付，交易IP位于广西，交易均备注为3000Q币。诉讼期间，林秀岳未提交证据证明其本人征信存在不良记录。庭审中，林秀岳表示手机银行所添加的三个号码都不是其本人使用，涉案消费发生时其手机号码138××××1628未收到任何账户变动提示。工行东城支行表示办理手机银行业务的短信验证码及涉案消费发生后相关短信提示均发送至136××××5232，并解释称手机银行业务相关信息发送至开通手机银行所预留电话上，而消费输密调整属于信用卡业务，故发送至林秀岳开卡时所留联系方式。一审法院认为：林秀岳向工行东城支行提交信用卡申请表申请办理工行信用卡，工行东城支行核发并提供卡号为51×××31的信用卡供林秀岳使用。故林秀岳、工行东城支行之间的合同关系依法成立并发生法律效力，双方均应依约行使权利、履行义务。庭审中，林秀岳认为开通手机银行业务并绑定林秀岳信用卡进行消费这一过程中工行东城支行未尽通知义务，使得林秀岳对盗刷行为不知情更无法阻止，工行东城支行应承担全部责任。工行东城支行则抗辩林秀岳无法证明开通手机银行非其本人行为，工行东城支行依照系统指令开展业务并无不当。故工行东城支行在开通手机银行业务中是否存在过错是本案争议的主要焦点。针对以上争议焦点，一审法院认为，根据工行东城支行提交的证据显示，开通手机银行并绑定信用卡进行消费需要经过一系列步骤，其中包括输入身份信息（姓名、身份证号码）注册，添加银行卡（输入卡号、卡密码）进行绑定。以上操作均需要林秀岳本人的身份信息、卡号及卡密码。而信用卡密码是由林秀岳设置，并经过加密算法处理后以密文形式存放于银行数据中心的主机数据库内。故信用卡密码是具有唯一性和排他性的，除非林秀岳故意或过失泄露外，其他人包括银行在内都无法获知。在无证据证明工行东城支行对林秀岳信用卡密码及身份信息等关键信息的泄露存在过错的情况下，林秀岳应自行承担密码泄露的风险和损失。至于林秀岳称工行东城支行未向其开卡所留手机号码发送短信提示的问题。一审法院认为，凭身份信息、信用卡信息对手机银行注册及银行卡绑定的操作进行验证，足以证明工行东城支行系统的安全性及可靠性，林秀岳以工行东城支行未向其联系电话发送消息提示为由进行抗辩，一审法院不予采信并依法予以驳回。综上，林秀岳无法证明开通手机银行、绑定信用卡等行为非其本人所为，亦无法证明工行东城支行对其关键信息的泄露存在过错，故林秀岳诉请工行东城支行对涉案交易消费承责，没有充分证据支持，一审法院对此不予支持。关于林秀岳诉请工行东城支行恢复其征信记录及支付律师费的问题。一审法院认为，林秀岳未提交证据证明其存在不良征信，且工行东城支行也无权对林秀岳征信做出处理，故一审法院对林秀岳该向诉请不予支持并依法予以驳回。鉴于工行东城支行在涉案纠纷中并无过错亦无须承责，林秀岳诉请工行东城支行向其支付律师费，没有事实依据，一审法院对此亦不予支持。综上，一审法院依照《中华人民共和国合同法》第六十条第一款、第一百零七条、第一百二十条，《中华人民共和国民事诉讼法》第六十四条第一款，《最高人民法院关于民事诉讼证据的若干规定》第二条规定，判决如下：驳回林秀岳的全部诉讼请求。如果未按判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。一审案件受理费100元，由林秀岳负担。二审期间，被上诉人未提交新证据，上诉人提供其登机牌、火车票及《2019年上半年我国互联网网络安全态势》的打印件等证据。但本院认为上诉人举证行为未在一审举证期限届满前提出，已严重超过法定的举证期限且无合法事由，后一证据亦与本案时间上明显欠缺关联性，故前述证据不属于证据规则规定的新证据范畴。经审理，本院对一审法院查明的事实予以确认。二审庭询中，被上诉人确认自助注册方式开通手机银行和网上银行，未限定必须使用开卡时留存的手机号码；上诉人确认其尚未清偿案涉争议交易款项。本院认为，本案为信用卡纠纷，根据《中华人民共和国民事诉讼法》第一百六十八条之规定，第二审案件的审理应当围绕当事人上诉请求的范围进行。综合当事人的诉、辩意见，本案二审的争议焦点为被上诉人是否应当承担上诉人信用卡支出金额、律师费及恢复上诉人征信记录。根据在案证据，以及从上诉人及时报案等事实来看，在无相反证据的情况下，本院认同一审法院关于本案系案外人冒名行为所引发的观点。综合被上诉人提交的证据，通过自助注册手机银行，需要输入银行卡密码，这既是人民银行部门规章所规定的，也是被上诉人业务操作规程所要求的，还是符合社会生活常识的。即手机银行业务的发生以输入正确的密码为前提，在密码不符的情况下，无论是银行主观上还是因为客观操作条件的限制，业务流程均不可能进行下去。本案中，通过冒名者成功操作，可以反推其已输入了正确的密码，即本案上诉人未能妥善保管密码，并为冒名者所知悉，违反了保守账户密码的合同义务。因为信息技术的发展和在金融领域的应用，也为了让金融活动更有效率和让用户获得较好的体验感，相当一部分的金融交易已经可以也应该在网络上进行，而无需客户频繁地临柜办理业务。相应地，网络交易系统的设计，应该在交易的安全性与便捷性之间取得平衡，金融机构应当提供有足够安全性的交易系统给客户，同时客户也应当本着谨慎的心态和理性的原则来进行网络交易。在本案中，被上诉人作为金融机构，存在下列过失：第一，金融机构与储户之间，因账户的开立、信用卡领用等行为而存在合同关系，因此，基于《中华人民共和国合同法》第六十条第二款的规定，双方之间存在法定的附随义务——通知义务；同时手机银行只是一种交易方式，但交易的结果仍然是归入所涉及的银行账户。因此，手机银行的开通，并不能当然地免除之前基于开立账户、领用信用卡等行为产生的合同关系中的通知义务。本案中，手机银行添加案涉信用卡，被上诉人未按案涉银行卡领用时留存号码通知上诉人；之后案涉信用卡连续四次交易行为，涉及金额均为2820元，合计11280元。即使按单笔金额而论，在消费行为中亦属于金额较大，被上诉人对此亦负有通知上诉人的义务，但被上诉人也未正确履行信用卡合同关系中的通知义务，向上诉人领用信用卡时预先留存的手机号码发出通知；第二，被上诉人自助注册方式开通手机银行，未限定要求使用开卡时留存的手机号码。从被上诉人提供的业务流程来看，自助注册方式开通手机银行并添加银行卡，需要提供的资料除了申请注册用的手机号码，还包括身份证件及其号码、银行卡号及其密码，这当中身份证件号码和银行卡号因为频繁使用，储户无法保密，他人亦容易取得，仅有银行卡密码需要保密，即一旦密码泄露，行为人即可以冒名自助注册手机银行业务。而从交易的安全性而言，被上诉人完全可以适当提高其交易流程的安全性，例如将自助注册手机银行业务手机号限制为之前储户在柜台留存手机号，或者在储户不使用留存手机号注册时候要求临柜办理或者通过人脸识别等方式，再次核验身份；第三，自助注册手机银行时添加银行卡后，冒名者短时间内连续更换办理该业务所需的手机号码，且均非储户开户时留存的电话号码，被上诉人应当对此产生合理怀疑，并通过所涉银行卡开户时留存电话号码，将该业务的发生通知上诉人。综合前述分析，作为信用卡领用人的上诉人，与作为发放信用卡金融机构的被上诉人，在履行合同的过程中，均有违约行为。依据《中华人民共和国合同法》第一百二十条“当事人双方都违反合同的，应当各自承担相应的责任”之规定，本院认为被上诉人在审查自助注册手机银行业务行为人的身份不够严格，且未及时履行对信用卡领用人的通知义务，责任较大，应当承担相对较大责任，上诉人应当承担相对较小责任，并酌定双方承责比例为70%：30%。需要指出的是，本案的裁判结果仅是对从冒名者处实际获得赔偿之前的损失分担，并未消灭双方对于冒名者的请求权，双方履行本案判决义务之后，将来仍可以依法向冒名者主张权利。至于律师费问题。因双方合同对律师费并无约定，上诉人此项主张无合同依据，应不予支持，一审判决对此认定无误；征信记录问题一审判决亦已作出论述，且本院予以认同，并不作赘述。综上所述，上诉人林秀岳的上诉请求部分成立，本院予以支持；部分不能成立，本院不予支持。一审判决查明事实基本清楚，适用法律不当，本院予以纠正，依照《中华人民共和国合同法》第六十条第二款、第一百二十条、《中华人民共和国民事诉讼法》第一百七十条第一款第二项规定，判决如下：一、撤销广东省广州市天河区人民法院（2019）粤0106民初2764号民事判决；二、林秀岳不承担偿还在中国工商银行股份有限公司广州东城支行申领的卡号为51×××31的工商银行信用卡所产生的欠款7897.4元及该款按信用卡章程约定的标准计算的违约金和利息的责任；三、驳回林秀岳的其他诉讼请求。一审案件受理费100元，由林秀岳负担30元，中国工商银行股份有限公司广州东城支行负担70元；二审案件受理费100元，由林秀岳负担30元，中国工商银行股份有限公司广州东城支行负担70元。本判决为终审判决。审判长  王泳涌审判员  庄晓峰审判员  汪 婷二〇一九年十二月二十七日书记员  张洁莹冯佩烨