河南省濮阳市中级人民法院
民 事 判 决 书
（2018）豫09民终372号
上诉人（原审被告）：中国银行股份有限公司濮阳科技新村支行，住所地：濮阳市中原路东段68号，统一社会信用代码：91410902757144444Q。
负责人：吕小茹，该行行长。
委托代理人：宋建楠，男，汉族，1987年8月5日出生，住濮阳市华龙区，系中国银行股份有限公司濮阳分行个人金融部客户经理。
委托代理人：王若阳，河南众孚律师事务所律师。
被上诉人（原审原告）：温泉，女，1975年8月13日出生，汉族，住濮阳市华龙区。
委托代理人：兰社春、洪峰，河南金谋律师事务所律师。
上诉人中国银行股份有限公司濮阳科技新村支行与被上诉人温泉储蓄合同纠纷一案，不服濮阳市华龙区人民法院（2017）豫0902民初7991号民事判决，向本院提起上诉。本院依法组成合议庭，公开进行了审理。本案现已审理终结。
原审法院审理查明:温泉系中国银行股份有限公司濮阳科技新村支行“银联中银理财贵宾”IC卡用户，所持卡号为62×××66，主账号为25×××22，短信绑定手机号码为139××××5256，开通电话银行及短信通知服务功能。2016年7月10日早晨6时左右，温泉在家中登录中国银行的网上银行时，发现上述中国银行卡内存款自凌晨1时27分至上网时被盗刷71次，盗刷资金数额累计73000元，其中1时27分51秒首次通过网上支付同时盗刷15笔计15000元。71笔盗刷中有40笔通过上述账号下新设置虚拟卡并关联支付宝后，通过支付宝消费40次，每次1000元，成功38笔，总计消费38000元；由62×××66卡通过网银借记和超级网银向“梁永刚”账号转账1000元/笔共15笔，5000元/次，共四次，总计20000元；由62×××66卡通过卡转账向“陈航航”账户转款1笔5000元，通过消费BANCS卡消费10笔计10000元；由62×××66卡向当时新设置活期一本通账号25×××99（户名为温泉）转出资金50000元，后又返回卡内。温泉随即挂失银行卡并于当日向公安机关报案。公安机关以诈骗案立案，现该刑事案尚未侦破,本案在重审期间曾与公安局办案人员联系，公安人员陈述此案没有新的进展。
原审另查明：《中国银行股份有限公司网上银行个人服务业务规则（BOCNET）》规定，1、中国银行根据客户申请的服务和身份认证方式的不同提供不同的服务功能，通过网上自助注册的客户只能使用中国银行网上银行查询版个人服务，客户凭身份证明资料到柜台进行网银服务版本的升级；2、个人网银理财版和贵宾版中行内转账、国内跨行转账和跨境汇款、网络支付交易均需逐笔通过安全认证工具认证。3、网上银行安全认证工具包括动态口令牌、手机交易码等。个人理财及贵宾版客户网银支付通过手机交易码进行的，单笔限额为0.5万元，当日累计限额为0.5万元；通过动态口令牌交易的，单笔限额为50万元（贵宾版为200万），当日累计限额为50万元（贵宾版为200万）。4、客户可在首次中银快付订单支付过程中通过必要的交易认证后自助开通“中银快付”服务并完成订单支付。客户通过银行卡号、手机号、姓名、证件信息、手机交易码、银行卡密码等信息认证后完成注册签约，后续可通过银行卡号、手机号和手机交易码等认证方式进行网上支付。同时，客户也可在网上银行登录入口页面自助开通、关闭中银快付服务。
原审又查明：温泉提供其手机通讯信息单，用于证明2016年7月9日23时37分后至2016年7月10日6时，其银联卡在不断网上交易过程中，未见通讯公司就以上消费及转账向手机发送交易验证码进行安全认证及短信消费通知，亦未见中国银行股份有限公司濮阳科技新村支行向温泉持有动态口令牌发送安全认证手续。本案在庭审中，中国银行股份有限公司濮阳科技新村支行提交短信发送记录1份，证明在上述每笔消费及与相关第三方平台的关联过程中，中国银行股份有限公司濮阳科技新村支行均向温泉手机发出了短信提示的安全认证。
原审法院认为：本案为储蓄存款合同纠纷。依照法律规定，银行应当保障存款人的合法权益不受任何单位和个人的侵犯。根据双方陈述及庭审查明事实，结合日常生活情理及温泉报案并经公安机关立案侦查的事实，可以推定温泉信用卡内存款被他人盗取的事实。关于温泉在自己家中及其持有的银行卡没离开自身的前提下，温泉卡中存款在外地被支取和转移支付，双方均认为对方存在过错，应承担本案责任。因为此类案件不断发生，相关法律规定滞后、电子金融交易安全风险没有禁止等因素，关于此类案件如何认定处理各地法院判决不尽一致，但基于双方合同的性质，除双方自身可能存在的违法犯罪的情形外，只有根据合同履行中的违约或过错来归责。根据《电子银行业务管理办法》第八十九条之规定，金融机构在提供电子银行服务时，因电子银行系统存在安全隐患、金融机构内部违规操作和其他非客户原因等造成损失的，金融机构应当承担相应责任。而结合本案，至重审庭审结束，因该银行卡盗取刑事案件未被侦破，没有进一步证据证明温泉持有的涉案理财卡如卡号、支付密码等安全信息如何泄露，涉案卡是如何实现相关虚拟卡号的设置及与第三方平台如支付宝的关联、消费及其它转账细节等事实。但分析涉案理财卡交易的安保模式，每笔消费均需手机交易码或动态口令牌安全认证的模式恰恰在以上安全信息被泄密后仍构成对温泉账户资金的安全保障并足以防止资金被盗，根据中国银行股份有限公司濮阳科技新村支行制订的《中国银行股份有限公司网上银行个人服务业务规则（BOCNET）》之规定，安全认证构成银行的合同义务。关于涉案卡前5笔计5000元支付安全认证，即便中国银行股份有限公司濮阳科技新村支行向通讯公司发出了手机交易码认证信息，但没有证据证明该认证信息由通讯公司向温泉进行了转发并到达合同中留存的电话，根据《合同法》第一百二十一条之规定，应认定中国银行股份有限公司濮阳科技新村支行构成违约。另，在数额满5000元后，中国银行股份有限公司濮阳科技新村支行仍采手机交易码的认证方式，未按规定及时转换至动态口令牌的安全认证模式进行安全认证，亦属合同违约。综上，应认定中国银行股份有限公司濮阳科技新村支行在履行合同中未尽到相应的安全保障义务，对温泉的损失，应承担违约赔偿责任。综上，依照《中华人民共和国民法总则》第一百一十九条、第一百七十六条，《中华人民共和国合同法》第六十条、第一百零七条，《中华人民共和国商业银行法》第六条、《最高人民法院关于民事诉讼证据的若干规定》第二条之规定，原审法院判决：“被告中国银行股份有限公司濮阳科技新村支行赔偿原告温泉损失73000元及利息（自2016年7月11日起至付清之日，按同期银行贷款基准利率标准计算），于判决生效后十日内付清。如果未按本判决指定的期间履行给付金钱义务，应当按照《中华人民共和国民事诉讼法》第二百五十三条规定，加倍支付延迟履行期间的债务利息。案件受理费1640元，由被告负担。”
中国银行股份有限公司濮阳科技新村支行不服原审判决，向本院上诉称：1、一审判决认定事实不清，证据不足。涉案银行卡是否存在盗刷现仍在公安阶段，一审法院认定全部是上诉人过错没有依据。本案的交易均是通过网络第三方交易平台进行的，安全保障义务应在第三方交易平台而非上诉人。被上诉人的支付宝软件一直在后台高危运行，银行卡也存在多次交易流水信息，可能存在不当操作导致不法分子盗取信息。上诉人提交了向被上诉人发送银行卡资金变动情况的短信，一审法院不予采纳且认定上诉人存在过错没有事实依据。不同的交易平台每日限额不同且不累计，一审法院单一按照上诉人对限额要求认定超限额没有发送动态口令存在过错不当。涉案银行卡在支付平台的登录密码和支付密码均是由被上诉人本人通过手机App进行设置，存在盗刷只能说明被上诉人自己对密码保存不当。2、上诉人不存在对外泄露或被不法分子侵入系统盗取密码的情况，对被上诉人的每笔交易均通过短信形式发送到被上诉人预留的手机号码，上诉人已经尽到了足够的安全保障义务。综上，请求撤销原审判决，依法改判，本案上诉人费用由被上诉人承担。
温泉答辩称:1、本案犯罪嫌疑人的犯罪手段及涉及的刑事案件是否侦破并不影响上诉人对民事责任的承担。2、上诉人所称的因被上诉人不当操作导致密码被泄露的情形，均系上诉人猜测，无证据证明。3、无论第三方平台是否对交易金额有所限制，被上诉人从上诉人处转出的金额及网上银行安全认证工具的应用，均应符合《中国银行股份有限公司网上银行个人服务业务规则》的规定，但上诉人未遵守该规则的规定，中银快付是由中国银行提供，上诉人更应保护在该平台上交易账户的安全，而不能以此为借口推卸责任。综上，请求二审驳回上诉，维持原判。
本院经审理查明的事实与原审法院查明的事实一致。
本院认为：本案为储蓄合同纠纷，温泉在中国银行股份有限公司濮阳科技新村支行处办理涉案银行卡，并存入存款，双方形成合法有效的储蓄存款合同关系。温泉作为储户负有妥善保管自己的银行卡以及密码等信息的义务，中国银行股份有限公司濮阳科技新村支行作为金融机构，负有保障储户存款安全的义务。银行作为储蓄存款合同的相对方，应保障储户账户内存款的安全性，对因他人通过规避银行安全保护手段造成的储户存款损失应承担相应的赔偿责任。本案中，被上诉人温泉71笔盗刷记录中有40笔通过其账号下新设置虚拟卡并关联支付宝后，通过支付宝消费40次，根据银监会、央行联合下发的《关于加强商业银行与第三方支付机构合作业务管理的通知》中要求“客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方权利与义务。对预留手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。如果银行已按照前述要求在业务关联时进行了相关信息验证，确保客户身份真实可靠，在交易时可以无需再次验证。”本案中，中国银行股份有限公司濮阳科技新村支行未提供证据证明涉案银行卡与第三方支付机构建立业务关联时，其已验证了温泉的身份信息。温泉在办理涉案银行卡时开通了手机交易码及动态口令这两种网上银行安全认证工具，依据《中国银行股份有限公司网上银行个人服务业务规则》第五条、第九条的规定，客户无论是进行中行内转账汇款、跨行转账汇款还是网银支付，单笔或每日累计金额5000元以下用手机交易码，5000元以上使用动态口令牌，本案中没有证据证明中国银行股份有限公司濮阳科技新村支行收到过温泉手机交易码或动态口令牌发出的交易指令，以上事实均可以说明中国银行内部交易系统存在相应漏洞，在保护被上诉人资金安全方面中国银行股份有限公司濮阳科技新村支行未尽到应尽的安全保障义务。上诉人中国银行股份有限公司濮阳科技新村支行上诉称，本案中温泉的银行卡在第三方交易平台及不同交易平台的支付金额不应累计，其并不存在超限额没有发送动态口令的情形，中国银行股份有限公司濮阳科技新村支行亦未违反对其储户温泉的安全保障义务的理由，均与《中国银行股份有限公司网上银行个人服务业务规则（BOCNET）》规定的安全认证义务不符，其行为构成违约，对被上诉人温泉的损失应承担赔偿责任。综上，原审认定事实清楚，适用法律正确，依法应予维持。上诉人的上诉请求没有事实根据及法律依据，本院不予支持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项之规定，判决如下：
驳回上诉，维持原判。
二审案件受理费1767元，由中国银行股份有限公司濮阳科技新村支行负担。
本判决为终审判决。
审判长 李 敏
审判员 孔德军
审判员 杨 浩
二〇一八年三月二十八日
书记员 ＸＸ涛