上海市第一中级人民法院
民 事 判 决 书
（2017）沪01民终10124号
上诉人（原审原告）：张云霞，女，1976年6月5日生，汉族，住上海市徐汇区。
委托诉讼代理人李德新，张云霞丈夫。
委托诉讼代理人刘路，上海天一律师事务所律师。
上诉人（原审被告）：招商银行股份有限公司上海浦东大道支行，住所地中国（上海）自由贸易试验区浦东大道545号103-108室以及昌邑路538弄8-12号。
负责人杨苏秦，行长。
委托诉讼代理人向德喜，上海才富律师事务所律师。
委托诉讼代理人秦臻，上海才富律师事务所律师。
上诉人张云霞因与上诉人招商银行股份有限公司上海浦东大道支行（以下简称招商银行）借记卡纠纷一案，不服上海市浦东新区人民法院（2016）沪0115民初67184号民事判决，向本院提起上诉。本院于2017年8月10日立案后，依法组成合议庭，于2017年8月30日公开开庭进行了审理。上诉人张云霞的委托诉讼代理人李德新、刘路及上诉人招行浦东大道支行的委托诉讼代理人向德喜、秦臻到庭参加诉讼。本案现已审理终结。
张云霞上诉请求：1.撤销上海市浦东新区人民法院（2016）沪0115民初67184号民事判决第二项；2.改判支持张云霞一审的全部诉讼请求。事实和理由：一、本案不应以推定的方式认定张云霞泄露了个人信息及密码，招商银行并无证据证明张云霞泄露了个人信息及密码。一审中招商银行提供的公安部门《受案登记表》上记载的内容与其提供的银行后台数据表的内容有出入，公安部门询问笔录显示张云霞没有泄露银行卡信息，也没有下载不明软件。《受案登记表》记载2016年3月3日中午11时08分，张云霞的手机收到提示手机系统升级的短信，但在11时08分之前，涉案银行卡里的人民币（以下币种同）20万元已经被转出了，涉案银行卡在福禄网络上也已经支付了980元，因此，《受案登记表》并不能作为推定张云霞存在过错的依据。事实上，张云霞没有收到提示系统升级的短信，更没有进行手机系统升级。张云霞手机收不到短信应该是短信被拦截，但并非张云霞有过错。二、张云霞未收到交易短信，应认定招商银行未正确尽到通知义务。张云霞开通了短信提醒服务并支付了短信通知费用，银行负有将交易信息正常送达到储户的义务，应对正确发送短信负全部责任。如果银行的短信能够正常发送到张云霞的手机，不被案外人拦截，则涉案款项便不会发生损失。三、一审法院已经认定涉案的两笔快钱支付交易招商银行存在违约，该系统在开通“快捷支付”时是事后通知的，并未验证密码，证明招商银行系统存在重大的安全问题。既然是系统问题，就不应仅对10,000元承担赔偿责任，而应当对全部存款的损失承担赔偿责任。四、涉案银行卡自带福禄网络和易智付的线上支付功能，该两项功能增加了银行卡的风险，对此，招商银行并未尽到告知义务。凌晨12时左右连续大额资金从张云霞银行卡流出，属于异常交易，对此招商银行没有电话向张云霞核实情况，亦属违约，应承担相应的责任。
招商银行辩称，其不存在违约行为，不应承担任何责任。本案应驳回张云霞全部诉讼请求。
招商银行上诉请求：1.撤销上海市浦东新区人民法院（2016）沪0115民初67184号民事判决第一项；2.改判驳回张云霞一审全部诉讼请求。事实和理由：本案中，“快钱支付”交易涉及张云霞10,000元损失，该10,000元分两笔被付入快钱平台，后又通过快钱平台转入张云霞自己的工商银行卡中。上述过程中张云霞并未产生实际损失，最终的损失是从张云霞工商银行卡转至案外人造成的，因此招商银行不应承担损害赔偿的责任。
针对招商银行的上诉请求，张云霞辩称：不同意招商银行的上诉请求，张云霞涉案银行卡内的10,000元之所以转到工商银行卡中，是因为案外人开通了涉案银行卡的快钱支付功能。本案应支持张云霞的一审全部诉讼请求。
张云霞向一审法院起诉请求：1、招商银行赔偿张云霞银行卡存款损失24,780元；2、招商银行支付张云霞利息损失（以24,780元为基数，按人民银行存款利率2.75%计算自2016年3月8日始至实际清偿之日止。）；3、本案诉讼费由招商银行承担。
一审法院认定事实：2014年8月12日，张云霞在招商银行处开立个人银行结算账户，并申领了银联金葵花IC卡，卡号为XXXXXXXXXXXX1215。张云霞为该卡开通了账户余额变动短信通知功能，通知手机号码为1381674****。2015年1月12日，张云霞为涉案银行卡申请开通了网上银行专业版（经典版），并开通了网银专业版转账及短信验证码转账功能。2016年3月8日，张云霞至上海市公安局徐汇分局虹梅派出所（以下简称虹梅派出所）报案。沪公（徐）（虹梅）受案字【2016】1094号《受案登记表》中“简要案情或者报案记录以及是否接受证据”部分记载：2016年3月7日中午12时许，张云霞在其居住的徐汇区XX路XX号XX室清理手机短信时发现手机短信接收不正常，在登录招商银行手机银行时发现自己的招商银行上海田林支行账户XXXXXXXXXXXX1215里的1,025,700元人民币不见了……银行账户均捆绑手机号1381674****,经中国移动通讯查询短信详单发现2016年3月3日中午11时08分张云霞的手机收到来自XXXXXXXXXXX3658的手机系统升级的短信，将手机升级后被植入了木马病毒，手机所有的短信接收功能消失……。2016年3月13日，上海市公安局徐汇分局决定对张云霞被短信诈骗案立案侦查。目前案件尚在侦办中。
一审又查明，2016年3月3日至2016年3月6日期间，张云霞涉案银行卡发生“银行卡直付”交易12笔，包括“福禄网络”网上消费11笔（共计10,780元）及“易智付科技”网上消费1笔（4,000元）。另发生“银联消费”交易2笔，交易对手均为快钱支付清算信息有限公司，交易时间分别为2016年3月3日11时59分18秒及2016年3月4日12时14分32秒，交易金额均为5,000元。涉案银行卡发生12笔“银行卡直付”交易前，招商银行系统均向1381674****的手机号码发送了招商银行大众版网上支付验证码，并告知了支付金额，最后提醒“请勿将验证码告知他人并确认支付网址为合法的招商银行网址”。涉案银行卡发生2笔“银联消费”交易时，招商银行系统分别向1381674****的手机号码发送短信情况如下：2016年3月3日11时57分34秒，招商银行发送短信“您尾号1215的一卡通已开通快钱快捷支付功能，您可以通过快钱支付密码（无需银行取款密码）完成交易，请妥善保管相关信息。若非本人操作，请致电95555”；2016年3月4日12时15分11秒，招商银行发送短信“您账户1215于2016年03月04日12:14银联pos消费人民币5,000.00，余额580,856.40”。经中国银联境内公共服务平台查询，于2016年3月4日12时14分发生的5,000元银联pos消费的交易介质为无卡，交易渠道为个人电脑。
一审另查明，招商银行网上直付交易流程如下：1、在消费网站选择所要购买的商品后，选择招商银行——网银支付；2、在订单页面，选择卡号密码支付，在卡片种类处勾选一卡通，输入卡号，点击下一步；3、在确认一卡通号码、手机号码后，点击获取短信验证码，输入短信验证码及取款密码后，点击“确认支付”；4、弹出对话框“风险提示：请勿接受以低价销售、修改价格、提供商品图片或赠品为由发送的文件或链接，谨防木马或欺诈，商户：xxx金额：xxx”，点击“好”，操作成功。开通快钱支付流程如下:1、客户向快钱支付提出申请；2、快钱要求客户提供姓名、卡号、手机号、身份证号；3、快钱将上述信息发给银联确认，银联再发给招商银行确认；4、招商银行确认后反馈给银联，银联再反馈给快钱支付；5、快钱向客户发送短信验证码；6、客户输入验证码后即完成开通。
一审再查明，《个人存款账户须知》第四条约定：凡使用密码进行的交易均视为申请人本人办理的交易。申请人须妥善保管账号、密码、存款凭证等个人账户资料，申请人将账户转借他人使用或泄露个人账户资料产生的风险及损失由申请人承担。《开户业务安全提示单》第一条载明，您在申请开户时应如实填写个人真实资料，并留存您本人的手机号码或常用电话，目前有许多新型支付业务是通过向手机发送验证码方式来验证您身份和提示进行划款支付的。为了保护您的资金安全，请务必留存您本人的手机号码并妥善保管手机收到的验证码，切勿轻信他人、预留他人手机号码，高度警惕利用代办高额信用卡等类似骗取个人信息的行为。《个人客户电子银行业务服务协议》第2.2.4条约定，甲方（客户）及甲方监护人应妥善保管其银行账号、登录名、授权码、密码、手机号码、身份证件号码等个人信息及数字证书。因对上述个人信息保管不当或遗失数字证书所造成的风险及损失由甲方自行承担；第2.2.5.1条约定，甲方应按照机密原则设置自设密码，避免使用身份证、生日、电话、门牌、吉祥数字、重复或连续等易被他人破译的信息；应采取其他合理措施，防止密码被窃取，自设密码发生泄漏或遗忘的，甲方应及时前往乙方（招商银行）营业网点办理密码挂失和重置手续，并承担手续办妥之前产生的一切后果；第2.2.5.5条约定，对通过甲方银行账号、登录名、密码或数字证书发出的电子交易指令，全部视为甲方发出，甲方应对所有通过其相关银行账号、密码或数字证书提交的电子交易指令承担责任。乙方执行电子交易指令后，甲方无权要求变更或撤销电子交易指令。告知单提示了“电话、短信诈骗”的风险。
一审法院审理后认为，张云霞在招商银行处提出开户申请，嗣后招商银行核准，均系双方真实意思表示，且于法无悖，故合法有效，张云霞、招商银行之间由此建立储蓄合同法律关系。在储蓄存款合同法律关系中，储户的主要合同义务包括存款、妥善保管账户信息及密码，同时储户还负有通知、协助、保密等义务；银行的主要合同义务包括审核交易对手身份、保障账户资金安全、依储户指令收付款项，同时还负有风险提示、解释说明、提供帮助等附随义务。本案争议焦点在于：一、就涉案资金损失张云霞是否存在违约；二、就涉案资金损失招商银行是否存在违约；三、张云霞主张的损失如何承担。
一、关于第一项争议焦点，张云霞认为其在本案中没有违约，包括其履行了保管银行卡、手机及密码的义务，并在发现资金损失后及时进行了报警、挂失，招商银行也未证明张云霞存在违约。招商银行认为张云霞未能妥善管理手机、私人重要信息和账户安全，涉案损失系其自身原因所致。对此，一审法院认为，涉案银行卡系张云霞本人申请开立，并设置密码，开通了网上银行，预留手机号码1381674****。本案的涉案交易包括12笔银行卡线上直付交易和2笔银联消费交易。根据交易流程规则，线上直付交易需卡号、手机号码、短信验证码及取款密码完全正确才能完成，而开通快钱快捷支付也需要提供正确的姓名、卡号、手机号、身份证号等个人信息。涉案所需的个人信息及密码均由张云霞掌握，张云霞应就其妥善保管个人信息及密码承担举证责任。本案在案证据中并无直接证据证明招商银行泄露了张云霞个人信息及密码，亦无证据证明招商银行系统存在泄露张云霞个人信息及密码的可能，故在无相关证据证明的前提下，只能认定案外人获取相关交易所需个人信息系由张云霞一方的原因所致。根据《个人存款账户须知》、《个人客户电子银行业务服务协议》相关约定，张云霞负有妥善保管好银行账号、登录名、授权码、密码、手机号码、身份证件号码等个人信息及数字证书的合同义务。另结合公安部门的相关“张云霞将手机升级后被植入了木马病毒，手机所有的短信接收功能消失”的记录，一审法院认定，张云霞就涉案24,780元资金损失存在违约。
二、关于第二项争议焦点。张云霞主张招商银行的交易系统存在缺陷、安全提示未更新、不全面，尤其是在短信服务中未尽到合同约定的通知义务，直接导致了涉案损失的发生。招商银行则认为其在张云霞开户、一卡通综合业务受理、开通网银等环节先后六次对张云霞进行了安全提示，且按照流程向张云霞预留手机发送了验证码、交易支付信息等，故招商银行无过错，不应承担责任。对此一审法院认为，（一）开户及开通电子银行的缔约环节。张云霞在开户申请书、个人客户电子银行业务申请表、一卡通综合业务申请回单、安全提示单、告知单等资料的相应位置都签字确认知晓相关业务规定及风险提示，故一审法院认定招商银行在开户、一卡通综合业务受理、开通网银等环节较为全面的履行了通知义务。（二）在网上交易的履约环节，张云霞认为招商银行没有将涉案交易相关短信送达到张云霞，没有尽到合同约定的通知义务。对此一审法院认为，招商银行系通过运营商提供的公共网络发送交易短信而非自身的网络渠道，其本身并无管理通讯网络秩序的法定职责和义务，招商银行亦无防止他人非法拦截其发送短信的技术和手段，故张云霞要求按照通知短信是否“实际到达”作为衡量招商银行是否尽到通知义务的标准有失公允。根据在案中国移动通信短信详单，招商银行已依约向张云霞预留的手机号码发送所有涉案交易相关短信，故对张云霞因其未收到招商银行短信而主张招商银行未尽合同通知义务的意见，一审法院不予采纳。
一审法院注意到，涉案14笔交易分属两种交易类型，要判断招商银行是否存在违约，应结合交易模式具体分析。（一）关于12笔银行卡线上直付交易。涉案12笔交易系通过招行网银进行。根据我国《电子签名法》的规定，当事人可以约定在民事合同中使用电子签名，用于识别签名人身份并表明签名人认可其中的内容，可靠的电子签名与手写签名或盖章具有同等的法律效力。作为电子签名接收一方的银行必须且只能依赖双方事先商定的认证程序来推定某项指令是否经过客户授权。本案中网银操作者正确输入了卡号、手机号码、验证码及密码的行为即属对系争交易的授权行为，即使张云霞事后认为该指令并非由其本人实际发出，也不能否定该行为在外观形式上对招商银行电子银行系统发出的订约意思表示。结合上文分析，一审法院认定，就涉案银行卡线上直付交易造成的14,780元损失，招商银行没有违约，不承担赔偿责任。（二）关于2笔银联消费。涉案的两笔银联消费是涉案银行卡被开通快钱支付功能后通过快钱支付发生的交易。一审法院注意到，在涉案银行卡被开通快钱快捷支付功能的环节，招商银行向张云霞仅发送过一条短信，短信内容为“您尾号1215的一卡通已开通快钱快捷支付功能，您可以通过快钱支付密码（无需银行取款密码）完成交易，请妥善保管相关信息。若非本人操作，请致电95555。”从内容上看，该短信仅就开通快捷支付事宜进行了事后通知。一审法院认为，首先，涉案银行卡开通快捷支付后行为人可不再输入卡号、密码而以输入快钱支付密码的方式直接用涉案银行卡进行支付，其实质系对原储蓄存款合同约定的重大变更。依照中国人民银行相关规定，储户要求变更该种合同约定的，银行除密码外，还需同时以其他方式进行身份验证。而本案中，招商银行并未对操作者进行其他方式的身份验证，甚至连密码验证的环节都没有，招商银行对此存在重大过失。其次，招商银行作为专业金融机构，根据审慎经营原则，对于以不同方式完成的相同事项应适用同等程度的身份验证标准，对于风险更高的交易应适用更为严格的身份验证标准。故网上设置支付方式应适用与线下设置支付方式同等程度的身份验证标准，在此基础上，鉴于本案交易方式为电子交易方式，电子交易方式风险较非电子交易方式更高，招商银行理应采取更为严格的身份验证方式。然而，根据招商银行提供的开通快钱快捷支付流程，招商银行仅通过应答银联系统核对请求的方式对申请人发送的姓名、卡号、手机号、身份证号等信息进行了被动核对以核实申请人身份，该流程设置与交易风险并不匹配，其实质系对风险较高的交易方式采取了较低的身份确认标准。最后，从招商银行履行通知义务的角度看，根据招商银行系统发送短信的情况，招商银行在案外人完成开通快钱快捷支付功能前并未告知相关开通事宜，亦未另行设置主动的身份验证程序，而仅仅在开通快捷支付事宜完成后进行了事后通知。故招商银行并未全面履行通知义务。综上，招商银行在开通快捷支付环节未尽审核交易对手身份、保障账户资金安全及相关通知义务，存在违约行为，招商银行应就通过快钱快捷支付交易的10,000元损失承担相应责任。
三、关于第三项争议焦点。根据前文所述，银行卡线上直付交易产生的14,780元损失，其损失产生的直接原因系张云霞违反约定未履行妥善保管个人信息及密码所致，而招商银行在该12笔交易过程中并无违约，故张云霞应就该部分损失承担全部责任。就快钱快捷支付交易产生的10,000元损失，张云霞、招商银行均有违约行为。根据《中华人民共和国合同法》第一百二十条规定：当事人双方都违反合同的，应当各自承担相应的责任。张云霞虽负有个人信息保管不善的违约行为，但张云霞该违约行为并非系争损失产生的主要原因，故张云霞应对其损失承担相应次要责任。招商银行作为专业金融机构，在开展电子交易业务时除提高交易的便捷性外，亦应对相关交易的安全性予以关注。在涉及合同权利义务重大变更的事项时，招商银行应适用与非电子交易模式相同的身份确认标准以维护交易安全；现招商银行未能尽其合理审查义务，系本案系争损失产生的主要原因，故招商银行应对本案系争损失承担主要责任。据此，一审法院酌定张云霞对其资金损失10,000元自行承担30%的责任，其余70%由招商银行负赔偿之责；至于张云霞主张的利息损失，因张云霞自身对该种损失发生亦有过错，故一审法院对该部分损失不予支持。一审法院依照《中华人民共和国合同法》第六十条、第一百零七条、第一百二十条、第一百二十一条、《中华人民共和国电子签名法》第三条第一款、第二款、《最高人民法院关于适用的解释》第九十条之规定，判决如下：一、招商银行应于判决生效之日起十日内赔偿张云霞7,000元；二、驳回张云霞其余诉讼请求。负有金钱给付义务的当事人，如果未按判决指定的期间履行给付金钱义务，应当按照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。一审案件受理费4,300元（张云霞已预缴），由招商银行支行负担1,290元，由张云霞负担3,010元。
本院二审期间，双方当事人均未提交新证据。本院对一审查明的事实予以确认。双方当事人二审当庭陈述，2笔快钱支付交易的钱款系从张云霞招商银行账户转至快钱平台，再从快钱平台转至张云霞工商银行账户，继而转至案外人处。本院对该事实予以确认。
本院二审另查明，针对《受案登记表》上“2016年3月3日中午11时08分张云霞手机收到带有木马病毒的短信”的报案记录，虹梅派出所接报民警表示该记录仅就因手机收到带有病毒的短信，手机被植入病毒后短信遭到拦截的事实进行定性，至于究竟哪条短信带有木马病毒，该短信的具体时间点及短信内容等细节问题，《受案登记表》的记录是不精确的。2017年9月20日，上海市公安局徐汇分局网络安全办公室对涉案手机再次进行了检测，经检测发现，涉案手机于2016年3月3日上午10:07:53连续收到3条显示来自10086的短信，内容均为“尊敬的用户：您积分可兑换189.38元现金即日将过期，请立即登陆积分商城10086kmct.com。”涉案手机于当日上午10:23:14进入链接http://10086kmct.com/；于10:23:46植入APK程序，程序名称显示“手机营业厅”。网络安全办公室警官解释，该3条显示10086号码发来的短信系伪基站发出，故中国移动通讯查询短信清单是查不到该3条短信记录的。手机被植入APK程序系人为点击链接导致，该程序名称显示“手机营业厅”，实为木马病毒，并导致后续短信该手机未显示等异常问题。
本院认为，本案的争议焦点在于，张云霞应否对12笔银行卡线上支付交易自担损失；招商银行对于2笔快钱支付是否应承担赔偿责任。关于12笔银行卡线上支付交易，根据《个人存款账户须知》、《个人客户电子银行业务服务协议》相关约定，张云霞应妥善保管好银行账号、登录名、授权码、密码、手机号码、身份证件号码等个人信息及数字证书。因对上述个人信息保管不当或损失数字证书所造成的风险及损失由张云霞自行承担。招商银行主张12笔银行卡线上支付交易损失系张云霞疏于妥善管理手机，怠于保护账户安全造成，招商银行并无违约行为。本院认为，首先，根据公安机关《受案登记表》的记录及手机检测结果，张云霞手机系人为点击非法链接后被植入木马病毒，导致其后手机短信接收功能消失。张云霞并无充分的证据推翻上述记录及检测结果，因此，本院认为张云霞未妥善保管手机导致信息泄露，违反了合同义务。其次，张云霞并无证据证明招商银行在张云霞开户及开通电子银行的缔约环节违反了相关义务。在网上交易的履约环节，招商银行已依约向张云霞预留的手机号码发送12笔银行卡线上交易相关短信，张云霞主张招商银行未保证短信“实际到达”预留手机号码，故未尽到通知义务，并无合同或法律依据；张云霞主张本案系争交易属于异常交易，但对此未提供充分的证据证明，本院对张云霞上述主张均不予采信。张云霞主张12笔银行卡线上交易的损失应由招商银行承担，依据不足，本院不予采信。
关于招商银行对于2笔快钱支付的损失是否应承担赔偿责任，招商银行认为张云霞的损失系从工商银行账户中转出造成的，因此招商银行不应承担违约责任。本院认为2笔快钱支付系从招商银行账户转至快钱平台，再到工商银行账户，在此过程中张云霞并未产生实际损失，因此张云霞主张招商银行应对2笔快钱支付10,000元承担赔偿责任，缺乏依据。对于招商银行的上诉主张，本院予以采信。一审对2笔快钱支付损失责任的认定存在错误，本院予以纠正。
综上所述，张云霞的上诉请求不能成立，应予驳回；招商银行的上诉请求成立，应予支持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（二）项规定，判决如下：
一、撤销上海市浦东新区人民法院（2016）沪0115民初67184号民事判决；
二、驳回张云霞一审全部诉讼请求。
本案一审案件受理费人民币4,300元，由张云霞提起上诉的二审案件受理费人民币419元，由招商银行股份有限公司上海浦东大道支行提起上诉的二审案件受理费人民币50元，均由张云霞负担。
本判决为终审判决。
审 判 长 沈竹莺
代理审判员 朱 瑞
代理审判员 王 涛
二〇一七年十月三十日
书 记 员 荣琬斐
附：相关法律条文
《中华人民共和国民事诉讼法》第一百七十条
……
第二审人民法院对上诉案件，经过审理，按照下列情形，分别处理：
（二）原判决、裁定认定事实错误或者适用法律错误的，以判决、裁定方式依法改判、撤销或者变更；
……