吉林省长春市中级人民法院
民 事 判 决 书
（2015）长民四终字第749号
上诉人（原审原告）：陆璐，女，1980年11月2日生，壮族，长春亚泰药业股份有限公司办公室主任，住长春市南关区。
委托代理人：孙清亮，吉林路朗律师事务所律师。
上诉人（原审被告）：中国工商银行股份有限公司长春经济技术开发区支行。住所：长春经济技术开发区。
代表人：尚洪兵，该行行长。
委托代理人：李东凯，该行员工。
委托代理人：孙奇，该行员工。
上诉人陆璐因与上诉人中国工商银行股份有限公司长春经济技术开发区支行（以下简称工行经开支行）储蓄存款合同纠纷一案，均不服长春经济技术开发区人民法院（2015）长经开民初字第823号民事判决，向本院提起上诉。本院受理后，依法组成合议庭公开开庭进行了审理。上诉人陆璐及委托代理人孙清亮，被上诉人工行经开支行的委托代理人李东凯、孙奇到庭参加诉讼。本案现已审理终结。
陆璐在原审时诉称：陆璐于2013年5月6日在工行经开支行处开设储蓄存款帐户，获卡号为的银行卡一张，陆璐于2014年9月30日取款时发现该银行卡内的存款被盗刷，自2014年9月22日至2014年9月27日期间被7次盗刷，共计11326.58元。陆璐认为工行经开支行负有保障存款人资金安全、交易安全的义务，工行经开支行的失职行为使陆璐银行卡绑定的手机号号码被篡改，造成陆璐财产损失，故起诉至法院，请求判令：1.工行经开支行赔偿存款损失11326.58元及利息（利息自2014年10月1日起至赔偿还清之日止按中国人民银行同期同类存款基准利率计算）；2.工行经开支行赔偿陆璐因索赔产生的误工费3150元、交通费500元、通讯费100元、律师代理费2500元；工行经开支行承担本案全部诉讼费用。
工行经开支行在原审时辩称：陆璐诉称赔偿其损失11326.58元及利息并赔偿其误工费、交通费、通讯费、律师费的说法没有事实及法律依据。2014年5月15日，陆璐称其信用卡资金通过网上银行渠道被盗刷，工行经开支行通过联系信用卡中心为其追回了被盗刷资金，后陆璐在自身银行密码、身份证号等所有隐私信息泄露的情况下没有到银行重新设置密码，导致此次二次盗刷的案件发生。银行在此过程中没有过错。陆璐诉称的误工费、交通费、通讯费、律师费都是陆璐自身过错造成的额外支出，银行没有赔偿义务。请求法院驳回陆璐的诉讼请求。
原审法院审理查明：陆璐在工行经开支行处开设储蓄存款帐户，卡号为，该卡开通网上银行业务，未勾选手机银行业务。陆璐于2014年9月30日取款时发现该银行卡内的存款被盗刷消费，银行为其追回三笔，金额为1664元。自2014年9月22日至2014年9月27日被7次盗刷，共计11326.58元，陆璐与银行卡绑定的手机号码被篡改。2014年9月22日23:19分95588向陆璐预留的手机号发信息内容为“您已于9月22日23：19修改尾号1995卡余额变动提醒接收手机号码，即日起将向尾号0150号码发送余额变动信息【工商银行】。”提醒接收手机号码变动后9月22日00时40分发生五笔金额为8843.58元，于2014年9月27日01时04分发生一笔，金额为1983元，2014年9月27日01时18分发生一笔，金额为500元。
原审法院认为：银行为客户办理网上银行支付手段时绑定提醒短信手机号码，是为保证客户账户安全的重要手段，客户绑定手机号码被篡改，银行没有要求原手机机主的确认，系管理系统存在漏洞，工行经开支行未能尽到保障客户存款安全义务，应承担赔偿责任，陆璐主张的2014年9月22日23点19分发送短信提醒当天损失金额8843.58元及利息应予保护。陆璐主张利息从2014年10月1日起计算，不违反法律规定，根据意思自治原则，原审法院对该主张予以支持，但对银行于2014年9月22日23点19分发送短信提醒后，又发生盗刷的损失，因银行已发出短信提醒，客户未及时采取相关措施保护账户安全，对造成扩大损失，客户自身存在过错，故对陆璐要求的此部分损失，不予支持。关于陆璐主张的误工费3150元、交通费500元、通讯费100元未向原审法院提供证据证明其损失存在，原审法院对此不予支持。陆璐请求律师代理费于法无据，不予支持。依照《中华人民共和国民事诉讼法》第四十四条、第一百零七条、第一百一十九条，《最高人民法院关于民事诉讼证据的若干规定》第二条之规定，判决：一、工行经开支行于判决生效后立即给付陆璐人民币8843.58元及利息（利息自2014年10月1日起至给付之日止，按中国人民银行同期同类存款利率计算）。二、驳回陆璐的其他诉讼请求。案件受理费239元，由陆璐负担52元，由工行经开支行负担187元。
宣判后，上诉人陆璐、工行经开支行不服，向本院提起上诉。陆璐的上诉理由是：一、原审判决事实认定错误。一审法院认为“对银行于2014年9月22日23时19分发送短信提醒后，又发生盗刷的损失，因银行已发出短信提醒，客户未及时采取相关措施保护账户安全，对造成扩大损失，客户自身存在过错，故对原告要求的此部分损失，不予支持”是错误的。1.陆璐与工行经开支行之间为储蓄存款合同，储蓄合同作为借贷合同，在储户将钱存入银行后即变为由银行享有钱款所有权，持卡人即储户享有对银行的债权。储蓄卡实质上是银行对储户出具的债权凭证，钱款实际由银行控制和占有。因此，盗取账户资金侵害的是银行的财产权，而银行与储户之间的储蓄存款合同关系不受影响，储户有权依据储蓄存款合同行使债权要求银行还本付息，工行经开支行不能因他人违法行为免除履行债务的义务。2.一审法院对收到短信提醒当天的损失予以保护，但认定收到短信当天之外的损失属扩大损失不予支持，其认定事实的关键点在于短信提醒，但陆璐在手机正常状态下根本无法收到短信提醒，且该短信提醒并没有要求机主确认，系银行管理系统存在重大漏洞，工行经开支行而未能尽到保障客户存款安全义务，应承担赔偿责任。二、原审判决适用法律错误。原审判决适用民事诉讼法第四十四条、第一百零七条、第一百一十九条，但上述关于回避、先于执行和起诉条件的法条并非判决依据。且原判决根据短信提醒时间认定陆璐的扩大损失没有法律依据。请求：1.依法撤销长春经济技术开发区人民法院（2015）长经开民初字第823号民事判决；2.依法改判工行经开支行立即向陆璐赔偿存款损失人民币11326.58元及利息（利息自2014年10月1日起至赔款还清之日止按中国人民银行同期同类存款基准利率计算）；3.工行经开支行承担本案全部诉讼费用。
工行经开支行答辩认为：陆璐所称的银行需负支付义务与事实不符。陆璐的损失是由其自身错误造成的，应由其自身承担。
上诉人工行经开支行的上诉理由是：一、本案应按先刑事后民事原则审理。陆璐无证据证明本案相关消费并非其本人真实意思表示，只有经公安机关侦破此案，抓获犯罪嫌疑人，调查清楚犯罪经过，才能明确陆璐在本案中是否存在道德风险问题。未经刑事破案便根据陆璐的陈述确认其被害人的地位，排除其使用过程中的过错，显失公平。二、原审认定工行经开支行未尽到保障义务结论错误。1.陆璐证明工行经开支行有过错的证据与事实不符。陆璐证明工行经开支行存在过错的证据主要是针对陆璐工银E支付手机号码发生变更而工行经开支行没有通过短信等方式向其确认。但事实是，陆璐只有通过银行卡号、密码、身份证号等专属于个人的隐私信息验证后才能修改手机号码，凭以上专属于本人的隐私信息登录系统，工行经开支行即认为相关操作系用户本人真实意思表示，无需再次确认。陆璐在2014年5月第一次银行卡被盗刷时就已经将银行卡号、身份证号及密码等隐私信息泄露，是因为第一次泄露导致第二次即本案的发生。陆璐的证据不能证明工行经开支行对其损失存在过错，只能证明手机号码更改，而手机号码更改是陆璐的过错造成的，工行经开支行不应承担赔偿责任。2.工行经开支行已证明自身无过错并已尽到保障义务。工行经开支行一审提交的开户申请书等证据已充分证明双方在建立储蓄存款合同关系时，工行经开支行已明确告知陆璐应妥善保管本人的银行卡、密码等隐私信息，切勿泄漏。陆璐违反约定没有尽到保护自身隐私信息的义务，相反工行经开支行已经按约履行合同义务尽到保障义务，不存在过错。三、陆璐应向侵害其权益的犯罪嫌疑人主张权利。陆璐将自身隐私信息泄露为犯罪嫌疑人所用造成了第一次侵害，陆璐没有证据证明在首次损失后进行了任何积极措施以避免损失进一步扩大，正是放任的结果导致了第二次侵害即本案的发生。陆璐应向侵害其权益的犯罪嫌疑人主张权利而非不存在过错的工行经开支行。请求：1.撤销（2015）长经开民初字第823号判决，驳回陆璐的诉讼请求；2.一、二审诉讼费用由陆璐承担。
陆璐答辩认为：一、上诉人工商银行先刑事后民事的审理没有法律依据，本案为存款合同纠纷，根据合同的相对性，由上诉人陆璐向上诉人工商银行主张存款损失有法律依据。二、工商银行的短信提醒只是通知未经确认缺少必要的安全环节，未尽到安全保障义务。三、陆璐在第一次被盗刷后，已经在网上修改了账户密码。四、比照其他银行修改开户时预留的手机号码均需本人手持身份证到银行网点的柜台办理。五、一审判决认定的关键证据系短信提醒，该证据不符合电子数据的法定形式。
本院开庭审理期间，上诉人陆璐向法庭提交证据一组。证据一：涉案银行卡2014年9月22日至9月29日（9月30日）交易明细，标明为个人消费的为本人操作，其他的都非本人操作，证明银行卡被盗刷期间陆璐个人消费均为小额消费，通过e卡消费并无短信提醒，陆璐不知。证据二：公安机关受案回执一份，证明原告于2014年10月1日8时11份42秒到珠海路派出所报案。证据三：登录该网银的ip地址信息，这个网银下包含涉及的两张银行卡，但是现在页面上已经查询不到这个信息了。
上诉人工行经开支行质证称：针对上诉人的第一份证据，真实性没有异议，关于e卡的描述与本案无关，从明细中只能看到款项是从4422、1995两张卡中支付的，足以证明上诉人陆璐在案发时已经知道账户异常。第二份证据真实性没有异议，公安机关的受案回执只能证明上诉人陆璐曾经报案，但是公安机关未对案件有任何的结果，无法证明上诉人陆璐的行为不存在道德风险。第三份证据由于是复印件，无法辨别真实性。
上诉人工行经开支行提交证据一组。证据一：每张卡B2C交易明细一组。其中每张卡打叉的两笔不在上诉人陆璐的诉请之中，证明陆璐在案发时已经知道账户异常而没有采取任何防止损失扩大的行为。证据二：手机号码为的“e支付”验证码接收明细及证据三该号码余额提醒明细，证明陆璐持有的两张卡在2014年9月21日至2014年10月1日的支付、余额变动都有短信提醒。证据四：e卡交易明细，证明陆璐本人认可的个人消费未包含在e卡的交易中。
上诉人陆璐质证：对证据一的真实性没有异议，对证明的事项有异议。上诉人工商银行指出的不在诉请中的4笔交易并不是通过银行卡直接交易，是通过网银账户下e卡支出的，上诉人陆璐并不知道银行卡被盗刷的事实。对证据二、证据三，真实性没有异议，但该号码是犯罪分子的手机号码。陆璐本人未收到任何短信。动态验证码是犯罪分子变更绑定手机号码后开通的功能，陆璐本人没有开通此功能。上述全部提醒短信均未送达陆璐本人，说明工行经开支行的系统存在漏洞。对证据四的真实性没有异议，陆璐的小额支付是通过淘宝和微信支付的，是自动绑定的e卡将款项划走。在此过程中，陆璐没有收到提醒短信。该证据不能充分说明是e开的明细。
本院二审审理查明的事实与原审判决认定事实一致。
本院认为：
一、本案系上诉人陆璐与上诉人工行经开支行因使用网上银行支付发生的合同纠纷。网上银行支付具有不以银行卡卡片作为交易介质的特性，虽具有交易便利性，亦加大了交易的风险。银行等金融机构在设立此类互联网支付业务时，应当告知客户其交易规则及可能存在的风险。但上诉人工行经开支行现未能提交证据证明，在办理银行卡对应预留电话号码业务时，已告知陆璐该号码的重要性及更换后可能存在的风险。并且，根据工行经开支行的业务办理流程，客户无需在柜台持本人身份证办理预留号码变更，而是通过互联网并输入密码后即可更改。《中华人民共和国商业银行法》第四条第一款规定：“商业银行以安全性、流动性、效益性为经营原则，实行自主经营，自担风险，自负盈亏，自我约束”；第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”，即上诉人工行经开支行其负有保证交易安全、保护存款人的法定义务。现上诉人工行经开支行既未告知陆璐预留号码的交易规则及其变动的风险，在具体业务涉及中又允许通过互联网输入密码自行更改，同时在更改后即可不通过原手机号码进行互联网支付，导致客户的交易风险增大并最终受到损失，对此上诉人工行经开支行应当予以赔偿。因此，原审判决认定工行经开支行应当对更改手机号码后当日的的交易进行赔偿，并无不当。
二、2014年9月22日，陆璐与银行卡绑定的预留号码更改后，工行客服即向原手机号码，即陆璐预留的号码发送了更改号码短信。上诉人陆璐应当在收取短信后知悉号码变动，若非其本人操作，应当及时查验账户信息，防止损失扩大。但上诉人陆璐并未及时采取措施，导致2014年9月22日后多次发生盗刷。《中华人民共和国合同法》第一百一十九条规定：“当事人一方违约后，对方应当采取适当措施防止损失的扩大；没有采取适当措施致使损失扩大的，不得就扩大的损失要求赔偿。”故原审法院判决上诉人工行经开支行对于2014年9月27日发生的盗刷金额不负赔偿责任，并无不当。
综上，原审判决认定事实清楚，适用法律正确。上诉人的上诉理由均不能成立。故本院依照《中华人民共和国民事诉讼法》第一百七十条第一款（一）项之规定，判决如下：
驳回上诉，维持原判。
二审案件受理费100元，由上诉人陆璐负担50元，上诉人中国工商银行股份有限公司长春经济技术开发区支行负担50元。
本判决为终审判决。
审 判 长 闫 冬
代理审判员 谷 娟
代理审判员 于喜华
二〇一六年五月十六日
书 记 员 邹 悦