山东省淄博市中级人民法院
民 事 判 决 书
（2017）鲁03民终2131号
上诉人（原审被告）：中国建设银行股份有限公司淄博分行。住所地：山东省淄博市张店区人民西路**号。统一社会信用代码：91370300864114961P。
负责人：白彤文，行长。
委托诉讼代理人：高霁，男，1970年7月5日出生，汉族，该单位电子银行部工作人员，现住山东省淄博市张店区。
委托诉讼代理人：曹自义，山东众成清泰（淄博）律师事务所律师。
被上诉人（原审原告）：赵玮，男，1961年12月29日出生，汉族，自由职业者，现住山东省淄博市张店区。
上诉人中国建设银行股份有限公司淄博分行因与被上诉人赵玮借记卡纠纷一案，不服山东省淄博市张店区人民法院(2017)鲁0303民初1176号民事判决，向本院提起上诉。本院于2017年8月4日立案后，依法组成合议庭，开庭进行了审理。上诉人中国建设银行股份有限公司淄博分行委托诉讼代理人高霁、曹自义，被上诉人赵玮到庭参加诉讼。本案现已审理终结。
中国建设银行股份有限公司淄博分行上诉请求：依法撤销山东省淄博市张店区人民法院(2017)鲁0303民初1176号民事判决，驳回被上诉人的诉讼请求，诉讼费用由被上诉人负担。事实和理由：上诉人只是对被上诉人的资金存储安全负有安全保障义务。本案中被上诉人之所以发生损失，首先他选择了网络快捷支付方式，上诉人没有强迫他使用，是被上诉人与第三方支付平台之间的合同关系；其次被上诉人错误的点击了链接，××侵入了自己的支付系统，被上诉人自己应负主要责任，其次在移动公司，与上诉人没有任何关系。
赵玮答辩称，我在上诉人中国建设银行股份有限公司淄博分行处开通网上银行时，只书面同意开通支付宝业务，并与银行卡关联。上诉人在毫不知情的情况下，未经本人允许，同意其他第三方支付机构与本人银行卡关联，导致资金损失，是上诉人对我的存储财产保管不当造成。我虽对一审判决有异议，但服从一审判决。
赵玮向一审法院起诉请求：被告支付原告卡号为62×××82内的资金4488.88元及以该数额为本金按活期存款利率计算的利息。事实和理由：原告在被告下属的莲池支行办理了一张储蓄卡，卡号：62×××82，并开通了网上银行业务，领取了网银盾。该卡内的资金于2014年10月8日19-20时前后，被伪卡和伪网银盾异地支取4478.98元。2014年10月9日8时，该卡内资金又被伪网银盾异地支取9.9元。至今，银行卡及网银盾均在原告手中。被告未尽到保证储户存款安全义务，未能识别伪卡和伪网银盾，致原告银行卡内资金被取走，应视为被告保管自身财物失当。因此，被告应自己承担损失。原告持银行卡和网银盾不能支取该账户内资金及利息，被告违约。
一审法院认定事实：2010年9月7日，原告办理了由被告发行的卡号为62×××82的银行卡1张，该卡性质为借记卡，并开通了支付宝、网上银行、短信通知、留密等业务类型。此后，原告一直正常使用该卡。
2014年10月8日11时许，原告收到了中国移动信息平台100**发送的积分兑换短信，其点击了短信中的链接，并根据提示输入了案涉银行卡号和身份证号等，点击“回复”，发送了上述信息。第二天，即2014年10月9日晨6时许，原告在使用网上银行时，发现了非本人异常消费，共7笔，总金额4488.88元。原告即于当日8时许到开户银行咨询，并办理了该银行卡挂失止付手续，同时报警。
被告针对原告的涉案消费情况进行了调查，涉案7笔交易均为网上消费支付，其中明细中涉及的“1508异地POS消费”亦非实地POS消费，均属于网上快捷支付。
另正常情况下，原告收到消费短信的发送号码应为：95533或106980095533。涉案的7笔消费，原告未收到消费短信。被告认为，原告未收到上述消费的短信提示就是因为原告点击了10086发送的短信链接，××，系案外第三人利用该链接窃取原告信息后盗取资金。涉案7笔消费中的第三方支付公司（即网络快捷支付公司）均是获中国人民银行许可的支付机构。
又查明，该案至今未破，原告卡内资金盗失的具体原因尚无法查清。
上述事实，有原告提供的银行卡、网银盾、科苑派出所的证明、银行卡交易明细，被告提供的银行卡开户申请表、特殊业务处理凭证、客户诉讼案件查询经过、中国人民银行许可的支付机构明细，以及原、被告的当庭陈述在卷佐证，足以认定。
一审法院认为，原被告之间因借记卡而成立储蓄合同关系当无异议。本案中，原告卡内资金被盗失，这是事实。从原告发现资金被盗，便立即持卡申请挂失止付，报案，涉案7笔交易均为异地消费，原告仍持有本卡的事实，基本可以认定该7笔交易非本人为之，系案外他人盗取卡内信息后所为，因此，本案争议的焦点问题在于原告卡内资金盗失的过错大小及责任如何承担问题。
一、关于原告的过错及应否承担责任问题。（1）储户有妥善保管、保存银行卡及卡内信息的义务。随着电子信息业的发展，储户的姓名、身份证件类型和号码，存款数额、取款密码等均存储于银行卡内，尤其是交易及支付方式的创新，任何人掌握了银行卡内信息，可以不去银行柜台，甚至可以不必持有银行卡，均可完成交易，因此，电子信息记录的保护尤显重要。（2）具体到本案中，原告持有并使用该卡四年，期间未发生问题。2014年10月8日，在其点击不当链接并传送相关信息时，即连续发生资金被盗失现象，可以认定本案系一起因点击不当链接而导致信息泄露引发的银行卡内资金盗失案。应该承认，一般情形下，一个普通持卡人不会认为在收到正常的短信通知并打开链接时会带来危险。本案的情形是，正常的消费信息通知平台来自被告的95533，而原告收到并打开的积分兑换信息通知平台是中国移动的10086公众信息平台，而非正常消费信息通知平台955**。其时，有关银行卡被盗刷、电信诈骗的消息、新闻等包括原告遭受的此种诈骗手法已通过各种传播媒介，可以说遍布公众耳目，因此，原告在收到非正常的信息通知平台发送的信息时，尤其是带有获奖、积分兑换等恩惠利益信息，应保持警惕，谨慎注意。但其丧失警觉，疏忽大意，点击并按照链接要求进行了操作，输入了涉案银行卡的相关信息，致使卡内信息被泄露导致卡内资金盗失，作为一个完全民事行为能力人，应该对自己的不谨慎行为承担主要责任。
二、关于被告的过错及责任承担问题。（1）既然原被告之间成立储蓄合同法律关系，被告无异议。原告要求被告兑付存款本息，主张的系违约责任。在借记卡纠纷中，根据货币占有与所有相统一的原则，持卡人将款项存入借记卡，该款项的外部物权权属即归属于发卡人银行。涉案交易非持卡人本人交易，而是案外第三人，其损害的系发卡人的财产权，因此，被告不能以案外第三人的侵权行为为由免除被告给付原告存款本息的责任。（2）被告具有防范风险与控制风险的义务与能力。谁制造危险，谁就应控制。不可否认，银行卡捆绑第三方快捷支付业务，确为一项金融支付业的创新，在给持卡人带来方便交易方式的同时，也加剧了用卡风险。这一金融产品在给被告带来收益的同时，亦应承担相应的责任，符合风险与收益相一致的原则。被告亦不能以原告与第三方支付公司存在支付服务协议为由否认自己的储蓄合同相对人地位。（3）被告作为从事金融业务的主体，与持卡人相比，处于优势地位，其有更强的资信能力与技术支持，完善并提高交易系统和设备的安全性能。本案中，被告亦承认系××窃取了原告卡内信息，从侧面说明被告提供的设备、系统、尤其是网络交易技术不具有防止窃取卡内信息与密码的功能，××侵袭。因此，被告对原告卡内存款损失亦有一定责任。虽然原告不当点击链接是主要因素，但亦不能据此排除或免除被告的防范义务。
三、关于双方承担责任的比例问题。综上，原告未尽谨慎注意义务，不当点击链接致使卡内信息泄露，资金盗失，违背妥善保管自己银行卡和卡内信息的义务要求，是本案纠纷的起始因素与主要原因，其过错程度明显大于被告，应该承担主要责任。被告提供的设备、交易系统、××侵袭，亦有一定过错，应承担次要责任。酌定由被告承担存款损失的40%，原告自行负担损失的60%。即被告应支付原告款1795.5元，并应支付自2014年10月9日至兑付之日止的银行活期储蓄利息。依照《中华人民共和国合同法》第六十条、第一百零七条、第一百二十一条，《储蓄管理条例》第三条的规定，判决：一、被告中国建设银行股份有限公司淄博分行于本判决生效之日起十日内支付原告赵玮1795.5元及自2014年10月9日至兑付之日止的银行活期储蓄利息。二、驳回原告赵玮的其他诉讼请求。被告如果未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条之规定，加倍支付迟延履行期间的债务利息。案件受理费50.00元，由原告赵玮负担30.00元，被告中国建设银行股份有限公司淄博分行负担20.00元。
本院二审期间，当事人没有提交新证据。对一审判决认定的事实，双方当事人均未提起上诉，本院予以确认。
本院认为，涉及银行卡盗刷损失纠纷，首先，要查明盗刷事实是否存在，特别是在网上支付情况下，网上支付已完全不同于传统银行卡实际交易，不存在现实物理属性和时空特点，一切均在网上验证进行，如果不能查明盗刷事实真实发生，则存在较大的道德风险。其次，只有在查明盗刷事实存在，即交易非本人及本人授权的情况下，才能确定各方民事责任。
本案双方当事人均未对一审判决认定案涉银行卡资金被盗事实提起上诉，中国建设银行股份有限公司淄博分行只是上诉认为一审判决适用法律错误，其不应当对被上诉人的资金损失承担责任。关于被上诉人赵玮的责任问题，一审判决已予以详述，赵玮服从未上诉，本院不再赘述。根据《中华人民共和国民事诉讼法》第一百六十八条规定，二审法院应当针对上诉请求的有关事实和适用法律进行审查。故本案二审争议焦点为：上诉人对被上诉人银行卡损失是否存在过错，应否承担民事责任。
被上诉人赵玮在上诉人处办理借记卡时，开通了支付宝、网上银行、短信通知、留密等业务类型。2014年10月8日至9日，该银行卡共发生7笔非被上诉人本人操作的网上异常消费，总金额4488.88元，均为支付宝外其他五家第三方支付机构通过关联案涉银行卡快捷支付。
上诉人作为金融机构，对被上诉人银行卡内的资金负有安全保障义务。银行卡被绑定第三方快捷支付属于新生事物，在为客户提供快捷便利服务的同时，也增大了资金安全风险。在交易安全与交易便捷的平衡中，在绝大多数人心目中，交易安全是第一位的，绝不能以牺牲交易安全，而片面强调交易快捷。银行作为专业机构，在为客户提供便捷交易时，至少要保证客户的知情权和选择权。根据中国银行业监督管理委员会颁布的《电子银行业务管理办法》第三十九条规定，上诉人在为被上诉人开通网上银行业务时，应当向客户充分揭示利用电子银行交易可能面临的风险。上诉人在为被上诉人开通网上银行时，显然未向被上诉人充分提示案涉银行卡被绑定第三方快捷支付存在的交易风险，具有过错。
上诉人作为金融机构，对被上诉人负有客户信息安全保障义务。根据《中国银监会关于加强电子银行客户信息管理工作的通知》第三条规定，从客户银行资金账户扣划资金时，原则上应由账户所在银行完成电子资金转移与支付交易的安全认证；对于由第三方机构完成安全认证的电子转移与支付业务，应至少在首笔业务前由账户所在银行通过物理网点、电子渠道或其它有效方式直接验证客户身份，并与客户约定双方相关权利义务。《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》第三条也规定，客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别，账户所在银行应通过物理网点、电子渠道或其它有效方式直接验证客户身份，明确双方相关权利义务。《中国人民银行关于加强银行卡业务管理的通知》第二条，《非银行支付机构网络支付业务管理办法》第十条，也有类似规定。银行业管理机构一直要求发卡银行按照第三方支付机构扣划持卡人账户资金时，应当在事先或首笔交易时，自主识别客户身份并与客户直接签订授权协议。案涉银行卡除支付宝外，被刷走资金的7笔交易，均为其他第三方支付机构所为。二审庭审中，上诉人与被上诉人均认可只要被上诉人输入自己的身份证号、银行卡号、在银行预留的手机号，接收到第三方支付机构的手机验证码，即可开通第三方快捷支付并绑定银行卡。上诉人显然未在事先或首笔交易时直接验证被上诉人身份，更未与被上诉人签订协议取得授权，违背了双重认证规定，具有过错。
根据《非银行支付机构网络支付业务管理办法》第十条第（二）项规定，支付机构向客户开户银行发送支付指令，扣划客户银行资金，银行应当在事先或首笔交易时，自主识别客户身份并与客户直接签订授权协议，并承诺无条件全额承担此类交易风险损失的先行赔付责任。第三十七条规定，即使银行与第三方支付机构约定由第三方支付机构代替进行交易验证，银行也应核实支付机构验证手段或渠道的安全性，且对客户资金安全的管理责任不因支付机构代替验证而转移。又根据《中华人民共和国合同法》第一百二十一条规定，是否因第三人原因造成上诉人违约，不能成为上诉人免责的抗辩理由，其可另行解决。故，上诉人应对案涉银行卡资金损失承担赔付责任。
参照《最高人民法院关于审理买卖合同纠纷案件适用法律问题的解释》第三十条规定精神，一审认定被上诉人赵玮未尽谨慎注意义务，不当点击链接致使卡内信息泄露，资金盗失，违背妥善保管自己银行卡和卡内信息的义务要求，应该承担主要责任，被上诉人赵玮服从未上诉，从而判决上诉人承担40%的次要责任，是适当的。
另外，鉴于本案系他人冒用被上诉人名义通过网上快捷支付方式造成的损失，没有证据证明系上诉人发行的银行卡和网银盾被伪造所致，故上诉人只能对其能够支配的银行卡、网银盾、ATM机等设备负有安全保障义务。被上诉人通过点击自己所有的移动终端链接，××侵袭，要求上诉人对被上诉人的设备负有××毒侵袭的义务，显然没有法律依据，客观上也不现实。
综上所述，中国建设银行股份有限公司淄博分行的上诉请求不能成立。一审判决认定事实清楚、适用法律正确，虽部分理由不当，但裁判结果正确。本院依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项、《最高人民法院关于适用<中华人民共和国民事诉讼法>的解释》第三百三十四条规定，判决如下：
驳回上诉，维持原判。
二审案件受理费50.00元由上诉人中国建设银行股份有限公司淄博分行负担。
本判决为终审判决。
审 判 长 王忠熙
审 判 员 孟庆红
审 判 员 边存鑫
二〇一七年九月五日
法官助理 车俊鹏
书 记 员 李 飞