内蒙古自治区巴彦淖尔市中级人民法院民 事 判 决 书（2017）内08民终943号上诉人（原审原告）：王维国，男，汉族，现住巴彦淖尔市临河区。委托诉讼代理人：刘健，女，汉族，现住巴彦淖尔市临河区。被上诉人（原审被告）：中国建设银行股份有限公司巴彦淖尔光明街支行，住所地临河区胜利南路。负责人：马丽，行长。委托诉讼代理人：王静，爱德律师事务所巴彦淖尔分所律师。被上诉人（原审被告）：中国建设银行股份有限公司巴彦淖尔分行，住所地巴彦淖尔市临河区新华西街10号。负责人：曾德鸿，副行长。委托诉讼代理人：王静，爱德律师事务所巴彦淖尔分所律师。上诉人王维国因与被上诉人中国建设银行股份有限公司巴彦淖尔分行（以下简称中国建行巴彦淖尔分行）、中国建设银行股份有限公司巴彦淖尔光明街支行（以下简称中国建行巴彦淖尔光明街支行）银行卡纠纷一案，不服内蒙古自治区巴彦淖尔市临河区人民法院（2016）内0802民初9308号民事判决，向本院提起上诉。本院于2017年6月26日受理后，依法组成合议庭，于2017年8月1日公开开庭进行了审理。上诉人王维国及委托诉讼代理人刘健，被上诉人中国建行巴彦淖尔分行、中国建行巴彦淖尔光明街支行的委托诉讼代理人王静到庭参加诉讼。本案现已审理终结。王维国上诉请求：1、撤销临河区人民法院（2016）内0802民初9308号民事判决，依法改判赔偿全部损失。事实和理由：1、上诉人2016年4月17日虽然开通了手机银行、网银、短信帐户变动通知服务等网上电子服务，但从未使用。上诉人定制的短信在7月13日1时46分59秒至6时26分51秒从未收到建行95533发送的短信。上诉人未收到建行的验证码，也未核对。2、原审认定“王维国在盗刷当日收到通讯公司发送的短信链接后，其点了链接并按其要求进行了回复”，属于认定事实有异议。上诉人属于按照移动公司正常程序使用其139邮箱的正常业务，点击了链接与建设银行的业务交易无关。3、中国人民银行发布的《非银行支付机构网络支付业务管理办法》第十条规定：支付机构向客户开户银行发送支付指令，扣划客户银行账户资金的，支付机构和银行应当执行下列要求：（一）支付机构应当事先或在首笔交易时自主识别客户身份并分别取得客户和银行的协议授权，同意其向客户的银行账户发起支付指令扣划资金；（二）银行应当事先或在首笔交易时自主识别客户身份并与客户直接签订授权协议，明确约定扣款适用范围和交易验证方式，设立与客户风险承受能力相匹配的单笔和单日累计交易限额，承诺无条件全额承担此类交易的风险损失先行赔付责任；（三）除单笔金额不超过200元的小额支付业务，公共事业缴费、税费缴纳、信用卡还款等收款人固定并且定期发生的支付业务，以及符合第三十七条规定的情形以外，支付机构不得代替银行进行交易验证。据此，被上诉人在首笔交易时未自主识别上诉人身份未取得上诉人和银行协议授权的情况下，扣划了上诉人的资金，被上诉人的行为构成违法，依法应对上诉人的损失进行赔付。4、《中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知》规定“一、商业银行应严格遵照客户意愿和指令进行支付。三、客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方权利与义务。四、商业银行通过电子渠道验证和辨别客户身份，应采用双（多）因素验证方式对客户身份进行鉴别，对不具备双（多）因素认证条件的客户，其任何账户不得与第三方支付机构建立业务关联。六、商业银行应设立与客户技术风险承受能力相匹配的支付限额，包括单笔支付限额和日累计支付限额。八、对预留手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。十、商业银行应就大额支付、可疑支付及时通知客户。对开通短信或其他方式即时通知功能的客户，应就每一笔支付交易即时通知客户。通知信息中包含但不限于第三方支付机构名称、交易金额、交易时间等。”，据此，被上诉人未在每一笔支付交易即时通知上诉人，被上诉人行为违法，依法应赔偿上诉人全部损失。5、上诉人资金被第三方支付机构盗刷后，上诉人在第一时间通知了被上诉人，被上诉人有义务在第一时间根据其与第三方支付机构签订的协议将被盗款项追回。被上诉人从未向第三方支付机构追索，应赔偿上诉人全部损失。中国建行巴彦淖尔分行、中国建行巴彦淖尔光明街支行均辩称，上诉人是链接非法网站导致手机中病毒自己泄露了信息电话卡被盗用，才导致的银行卡被盗刷，所以才没有短信，一审中证据已经证明，一审3号证据说明95533向上诉人发送验证码的事实，建行在本身操作中无过错，建行已经向上诉人发送了短信，但是被别人截取了。上诉人开通的是网上银行，是用账户、验证码支付，交易时被上诉人已经履行了职责。王维国向一审法院起诉请求：判令被告中国建行巴彦淖尔分行、中国建行巴彦淖尔光明街支行赔偿原告王维国银行卡被盗刷的损失23959.5元。一审法院认定事实：2016年4月17日，原告王维国在被告中国建行巴彦淖尔光明街支行办理借记卡一张，卡号为xxxxxx，并开通了手机银行、网银、短信账户变动通知服务等网上电子服务。同年7月13日，原告王维国所有的该涉案借记卡，通过网上平台账户分数笔合计支出24918元。原告王维国以信用卡诈骗报案后，分别又有两笔479.25元被返回，其余23959.5元至今未返回。原告王维国手机号xx****电话、短信交易记录，显示于同年7月13日1时46分59秒至6时26分51秒，共收到建行95533向其发送的101笔验证码交易短信，原告王维国在盗刷当日收到通讯公司发送的短信链接后，其点了链接并按其要求进行了回复；当日，原告王维国接到建行0551-95533的客服电话及短信，对方告知其建行的手机电子银行有多笔业务发生在安徽，询问其是否需要挂失，原告王维国以其未收到交易短信至今未予以挂失。同年7月14日，原告王维国拨打110电话报警，随后向巴彦淖尔市临河区公安局经济犯罪侦察大队正式报案，巴彦淖尔市临河区公安局于同年7月15日出具受案回执，该案至今未有结果。一审法院认为，原告王维国在被告中国建行巴彦淖尔光明街支行为其借记卡办理了短信账户变动通知、网银等业务并开通了账号支付功能，原告王维国自行点开不明短信链接并回复，被告中国建行巴彦淖尔光明街支行按照原告王维国预留的手机号发送了验证码，经原告王维国核对无异后进行了交易行为，该交易行为是通过账号支付的，且原告王维国至今未对该借记卡进行挂失，不能排除其将涉案借记卡自行泄露密码的可能。综上，对原告王维国的诉讼请求不予支持。依照《中华人民共和国合同法》第八条、第六十条，《最高人民法院关于适用的解释》第九十条的规定，判决如下：驳回原告王维国的诉讼请求。案件受理费398元，减半收取计199元，原告王维国预交199元，由原告王维国负担。二审期间，双方均无新证据提交。经二审审理查明的事实与一审相同，本院予以确认。另外，本案二审庭审笔录记载“审：上诉人银行卡内的23959.5元是不是2016年7月13日1时46分59秒至6时26分51秒被盗刷的？上诉人：是的。被上诉人：是的。审：本案争议借记卡在被盗刷之前上诉人是否使用过网上银行进行支付？上诉人：开通了网银，但从未使用过。被上诉人：2016年4月17日开通的，开通后没使用过。审：被上诉人，一审卷76页-81页是否是你行当时通过95533平台给xxxxxx发送的内容？被上诉人：是的。”本院认为，本案争议焦点：上诉人借记卡被盗刷的现金23959.5元，被上诉人应否承担赔偿责任。中国银监会、中国人民银行《关于加强商业银行与第三方支付机构合作业务管理的通知》第三条规定：客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需要通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电子渠道或其他有效方式直接验证客户身份，明确双方权利与义务。第四条规定：商业银行通过电子渠道验证和辨别客户身份，应采用双（多）因素验证方式对客户身份进行鉴别，对不具备双（多）因素认证条件的客户，其任何账户不得与第三方支付机构建立业务关联。另外，《非银行支付机构网络支付业务管理办法》第十条规定：支付机构向客户开户银行发送支付指令，扣划客户银行账户资金的，支付机构和银行应当执行下列要求：（一）支付机构应当事先或在首笔交易时自主识别客户身份并分别取得客户和银行的协议授权，同意其向客户的银行账户发起支付指令扣划资金；（二）银行应当事先或在首笔交易时自主识别客户身份并与客户直接签订授权协议，明确约定扣款适用范围和交易验证方式，设立与客户风险承受能力相匹配的单笔和单日累计交易限额，承诺无条件全额承担此类交易的风险损失先行赔付责任；（三）除单笔金额不超过200元的小额支付业务，公共事业缴费、税费缴纳、信用卡还款等收款人固定并且定期发生的支付业务，以及符合第三十七条规定的情形以外，支付机构不得代替银行进行交易验证。经审查，以上规定说明，银行应当完全意识到银行卡与第三方支付机构建立关联业务时存在风险，客户银行账户与第三方支付机构首次建立业务关联时，银行应当通过双（多）因素认证以有效避免或减少客户风险，并且首笔交易时应自主识别客户身份并与客户直接签订授权协议，承诺无条件全额承担此类交易的风险损失先行赔付责任。本案上诉人银行卡（卡号为xxxxxx）虽开通了网银，但从未使用过，上诉人主张账户内资金被盗取系通过网银进行支付的首笔交易。被上诉人既没有向法院提供证据证明其在上诉人银行账户与第三方支付机构首次建立业务关联时，完成了商业银行的客户身份鉴别工作，也未提供上诉人监守自盗或指示他人恶意串通消费的证据，应认定被上诉人对上诉人银行卡内资金第三方支付首笔交易仅凭验证码相符即进行支付存在过错；另外，上诉人账户内资金于2016年7月13日被盗取，《非银行支付机构网络支付业务管理办法》于2016年7月1日起开始实施，被上诉人亦未提供证据证实其履行了《非银行支付机构网络支付业务管理办法》第十条规定的义务。一审如果上诉人银行账户与第三方支付机构首次建立业务关联时，被上诉人进行双（多）重认证，通过物理网点、电子渠道或其他有效方式直接验证上诉人身份，即可阻止仅凭验证码相符进行的支付，一审认定王维国卡号为xxxxxx借记卡于2016年7月13日通过网上平台账户支出23959.5元至今未返回双方均未提出异议，故被上诉人应对上诉人的损失23959.5元承担赔偿责任。综上，上诉人王维国的上诉请求，应予支持。原审判决认定事实清楚，适用法律不当，依法应予改判。依照《中华人民共和国民事诉讼法》第一百七十条第一款第二项规定，判决如下：一、撤销巴彦淖尔市临河区人民法院（2016）内0802民初9308号民事判决；二、中国建设银行股份有限公司巴彦淖尔分行、中国建设银行股份有限公司巴彦淖尔光明街支行于本判决生效之日起10内赔偿王维国银行卡被盗刷损失23959.5元如果未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条的规定，加倍支付迟延履行期间的债务利息。一、二案件受理费597元，由中国建设银行股份有限公司巴彦淖尔分行、中国建设银行股份有限公司巴彦淖尔光明街支行负担。本判决为终审判决。审判长 张 宇审判员 李元军审判员 付桂梅二〇一七年九月四日书记员 邬竟夫