广东省深圳市中级人民法院
民 事 判 决 书
（2014）深中法商终字第378号
上诉人（原审原告）：刘莹。
委托代理人：李兴彬，与刘莹系夫妻关系。
被上诉人（原审被告）：中国银行股份有限公司深圳市分行。住所地：深圳市罗湖区建设路****号国际金融大厦。组织机构代码：45576902-7。
负责人：王少俊，行长。
委托代理人：陈静，北京市君泰（深圳）律师事务所律师。
委托代理人：钟学秀，北京市君泰（深圳）律师事务所律师。
上诉人刘莹因与被上诉人中国银行股份有限公司深圳市分行（以下简称中行深圳市分行）储蓄存款合同纠纷一案，不服深圳市罗湖区人民法院（2013）深罗法民二初字第2697号民事判决，向本院提起上诉。本院受理后，依法组成合议庭对本案进行了审理。本案现已审理终结。
原审法院审理查明：2013年1月18日，刘莹在中行深圳市分行申请开立个人账户及综合服务。中行深圳市分行向刘莹发放了一张卡号为601382200065951＊＊＊＊的银行卡。该银行卡开通了网上银行、理财功能，认证工具为“E-TOKEN＋手机交易码（手机交易码将发到客户资料中的手机号码中）。刘莹在申请表上填写了手机号码，但未开通短信通知业务。同日，刘莹在中行深圳市分行出具的《个人网上银行动态口令牌领取回执》上签字确认。该回执用黑体字载明如下安全提示：切勿向任何人�露网上银行用户名、密码和动态口令（E-Token）密码，不要向陌生人转账；如怀疑遭遇诈骗造成资金损失，请及时拨打“110”或向附近派出所报案；请安装并及时升级防病毒软件，并不要在网吧等不安全网络环境下使用个人网银，请认准中行深圳市分行唯一官方网址www.boc.cn，谨防假冒钓鱼网站。《中国银行股份有限公司电子银行章程》第九条约定，凡使用正确的客户身份标识和身份认证方式进入中国银行电子银行系统使用电子银行服务的均视为客户本人所为，所产生的电子信息记录为该项交易的合法有效凭证。
2013年6月20日14时09分32秒，从刘莹的个人网银发生了一笔金额人民币（以下均为人民币）55555.55元的行内跨省实时转账（产生手续费9.60元，以下称涉案交易），转入账户为621661841100081＊＊＊＊，转入账户所属省为中国银行＊＊＊＊分行，收款人姓名为兰＊＊。2013年7月4日18时28分37秒，刘莹用银行卡取现金500元。2013年7月10日9时58分43秒，刘莹用银行卡取现金1000元。2013年7月10日22时13分52秒，刘莹操作其个人网银，跨行向自己在平安银行深圳＊＊＊支行账户汇付款项2300元。
刘莹在一审庭审中称，操作涉案交易所用电脑的IP地址为106.122.1.＊＊＊，而刘莹在涉案交易发生期间一直在办公室上班，且其办公室所用电脑的IP地址为218.17.157.＊＊＊，故涉案交易并非刘莹本人所为；涉案交易发生的原因在于中行深圳市分行的官方网上银行系统存在安全漏洞，导致刘莹的用户名、密码及其他交易信息被泄露。此外，刘莹在庭审中还称，2013年7月10日10时许，刘莹通过ATM柜员机和柜台核实了涉案交易的异常情况，但当时因出行到香港而未及时向公安机关报案；当晚回到家后才对银行账户中的剩余资金进行处理。刘莹一审当庭出示了动态口令�E-Token）牌，但未出示动态口令牌绑定的手机。
中国银行网上银行进行转账汇款的操作流程为输入用户名、密码，然后填写收款人、转入账户、转账金额等信息，最后选择安全工具“动态口令＋手机交易码”进行操作。
刘莹请求原审法院判令：1、中行深圳市分行向刘莹赔偿损失56565.15元（因中行深圳市分行向刘莹提供的网上银行服务存在严重安全漏洞致使刘莹网上银行被他人盗走55555.55元，以及由此产生跨省转账手续费9.60元，以及由此给刘莹带来的误工费1000.00元）；2、中行深圳市分行承担本案的全部诉讼费用。
原审法院审理认为：刘莹在中行深圳市分行开立银行卡并开通网上银行服务功能，双方形成储蓄存款合同法律关系，中行深圳市分行对刘莹存于银行账户内的资金负有安全保障义务；如中行深圳市分行存在过错而违反安全保障义务，导致刘莹银行账户内的资金被取走或汇付，则应赔偿刘莹由此造成的相应损失。本案争议的焦点在于中行深圳市分行对涉案交易的发生是否存在过错。首先，双方的储蓄存款合同并未约定用户登录其个人网银须绑定一个IP地址，而刘莹也称在办公室及家里的电脑上均登录过个人网银，因此，即使操作涉案交易的电脑非刘莹办公室的电脑，也不足以证明涉案交易系他人进行操作。其次，即使涉案交易系他人在刘莹不知情的情况下进行操作，但涉案交易所依据的用户名及密码具有唯一性和私密性，E-Token显示的数字认证信息及手机交易码具有随机性，不持有动态口令牌及手机的人则无法知晓；对此，刘莹未能举证证明中行深圳市分行的官方网上银行网站存在安全漏洞，也未能举证证明中行深圳市分行泄露了刘莹的用户名、密码及身份认证信息等资料，因此，中行深圳市分行对涉案交易的发生不存在任何过错。在中行深圳市分行对涉案交易的发生不存在过错的情况下，根据《中国银行股份有限公司电子银行章程》第九条约定，涉案交易应视为刘莹本人所为，中行深圳市分行依据相关交易指令对外汇付款项的行为属于正确的履约行为。综上，刘莹要求中行深圳市分行赔偿涉案交易造成的资金损失、转账手续费及误工费缺乏依据，原审法院对该诉讼请求予以驳回。依照《中华人民共和国合同法》第六十条第一款，《中华人民共和国民事诉讼法》第六十四条第一款、第一百四十二条之规定，判决驳回刘莹的诉讼请求。一审案件受理费607元，由刘莹负担。
上诉人刘莹不服原审判决，向本院提起上诉称：一、一审判决认定事实不清，适用法律错误。（一）刘莹于2013年1月18日在中行深圳市分行申请开立个人长城公积金卡和网上银行服务。刘莹自网上银行开通之日起�2013年7月10日22时止，仅在自己的办公电脑上使用过中行深圳市分行所提供的网上银行服务，2013年7月10日22时之后，刘莹为了核实涉案交易细节、紧急处置剩余资金、调查取证等目的，才在自己办公电脑之外其他电脑上使用中行深圳市分行提供的网上银行服务，所涉及的电脑仅仅包括刘莹家庭电脑、中行深圳市分行营业大厅的平板电脑，除此以外，刘莹再没有使用过其他电脑登陆中行深圳市分行提供的网上银行服务。刘莹提供的证据足以说明在刘莹办公室使用网上银行的IP地址应为218.17.157.＊＊＊，刘莹提供的视频证据可以清晰的证明涉案交易发生时刘莹一直在其办公室中，而涉案交易使用的IP地址为106.122.1.＊＊＊，与刘莹办公室网络的IP地址不一致。原审法院认为“即使操作涉案交易的电脑非刘莹办公室的电脑，也不足以证明涉案交易系他人进行操作”，这与涉案�易发生时刘莹一直在办公室中的事实相矛盾，刘莹不可能在其办公室中操作一台并不在其办公室中的电脑。原审法院判决所述的“涉案交易所依据的用户名及密码具有唯一性和私密性，E-Token显示的数字认证信息及手机交易码具有随机性，不持有动态口令牌及手机的人则无法知晓”与众所周知的事实不符，钓鱼网站、计算机病毒、计算机木马程序、键盘监控器都可以在用户输入这些信息的时候取得用户名、密码、E-Token显示的数字认证信息及手机交易码，而并不需要实际持有动态口令牌及手机。正是因为中行深圳市分行没有采取必要的技术手段和流程防范钓鱼网站、计算机病毒、计算机木马程序、键盘监控器才导致刘莹的身份认证信息极易泄露。中行深圳市分行作为网上银行技术的提供方、流程设计方和数据保管方，其网上银行是否存在这些安全漏洞理应由中行深圳�分行进行举证。（二）一审判决适用法律错误。根据《中华人民共和国合同法》第四十条的规定，应判定以下条款无效：《中国银行股份有限公司个人账户开户及综合服务协议书》第三条、第七条第（四）款第2点、第七条第（四）款第4点、第七条第（四）款第7点，《中国银行股份有限公司电子银行章程》第九条等等。中行深圳市分行不能推卸采取必要技术手段和流程增强网上银行用户名、密码、手机交易码、动态口令及其他凭证安全性的责任。这些明显免除中行深圳市分行采取适当的技术手段、流程措施保障刘莹网上银行身份认证信息安全和资金安全的责任，加重刘莹自行保管用户名、密码、动态口令和手机交易码的责任，排除刘莹权利，应认定为无效条款。原审法院判定“根据《中国银行股份有限公司电子银行章程》第九条约定，涉案交易应视为原告本人所�，中行深圳市分行依据相关交易指令对外汇付款项的行为属于正确的履行行为”明显偏袒中行深圳市分行，损害刘莹的权益。二、一审违反法定程序，程序违法。一审庭审过程中刘莹向法庭提交了24份证据，其中包括7小时的视频资料，中行深圳市分行向法庭提交了9份证据，而一审庭审过程只用了一个小时就审理完毕，举证、质证、辩论均未充分进行，原审法院庭审过程中审判人员多次打断刘莹的质证及辩论发言，庭审过程记录直接复制双方提交的电子资料，存在大量由刘莹提出需要中行深圳市分行进行澄清的问题均未得到中行深圳市分行的回应，而直接将问题记录到庭审记录之中，剥夺刘莹辩论的权利，损害了当事人的诉讼权利。综上，刘莹请求本院撤销一审判决，依法改判支持其诉讼请求或将本案发回重审；2、一、二审诉讼费用由中行深圳市分行承担。
被上�人中行深圳市分行辩称：一、中行深圳市分行为刘莹办理涉案账户相关网上银行业务时，不存在任何违反法律法规强制性规定的行为，也不存在违反与刘莹之间所签订的相关服务协议及相关业务规则操作的行为。根据中国人民银行《银行卡业务管理办法》第39条的规定，发卡银行依据密码等电子信息为持卡人办理的存取款、转账结算等各类交易产生的电子信息记忆都是该项交易的有效凭据，发卡银行可以凭借交易明细记录或清单作为记账凭证。涉案交易从刘莹与中行深圳市分行均有向法院提交的涉案账户交易明细记录来看，涉案交易与刘莹其他时间所进行的交易一样，均为使用刘莹正确网上银行身份认证信息而完成的正常交易，根据双方所签订的综合服务协议约定，交易指令一经确认，储户不得要求变更或撤销，所产生的电子信息记录均为中行深圳市分行处理电子�行业务的有效凭证。中行深圳市分行对涉案交易是根据双方所签订的协议基于接受刘莹网上银行交易指令的发出而完成的交易服务行为，是履行合同义务的行为，并无不当。二、中行深圳市分行网上银行系统的安全性符合有关法规以及银监会相关规定的安全标准，且中行深圳市分行为刘莹提供网上银行服务时，已通过多层次、多途径、多种方式尽到充分明确的风险告知及采取必要的符合法律规定的安全保障措施，中行深圳市分行的网上银行系统采用的是三道防线、双因素认证的方式来确保储户的资金和信息安全，储户进行网上银行交易时，需使用其正确的用户名、私人密码、结合动态口令完成登陆。在提交交易指令时，除了输入动态口令外，还必须采用手机交易码进行再次身份确认验证才能完成。涉案交易属于网上银行电子交易，是一种无纸化的、与传统柜台交�有显著区别的新型交易，涉案账户登陆中行深圳市分行网上银行的用户名、密码、动态口令以及手机验证码均仅为刘莹知晓，且上述认证身份信息均是可以与刘莹分离的，所以刘莹提出涉案交易使用的IP地址并非其日常使用的地址，从而否认涉案交易是缺乏事实依据的，基于前述理由不排除刘莹向第三人泄露其网上银行身份认证信息或者授权、默认第三人使用其身份认证信息进行网上操作，而且没有任何法律强制性规定网上银行的附加认证必须实现绑定某台计算机硬件或者IP地址，没有证据证明中行深圳市分行对于涉案账户、网上银行交易密码或身份认证信息泄露存在过错。中行深圳市分行在网上银行系统的登陆界面、各营业网点都有相关的提示和风险告知，符合中国银行业监督管理委员会《电子银行业务管理办法》的相关规定。三、刘莹涉案账户存款被转移的原因发生过程都来自其自行陈述，没有任何其他证据证实，其涉案账户变动的结果是否属于民法所规定的损失，尚无法在法律上得到确认。综上，中行深圳市分行认为一审判决认定事实清楚、证据充分，适用法律正确，请求二审法院依法驳回其上诉，维持原判。
为查明案件事实，本院依法向深圳市公安局南湖派出所调取了刘莹报案时的笔录，并交由双方质证。双方对证据的真实性均无异议。
本院对原审查明的事实予以确认。另查明：刘莹于2013年7月11日向深圳市公安局南湖派出所报案，询问笔录的主要内容有：刘莹称其在2013年6月20日下午13时左右收到发自1559923****的一条手机短信，该信息称：刘莹的中国银行e盾于次日失效，要刘莹尽快登陆www.dzocc.net进行更新，刘莹以为是中国银行发送的，遂登陆该网站按照网站要求输入了其用户名和密码等信息，导致自己个�资料泄漏。2013年7月10日早上刘莹取款时，发现该账户有55555.55元被他人通过网银转账支付至中国银行内蒙古的一个账户内，户名为兰＊＊，账号为621661841100081＊＊＊＊。
以上事实，有双方当事人在一审提交的证据、本院依法调取的证据，一、二审庭审及调查笔录中双方当事人陈述等证据证实。
本院认为，本案是储蓄合同纠纷。刘莹在中行深圳市分行开立了个人账户并开通了网上银行服务，中行深圳市分行应当按照双方的约定，提供金融服务并保证刘莹账户内资金的安全，刘莹亦有义务保管好账户、密码等个人信息以及电子证书等网银操作介质。双方的争议焦点是：中行深圳市分行是否履行了合同义务，是否应当承担刘莹的损失。首先，从刘莹在报警时的陈述、结合转账时间等事实，可以认定本案中刘莹账户的55555.55元转账行为，系他人利用刘莹轻信诈骗短信、登陆非中国银行网站、按照网站要求输入了其用户名和密码等认证信息而成功完成的。中行深圳市分行在刘莹申请开立个人账户及开通网银服务、领取E-
TOKEN向其出具的《个人网上银行动态口令牌领取回执》上，用黑体字载明“切勿向任何人透露网上银行用户名、密码和动态口令（E-Token）密码……请安装并及时升级防病毒软件，并不要在网吧等不安全网络环境下使用个人网银，请认准中行深圳市分行唯一官方网址www.boc.cn，谨防假冒钓鱼网站”的安全风险提示。对于涉案以假冒钓鱼网站为掩饰的诈骗方式，中行深圳市分行还通过列举的方式重点提及，中行深圳市分行已尽到通知提示义务。刘莹作为完全民事行为能力人，对1559923****这一非中国银行客服号码发出的手机短信警惕不足，轻信短信内容并登陆与中行深圳市分行唯一官方网址www.boc.cn有明显区别的假冒钓鱼�站www.dzocc.net，并按其指示输入个人账户密码等信息，没有尽到对账号、密码等个人信息的基本保护义务，过错显著。中行深圳市分行按《中国银行股份有限公司电子银行章程》的约定，基于正确的客户身份标识和身份认证方式发出的指令进行转账，无证据证明在本案中存在过错。故刘莹以中行深圳市分行网银服务存在安全漏洞为由要求其承担全部损失，没有事实和法律依据，原审法院不予支持，本院予以认同。
综上，本院认为，刘莹的上诉理由均不能成立，本院不予支持。原审法院认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项、第一百七十五条之规定，判决如下：
驳回上诉，维持原判。
本案二审案件受理费人民币1180元，由刘莹负担。
本判决为终审判决。
审 判 长 秦 拓
审 判 员 �陈国华
代理审判员 张 盈
二〇一四年三月十九日
书 记 员 罗娜 （ 兼）
附：相关法律条文：
《中华人民共和国民事诉讼法》
第一百七十条第二审人民法院对上诉案件，经过审理，按照下列情形，分别处理：（一）原判决、裁定认定事实清楚，适用法律正确的，以判决、裁定方式驳回上诉，维持原判决、裁定；（二）原判决、裁定认定事实错误或者适用法律错误的，以判决、裁定方式依法改判、撤销或者变更；（三）原判决认定基本事实不清的，裁定撤销原判决，发回原审人民法院重审，或者查清事实后改判；（四）原判决遗漏当事人或者违法缺席判决等严重违反法定程序的，裁定撤销原判决，发回原审人民法院重审。原审人民法院对发回重审的案件作出判决后，当事人提起上诉的，第二审人民法院不得再次发回重审。第一百七十五条第二审�民法院的判决、裁定，是终审的判决、裁定。