贵州省遵义市中级人民法院民 事 判 决 书（2018）黔03民终5751号
上诉人（原审原告）：刘海，男，汉族，1987年12月30日生，贵州省遵义市人，现住贵州省遵义市红花岗区。
委托诉讼代理人：倪磊，贵州舸林律师事务所律师。
委托诉讼代理人：谢辰月，贵州舸林律师事务所律师。
被
上诉人（原审被告）：招商银行股份有限公司遵义分行，住所地:贵州省遵义市红花岗区民主路**。统一社会信用代码：91520300590789602H。
负责人：任洪波，该分行行长。
委托诉讼代理人：许彬彬，贵州诚稳律师事务所律师。
上诉人刘海因与被上诉人招商银行股份有限公司遵义分行（以下简称“招商银行”）银行卡纠纷一案，不服贵州省遵义市红花岗区人民法院（2018）黔0302民初6417号民事判决，向本院提起上诉。本院于2018年10月9日立案受理后，依法组成合议庭进行了审理，本案现已审理终结。上诉人刘海上诉请求：
一、撤销贵州省遵义市红花岗区人民法院于2018年8月14日所作的（2018)黔0302民初6417号民事判决书，并依法改判被上诉人赔偿上诉人6万元损失及利息；
二、一二审诉讼费由被上诉人承担。事实和理由：一审人民法院认定事实错误，适用法律错误。被上诉人作为发卡行，对客户账户资金负有安全保障义务，由于招商银行未尽到义务，应对上诉人的损失承担赔偿责任。上诉人虽然取消了U盾保护，但仍然使用密码保护。本案为非正常交易，被上诉人虽向上诉人发送风险提示，但均不能减轻或者免除被上诉人未能识别和防止非正常交易所应承担的相应责任。证明上诉人有过错的举这个责任应分配给被上诉人，转账时上诉人在贵阳，账款在南京被转至他人账户，根据交易时间、地点和报案情况，可推断交易非上诉人本人所为。金融机构负有保证储户银行卡内信息不被窃取、复制的义务，被上诉人提供的证据不足以证明上诉人故意或者过失导致银行卡信息或者密码泄露，故被上诉人应承担举证不能的不利后果。
被上诉人招商银行辩称：原审判决认定事实清楚，证据充分，适用法律正确，程序合法，应予以维持。上诉人刘海银行卡被盗刷并非伪U盾盗刷或交易系统存在安全缺陷所致，且每一笔交易过程均向刘海本人手机发送了验证码以确认交易系其本人操作，我行不存在过错，更不存在系统风险。在《申请开立招商银行个人银行账户须知》中我行已提示申请人须妥善保管账号、密码、短信验证码，不得泄露个人账户资料，否则由此产生的风险、损失及后果由申请人承担。刘海账户后台信息、短信发送记录等证据，足以证明上诉人刘海银行卡被盗刷系其本人保管密码不当、复制及备份证书、通过验证码授权IP在江苏省南京市的电脑进行证书恢复，并授权该电脑在无需U盾的情况下可进行登录并转账等行为所导致，责任应由其本人承担。刘海向一审法院起诉请求：1.判令招商银行赔偿刘海存款损失6万元；2.案件诉讼费由招商银行承担。一审法院认定事实：2017年刘海在招商银行办理了卡号为32×××75的银行卡时，申请开通了网上银行，并设置了密码和U盾。2017年11月6日14时46分48秒，刘海在其办公电脑上通过银行卡U盾登录大众版服务器，14时54分完成个人硬证书复制软证书操作，15时04分03秒完成证书备份操作，15时08分33秒刘海通过恢复证书验证码成功恢复文件证书，15时09分39秒完成个人证书用户退出。刘海在个人证书用户退出后至16时27分55秒期间，多次使用个人证书用户登录和登录大众版服务器，进行转账汇款功能修改、一卡通取款密码校验等操作。之后，刘海将复制的文件证书导入其使用的U盘内，在拨出U盘后离开操作电脑。在刘海的操作过程中，招商银行对复制证书、备份证书、恢复证书的风险均通过短信方式向刘海提示。2017年11月7日凌晨14分30秒至17分，刘海账户后台信息显示其文件证书登录和退出情形。2017年11月7日1时51分43秒至1时55分23秒，刘海银行卡账户内的存款60002元在江苏南京被转至他人账户。刘海收到转账短信后于当日向贵阳市公安局白云分局艳山红派出所报案，派出所于2017年11月8日受理该案，并于2017年11月11日以刑事案件立案侦查，该案至今未侦查终结。报案后刘海又在派出所的要求下拨打招商银行客服电话，将银行卡资金被转走事宜告知招商银行予以处理。一审法院认为：本案争议焦点是刘海账户内的资金丢失是招商银行的网上银行交易系统存在问题所致，还是刘海未对其转账密码尽到保管义务所致？就本案而言，刘海开设账户时申请开通了网上交易业务，并对账户及网上交易均设置了相应密码，刘海的网上银行交易原本需要招商银行提供的U盾及刘海设置的密码才能完成转账业务，由于刘海通过网上银行系统对证书进行复制、备份、恢复，在其获取证书后又进行转账汇款功能修改、一卡通取款密码校验等操作，致使原本也需要U盾控制的小额转账限制条件被修改为仅凭密码即可转账，而刘海的账户后台信息显示刘海在复制、备份、恢复证书过程中招商银行均以短信方式对存在的风险进行了提示，招商银行已尽到了风险提示义务，且刘海账户资金被转走的交易系正常的电子交易。刘海提供的现有证据不能证明本案的网上银行交易系统存在问题，也不能证明招商银行存在过失，作为对转账密码负有保管义务的刘海对通过密码转账带来的法律后果应自行承担法律责任，根据《中华人民共和国民事诉讼法》第六十四条第一款“当事人对自己提出的主张，有责任提供证据。”及《最高人民法院关于适用的解释》第九十条“当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。”的规定，对刘海要求招商银行赔偿存款损失60000元的诉讼请求，不予支持。综上所述，依照《中华人民共和国民事诉讼法》第六十四条第一款及《最高人民法院关于适用的解释》第九十条之规定，一审
判决如下：驳回刘海的诉讼请求。案件受理费1300元，减半收取650元，由刘海负担。刘海多缴纳的案件受理费650元，本院予以退还。本院二审期间，当事人没有提交新证据。本院
经审理查明的事实与一审相同。
本院认为，本案二审双方当事人争议的焦点问题为：1、刘海网银账户被盗取并转账，是持卡人的过错还是银行的过错所致，招商银行是否尽到相应的告知和提示义务；2、招商银行是否应当承担责任；3、一审法院分配举证责任是否恰当。关于刘海网银账户被盗取并转账，是持卡人的过错还是银行的过错所致，招商银行是否尽到相应的告知和提示义务的问题。网上银行又称网络银行、在线银行，是指银行利用计算机网络技术向客户提供开户、销户、查询、对账、行内转账、跨行转账、信贷、网上证券、投资理财等传统服务项目，使客户可以足不出户就能安全便捷地管理活期和定期存款、支票、信用卡及个人投资等。本案中，刘海通过办理招商银行卡，申请开通了网上银行，并设置了密码和U盾。双方形成了银行卡合同关系。网上银行涉及银行业目前普遍使用的数字证书机制。数字证书是一个包含个人身份信息的电子文件，就像一把能够证明使用人身份的钥匙，它能够保证只有钥匙的真正主人才能打开大门，即使用网上银行。数字证书还具有电子签名功能，记录交易过程。在正常情况下，只有同时具备U盾和密码才可以办理网银账户的各种业务。U盾是办理网上银行业务的高级别安全工具，它的特点是将数字证书封装在Usbkey，木马程序无法盗取，故可以保障网上银行资金安全。由于刘海通过网上银行系统对证书进行复制、备份、恢复，在其获取证书后又进行转账汇款功能修改、一卡通取款密码校验等操作，致使原本需要U盾控制的小额转账限制条件被修改为仅凭密码即可转账，即将“硬证书”（把数字证书放在硬件的储存介质Usbkey里）复制“软证书”（把数字证书放在计算机浏览器中），从而放弃了使用U盾的保护功能，自行降低了账户的安全保护设置，客观上为他人利用木马病毒盗取数字证书提供了可乘之机。网银密码是在登录个人网上银行时使用的密码。网银登录密码，也称为“私人密钥”，由6至10位数字、大写字母组成。其作用在于辨识文件签署者身份及表示签署同意电子文件内容并对数据电文进行保密，具有唯一性和私密性的特点。密码泄露的过错在于发卡行还是持卡人，决定着持卡人是否承担民事责任，或在承担责任前提下的比例多少。本案中，刘海在备份证书时按照提示留存了用户密码并加密。刘海将复制的文件证书导入其使用的U盘内，其再次使用U盘时便增加了被盗取的风险。招商银行提供的《申请开立招商银行个人银行账户须知》第四条提示：凡使用密码及/或短信验证码进行的交易均视为申请人本人办理的交易。刘海在个人开户申请书中选择了网上银行转账汇款需短信验证码转账且短信接收手机为刘海所持手机（号码186××××****）。2017年11月6日，在刘海的操作过程中，招商银行对复制证书、备份证书、恢复证书的风险均通过短信方式向刘海提示输入验证码才能操作成功。按照该网上银行转账模式，在刘海或者他人以刘海的网银账户转账时，银行系统会自动向刘海手机发送短信提示，如果没有刘海手机回复短信验证码，操作难以成功。综上所述，招商银行提供的网上银行安全措施也是目前银行系统通行且有效的安全措施。在刘海放弃了使用U盾的保护功能后，凭借密码转账必须刘海或其授权的人操作且按照《开户申请书》中载明的需短信验证码验证后才能转账，根据《开户申请书》中的客户申请，招商银行已尽到提示说明义务并采取了银行业目前行之有效的安全措施，因此，密码泄露的过错不在于招商银行。刘海主张“招商银行未尽到义务”的上诉理由不能成立，本院不予支持。关于招商银行是否应当承担责任的问题。
本院认为，金融机构是否应该对客户网银账户信息被盗承担责任，应以金融机构是否履行自己应尽的行业义务为前提，换言之，金融机构对客户网银账户信息的安全保障义务是有必要限度的。如前所述，招商银行采取的网上银行安全措施是目前银行系统通行且有效的安全措施。招商银行不仅举出了开立银行账户时的《个人账户开户申请书》和《申请开立招商银行个人银行账户须知》，还提供了刘海账户后台信息，证明如果没有刘海授权并通过验证码验证，安全措施不会被解除且不可能转账成功。本案中所涉及的交易是网上银行业务，不需复制伪卡并在异地交易，因此，刘海诉称“转账时上诉人在贵阳，账款在南京被转至他人账户，根据交易时间、地点和报案情况，可推断交易非上诉人本人所为”的上诉理由不成立，本院不予支持。金融机构虽然负有提供安全交易平台并保证客户网银账户信息不被窃取、复制的义务，但是这种义务是有必要限度的。限度就是：如果客户按照安全保密措施提示操作后，账户信息仍然被盗取，则银行应当承担责任，如果客户不按照安全保密措施提示操作且有重大过错，则账户信息被盗取的责任由客户本人承担。从本案看，刘海放弃使用U盾的保护功能是本人行为，设置密码并在收到交易验证码后输入验证码也是本人行为，由于刘海本人的重大过错导致网银资金被转账的情况下，仍然要求招商银行承担责任，显然超过金融机构所应承担责任的必要限度。刘海向公安机关报案后，才在派出所的要求下拨打招商银行客服电话，将银行卡资金被转走事宜告知招商银行予以处理。故不存在由于招商银行处理不及时（如：不及时挂失止付）导致损失扩大而应承担相应责任的情况。因此，刘海上诉称“金融机构负有保证储户银行卡内信息不被窃取、复制的义务，被上诉人提供的证据不足以证明上诉人故意或者过失导致银行卡信息或者密码泄露，故被上诉人应承担举证不能的不利后果。”的上诉理由不充分，本院不予支持。关于举证责任的分配问题。本案中，招商银行已举出证据证明自己尽到了风险提示和安全保障义务，上诉人刘海对此提出反驳，认为招商银行的网上银行交易系统存在漏洞。根据《最高人民法院关于适用的解释》第九十条关于“当事人对自己提出的诉讼请求所依据的事实或者反驳对方诉讼请求所依据的事实，应当提供证据加以证明，但法律另有规定的除外。在作出判决前，当事人未能提供证据或者证据不足以证明其事实主张的，由负有举证证明责任的当事人承担不利的后果。”的规定，刘海就应提出相应的证据予以证明。但刘海并未提出反驳的证据，因此应承担不利的后果。一审法院明确由刘海围绕反驳的事实提供证据，不存在分配举证责任不当。综上所述，上诉人刘海的上诉理由不充分，其上诉请求应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第（一）项之规定，
判决如下：驳回上诉，维持原判。二审案件受理费1300元，由上诉人刘海负担。本判决为终审判决。
审判长 张汝坤
审判员 马天彬
审判员 袁晶晶
二〇一九年一月二日
法官助理张辉云
书记员胡邦邦 关注公众号“”