银行卡网络盗刷案件的裁判思路

作者：宋 健

单位：北京市西城区人民法院

来源：人民司法2018年第25期    

所谓银行卡网络盗刷，是指他人冒用持卡人名义、使用持卡人网络交易身份认证信息进行网络交易，导致持卡人银行卡账户资金减少或者透支金额增加的行为。银行卡网络盗刷多与电信诈骗相关。随着我国互联网金融的迅猛发展，电信诈骗的数量也随之剧增。根据全国性警民联动的网络诈骗信息举报平台——猎网平台发布的《2017年网络诈骗趋势研究报告》，2017年网络诈骗举报数量达到24260件，人均损失14413.4元。其中金融理财类诈骗是首要威胁，人均损失超过5万元。电信诈骗多为异地作案，犯罪分子通常具备一定的反侦察能力，破案周期相对较长，受害人通过刑事追诉较难挽回损失，因此往往会选择起诉开户行或发卡行，通过银行卡民事纠纷维护权益。

一、银行卡网络盗刷案件的典型案例

案例1：甲向乙银行申请办理信用卡，乙银行经审核后向甲发放了信用卡。甲可以使用该信用卡进行透支消费，并需按月偿还透支部分的款项。某日，甲的手机(该手机号即为甲向乙银行申请信用卡时所使用的手机号)收到了一条短信，发送该短信的号码即为乙银行对外统一所使用的“9****”，短信内容大意为登录手机银行网址便可将信用卡未兑换的积分立即兑换为现金等。该网址与乙银行对外公布的网址高度相似，但并不一致。甲误信该短信内容，在手机上点击该网址并登录了网站，然后根据网站的要求自行输入了包括信用卡卡号、交易密码、预留手机号码等信用卡关键信息。输入完毕后不久，甲的手机立即收到了3条短信，内容分别为：甲正在为其名下的信用卡在第三方支付平台丙开通快捷支付业务；甲成功地开通了这一快捷支付业务；甲通过上述快捷支付业务用其信用卡向商户戊支付款项5万元。甲立即怀疑信用卡被盗刷，在向乙银行举报盗刷后，甲为避免逾期还款，自行偿还了当月账单。甲在获悉乙银行拒绝确认盗刷后起诉乙银行，要求乙银行向其返还所垫付的盗刷款项。

二、银行卡网络盗刷案件的特点

这一案例充分体现了银行卡网络盗刷案件的诸多特点。

一是纠纷往往涉及多方当事人。上述案例中，至少包括持卡人(诈骗受害者)、发卡行、跨行清算交易系统(银联)、诉争交易的收款方、第三方支付平台、电信运营商以及诈骗方7个主体。事实上，每一个主体都与涉案交易的发生存在因果关系和/或(法律上的)利害关系，各个主体之间的法律关系也尤如蛛网一般错综复杂。基于查清事实的目的，是否追加其余的当事人为案件第三人也是颇令裁判者头疼的事情。

二是电子合同大量适用。此案中，除了持卡人最初向发卡行提交的信用卡申请表之外，再无其他任何原始的纸质合同或凭证(有银行已经开始线上发行信用卡，连纸质申请表也无需提交)，所有合同文本、合同条款及履约凭证全部储存于线上服务器内。

三是证据效力难以认定。如前所述，此类案例基本不存在任何纸质介质的原始证据，而习惯了依靠原始书面证据来认定事实的法官在面对大量系统截屏或系统打印件之时难免会陷入左右为难的困境。任何证据均存在被篡改的可能性，但是与传统证据相比，篡改电脑或手机截屏、照片以及其他打印件、复印件的难度显然要小得多。如何尽快适应审查电子证据乃至找到相对统一的审查标准，也是摆在裁判者面前的一大难题。

四是法律规则供给不足。针对电子合同以及线上交易模式，摆在裁判者面前可供选择的裁判规则少之又少。虽然我国针对电子合同已经颁布了电子签名法，并且在民法总则当中对以数据电文形式作出的意思表示也有规定，但是客观来讲，除了互联网金融服务提供者所提供的合同条款之外，几乎没有可以专门适用于诉争争议的特定规则。

五是起诉请求权基础混乱。具体表现为：原告方对自己诉讼请求所对应的请求权基础认识不清，时而基于违约，时而基于侵权；被告方高度依赖合同条款进行答辩。面对相对凌乱的起诉，裁判者也在怀疑电子合同条款效力的同时，缺乏足以形成三段论的认识体系，导致裁判逻辑五花八门。

三、银行卡网络盗刷案件的裁判思路

面对疑难案例之时从案件争议所涉及的法律关系开始入手分析，通常不失为良策。

第一，甲与乙银行之间存在信用卡合同关系。在该合同项下，甲有权以自己的名义作为持卡人直接或通过第三方向乙银行发出付款给某收款方的交易指令，乙银行在收到上述指令后，有义务审核该指令的真实性并完成付款义务；乙银行有权要求甲偿还每个账单周期内总计发生的垫付款项。

第二，诈骗者丁通过技术手段窃取了甲所持有信用卡的关键信息，利用该信息假冒甲的名义与第三方支付平台丙订立了快捷支付协议。根据该快捷支付协议以及平台丙与乙银行之间的合作协议，平台丙有义务在收到来自甲的付款指令后自甲的银行账户将款项转至指定对象处。此后，丁再次冒用甲的名义，通过平台丙使用甲的信用卡完成快捷支付，交易相对方戊实际取得乙银行支付的款项。乙银行同时认为自己取得了要求甲偿还上述款项的相关债权。

因此，案例1的诉争争议可以归纳为：甲是否受该快捷支付协议约束？乙银行在依据平台丙所发送交易指令完成付款后，是否有权要求甲依约偿还所付款项？

为更清晰地展示互联网背景对交易模式的影响，在此引入对照案例2。案例2发生在互联网出现之前的时期，此时所有合同的订立还是通过传统签字画押的方式。在这一案例中，甲乙二人相貌相似，乙偶然拾得了甲的身份证件，并冒用甲的名义与贷款人丙订立了借款合同，丙则实际向乙支付了借款。在此情况下，甲是否受该借款合同的约束？丙是否有权直接要求甲返还借款？

该案例其实指向了司法实务中争议已久的一个重要问题，即冒用他人名义所为法律行为的效力问题。对此，有观点认为，可类推适用表见代理制度，认定被冒名者虽未实际作出该法律行为，但其仍受约束。另有观点认为，可类推适用无权代理制度，并在被冒名者拒绝追认的情况下认定该法律行为无效；还有观点认为，代理仅为民法上一种特殊制度，只能在代理人表明代理人身份时才能适用，不应随意扩大解释或类推适用，对此类案例应当直接认定甲与丙之间不存在合意，法律行为自然亦不存在，甲不应受其约束。

冒名行为之所以争议不断，或许关键原因在于对意思表示及其作出机制的认识不同。笔者认为，在乙没有表明其将代理甲作出意思表示的情况下，乙所实际作出的意思表示必然只能约束乙而不能约束甲，但丙事实上并不想与乙订立合同，换言之，无论是乙与丙还是甲与丙之间均不存在合意。由此所得出的结论是，甲与丙之间尚未达成合意，故笔者赞同上述第三种观点。

但是，如果用这种逻辑去解释案例1时，问题便出现了：依照该逻辑势必得出甲与平台丙之间不存在快捷支付协议的结论，进而得出乙银行依据平台丙的指令进行付款并无合同依据，最终得出甲有权要求乙银行返还垫付款项的结论。然而这一结论果真是正确的吗？

最后通过引入案例3来更为直观地认识这一结论的错误。案例3回到了互联网交易的大背景之下，可以将其概括为互联网时代的冒名交易。在案例3中，某网上商城丙的用户甲惯用的购物账号及密码因故泄露给乙，乙便通过登录甲的账户使用甲所绑定丁银行的银行卡完成了一笔实物交易并获得该物。甲发现后，能否向商城或银行要求赔偿自己的损失？当然，甲对商城丙的请求通过甲与丙的用户协议应当可以直接予以解决，而甲对丁银行的请求同理可证。但是，假如两份协议没有类似“凡是使用甲的账户所进行的全部交易其后果均由甲自行负担”等约定条款，甲对丙或丁的请求就应当得到支持吗？恐怕也未必。但是依据何在？

笔者认为，在案例3中，核心问题在于自然人甲通过注册商城账户的行为，事实上创制了一个只存在于互联网中的虚拟主体。当然，目前对这个虚拟主体的法律属性没有规定，对其权利能力或者行为能力的任何讨论更是为时尚早。但是，将这个虚拟主体视为自然人甲作出意思表示的工具或途径应当是没有争议的。承认这一点，问题就会变成：凡通过这一账户作出的意思表示是否均应视同甲本人作出？如是，即便确实是乙盗用了甲的账户向商城丙发出了交易的意思表示，商城丙仍然有理由认为，作出该意思表示的主体是甲，并最终与甲形成合意(基于意思表示的客观主义原则)，而丁银行依据其与甲的相关支付协议完成付款，自然也是有效的。

那么，上述结论的正当性何在？笔者认为，保护交易相对方的合理信赖在线上交易的背景下至为重要。换言之，甲是否通过交易前积极主动的意思表示，使交易相对方对甲的身份产生合理信赖，成为问题的关键。举例而言，这与我国古代皇帝调兵遣将时所使用的虎符颇为类似，而且也是案例3与案例2决定性的不同。

在案例3中，甲事实上作出意思表示愿意与商城丙订立线上交易服务合同，丙完全有理由相信使用甲本人所创立账户的行为人就是甲本人，因此从客观主义立场出发，即便是针对他人使用甲账户与丙达成的具体交易，也应当认定甲就是这一具体交易的相对方。而在案例2当中，甲从来没有向贷款人丙作出过任何意思表示，丙只是基于甲与乙相貌类似的理由相信乙就是甲本人。在此情况下，最严格的客观主义原则也没有适用的空间，甲与丙之间并不存在合意，因此丙应当自行承担交易对象身份认定错误而导致的不利后果。

与传统线下面对面的交易相比，线上交易注定要求表意人通过某种工具或机制来对相对方作出意思表示，如网站账号、预留手机等。这种从表意人自身剥离出来的工具或机制给了客观主义原则进驻的空间，结合意思表示解释理论中的表示主义立场，笔者认为在如今互联网交易背景之下，对上述意思表示的作出工具或机制予以认可既有必要，同时也是正确的。

如此一来，便可继续回到案例1并作出分析。案例1中，甲与乙银行之间的信用卡合同关系有效存续。甲使用信用卡刷卡消费时自然需要另行向乙银行发出意思表示，该意思表示的内容为要求乙银行向特定对象支付消费款项。而当消费发生在互联网上时，该种意思表示的载体必然只能是数据电文，其必备要素至少包括交易对象、款项数额以及甲与乙银行事先约定的足以使乙银行合理信赖该意思表示为甲所发出的外观表征(如交易密码或手机验证码等)。换言之，针对通过数据电文所发送的意思表示，甲与乙银行在订立信用卡合同关系之时便已经确定了一套固定的发出及确认机制。此外，从某种意义上讲，甲与乙银行之间确立的此种机制在乙银行及其合约对象之间具有传递性。如案例1中，与乙银行存在合作协议的第三方支付平台丙虽然未与甲事先确立此种机制，但是丙在收到包含前述外观特征的意思表示并经乙银行确认核实后，同样可以合理信赖该意思表示为甲所发出，并使得其与甲之间客观上形成了合意。据此，便可以得出结论：在甲出于真实意思表示与乙银行订立信用卡合同关系的前提下，凡使用甲预设的交易密码或通过甲预留手机收到的验证码所完成的交易(包括与第三方订立的其他互联网金融类合约)，其所产生或所附义务均应当由甲负担。

综上所述，由于互联网交易中表意人作出的意思表示必须通过数据电文的方式作出，因此若表意人在订立最初的合同时意思表示真实并与相对方形成合意。此合意形成后，基于客观主义解释立场的要求，凡通过相同工具、方式或路径而对相对方所作出的意思表示，其效果均应当约束表意人本人，除非这种意思表示的作出乃是由于相对方自身故意或过失所导致。在后一种情形下，可以推定相对方知晓或应当知晓该意思表示主观上不真实的情形，因而不采用客观主义的解释立场。

值得一提的是，上述逻辑在面对传统伪卡盗刷时也能给予充分解释。所谓伪卡盗刷，指犯罪嫌疑人通过技术手段复制他人银行卡(绝大多数为磁条卡)，并通过复制的银行卡完成ATM机取现或POS机消费并造成持卡人损失。此前的司法实务中，多以发卡行有义务保障持卡人账户安全为由支持持卡人的诉讼请求。若适用上述逻辑后，便可以将持卡人与发卡行在发卡之时所达成的合意解释如下：持卡人与发卡行一致确认，所有支付均应当使用发卡行向持卡人实际发放的银行卡，换言之，该银行卡本身即为双方共同认可的信赖基础，也是持卡人发出意思表示的唯一载体，持卡人也只应当对通过该银行卡完成的交易承担责任(如卡片和密码遗失导致的盗刷亦应当由持卡人本人承担)。非因持卡人本身原因造成的伪卡交易，因发卡行负有确认相关交易指令是否经由该银行卡所发出的义务，在发卡行事实上未能准确予以识别的情况下，发卡行便应当自担风险。

结语

金融消费从线下向线上转移已经成为不可逆转的发展趋势，新型矛盾纠纷自然也会随之产生。作为裁判者的法院应当尽快熟悉互联网金融业务的特性，以促进互联网金融健康发展为准则，并对传统的裁判思路作出调整。不言而喻，在保障资金安全以及防范诈骗风险这两方面，金融机构能做的显然比金融消费者更多，但是，这是否意味着针对以银行卡网络盗刷案件为例的互联网金融纠纷，法院就应当无原则地更加偏向保护金融消费者呢？笔者认为，以维护法律体系的一致性和准确性为原则的裁判规则，势必更有利于整个互联网金融行业的发展，而若一味地偏向保护金融消费者，却可能导致从业者面对相对混乱的规则无所适从。从审判指导实践的立场出发，一个统一而准确的规则体系，恰好可以指引互联网金融从业者尽快针对制度上的风险点积极采取措施，例如针对电信诈骗，从业者完全可以采用更具有人身专属性、更为安全地识别交易主体机制(如指纹识别、人脸识别乃至瞳孔识别等)，以此来保障对交易相对方身份识别的正确性，进而最大限度地防患于未然。此外，大力推广金融产品财产损失保险或互助型保险，也可以更有效、更直接地保护金融消费者的合法权益。实现这一目标，则需要全体互联网金融从业者的共同努力。     

阅读量：434 PC版链接 移动版链接