利用银行信息管理系统漏洞非法套现行为之定性研究

文◎薛 培* 周 利**

利用银行信息管理系统漏洞非法套现行为之定性研究

文◎薛 培* 周 利**

本文案例启示：利用信用卡非法套现行为的认定应从犯罪主行为的本质特征加以分析。行为人利用POS机、银联与银行计算机信息管理系统信息传递的时间差非法套取银行财产的，其犯罪主行为是秘密窃取行为，符合盗窃（金融机构）罪的构成要件，应当认定为盗窃罪。

[基本案情］2009年3月14日，行为人A到某银行营业柜台，拿出5万元现金，并填写了一个准贷记卡账号，要求将钱办理无折/卡存款业务存入该账户内。银行员工将钱存入后，打印了存款凭据，要求A签字确认。此时，A拿出电话，拨通了一个号码，说道：“我把钱汇过去了，你查一查有没有收到。”与对方通完话后，A立即对银行员工说：“不好意思，刚才账户存错了，你再帮我转存一下。”然后掏出另一张借记卡，要求将刚才那笔5万元的存款撤销，转存到这张卡上。随后，银行员工按照正常流程，为A办妥了转存手续。从银行员工将5万元存入A事先指定的账号，到转存入更改的账号，前后时间不超过两分钟，然而就在这两分钟里，A身在异地的同伙立即在交付少量费用后通过一家不法商家的POS机刷走了49980元。此后，A及其同伙利用相同手法相继在几家银行套现13万余元。

一、本案争议之焦点

对于行为人A及其同伙的行为应如何认定，存在着五种迥然不同的观点：

（一）行为人的行为系不当得利，属于民法调整的范围，不构成刑事犯罪

行为人A及其同伙确系利用了交易信息传输中存在时间差套取了银行的款项，但所有的存取款交易记录都会在银行的计算机信息管理系统中真实地反映出来，这种行为违背了诚实信用原则，是一种违法获取不当得利的行为，但尚不构成犯罪，银行可以通过自身计算机信息管理系统所记录的存取款信息，按照银行相关规定降低其信用等级、运用民事诉讼等相应手段追索回被行为人A及其同伙套取的款项。

（二）行为人的行为构成诈骗罪

行为人A及其同伙以非法占有为目的，采取欺诈的手段使银行员工误认为其只是将已经存入贷记卡的5万元转存入另外一张借记卡，致使银行员工及银行计算机信息管理系统不能或无法辨认其行为的真实性，其目的是让行为人A及其同伙利用POS机、银联与银行系统信息传递时存在着时间差非法套取了已经属于银行管理的款项，其行为符合诈骗罪的构成要件，应以诈骗罪追究其刑事责任。

（三）行为人的行为构成信用卡诈骗罪

行为人A及其同伙以非法占有为目的，采取欺诈的手段使银行员工误认为其只是将已经存入贷记卡的5万元转存到了另外一张借记卡，然后利用POS机、银联与银行计算机信息管理系统信息传递的时间差非法套取银行款项，行为人A及其同伙此时是利用信用卡非法套取银行款项，是诈骗中的特殊行为，其行为同时符合诈骗罪和信用卡诈骗罪的犯罪构成要件，但由于诈骗罪和信用卡诈骗罪法律条文之间存在着包容或交叉关系，属于法条竞合犯，按照特别法条优于普通法条适用的原则，应择一重罪论处。因此，其行为应以信用卡诈骗罪追究其刑事责任。

（四）行为人的行为构成盗窃（金融机构）罪

行为人A及其同伙以非法占有为目的，采取欺诈的手段使银行员工误认为其只是将已经存入贷记卡的5万元转存入到自己的另外一张借记卡，行为人A及其同伙此时是利用POS机、银联与银行计算机信息管理系统信息传递时存在着时间差非法套取银行款项，从其行为表面来看，确实是采取了欺诈的手段，但实质上是利用银行在此极短的时间内暂时没有任何人 （包括计算机信息管理系统）看护的缺陷，通过秘密窃取的手段获取非法利益，这种作案手段显然是形式上类似骗取，而实质上属于盗窃，其行为完全符合盗窃（金融机构）罪的构成要件，应以盗窃（金融机构）罪追究其刑事责任。

二、关于本案的法理分析

1999年1月5日中国人民银行颁发了《银行卡业务管理办法》，其第二条规定：本办法所称银行卡，是指由商业银行（含邮政金融机构，下同）向社会发行的具有消费信用、转账结算、存取现金等全部或部分功能的信用支付工具。第五条规定：银行卡包括信用卡和借记卡。第六条规定：信用卡按是否向发卡银行交存备用金分为贷记卡、准贷记卡两类。贷记卡是指发卡银行给予持卡人一定的信用额度，持卡人可在信用额度内先消费、后还款的信用卡。准贷记卡是指持卡人须先按发卡银行要求交存一定金额的备用金，当备用金账户余额不足支付时，可在发卡银行规定的信用额度内透支的信用卡。第七条规定：借记卡按功能不同分为转账卡（含储蓄卡，下同）、专用卡、储值卡。借记卡不具备透支功能。

从以上规定我们可以看出，行为人A最初填写的是准贷记卡号，这说明A的同伙利用POS机将该卡进行透支时，只能在信用额度内透支，也就是说，准贷记卡的透支额度毕竟是有限的，行为人A及其同伙为了获取到更多的非法利益，在作案中存款时一次性存入的钱款数量比较大，其后，行为人A又要求银行员工将已经存入准贷记卡的钱款转存入借记卡，虽然借记卡本身不具备透支功能，但存入的款项完全可自由支取。［1］因此，从整个作案过程来看，行为人A及其同伙一次是用借记卡正常取出属于自己存入的款项，而另一次则是用准贷记卡通过不法中介、商家提供的POS机套取出属于银行财产的款项。根据准贷记卡和借记卡的不同属性，我们再来详细论证行为人A及其同伙的行为的性质。

（一）行为人A及其同伙的行为属于不当得利，不构成犯罪的观点不能成立

不构成犯罪必须具备三个条件：一是什么也没有干，谈不上违法犯罪或道德问题；二是行为有违法现象，但并未深入到犯罪的范围之内；三是行为只违反了道德，不违法也不犯罪。那么，本案行为人A及其同伙的行为是否构成犯罪呢？回答是肯定的。

从案件事实来看，本案行为人A及其同伙的行为均不符合上述三个条件。因为，不当得利是指没有法律上的根据，使他人受损而自己得利的行为。不当得利的取得，不是由于受益人针对受害人而为的违法行为，而是由于受害人或第三人的疏忽、误解或过错所造成的。［2］可是本案行为人A及其同伙是为了达到非法套取银行财产的目的，有意针对受害人（银行及其员工）作案，不但没有不当得利的特征，恰恰符合犯罪构成的基本特征，所以行为人A及其同伙行为不构成犯罪的说法没有任何法律根据。

（二）行为人A及其同伙的行为不构成诈骗罪

诈骗罪是指以非法占有为目的，用虚构事实或者隐瞒真相的方法，骗取数额较大的公私财物的行为。诈骗罪的基本构造是：行为人以不法所有为目的实施了欺诈行为——受骗者产生错误认识——受骗者基于错误认识处分财产——行为人取得财产——受骗者受到财产上的损害。[3]并且不管是虚构、隐瞒过去的事实，还是现在的事实与将来的事实，不管是对自然人隐瞒，还是对计算机隐瞒，只要具有上述内容的，就是一种欺诈行为和方法。欺诈既可以是语言欺诈，也可以是行动欺诈，欺诈行为既可以是作为，也可以是不作为。本案中行为人A及其同伙因为事先知道银行计算机信息管理系统存取款后载入信息在时间上有一定的差距，为达到非法占有公私财物的目的，将5万元现金存入后，在银行员工请其在打印的存款凭据上签字确认之时，欺骗银行员工说刚才账户存错了，要求帮其再转存。此种行为虽然在表面上符合诈骗罪的构成要件，但其实质上仍然是利用了银行计算机信息管理系统在存取款过程中无法及时传送信息的漏洞悄然转移已经属于银行的财产。

具体而言，行为人的行为不构成诈骗罪的理由在于：诈骗罪与盗窃罪在本质上有着区别，其关键区别在于受骗人是否基于认识错误处分了财物，也就是说，是否将财物转移给行为人占有和支配，倘若被害人“自愿”处分了财物，则构成诈骗罪；倘若被害人没有处分财物，则构成盗窃罪。具体到本案，首先，从主观上看，受骗的银行员工始终都没有将款项转移给行为人A支配和控制的意思。受骗的银行员工仅是按照行为人A的要求将款项转存，是从一个账户转存入另一个账户，而不是受蒙蔽“自愿”将款项支付给行为人A。其次，从社会的一般理念看，在当时的情况下，虽然银行员工已将款项从行为人A的贷记卡转存在其借记卡上，但是银行仍然没有丧失对款项的支配和控制。行为人之所以取得款项完全是行为人A及其同伙利用POS机、银联与银行计算机信息管理系统信息传递的时间差非法套取并脱离银行支配和控制行为所致。第三，从物的特性看，存入银行的款项已经属于金融机构管理的财产，从其贷记卡转存入借记卡仅只意味着委托对象的变更，而并不能改变存入款项已经属于银行财产的基本属性，行为人A及其同伙不可能因转存行为而实际取得对款项的支配和控制，所以，本案不应定性为诈骗。

（三）行为人A及其同伙的行为不构成信用卡诈骗罪

信用卡诈骗罪是指违反信用卡管理法规，以非法占有为目的进行诈骗活动，数额较大的行为。信用卡诈骗的具体形式有四种：一是使用伪造的信用卡或以虚假的身份证明骗领的信用卡；二是使用作废的信用卡；三是冒用他人的信用卡；四是恶意透支，进行信用卡诈骗活动，数额较大的行为。在本案中，虽然行为人A在整个作案过程中使用了信用卡（既使用了准贷记卡，也使用了借记卡），但信用卡仅是其通过伪装存款获得非法占有银行财产机会的作案工具，而不是直接通过信用卡骗取银行的财产，其整个作案过程中使用信用卡不过是在两张信用卡上通过变换户头存款以获取银行员工金融服务的机会，并在此过程中采取掩人耳目的手段，利用变换存款户头之时POS机刷卡与银行计算机信息管理系统接收信息存在的时间差即不同步的漏洞，由其同伙套现，使已经属于银行的财产脱离银行支配和控制，从而达到了非法侵吞银行财产的目的。

从以上分析可以看出，行为人A及其同伙的行为虽然均具有明显欺诈的色彩，但仅是其犯罪行为的辅助手段或从行为。从行为人的作案手段可以看出行为人的目的是为了让银行员工掉以轻心、放松警惕，以为银行的财产始终都处于安全、可控制状态，没有现实、紧迫的危险性，并为自身创造非法套现的条件，或者是攫取财物的时间空隙，进而实现窃取银行财物的犯罪目的。由此，行为人A及其同伙自知欺诈手段无法堂而皇之地让银行及其员工处分财物，实现诈骗钱财的目的，从而采取以利用POS机刷卡与银行计算机信息管理系统接收信息不同步漏洞方式获取非法利益的思路，也能推演出行为人A及其同伙不存在诈骗意图。再从其客观行为来看，行为人A及其同伙完全与信用卡诈骗罪规定的四种行为迥异，因此，其行为既不构成诈骗罪，更不构成信用卡诈骗罪，不能按照法条竞合原则择一重罪以信用卡诈骗罪认定行为人A及其同伙的行为。

（四）行为人A及其同伙的行为构成盗窃（金融机构）罪

根据刑法第260条规定和 《最高人民法院关于审理盗窃案件具体应用法律若干问题的解释》，“盗窃金融机构”，是指秘密窃取金融机构的经营资金、有价证券和客户的资金等，如储户的存款、债券、其他款物，企业的结算资金、股票，不包括盗窃金融机构的办公用品、交通工具等财物的行为。因此，盗窃（金融机构）罪指的是盗窃金融机构较大的资金行为，而不是其他。当然有观点认为本案行为人A及其同伙在此犯罪过程中完全是采用公开而非秘密的方式，在这一点上似乎与盗窃罪系秘密行为不尽相吻合，本案行为人A的犯罪手段几乎完全公开化，毫无秘密性可言，成立盗窃罪有概念上的障碍。既然是盗窃，在手段和方法上必然采取的是秘密行为，而秘密窃取，就是行为人采用不易被财物所有人、保管人或者其他人发现的方法，将公私财物非法占为己有的行为，如趁无人之机溜门别锁、挖洞跳墙、潜入他人室内窃取财物；在公共场所掏兜割包等。

笔者认为，盗窃从形式上看并不一定非要秘密进行，国外刑法理论与司法实践均不要求秘密窃取，现实中完全存在公开盗窃的情况，盗窃手段的秘密性是相对的而非绝对的，只是相对于被害人而言的秘密，［4］比如现实中的“扒手”摸包，可能周围的群众看到明明白白，而被扒者自己竟浑然不觉，这也不能否认扒窃者手段的秘密性。有学者提出盗窃行为并不限于秘密窃取，窃取的手段与方法没有限制，即便使用了欺骗方法，但如果该欺骗行为并没有使对方基于认识错误处分财产的，仍然成立盗窃罪。［5］司法实践中则认为，盗窃罪中的“秘密窃取”，指的是行为人采取自认为不被财物所有人或保管人当场发觉的方法，违背财物所有人、保管人的意志，利用非暴力的手段取得财物的行为。［6］本案行为人A及其同伙，正是采用客户在存款过程中随时可能更换户头这种表面及其正当的方法来掩饰其盗窃的秘密性。行为人A及其同伙取款时就是明知POS机在刷卡后传递的信息与银行计算机信息管理系统接收信息之间存在着时间差，而且也知道银行员工之前并没有察觉到这个漏洞，因此利用该漏洞，银行只能事后发觉行为人A及其同伙的恶意取款行为。虽然行为人A及其同伙持有的是真实的银行卡，营业大厅内也有监控录像，这些都只是使银行事后能够查明其身份，并不足以使银行及其员工能够当场发觉并制止行为人A及其同伙的行为。行为人的主观认识是通过客观行为体现出来的，上述事实足以证实行为人A及其同伙产生了其恶意取款行为至少不会被银行员工当场发觉的侥幸心理。同时也说明，行为人A及其同伙的取款行为对于银行及其员工当时来说是秘密的，所谓行为人A及其同伙行为具有公开性，只是相对于营业大厅内的银行员工当场所见所闻而言，这种公开性是相对而并非绝对的。［7］另外，行为人A及其同伙恶意取款的行为违背了银行的意志，具有非暴力性，这些都充分说明了其行为符合“秘密窃取”的特征。

三、结论

利用信用卡非法套现行为的认定不能被犯罪行为的表象特征所迷惑，应抓住犯罪主行为的本质特征加以分析。不管行为人在犯罪过程中采用了哪一种或者哪几种诈骗手段，只要该诈骗行为作为次行为是为秘密窃取财物这一主行为制造机会、创造条件，在整个犯罪过程中处于次要地位，起辅助、准备作用，且受害人不是自愿交付财物，而是在自身毫不知情的情况下丧失对其财物的所有权的，就应根据犯罪主行为即秘密窃取行为的性质认定为盗窃罪，不能仅依据犯罪过程中存在欺诈、诈骗行为即认定为诈骗罪或信用卡诈骗罪。本案中犯罪行为人A及其同伙采用的欺诈手段只是实施盗窃行为（主行为）的一个辅助手段（从行为），并非直接针对非法获得财物而言，秘密进入银行计算机信息管理系统窃取才是获得银行财物的直接手段。因此，其行为应构成盗窃罪。

注释：

［1］在理论界和实务界，对信用卡诈骗罪的定性问题，一直存在争论，原因之一就是对“信用卡”的概念、认识、理解存在不同看法造成的。1999年《银行卡业务管理办法》对“信用卡”及“银行卡”的概念作了较大的修订（借记卡不再属于信用卡）。因此，理论界有观点认为信用卡诈骗罪既包含信用卡，也包含借记卡，对理论界关于《刑法》第196条信用卡诈骗罪中信用卡的范围是否包括借记卡的争论，笔者认为，不能因为我国现阶段借记卡占绝大多数就将其归入信用卡。从“信用”二字的本意可知，透支功能是信用卡区别于其他金融凭证的最明显特征，不具备透支功能的借记卡不可能成为本罪的犯罪对象（当然现实生活中确实出现了许霆用借记卡透支的特例），信用卡诈骗罪中的信用卡一般而言应当指贷记卡和准贷记卡。参见黄祥青：《信用卡诈骗罪的立法分析与司法认定》，载《人民司法》2000第6期。

［2］参见刘明祥：《许霆案的定性——盗窃还是信用卡诈骗》，载《中外法学》2009年第1期。

［3］参见张明楷：《刑法学》（第三版），法律出版社2007年版，第735页。

［4］日本学者大塚仁教授在阐述窃取一词的含义时指出：“所谓‘窃取’，是指单纯的盗取，即不采取暴行、胁迫，违反占有者的意思，侵害其对财物的占有，将财物转移为自己或者第三者占有。虽然使用着‘窃’取一语，但是，并不需要暗地里取得，也可以是公然地侵害占有。 ”参见[日]大塚仁：《刑法概说（各论）》（第三版），冯军译，中国人民大学出版社2003年版，第193页。

［5］张明楷：《刑法学》（第二版），法律出版社 2003年版，第242页。

［6］《许霆案审判长：恶意取款符合秘密窃取特征》，载《法制日报》2008年5月23日。

［7］秘密与公开之间的区别是相对而非绝对的，秘密窃取之秘密，仅仅意味着行为人意图在财物所有人或保管人不在场、未注意的情况下将财物据为己有，但这并不排除盗窃罪也可能是在光天化日之下实施。参见陈兴良：《规范刑法学（下册）》（第二版），中国人民大学出版社2008年版，第747页。

*四川省成都市人民检察院，全国检察理论研究人才，四川省检察业务专家［610041］

**重庆市合川区人民检察院［401519］