银行卡盗刷案件中的责任承担研究

宋萍

近年来，银行卡盗刷案件频发，由于缺乏相关实体法规和审判的指引，各地法院对银行卡盗刷案件的判决依据和结果不尽相同。本文在梳理中国裁判文书网近两年银行卡盗刷案件判决的基础上，分析银行和持卡人在不同情况下所应承担的举证责任和损失分配，透过司法实践研讨此类案件的责任承担，提出商业银行对银行卡盗刷案件的风险防范与应诉建议，以期有所裨益。

问题的提出

随着我国经济的快速发展，科技日新月异，银行卡在为人民生活提供便利的同时，盗刷风险也与日俱增。银行卡盗刷案件涉及刑事犯罪，而由于盗刷经常发生在外地甚至境外，导致此类案件的侦破率较低，即使破获，通常贓款也会被挥霍一空，无法追回。此外，持卡人通常会选择起诉发卡行，而发卡行往往认为银行系统运转正常，已尽到相应的合同义务，而且银行卡密码具有私密性，应由持卡人自行承担银行卡被盗刷的责任，极易产生纠纷。

通过在中国裁判文书网检索发现， 2018年1月1日至2019年12月31日共有裁判文书436份，其中一审222件，二审202 件，审判监督程序12件。从地域分布看， 排名靠前的广东省发生46件，河南省有43 件，山东省有40件，北京市有32件。从全国范围看，银行卡盗刷案件多发生于经济较发达地区，一定程度上也反映出该类案件的发生率与经济发展程度密切相关。

数据显示，银行卡盗刷案件数量一直居高不下，更有愈演愈烈之势，并且上诉率极高。通过进一步研究，不难发现，此类案件的裁判结果通常差异较大。究其原因，银行卡盗刷案件并无可供使用的实体法规范，最高院仅以发布公报和典型案例的方式予以指导，虽曾于2018年6月5日发布《关于审理银行卡民事纠纷案件若干问题的规定》征求意见稿，但截至目前尚未正式施行。

银行卡盗刷案件往往涉及发卡行、持卡人、收单机构、特约商户、通信公司等多个主体，案情错综复杂，法律关系竞合交叉，法院审理思路的不同极易导致“同案不同判”。众多银行卡盗刷案件判决缺乏合理性与一致性，不利于保护持卡人的合法权益，同时也干扰了银行在判决影响下的预期及行为。我国虽然不是判例法国家，但基于法律的严肃性考虑，对案情基本相似、法律关系相同的案件，应当统一规范。

银行卡盗刷案件判决的实证考察

银行卡盗刷通常涉及伪卡盗刷和网络盗刷两种形式。《银行卡纠纷司法解释征求意见稿》将“伪卡盗刷”界定为他人伪造银行卡刷卡进行取现、消费、转账等， 导致持卡人银行卡账户资金减少或者透支数额增加的行为;将“网络盗刷”界定为他人冒用持卡人名义、使用持卡人网络交易身份认证信息进行网络交易，导致持卡人银行卡账户资金减少或者透支金额增加的行为。目前，法院审理此类案件的分配责任大体分为以下三类：

约六成法院审理认为，既然持卡人与发卡行之间建立了合同法律关系，发卡行便负有向持卡人支付款项的义务。银行卡内资金被盗取，持卡人需举证证明存在盗刷的事实，在发卡行不能举证证明持卡人存在泄漏银行卡信息等违反合同义务的故意或过失时，发卡行应给付持卡人被盗刷的卡内资金，承担全部违约责任。据此，持卡人举证证明银行卡存在被盗刷的事实，是要求发卡行承担赔偿责任的首要义务。如2018年的一个民事判决书认定：2015年3月12日，石某某在工商银行平川支行办理卡号为×××的理财金账户卡。该账户已注册网上银行，2016年3月13日、3月14日石某某所持有的此卡号为×××的银行卡支出11287.1元。法院审理认为，石某某于2016年4月8日报警称银行卡被盗刷，该卡异常交易发生在2016年3月13日、3月14日，石某某仅提供了银行交易记录，不能证明本人的银行卡存在被盗刷的基本事实，石某某对此应当承担举证不能的法律后果，其要求工商银行平川支行承担责任缺乏基础事实，不予支持。

该案中，石某某由于对银行卡被盗刷的事实举证不能，遂自行承担了全部损失。

约三成法院审理认为，在无法查明发卡行和持卡人各自过错的前提下，推定任何一方存在过错都缺乏依据。根据公平原则，因持卡人对风险的认可接受及其泄漏密码的高度盖然性，应当承担适当责任。如2018年北京市的一个民事判决认为，由于银行卡凭密码交易，在持卡人无法对伪卡交易发生时他人是如何知晓交易密码做出明确解释、且依据现有证据无法确认发卡行对密码泄露存在过错的情形下，持卡人应自行承担因密码泄露导致的风险和损失，综合考虑双方当事人对合同义务的违反程度，根据公平原则，对发卡行的赔偿金额进行酌定并赔偿利息损失。

还有部分法院审理认为，若持卡人并无证据证实系发卡行将涉案银行卡的相关数据信息泄露而造成银行卡被盗刷，亦不能证明涉案银行卡及相应的管理系统存在安全漏洞和技术缺陷时，应由持卡人自行承担盗刷损失。

银行卡盗刷案件责任分配之重构

伪卡盗刷案件的责任分配

典型的伪卡盗刷案情可参考最高人民法院2017年第12期发布的公报案例：2012 年6月19日，宋某某在工商银行新门口支行申请办理借记卡一张，2015年8月5日凌晨2时18分至2时20分，宋某某上述卡内资金在河南省驻马店市一农村信用社自动取款机上被取款六次，金额合计14094元。2015年8月5日9时54分，宋某某因银行卡被吞没，在工商银行办理了吞没卡领取手续。当日9时57分，宋某某向南京市公安局鼓楼分局中央门派出所报案。另查明， 宋某某系中国人民解放军某部队战士。审理中，该部队向法院出具了证明一份， 主要内容为宋某某在2015年8月5日2时18 分至8时一直在单位，从未外出。一审法院判决发卡行赔偿损失，工商银行提起上诉。二审法院认为虽然根据工商银行借记卡章程规定，凡使用密码进行的交易，发卡银行均视为持卡人本人所为，但该规则适用的前提是当事人持真实的借记卡进行交易。因此，工商银行新门口支行在没有证据证明宋某某存在违约或违法犯罪的前提下，应先行承担资金损失。因此，判决驳回上诉，维持原判。

《银行卡业务管理办法》第五十六条规定：“银行卡申请表、领用合同是发卡银行向银行持卡人提供的明确双方权责的契约性文件，持卡人签字，即表示接受其中各项约定。”据此，可认定银行卡是持卡人对银行享有的债权凭证，双方存在明确的合同关系。同时，发卡行还负有合同附随义务。作为相关技术、设备和操作平台的提供者，发卡行应当提供完善的技术设备，包括难以复制的银行卡和能够识别伪卡的交易终端，应当确保银行卡内的数据信息不被非法窃取并加以利用，确保卡内资金安全。作为持卡人，则需要妥善保管银行卡及卡内信息和密码，在安全的环境下谨慎使用，不能透露给他人。如因发卡行未能识别伪卡，将货币错误支付给了合同当事人以外的第三人，造成的银行卡内资金被盗刷，属于给付对象错误，履约失败，违反了合同义务。故该支付行为对持卡人并不具有法律效力，持卡人有权依据和发卡行之间的签订领用合同，要求发卡行继续履行支付相应款项的义务。若发卡行能够举证证明持卡人存在过错而导致密码泄漏或增加了相应风险，可适当减轻发卡行的赔偿责任。一般情况下，持卡人有下列行为的，可以认定其存在过错：将银行卡出租、出借给他人使用;将银行卡密码擅自告知他人;在不够安全的用卡环境下不加防护地使用银行卡并输入银行卡密码;轻信电信诈骗，告知或输入银行卡相关信息以及银行卡丢失后未及时挂失等。

发卡行通常依据《银行卡章程》认为，密码系持卡人设置保管，且具有唯一性，若发生密码泄漏，应推定是持卡人所致。但实践中，犯罪形式花样繁多，存在犯罪分子将测录设备放置于插卡槽上方窥视卡号等信息、在密码键盘上贴置微型摄像头等行为，也存在因银行对自助设备管理疏忽、监控录像系统泄露密码等情形， 甚至存在特约商户工作人员盗取顾客银行卡信息或发卡行后台人员违规操作泄密等情形，所以不能简单地将泄漏银行卡密码的过失一概归结于持卡人。当然，也不能单纯以保护弱势群体为由，随意加重发卡行的举证责任，否则极易产生道德风险。法院在庭审中，应鼓励双方当事人尽量举证己方已尽到了合同义务，对方存在履约过失，从而有利于最大限度地查明案件事实，做到依法公正审判。

《合同法》第一百零七条规定：“当事人一方不履行合同义务或者履行合同义务不符合约定的，应当承担继续履行、采取补救措施或者赔偿损失等违约责任。” 第一百二十条规定：“当事人双方都违反合同的，应当各自承担相应的责任。” 同时，根据《民事诉讼法》第六十四条“当事人对自己提出的主张有责任提供证据”，即“谁主张，谁举证”的举证规则，持卡人存在过错的证明责任在发卡行一方，除非发卡行能够举证证明持卡人在泄漏银行卡信息方面存在故意或过失，没有尽到妥善保管银行卡相关信息和密码的义务，方可相应减轻银行未能识别伪卡、履约对象错误的赔偿责任，否则盗刷损失应由发卡行先行承担。银行卡储蓄合同的标的物是种类物——货币，当持卡人将一定数量的货币存入银行后，根据货币“占有与所有权一致”原则，发卡行即拥有了相应货币的所有权，发卡行是无法通过制定条款将其特定化的，发卡行与持卡人形成了债权债务关系，发卡行负有按照持卡人指令要求进行支付的义务，此时无须返还原物。第三人盗刷银行卡内资金的行为实则侵犯了发卡行的财产权益，发卡行应向第三人主张侵权赔偿。依据《合同法》第一百二十一条规定：“当事人一方因第三人的原因造成违约的，应当向对方承担违约责任。当事人一方和第三方之间的纠纷，依照法律法规或者按照约定解决。” 发卡行在赔偿持卡人相应损失后，可向盗刷责任人追偿。

综上，对于银行卡盗刷案件，应先查明是否存在伪卡盗刷的事实，再进一步查明银行卡盗刷中各主体是否存在故意或过失，再根据各自的过错要求各方当事人承担相应责任。如果查明是第三人利用银行自助设备的管理漏洞，窃取了银行卡相关信息和密码后实施伪卡盗刷行为，应判定由发卡行先行赔偿全部损失;若查明持卡人存在过错，应相应减轻发卡行的违约责任;若查明是持卡人和第三人恶意串通， 应由持卡人承担全部损失并受到刑事追责。若仅能确定持卡人银行卡内资金被盗取，但无法查明银行卡信息和密码泄漏是发卡行亦或是持卡人所致，应根据举证责任分配情况，划分各自需承担的责任。此时，若持卡人能够举证证明己方在使用银行卡的过程中不存在过错或过失，则关键在于发卡行能否举证证明持卡人违反了合同义务，在发卡行无法证明系持卡人故意或过失泄漏银行卡信息和密码的情况下， 由于双方存在的合同法律关系，应由发卡行先行承担全部违约责任后再向侵权责任人追偿。

网络盗刷案件的举证责任分配

网络盗刷与伪卡盗刷的举证责任分配审理思路基本相同，发卡行同样需要承担基本的安全保障义务，使持卡人能够放心地在网络上进行交易，此过程中若非因持卡人导致银行卡相关信息泄露而遭盗刷， 相应财产损失应当由发卡行承担。

有观点认为，盗刷人进行网络转账的案件，如果发卡行能够提供初步证据证明其提供的网络支付系统安全可靠，且发卡行已严格按照银行卡业务流程进行操作，持卡人又无证据证明交易所需的银行卡信息、密码系因发卡行、收单机构或特约商户的原因泄漏，则可以认定盗刷人的网络转账行为构成表见代理，此时的密码交易可以视同本人交易，对持卡人产生法律效力。如果持卡人开通网银支付、快捷支付，无须使用真实的银行卡就可以完成跨行异地资金汇划，网络交易并不对支取人进行身份核对和登记，虽然方便了客户，但同时也存在安全隐患，为此，上述观点有待商榷。网络交易中，发卡行对行为人提供的安全要素鉴权后，相信该行为是持卡人的真实意思表示，故按照合同约定进行结算、记账。然而，随着科技不断进步，仅通过银行卡号、身份证号、预留手机号及动态密码等即认定行为人发送的指令是持卡人的真实意思表达，显得越来越不具有说服力，上述安全要素的安全系数也在逐渐降低。若此类盗刷案件，发卡行不能证明持卡人存在不当操作，由此造成的损失应由发卡行承担。一般情况下， 若能够查明持卡人及其家人存在点击不明网站、短信链接而导致木马中毒，在不安全的用网环境下随意登陆网上银行、使用快捷支付输入关键信息，轻信电信诈骗等过失行为，以致银行卡账号和密码被不法分子窃取，且发卡行并不存在过错，则应由持卡人自行承担损失。此类案件中，由于手机为持卡人持有，发卡行往往难以获取相关上网浏览记录，证明持卡人存在过失。此时，银行可以申请法院调取相关证据，法院也可以通过电信运营商进行查询或者要求持卡人提供涉事手机，查看相关记录，以进一步明确持卡人是否存在过失。例如，在2018年甘肅的一起民事判决中，持卡人拒绝提供手机和有关上网记录，成为法院判决其败诉的原因之一。根据《商业银行法》第六条规定，“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯”，故持卡人在网络交易过程中，非因自身过错遭受财产损失的， 银行应承担全部赔偿责任。

在网络盗刷案件中，还经常涉及到电信运营商的责任承担问题。如果因运营商柜台人员未能严格按照规章制度进行人证合一地审慎核查，犯罪嫌疑人违规办理了SIM 卡，导致持卡人无法正常接收到短信验证码或银行卡账户资金变动信息，造成资金损失的，电信运营商应赔偿相应损失。

商业银行对银行卡盗刷案件的风险防范与应对建议

加强风险防控，提供安全保障。依据《商业银行法》等法规，商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯，充分保障金融消费者的财产安全权、依法求偿权、信息安全权等合法权利。一是持续加强交易系统、电子银行、自助设备等系统和终端的技术升级改造， 着力提升技术防范水平，增强自助设备等交易终端的卡片识别能力，最大限度地降低伪卡盗刷的可能性。二是通过技术手段强化对银行卡大额交易和异地交易的动态监测，第一时间对可疑交易进行提醒，提示持卡人修改密碼、及时止付，营造安全的用卡环境。三是在实践中，磁条卡信息储存量过小，存在较高的盗刷风险，而IC 卡敏感数据难以被复制，安全性较高，商业银行应当大力推广IC卡，进一步加大对IC卡安全性的宣传，引导消费者主动更新现存的磁条卡，有效降低盗刷风险。

加强金融消费者教育，提升安全用卡意识。一方面，主动履行社会责任，普及安全用卡知识，做好风险提示，帮助金融消费者提升安全用卡意识。教育引导持卡人妥善保管银行卡，不将银行卡随意借给他人使用;开通短信通知，实时监测银行卡的资金变动情况;不定期更换银行卡密码，正确使用密码，不登陆非法网站， 不点击不明链接，不轻易连接免费公共WIFI等，尽可能降低盗刷风险。另一方面，要引导持卡人履行合理的注意义务， 发现银行卡被盗刷后第一时间挂失止付、暂停与被盗刷银行卡相关联的快捷支付等功能，修改银行卡和相关快捷支付的密码，及时向公安机关报案，如实告知银行卡使用情况以及是否曾登陆疑似非法网站或点击过不明链接，便于公安机关充分掌握相关情况，及时破案，最大限度地挽回损失。

引导持卡人及时报案，依法维权。首先，在遇到银行卡盗刷案件后，应当立即更改密码、挂失止付，并及时向公安机关报案。协助收集相关银行卡流水等证据， 全力配合侦破案件，尽力挽回损失。其次，要全面了解银行卡盗刷的相关情况， 对发卡行和持卡人在盗刷案件中所应承担的责任进行审慎评估。如发卡行自身存在一定过错，则积极与消费者协商，及时、有效地妥善解决争议，规避声誉和法律风险;如发卡行不存在过错，则应向消费者做好解释说明工作，耐心等待公安机关破案，追回损失。最后，如果与消费者协商无果，则应建议消费者依法维权，诉至法院后积极应诉，重点在是否存在伪卡盗刷的事实、各主体是否存在故意或过失和举证责任分配等方面收集相关证据，由法院合理划分银行卡盗刷案件中各方的责任， 依法履行法院生效判决，并持续跟进银行卡盗刷案件的侦破情况，向罪犯进行追偿。

（作者单位：武威市中级人民法院）