从发卡银行看银行卡欺诈法律风险的防控解析

从发卡银行看银行卡欺诈法律风险的防控 一、银行卡欺诈的表现形式银行卡欺诈，是指利用伪造的银行卡、虚假身份资料申领的银行卡或冒用他人银行卡，通过银行自助设备、POS刷卡设备、网上银行等途径进行取现或消费，或者使用信用卡进行恶意透支的行为。近年来，银行卡欺诈案件呈多发趋势，且欺诈手段不断翻新，其主要表现形式包括：1.办卡欺诈。办卡欺诈主要体现在信用卡申领环节和开卡环节。较为传统的信用卡申领欺诈表现为不法分子利用招聘、招生等手段盗用、骗取他人身份证件或伪造他人身份证件，并篡改、伪造证明材料，从而冒名向银行申领信用卡进行恶意透支的行为。除传统的办卡欺诈外，银行内部风险引发的办卡欺诈值得关注：一是部分不法分子利用银行工作人员未亲核亲访的疏漏，通过假冒知名企业、国家企事业单位名义或虚构企业名称，申请集体办卡；二是个别银行营销外包机构人员利用掌握的客户信息骗领信用卡。信用卡开卡欺诈，是指卡片在寄送过程中被不法分子截取并激活后进行的恶意透支，具体手段主要包括：冒充银行职员以核对信息为由，套取客户资料，激活信用卡，及利用虚假身份证明前往柜台激活信用卡后进行恶意透支。2.伪卡欺诈。伪卡欺诈是近年来发案率较高的一类银行卡欺诈案件，不法分子在非法窃取持卡人银行卡信息的基础上，利用专业设备克隆银行卡，进而在自助设备或通过刷卡交易等方式冒用持卡人资金。不法分子非法窃取持卡人银行卡信息的手段主要有：通过在自助网点门禁系统或自助设备上安装假刷卡装置、假键盘等，窃取持卡人银行账号或密码；通过在银行自助设备附近安装针孔摄像头或用高倍望远镜窃取持卡人密码；在POS机上加装读卡装置或待持卡人结账时在读卡装置上刷卡，并偷窥持卡人密码；伪造非法网站并利用木马程序记录持卡人输入的卡号和密码；以高额授信为诱饵，为持卡人代办信用卡后盗取卡号及初始密码。3.自助设备欺诈。基于银行自助设备功能替代性、操作程式化、设置离行式等特点，其往往成为不法分子窃取持卡人银行卡信息制作伪卡，并冒用持卡人资金的主要渠道。除此之外，不法分子还通过在自助设备插卡口处安装吞卡装置骗取持卡人银行卡；在自助设备上故意制造故障并张贴虚假银行客服电话，要求持卡人提供银行账号及密码，或骗取持卡人将其账户资金转至指定账户；持卡人在自助设备上办业务时分散其注意力（例如提醒其钱物遗落）并调换其银行卡；假扮“热心人”帮助持卡人取款时，趁其不备调换其银行卡等。4.电话和短信欺诈。现实生活中，经常有不法分子假冒银行、银联、金融监管机构或公安机关名义，发短信或打电话给持卡人，谎称其银行卡在某处消费或卡的信息资料被泄露，诱使对方在回电询问时泄露其账号和密码，或进一步诱骗持卡人将卡内资金转入不法分子提供的“安全账户”内。由于短信诈骗较电话诈骗成本低、发送范围广、命中率高，更易成为不法分子作案手段，也往往给持卡人造成巨大资金损失。5.网络欺诈。网络欺诈是指不法分子窃取持卡人网上银行账号及密码后，通过网上银行冒用卡内资金的行为。其具体手段包括：通过在网吧电脑附近安置摄像头等方式偷窥持卡人网上银行账号和密码；设置虚假的银行网站，并通过手机短信、欺诈性邮件或虚假支付网页等诱骗持卡人登录，骗取持卡人网上银行账号和密码；利用木马或其他病毒程序入侵持卡人个人电脑系统或银行内部系统，窃取持卡人网上银行账号和密码。此外，也有不法分子在窃取持卡人卡号及密码等信息后，利用伪造身份证件在银行柜台申请开通网上银行后窃取或盗用其资金。6.冒用遗失、被盗卡。冒用遗失、被盗卡是指不法分子拾得、盗窃他人银行卡后冒用卡内资金的行为，其手法主要表现为：拾得、盗窃持卡人未设密码的银行卡后直接通过刷卡交易或取现窃取卡内资金；拾得、盗窃持卡人设有密码的银行卡并猜出密码后窃取卡内资金；拾得、盗窃持卡人没有密码的银行卡后伪造持卡人身份证件或者持持卡人真实身份证件办理密码挂失，修改密码后窃取卡内资金。7.恶意透支。在信用卡使用过程中，一些持卡人以非法占有为目的，超过规定限额或者规定期限恶意透支，经银行催收后仍不归还，长期占用银行资金，对银行的业务经营造成较大负面影响。个别持卡人将其银行卡交付他人在境内或境外使用后，以银行卡被不法分子克隆且自己并未使用、银行存在过错为由要求银行承担责任，由于银行难以针对此类情形进行有效举证，往往不得不承担资金损失责任。8.特约商户欺诈。在银行卡受理环节，一些不良特约商户为获取非法利益，利用POS机实施盗刷、套现、受理伪卡、盗录信息等违法活动，具体手段包括：未经持卡人授权，通过增加刷卡金额或刷卡次数窃取持卡人资金；通过POS机与信用卡持卡人进行虚假交易，以透支方式为持卡人套取现金并收取高额手续费（有的套现资金甚至高达持卡人信用额度的10倍）；有的不良特约商户与不法分子勾结受理伪卡，将损失风险转嫁给银行；有的不良特约商户在POS机上加装读卡装置，窃取持卡人卡片信息后制作伪卡。二、银行卡欺诈中银行面临的法律风险上述各种形式的银行卡欺诈案件频发，反映出法律风险潜伏于银行卡业务经营管理的各个环节（包括法律文件设计、银行卡交易规则安排、银行卡使用管理、客户投诉和纠纷案件处理等），如果银行在其中某一个或几个环节中处理不当，就可能引发法律风险。1.法律文件存在瑕疵的风险。银行卡有关协议文本泡括银行卡申请表、领用合约、章程和使用指南等）是发卡银行和客户之间的重要法律文件，其不仅约定了双方的权利义务关系，还详细规定银行卡交易规则及风险责任分配等内容。由于普遍适用于动辄百万乃至千万的银行卡客户，前述法律文件通常由银行单方面事先拟定，且不允许客户就个别条款进行商洽或提出变更。在双方因欺诈问题发生争议的情况下，如果有关条款设计不周，或者有关条款赋予银行绝对权利或过分施加客户义务，往往容易引起广泛争议，甚至被客户或者消费者权益保护组织指责涉嫌“霸王条款”，并进而面临无效的风险（束景明，2007）。2.密码交易规则适用的风险。各银行在银行卡相关法律文件中大多规定了“使用密码进行的交易视为持卡人本人所为”的规则：只要基于密码的交易行为确已发生，该项交易后果应由持卡人自行承担。虽然前述规则在很大程度止有利于督促持卡人履行妥善保护银行卡密码的义务，但客观来看这并不能当然免除银行保障持卡人资金安全的义务。近年来一些法院的判例认为，在出现银行卡欺诈特别是持卡人没有过错或过错不明显的情况下，前述规则应当存在例外。如果银行服务存在瑕疵或安全漏洞，银行应当按照过错原则承担相应法律责任，而不能简单适用前述规则，由客户承担全部损失（张光宏、郭敬波，2009）。因此，密码交易规则并不能保证银行在银行卡欺诈案中的绝对免责。3.合同条款解释规则的风险。虽然很多银行在法律文件中都规定了“合同的最终解释权属于银行”，但在银行卡欺诈案件审理过程中涉及合同条款的解释问题时，已有法院依据合同法第41条关于“对格式条款的理解发生争议的，应当按照通常理解予以解释。对格式条款有两种以上解释的，应当作出不利于提供格式条款一方的解释”的规定，认为合同法第41条属于法律的强制性规定且不允许银行排除适用，并进而认定前述条款无效。4.银行卡真伪鉴别的风险。客户通过填写开卡申请书、签署银行卡协议，与银行建立了银行卡合同关系。银行依约负有保障客户正常刷卡消费、根据客户申请办理存取款和资金转账等义务。在伪卡欺诈案件中法院通常认为，真实的银行卡是银行与客户之间合同关系的证明，没有真实的银行卡，银行就丧失了履行支付义务的合同依据；银行卡由银行制作和发放，准确地识别银行卡是银行应尽的合同义务，银行在履行支付义务前应对银行卡的真实性进行审查；银行如果基于伪造卡进行支付，将构成违约行为（上海高院课题组，2009）。因此在司法实践中，如果银行无法对伪造的银行卡进行有效识别，往往被认定为客户资金损失的重要原因，从而使银行面临承担违约责任的风险。5.客户身份证件审核的风险。商业银行法规定，“商业银行应保障存款人的合法权益不受任何单位和个人的侵犯”；监管机构在银行卡的发卡审核和交易管理等方面，亦明确规定了银行的身份审查义务；司法实践中，法院对银行识别客户身份真伪的要求也由最初的形式审查逐步向实质审查发展，如银行未能识别出虚假证件并导致客户资金受损，法院往往判定银行承担相应责任。根据有关法律规定，公民合法有效的证件除居民身份证外，还包括户口簿、护照、军官证、士兵证、回乡证等，但银行目前仅能通过公民身份信息联网核查系统对身份证进行有效核查，还难以做到通过现有设备和技术手段对其他证件进行实质审查，这实际上也增加了银行面临的法律风险。6.履行安全保障义务的风险。根据合同法关于“当事人应当遵循诚实信用的原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务”，以及消费者权益保护法关于“经营者应当保证其提供的商品或者服务符合保障人身、财产安全的要求”的规定，银行应为客户提供必要的安全、保密的交易环境。在自助设备欺诈等案件中也有法院认为，银行作为专业金融机构负有善良管理人的注意义务，有能力改造经营场所的相关技术和设备，有责任防范不法分子利用银行经营场所的安全漏洞进行欺诈；客户作为相对弱势一方，难以采取有效措施防范银行卡欺诈行为发生（刘海欧，2007）。因此，如果不法分子确系在银行经营场所内实施银行卡欺诈行为，法院往往倾向于以银行未完全尽到安全保障义务为由认定银行存在过错，从而使银行面临赔偿客户损失的风险。7.责任主体不明的风险。由于全国通存通兑、跨行自助设备支取以及POS机消费不断普及，银行卡欺诈案往往涉及发卡行、代理行、持卡人、特约商户等多方当事人，进而在诉讼过程中就责任主体问题引发争议。司法实践中部分法院认为，银行卡的跨行或异地交易不能自然免除发卡行的责任；银行卡仍然是通过发卡行的电脑交易系统进行识别，在无法识别出伪卡的情况下发卡行关于其并非责任主体的抗辩有时难以得到法院支持。代理行作为提供代理业务和终端设备的业务主体，如果未能尽到保障交易场所安全的义务，也极可能被认定为责任主体。对于特约商户而言，法院通常依据银行与特约商户的合同约定以及彼此的过错程度来确定二者间的责任分配，但也有法院以特约商户是发卡行代理人为由要求银行首先对客户承担赔偿责任，而后再向特约商户追偿。8.诉讼举证困难的风险。“谁主张、谁举证”是民事诉讼法规定的审理民事诉讼案件的基本证据规则，但一些法院在审理银行卡欺诈纠纷时对此规则有所突破，认为持卡人不仅不了解银行内部操作流程和系统数据记录，而且在某一交易环节也难以要求其提供相关证据资料；如果银行以持卡人过错提出抗辩，银行须承担主要的举证责任，并举证证明持卡人存在遗失或出借银行卡、泄露密码或身份资料、与第三人恶意串通等过错行为，否则将承担举证不能的败诉风险。应当指出的是，虽然银行掌握持卡人相关交易记录、监控录像等资料，具有系统、设备和资金等优势，但客观而言银行面对的客户量非常巨大、交易渠道众多且交易环境复杂，几乎不可能监控到客户遗失或出借银行卡、泄露密码或身份资料、与第三人恶意串通等行为，也难以做到全面收集相关证据，因而这种举证机制实际上不适当地加重了银行的责任，甚至可能助长道德风险。9.出现声誉损失的风险。发生银行卡欺诈事件后，银行除可能承担经济损失外，还可能面临多种声誉损失的风险：一是如果银行在欺诈事件中存在违反监管规则的行为，监管部门可能依法对其进行处罚并提出公开批评，进而导致其银行卡业务经营管理的合法合规性及安全性受到广泛质疑，特别是对于境内外上市银行而言其不良影响甚至容易跨国界传播；二是由于银行卡客户数量众多且层次复杂，加上近年来银行卡欺诈案件频发、受害者较多，由此引发的客户投诉和银行被诉案件也明显增加，不仅引起社会公众的广泛关注，而且在处理不当的情况下经常引发各类媒体的大量负面报道甚至集中炒作；三是银行在个别银行卡欺诈案件中败诉的影响极易通过网络等媒体被迅速扩散并引发“连锁反应”，进而出现多起类似客户投诉或集体诉讼，造成非常被动的局面。三、防范和化解银行卡欺诈法律风险的对策1.尽快提高银行卡防伪技术。由于磁条银行卡是通过卡上磁条的磁场变化来存储信息，存在易读取、易伪造和保密度较差等缺陷，也很容易成为犯罪分子实施欺诈的目标；而IC银行卡则是通过嵌入卡中的电擦除式可编程只读存储器集成电路芯片（EEPROM）来存储数据，与磁条卡相比其具有存储容量大、安全保密性好、数据交换可靠、使用寿命长等优势。为抵御日益增长的欺诈风险及多应用考虑，Visa、Master等国际信用卡组织已联合制定金融IC卡标准EMV规范，并在多个国家实施磁条卡向IC卡的迁移，发行符合EMV标准的金融卡，并布放符合EMV标准的终端设备。虽然IC卡制作和运行成本高于磁条卡，但国内监管部门和发卡银行仍应顺应这一国际趋势，在充分考虑银行系统升级及交易机具改造成本且不过分增加持卡人负担的基础上，尽快推广应用IC卡，从技术上提高防范银行卡欺诈风险的能力。2.周密制定相关法律文件。尽管银行卡章程和领用合约在形式上体现为格式合同，但兼顾公平与效益、平衡发卡行与持卡人及其他相关主体利益，应该是章程和领用合约的基本价值取向（董建军等，2009）。因此，银行在制定相关条款时应采取客观和公允的立场，公平设定各方当事人的权利和义务，合理安排交易风险和责任；既要全面考虑银行卡业务的发展实际，也要充分照顾持卡人的合法权益；既要保证发卡行的交易安全，也要着力为客户提供优质高效的银行卡服务。例如，为避免出现“霸王条款”的争议，在关于凭密码交易的认定、挂失责任认定、中止及终止信用卡等涉及银行免责或重要权利义务关系的条款中，可以采用诸如“持卡人以正常履行本合约、提供信用卡有关服务及履行法定义务为限”、“除非持卡人存在法律法规规定的过错”等主动限制银行的表述；为保障消费者的隐私权，应明确规定银行对持卡人的信息和资料负保密责任，并列明有权使用持卡人信息和资料的具体情形，合理限制使用范围。此外，相关条款的表述应做到简洁易懂，尽量避免使用晦涩难懂的专业术语；对确需使用专业术语或有关表述易产生争议的，应以示例等方式向客户做充分解释说明，确保客户知晓和理解全部条款。3.严格审查客户身份证件。依法严格审查身份证件既是银行的法定义务，也是防范欺诈风险的重要环节。在办理银行卡开户、卡片挂失、密码挂失及大额取款等相关业务时，应按照相关规章制度和操作规程，要求持卡人（及其代理人）提供有效身份证件原件，严格审查身份证件是否真实，认真核对身份证件是否与持卡人本人（及其代理人）相符；培训提高银行柜台工作人员对虚假身份证件的识别能力，熟练掌握各类有效身份证件的主要防伪标记和外观特征，特别注意从身份证件记载的一些关键信息（例如照片、身份证号码有关数字的特殊含义等）核对客户身份；注意通过“联网核查公民身份信息系统”以及第二代身份证阅读机具等方式提高身份证件的审查效果，在确认伪造身份证件后应扣留身份证件，并及时向有关部门报告或向公安机关报案。4.加强服务安全管理。为切实加强安全服务管理，银行应注意做好以下工作：完善自助设备检查巡视制度并加强对自助设备的日常检查，及时发现、排查和解决自助服务区域的可疑现象、设备故障及相关问题，并且按规定妥善保存自助服务区域相关录像资料；严密监控不法分子没立的各类虚假银行网站、虚假银行客服电话等情况，及时提请国家相关部门依法予以关闭，并且通过有关途径对持卡人作出提示；根据实际需要不断优化银行统一客服热线自助语音系统程序和人工服务程序，及时为持卡人提供欺诈应急处理服务，同时注意提高客服电话的接听和处理效率，避免因接听和处理滞后导致损失扩大。5.充分提示相关风险。实践证明，相当一部分银行卡欺诈事件是因为持卡人缺乏必要的安全防范意识和技能而引发的，因此，银行应注意采取适当方式向持卡人充分提示银行卡交易过程中可能发生的相关风险（包括不法分子常用的各种欺诈手法），提高持卡人主动防范风险的能力。例如自助银行的刷卡门禁无需输入密码，任何需要密码的门禁均是不法分子非法安装的；使用自助设备前应留意周边环境是否安全，自助设备上有无多余的装置；输入密码时应作适当遮挡，避免他人窥视；不要随意抛弃自助设备打印的交易凭条，避免泄露账户及有关交易信息；办理网上银行业务应直接登录银行官方网站，不要轻易点击不明链接等。6.主动用好最新司法解释。恶意透支是引发信用卡呆账的重要原因，但银行在协助司法机关打击此类欺诈行为的同时，也应主动用好最高人民法院和最高人民检察院2009年12月联合印发了关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释，出台关于恶意透支犯罪的最新规定，切实保护自身合法权益：一方面，重视发挥刑事制裁对于恶意透支行为的威慑力，在向有恶意透支嫌疑的持卡人发送催收通知时，结合实际情况适当提示前述司法解释有关“恶意透支”定罪量刑的法律规定，提醒和督促其按约及时足额清偿透支债务；另一方面，对于恶意透支行为情节轻微、数额不大的持卡人，应从善意角度说服其尽量在公安机关立案前主动偿还全部透支款息，以争取免受或减轻刑事处罚。7.严格管理特约商户及POS机具。作为银行卡受理环节的主要参与者，特约商户在确保银行卡交易安全、防范欺诈风险方面应当发挥正面和积极的作用。为此，银行应当加强特约商户营销的行业自律，维持规范、有序的竞争环境；严格特约商户准入门槛、资质审查和授信标准，在充分了解其经营背景、营业场所、经营范围、财务状况、资信前提下审慎发展特约商户，同时注意合理安排POS机布放，审慎开展相关外包服务；周密设计与特约商户的合作协议，明确其应当承担的银行卡审核、持卡人签名核对等重要义务，特别是出现套现、受理伪卡、盗录信息等故意违法行为时应承担的责任；切实做好特约商户的风险教育和技能培训，提高其防范欺诈的主动性和能力；加强特约商户对现场检查和非现场监控，注意分析比较特约商户的交易频率、交易金额及变化状况，及时发现并制止相关违法违规行为；对于涉嫌刑事犯罪的行为，应及时报告公安机关并配合做好查处工作。8.注意收集和保存证据。在处理银行卡欺诈纠纷案件过程中，银行往往面临举证难的问题，因此，银行应高度重视并提前安排好相关证据收集和保存工作。例如在审核客户身份证件时，应注意通过复印或扫描等方式留存持卡人、代理人的有效身份证件及相关证明文件影印件，以便充分证明银行已按规定履行审查义务；针对银行监控资料常规保存期限较短的情况，应及时调取并单独妥善保存涉及欺诈行为的相关监控录像及客服通话记录等资料，同时结合实际适当延长资料保存时间；在接受持卡人投诉材料、与持卡人协商、向公安机关报案及协助调查过程中，应避免遗漏足以证明持卡人存在重大过错的证据材料；针对涉及争议的具体业务环节或交易规则，必要时可提请监管部门、银行卡组织或上级单位出具书面证明。9.审慎处理欺诈纠纷。发生银行卡欺诈事件后，银行应根据实际情况及时采取相应措施，尽可能避免持卡人产