申女士通過攜程購買機票后收到航班取消退費短信，騙子通過詳盡的個人信息騙取了申女士信任，一天內將10余萬元轉賬到騙子賬戶。申女士認為攜程未盡到安全保障義務，導致其身份信息及訂票信息泄露，支付寶未依法實施注冊實名制，存在漏洞，將上海攜程商務有限公司(以下簡稱攜程公司)、支付寶(中國)網絡技術有限公司(以下簡稱支付寶)以侵權責任糾紛訴至法院，要求兩公司連帶賠償經濟損失并賠禮道歉。近日，北京市朝陽區人民法院認定攜程公司在信息安全管理方面存在漏洞，未盡到對個人信息負有的信息保管及防止泄露義務，判決攜程公司賠償申女士經濟損失5萬元并向其賠禮道歉。

　　在攜程買機票落入騙局 個人信息疑遭泄露起訴索賠

　　2017年8月9日零時許，申女士通過攜程公司APP為同事訂購東方航空公司承運的兩張聯程航班機票。首乘飛機起飛前申女士收到+85295672718號碼向其訂購機票所留的手機號發送的短信，短信內容為“尊敬的旅客：你好!您原訂于2017年8月10日航班因起落架故障已被取消。請及時致電客服008617710402984辦理改簽或退票。 [東方航空]”。

　　申女士稱其按照短信提示撥打了“客服電話”，“客服”準確地說出了乘機人信息，并再次告知申女士因航班取消需退款1250元，“客服”向申女士提出通過支付寶或微信途徑退款，申女士將其支付寶賬戶提供后，“客服”以無法操作為由向申女士提出以更為快捷的支付寶親密付方式支付。申女士遂開通支付寶親密付功能，申女士通過其綁定在支付寶的中國工商銀行賬戶以支付寶親密付方式分四次向支付寶會員“開通航空服務”付款共計19008.99元。

　　申女士稱其看到工商銀行提示短信后，掛斷“客服”電話欲與工商銀行核實時，“客服電話”回撥給申女士并表示因申女士掛斷電話影響后臺操作，導致申女士的上述款項被劃走，現需要將劃走的款項轉回給申女士，因親密付有限額，需要用申女士的網銀轉賬，后申女士到樓下的工商銀行柜臺開通了工商銀行手機銀行、網上銀行。按照“客服”的要求分兩次共計轉賬99976元，因仍未收到退款，申女士意識到被騙。后申女士向派出所報案，目前該刑事案件尚未偵破。

　　申女士認為，攜程公司作為專業的機票代理機構，未盡到安全保障義務，導致其身份信息及訂票信息泄露，使得詐騙分子能夠依此獲取其信任，導致損失發生，攜程公司在安全措施上存在重大疏漏，其基于攜程公司違反安全保障義務要求攜程公司承擔相應的賠償責任。支付寶公司作為專業的第三方支付公司，未按照國家相關法律實施注冊實名制，支付寶軟件亦存在缺陷，在其親密付支付功能中未盡到充分的風險提示義務，導致詐騙分子能夠以所謂“開通航空服務”的名義與其進行交易，獲取其信任最終導致其發生經濟損失，亦應承擔相應的賠償責任，故訴至法院，要求攜程公司、支付寶公司公開賠禮道歉，連帶賠償經濟損失118900元、精神損害撫慰金1萬元。

　　法院：攜程未盡保管防泄義務 支付寶與受騙無因果關系

　　庭審中，攜程公司提交的2018年敏感信息管理規則顯示，訂單信息屬于一級信息，內部傳輸可不加密。攜程公司未向法庭提供內部員工授權進行訪問涉案訂單的人員范圍、訪問敏感信息的授權記錄、監控情況、操作記錄、內外部傳輸審批情況的相關證據。在攜程應用界面及短信確認內容中也沒有充分明顯地告知消費者對于航班信息詐騙的注意。

　　法院認為，攜程公司在信息安全管理的落實方面存在漏洞，未盡到對個人信息負有的信息保管及防止泄露義務，具有過錯，應承擔侵權責任。因攜程公司違反了網絡運營主體的安全保障義務，存在個人信息保護上的安全維護漏洞，導致申女士遭遇詐騙形成財產損失。法院綜合案情及攜程公司的過錯責任程度，酌情確定攜程公司在5萬元賠償數額的范圍內對申女士承擔補充責任。

　　庭審中出示證據顯示，在申女士主張的11萬余元損失中只有近2萬元是通過親密付支付，支付原因是申女士在陷入騙局時比較著急，無視支付寶的多次提示，沒有盡到核實交易相對公司的謹慎義務。剩余9萬余元，是申女士在其陷入騙局后在工商銀行轉賬的款項，即使沒有親密付，申女士也會轉賬該9萬余元，支付寶對于上述所有財產損失不具有任何過錯和侵權行為。

　　法院認為，從已有證據來看，申女士因受騙先后開通了支付寶親密付功能和工商銀行手機銀行功能并轉款，雖然支付寶親密付的授權消費對象沒有實名制，但在手機銀行功能存在實名制以及支付寶、手機銀行均對申女士進行了開通提示的情況下，申女士仍完成了轉賬行為。因此可看出，在該過程中申女士受騙原因是其過于輕信和輕率的思想狀態，而與是否實名制及是否盡到風險提示義務并無直接因果關系。故在本案中申女士請求支付寶公司承擔侵權責任，法院不予支持。

　　■法官說法■

　　電商平臺、網絡服務提供者應承擔安全保障義務

　　第一，攜程公司在提供網絡服務的過程中，通過對用戶數據的搜集和維護，獲得了巨大的財產收益，從危險中獲取利益者應負擔制止危險的義務。因此，攜程公司作為網絡服務提供者既然從自己架構的數據系統中獲得了利益，就應當對系統危險隱患所造成的損害后果承擔責任。攜程公司作為知名旅行產品網絡服務提供者，已成為大數據時代的主要個人信息處理者，其對個人信息的處理包含了從信息被收集，到被處理和利用，再到傳遞等一系列行為，其商業行為的獲利模式亦主要在于信息的處理與傳遞。因此，攜程公司對于申女士訂票所生成的個人信息負有信息安全保管及防止泄露、控制危險的義務。

　　第二，從電商平臺的運營模式來看，用戶對電商平臺保障其消費流程的數據安全具有合理的信賴，基于網絡環境下的基本安全需求，實際已經形成了用戶預期免受第三人侵害的合理信賴利益，因此從保護用戶信賴利益的角度出發，法律也應對電商平臺提出安全保障的義務。本案中，申女士正是對攜程公司不會違法向第三人泄露機票行程信息的狀態產生了合理的信賴，才會對詐騙分子形成輕信，進而導致了財產損失。

　　第三，通過攻擊或利用系統安全漏洞實施的侵權行為，具有發生的經常性和影響的廣泛性特點，而網絡服務提供者作為系統安全的直接維護者和受益者，對于這類行為無論是在反應機制和技術儲備，還是人力財力的支持，都具有高度的應對便利和條件，因此對網絡服務提供者規范其安全保障責任，將最有利于被侵權人得到合理的救濟，也最符合侵權法的整體效率的實現。在此類案件中，賦予網絡服務提供者安全保障義務，無疑將推動網絡運營主體進行協助追查和收集證據，并提高網絡運營主體的防范意識和手段，從而使受害人獲得救濟的可能性大大提高。

責編：admin