窃取银行卡后私自绑定支付宝并转移卡内资金行为的定性

章志丰

摘 要：随着支付宝等第三方支付平台的广泛使用，其安全性能也备受考验。司法实践中，犯罪分子利用第三方支付平台非法取财的案件屡屡发生，因此，对该类行为准确定性并进行必要的刑法规制，对在“互联网+”时代保护交易安全具有不可忽视的作用。本文案例针对窃取他人银行卡后私自绑定支付宝并转移卡内资金的行为进行刑法评价，以期对司法实践中此类案件的处理有所裨益。

关键词：支付宝转账 盗窃 信用卡诈骗

[基本案情]被告人程某某与薛某系同事兼朋友关系， 2015年6月，被告人程某某多次趁薛某熟睡之机，擅自使用薛某手机、银行卡和身份证获取身份证号、银行卡信息以及手机验证码等，将薛某银行卡与薛某手机中的应用软件“支付宝账户”进行绑定，并设置支付密码。此后，被告人程某某多次秘密使用薛某手机支付宝进行转账，将薛某银行卡内的资金转移至自己账户，共计55010元。

一、诉讼过程及争议问题

2016年7月7日，检察机关以被告人程某某涉嫌信用卡诈骗罪依法向法院提起公诉。法院经审理后认为，被告人程某某的行为本质上仍属于盗窃信用卡并使用的范畴，应依法认定为盗窃罪。法院于2016年9月23日作出一审判决，认定被告人程某某犯盗窃罪，判处有期徒刑1年8个月，并处罚金3万元。宣判后，被告人程某某未提出上訴，现判决已生效。

本案争议的焦点问题在于：一是程某某窃取银行卡号等信息在手机支付宝上使用能否适用《关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释》（以下简称《解释》）第5条第3项规定？有观点认为，根据《解释》第5条第3项规定，窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，并通过互联网、通讯终端使用的，属于“冒用他人信用卡”的行为。本案中，程某某窃取的被害人银行卡号、手机短信验证码等，属于信用卡信息资料的一部分，且随后通过手机支付宝将被害人银行卡内资金转出，其行为符合上述《解释》的规定，系冒用他人信用卡，应认定为信用卡诈骗罪。二是程某某的行为是符合信用卡诈骗模式还是具备盗窃特征？有观点认为，信用卡诈骗罪具有诈骗罪的普遍特性，即虚构事实、隐瞒真相使被害方产生认知错误，进而主动交付财物。银行作为财物的代为保管人，其在银行卡与支付宝进行绑定的过程中要求对方输入银行卡号、以及手机验证码，其实际上是对对方身份进行确认，如果输入正确则默认为系持卡人进行的操作，从而按照持卡人的意思将其代为保管的资金进行支付。程某某利用窃得的银行卡、手机等冒用了被害人身份，使银行产生了错误认识，误认为对方就是持卡人从而交付钱款，符合信用卡诈骗的行为模式。

二、信用卡诈骗罪之否定

本案中，程某某的行为是否构成信用卡诈骗罪，一是要看其行为能否适用《解释》的规定，二是要看其行为是否符合“冒用他人信用卡”的行为特征。

（一）《解释》第5条第3项规定中信用卡信息资料的范围界定

要确定能否适用《解释》的相关规定，需要先界定信用卡信息资料的范围。首先，广义的信用卡信息资料是指持卡人信用卡上的所有信息，既包含账号、发卡机构标识代码、账户标识、密码等信用卡磁条信息，也包含个人身份信息、各类资信证明资料、交易信息等信用卡申领时及使用时的信息。但是，并非在互联网、通讯终端上使用窃取任何的信用卡信息资料的行为都可以依据《解释》的规定评价为冒用他人信用卡的行为，如仅利用信用卡获取的身份信息，资信证明等在互联网上使用，该行为显然没有冒用信用卡的过程。因此，有必要对《解释》中作为犯罪对象的信用卡资料的范围进行必要的限制。笔者认为，《解释》中所规定的信用卡资料应当是核心的具有隐秘性的信用卡信息，如信用卡磁条信息。因为只有这些核心的信息数据才具备证明持卡人身份和权力的作用，是银行识别用户的关键，直接关系到信用卡的正常使用，其他人无权知悉和使用，一旦泄露，不仅会直接、紧迫威胁持卡人的利益，而且会妨害信用卡管理秩序。结合本案，程某某窃取了被害人银行卡账号、身份证号、手机验证码，而身份证号直接来源于身份证，而非来源于信用卡关联的个人信息，手机验证码也并非交易密码，这两组数据均不是直接与信用卡相关联的信息，不属于信用卡信息资料。银行卡号虽属于信用卡信息，但是该信息是显现于银行卡卡片上的，不具隐秘性，而且该信息非常有限，无法完整反映银行卡的加密电子支付特征，掌握该信息不会直接威胁持卡人银行卡的资金安全，因此，程某某窃取的信息仅有银行卡号，不宜认定为《解释》中作为犯罪对象的信用卡信息资料。

其次，《解释》第5条第3项的规定应理解为，行为人通过互联网等设备得以冒用他人信用卡的必备条件必须均来源于非法获取的信用卡信息[1]，也就是说只有均利用非法获取的信用卡信息资料实现冒用他人信用卡的行为才能认定为信用卡诈骗。而本案中，程某某仅利用窃取的银行卡号信息在互联网上使用并不能实现冒用信用卡的行为，程某某还借助了其他非信用卡信息如身份证号、手机验证码、设置支付密码等使得该银行卡与第三方支付平台进行了绑定，才取得被害人银行卡内资金的支配能力，这是《解释》中“冒用他人信用卡”行为无法完全评价的。

（二）对“因欺骗而处分财产”的理解适用

冒用型信用卡诈骗罪的行为模式是非持卡人虚构事实、冒充持卡人身份使用信用卡使银行产生错误认识，银行基于错误认识处分了持卡人的财产，故其也具备诈骗罪中“因欺骗而处分”财产的本质属性。本案中，从程某某的行为特征看，不符合信用卡诈骗罪的构成模式。

其一，程某某没有实施使他人陷入错误认识的欺骗行为。本案中，程某某真正取得银行卡内资金的支配能力是在其将银行卡与支付宝绑定之后。笔者认为，不能简单以行为利用了被害人身份将银行卡与支付宝进行绑定等同于冒用信用卡进行诈骗。冒用一词本身带有欺骗含义，通常需要一系列明示或默示的欺骗行为达到骗取财物的目的，如捡到信用卡在柜台使用，不仅要冒充持卡人出示信用卡，还要通过如伪造身份证、模仿签名等积极的欺骗行为达到骗取财物的目的。程某某在银行卡绑定过程中提供的身份信息、手机号码、验证码等信息均是真实有效的信息，没有采取任何的欺骗手段来说明自己是合法持卡人身份。银行与支付宝机构是基于其与用户间的协议，根据用户提供的信息符合协议约定的内容才提供相应的授权服务，而对于是否系他人冒用，支付宝机构及银行根本无法进行识别，因为二者都属于互联网终端设计的程序，根据预先设置的指令提供服务，正如学者指出的：“机器并没有认知的能力，机器是依照特定的指令而作反应或不作反应，指令正确就有预设的动作出现，指令不正确就不会有反应，根本无所谓受欺罔致生错误的情事产生。”[2]故机器只是按照一套规定的程式语言进行预设的反应，对本案而言，只要输入信息正确，后台就同意进行绑定、转账等操作，不存在冒用问题，更不存在认识错误的可能。因此，利用他人银行卡信息绑定支付宝并转账的行为，并不是基于银行或支付宝产生了错误认识，相反，是作出了符合银行和支付宝预先设置的内容，故不能认定为欺骗行为。

其二，银行并非因错误认识而处分财产。处分行为是区分盗窃罪与诈骗罪的关键。[3]处分行为的前提是因欺骗而导致的认识错误，只有当行为人的欺骗行为使得被害人产生错误认识而处分财产才可能成立诈骗罪。一方面，在已绑定银行卡的支付宝账号中，只要行为人输入正确的支付密码，银行、支付宝机构就必须根据约定作出资金转移的处分行为，银行、支付宝机构均没有财产处分的选择权，不具有诈骗中财产处分以被害人的处分意思为前提的属性特征。另一方面，当银行卡与支付宝绑定之后，行为人通过支付宝进行转账的行为不能等同于直接使用信用卡的行为。因为支付宝平台是独立于行为人与银行的中介机构，在利用支付宝进行交易时，银行卡的功能被弱化，行为人是通过支付宝中的个人账号对资金进行支配，其直接利用的是支付宝，而非银行。而此时，向银行发出资金调拨指令的也是支付宝机构，并非行为人，即行为人没有冒用被害人身份向银行发出支付指令，银行是基于支付宝机构与银行之间的协议以及绑定银行卡时的授权，才会按照支付宝的指令当然支付钱款。在支付过程中，银行不存在被骗情形，其处分行为并非基于认识错误而产生。

三、盗窃罪之证成

（一）秘密窃取与主动获取是盗窃罪的本质特征

盗窃罪与信用卡诈骗罪均是以非法占有为目的，两罪的主观构成要件区别不大，主要区别在两罪的客观构成要件。首先，盗窃罪的客观行为表现为行为人采取以自认为没有被被害人发觉的方式秘密窃取财物。程某某窃取银行卡、手机、身份证以及后续的通过或支付宝转账是整体行为，是在非法占有的目的支配下实施。程某某事先将被害人的银行卡与支付宝进行绑定，相当于得到他人财产的钥匙，再通过转账的方式将他人银行卡内资金转移至自己账户，是以平和的手段非法占有他人财物，与偷配钥匙再入户盗窃没有本质的区别。行为人的整个过程均是在不被被害人察觉的情形下进行，如趁被害人熟睡绑定银行卡、趁被害人不注意时转账、删除银行提醒短信等，由此看出其主观意图是以不被被害人发觉的手段，秘密地以转账形式将被害人银行卡内的资金占为己有，其行为符合秘密窃取与主动获取的特征。其次，从法益侵害的角度看，由于银行没有认识错误与被骗的情形，故也不存在对信用卡管理秩序的妨害，银行与支付宝机构都没有实际损失，也不会为持卡人承担损失，本案直接侵害的法益是被害人的财产权。综上，程某某以非法占有为目的，其取财的直接和最终手段均是秘密窃取，符合盗窃罪的犯罪构成，应认定为盗窃罪。

（二）“盗窃信用卡并使用”条款应视具体情况适用

笔者认为，本案应直接依据《刑法》第264条的规定认定为盗窃罪，而不是依据第196条第3款“盗窃信用卡并使用”从而认定为盗窃罪。理由如下：第一，程某某虽有盗窃银行卡的行为，但是其盗窃银行卡的目的并不是为了利用银行卡的取现、刷卡等普遍功能，而是为了获取银行卡卡片上的卡号信息，这不是通常理解下的盗窃银行卡并使用的行为。第二，被害人对银行卡有效管理的方法在于对银行卡本身及密码的控制。本案中，当程某某将被害人银行卡与支付宝进行绑定并获得预先设置的支付密码后，其实际上取得了对银行卡内资金的控制、支配权力。此时，“绑定的银行卡的资金对于被告人而言就是一个‘钱袋子，银行卡的相关属性被无限弱化，仅是一个象征的程序。”[4]因此，对程某某而言，銀行卡仅是被害人财产的载体，非通常属性的银行卡，不能因为信用卡的出现而适用“盗窃信用卡并使用”的规定，应直接依据《刑法》264条的规定认定为盗窃罪。

注释：

[1]韩飞：《在特定场所捡拾手机后转账如何定性》，载《经营管理者》2016年第19期。

[2]蔡墩铭主编：《刑法争议问题研究》，台湾五南图书出版公司1999年版，第526页。

[3]张明楷：《刑法学》，法律出版社2014年版，第891页。

[4]姚海华主编：《刑事实务》，中国法制出版社2017年版，第421页。