更改支付密码，私密转走支付宝帐号内资金的行为定性
方宇
一、基本案情
犯罪嫌疑人柳某某于2016年7月11日，通过其购买的18758071821移动电话号码注册支付宝并实名认证，设置登陆密码后，发现该电话号码曾绑定于被害人董某某的支付宝账户4********@qq.com，且该账户已绑定了被害人的招商银行信用卡，后其在支付密码设置中采用了短信验证+身份证号码（犯罪嫌疑人本人身份证号码）对被害人的支付宝密码进行了重置，进而将被害人支付宝钱包内的现金人民币168元钱款提出至其绑定的个人银行卡，后又使用该支付宝绑定的被害人招商银行信用卡消费使用人民币3000元。
二、分歧意见
第一种观点认为，本案犯罪嫌疑人采用更改被害人支付宝账户支付密码，将被害人支付宝账户内钱款及绑定的银行卡内资金秘密转移占为己有，构成盗窃罪。
第二种观点认为，本案犯罪嫌疑人假冒被害人身份、冒用被害人信用卡进行诈骗活动，分别符合诈骗和信用卡诈骗行为特征，但因未达追诉标准，故不构成犯罪。
三、评析意见
笔者赞同第二种观点。理由如下：
（一） “支付宝”的性质界定
第一，“支付宝”系第三方支付平台。支付宝（中国）网络技术有限公司（简称“支付宝”）是一种第三方支付平台，致力于提供简单、安全快速的支付解决方案。支付宝与国内180多家银行以及VISA、MasterCard国际组织等机构建立战略合作关系。第三方支付是指具备一定实力和信誉保证的独立机构采用与各大银行签约的方式，提供与银行支付结算系统接口的交易支付平台的网络支付模式。
第二，第三方支付的应用原理。第三方支付在按支付程序分类中归入与信用证结算、保函结算相同的分步支付方式。在实际操作过程中第三方机构可以是发行信用卡的银行本身，在进行网络支付时，信用卡号以及密码的披露只在持卡人和银行之间转移，降低了应通过商家转移而导致的风险。当第三方是除了银行以外的具有良好信誉和技术支持能力的某个机构（就如“支付宝（中国）网络技术有限公司”）时，支付也通过第三方在持卡人或者客户和银行之间进行。持卡人首先和第三方以替代银行账号的某种电子数据的形式传递账户信息，避免了持卡人将银行信息直接透露给商家，另外也可以不必登录网上银行界面，而取而代之的是每次登陆时，都能看到相对熟悉和简单的第三方机构的界面。第三方机构与各个银行之间又签订有关协议，使得第三方机构与银行可以进行数据交换和相关信息确认，第三方机构实现在持卡人或消费者与各个银行，以及最终的收款人之间建立一个支付的流程。
第三，第三方支付（支付宝）的现实功能。支付宝解决了网银支付的两大问题，一是解决了绝大部分银行并未开通网银、手机版网银移动支付服务的问题；二是解决了由于网银是公共接口，使用时有页面跳转，伴随网银钓鱼案件和支付成功率一般仅有65%左右的问题。支付宝与银行以为网络支付量身定做了网银服务这一快捷支付功能，主推支付功能，由银行与支付宝直连，保障了支付的安全性和便捷性。用户可以通过在银行留下的联系方式、银行卡号、手机校验码等信息快速开通快捷支付服务，付款时输入支付宝支付密码即可实现付款功能。
第四，支付宝等第三方支付平台纳入了金融秩序监督。2011年5月26日，支付宝获得中国人民银行颁发的国内第一个《支付业务许可证》（“支付牌照”）。2017年1月13日，中国人民银行发布了《中国人民银行办公厅关于实施支付机构客户备付金集中存管有关事项的通知》，明确了第三方支付机构在交易过程中，产生的客户备付金，今后将统一交存至指定账户，由央行监管，支付机构不可挪用占用客户备付金。
第五，支付宝与支付宝钱包。通常意义上的支付宝实际旗下有“支付宝”与“支付宝钱包”两个独立品牌，“支付宝”系源于淘宝网为保护消费者权益而产生的第三方支付平台，使商家看不到客户的信用卡信息，同时又避免了卡信息在网络上多次公开传输而导致信用卡信息被窃；而“支付宝钱包”是移动支付平台，内置理财所用的余额宝，还有还信用卡、转账、充话费、缴水电煤等功能。“支付宝钱包”集合了支付、钱包和理财的功能。因而 “支付宝钱包”内资金与“支付宝”绑定银行卡内资金性质存在区别。
综上，笔者认为，作为第三方支付平台的支付宝是纳入金融监督，与银行系统对接的金融支付辅助或替代工具。基于支付宝纳入金融监管，不能简单地认为利用“支付宝”等网络支付平台实施的侵财案件不具有对金融秩序的破坏；也基于支付宝独有的应用原理、现实功能，不能简单地认为网络支付平台支付密码等信息，不属于刑法规定的信用卡信息资料，而应从技术角度出发，网络平台的支付密码信息等应是平台用户基于绑定信用卡后衍生的信用卡信息资料。
（二）第三方支付平台技术环境下的信用卡诈骗罪与盗窃罪、计算机信息系统类犯罪的关系解析
作为金融诈骗犯罪之一的信用卡诈骗罪具有如下几个特征：
1.信用卡诈骗犯罪有其特殊的犯罪载体。不同于盗窃、诈骗一般侵犯财产犯罪，金融诈骗罪有其特定的犯罪载体工具，如票据诈骗罪、金融凭证诈骗罪、信用证诈骗罪、有价证券诈骗罪以及信用卡诈骗罪，系以金融票据凭证、信用证、有价证券和信用卡为其犯罪载体，而一般的侵犯财产犯罪并不以上述特定载体工具为构成要件要素，因而，在对该类案件定性的考虑中，逻辑上还应当从有无特定的犯罪载体进行考量。
而在网络平台第三方支付技术环境下，也应当从违法犯罪行为实施所依托的犯罪载体角度出发考量。在通过支付宝违法使用信用卡时，应当从信用卡诈骗犯罪作为起点进行审查。江苏法制报曾刊登李亮的文章——《拾得手机后使用支付宝转账构成何罪》一文中，李亮认为：“行为人更改了支付宝支付密码后，取得了银行卡的实际控制，在被害人采取应急措施之前，可以对银行卡内的资金予取予求。此时，绑定的银行卡内的资金对于犯罪嫌疑人来说是一个‘钱袋子，银行卡的相关属性被无限弱化，仅是一个象征的程序。银行卡只是被害人一种承载物，不能因为银行卡的出现而适用刑法第一百九十六条第三款的规定，应直接使用刑法第二百六十四条的规定。”这一观点实属不可取。银行卡内的资金并不可能因支付设置方式改变而变为不是银行卡内的资金。上文中在介绍支付宝应用原理和现实功能中提到，支付宝作为第三方支付是银行网银的替代（品），是支付结算方式的改变，并没有改变所绑定的信用卡的基本性质，更不可能改变信用卡的功能。实质上，支付宝的出现是增加了信用卡的原有使用方式，也即是从原来的柜台、ATM机、POS机、网银、电话银行等原先形式增加了支付宝这一支付平台形式而已。支付宝将支付宝密码与银行卡密码合二为一，只是简化了使用流程，使用支付宝（绑定的银行卡内资金）根本上还是在（直接）使用绑定的信用卡，无论如何也无法得出银行卡的相关属性被無限弱化，仅是一个象征的程序这一结论。endprint
2.盗窃信用卡并使用与冒用他人信用卡的区分。最高人民法院、最高人民检察院《关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释》对“冒用他人信用卡”，规定了以下情形：“（一）拾得他人信用卡并使用的；（二）骗取他人信用卡并使用的；（三）窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，并通过互联网、通讯终端等使用的；（四）其他冒用他人信用卡的情形。”在司法实践对处理传统的信用卡犯罪案件中，对冒用他人信用卡与盗窃信用卡并使用的区分界限是明晰的，但在以支付宝为代表的第三方支付平台技术出现后，出现了认识变化和混乱。
首先，《刑法》第196条第3款“盗窃信用卡并使用”中的信用卡是否应当仅指真实有效的实体信用卡？如果在网络支付技术尚未出现或成熟推广的时候，我们有此认识还情有可原，但在以支付宝为代表的网络支付成为主流后，对“信用卡”的认定显然不能再以实体卡为限了。以“支付宝钱包”为代表的手机移动支付，正是解放了实体信用卡的传统使用形式，通过智能手机程序与信用卡技术绑定结合，只需一部手机打开一个程序界面就可以完成之前将钱包内的实体信用卡在POS机上刷卡使用的形式，因而盗窃被害人电子设备后使用该电子设备内网络支付平台绑定的银行卡也应当认定为盗窃罪。
其次，信用卡信息资料能否包括网络支付平台的支付密码等信息？信用卡实体卡本身仅是一张卡片，实施信用卡诈骗犯罪本质上还是利用了信用卡所承载的信息所实施的犯罪。信用卡信息资料是一组有关发卡行代码、持卡人账号、密码、校验码等内容的加密电子数据，通常由发卡行在发卡时使用专用设备写入信用卡的磁条或芯片中，作为POS机、ATM机等终端机具识别合法用户的依据。作为信用卡信息里至关重要的支付密码显然是信用卡信息。但在信用卡绑定了网络支付平台后，信用卡本身的支付密码由网络支付密码所替代。事实上，以支付宝为例，通过电子设备登录网络支付平台账户后根本无需再通过输入网络支付平台绑定信用卡的密码或银行验证码进行操作，甚至在限额以下可以免密支付。如果将支付密码视为是保险锁，那么在网络支付平台技术条件下，平台支付密码替代信用卡支付密码使用，完全可以视为二者的合二为一，等同视之。再如，信用卡本身未设密码，或使用免密支付形式时，根本不存在密码使用需要，因而以“通过输入网络支付平台密码获取该平台绑定信用卡内资金的，定盗窃罪；通过输入网络支付平台绑定信用卡的密码或银行验证码，获取信用卡内资金的，定信用卡诈骗罪”的区分方式是对第三方支付结算方式技术实质的一种误读。
3.盗窃信用卡并使用与窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，并通过互联网、通讯终端等使用的认定区别。有观点认为，“刑法第196条第3款明确规定，盗窃信用卡并使用的，以盗窃罪定罪处罚。刑法该条款的规定明显具有法律拟制的特征”。“盗窃信用卡是指行为人采用不为持卡人发现的秘密手段窃取他人信用卡的行为，盗窃的对象必须是真实有效的信用卡。”[1]在《〈关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释〉理解与适用》一文认为，由于通过网上银行、电话银行等方式进行信用卡交易时，银行交易系统是通过对信用卡信息资料的识别来确定持卡人身份的，所以窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，并通过互联网、通讯终端等使用的行为具有“冒用他人信用卡”的性质。由此可见，只有在实施盗窃获取信用卡后并使用的行为才可认定为盗窃罪，除此之外的情形，即使是窃取信用卡信息资料的，也只能认定为信用卡诈骗罪。
4.与利用计算机信息系统实施相关犯罪的竞合。窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，极有可能以非法侵入、控制计算机信息系统、非法获取计算机信息系统数据为手段，因此应当依照《刑法》第287条的规定，对利用计算机实施金融诈骗、盗窃等犯罪的，依照有关规定定罪处罚，在行为不构成金融诈骗、盗窃等犯罪时，可考虑适用利用计算机信息系统犯罪。
综上，笔者认为，在对以“支付宝”等网络支付平台中绑定的信用卡作为载体工具所实施的犯罪认定时，依然要依照相关司法解释的规定理解适用。从区分角度而言，只有行为人是通过盗窃行为非法占有被害人安装有支付宝等网络支付平台软件并绑定信用卡的电子设备后并使用的行为才可评价为盗窃罪；通过收买、骗取或者以其他非法方式获取被害人装有网络支付平台软件并绑定信用卡的电子设备，或者通过窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料后登陆被害人绑定信用卡的网络支付平台后使用信用卡的行为，仍属信用卡诈骗。
（三）本案的定性分析
首先，本案犯罪嫌疑人获取被害人支付宝账户信息不具有非法性。本案犯罪嫌疑人将其18758071821移动电话号码用于注册支付宝并实名认证，设置登陆密码后，发现该电话号码绑定于被害人支付宝账户且已绑定了招商银行信用卡。此种情形的出现源系支付宝系统一个手机号可绑定六个账号而出现的技术漏洞。犯罪嫌疑人系新手机号的使用者，其用该手机号重新注册支付宝后发现与之原先关联的账号信息互通，其进入原账号系统纯属偶然，因而其获取被害人支付宝账户信息的行为不应被评价为非法。
由于犯罪嫌疑人进入原账号系统不具有非法性，故在其合法进入该账号后所获得的绑定信用卡就有如拾得信用卡，既非骗取更非秘密窃取，同样不具有非法性。
其次，本案犯罪嫌疑人支付密码设置行为系冒用信用卡行为中的冒用行为。犯罪嫌疑人在支付密码设置中采用了短信验证+身份证号码的方式进行了修改，且这身份证号码系其本人身份证号码，支付宝系统按其程序验证通过了其使用资格，由此，可以认为犯罪嫌疑人向支付宝系统发送了支付宝系统认可的信息后，支付宝系统陷于错误认识，错误认定犯罪嫌疑人系合法使用人进而授以其使用的资格与权力，该行为可认为是后续使用行为之前的假冒行为。这一步骤相当于实践中的猜配密码的行为，使银行卡系统误认为持卡人系合法所有者而授予其使用权利。
本案犯罪嫌疑人通过支付密码设置后获取支付宝钱包内的行为可认为系诈骗行为。由于支付宝钱包内的钱款不属于银行卡内资金，故无法构成信用卡诈骗。但由于犯罪嫌疑人输入了支付宝认可的信息后，虚构了其为支付宝钱包内钱款的合法用户身份并进而让支付宝误以为转账行为是真实用户的意思表示，使支付宝错误支配处置了合法用户的财产，符合诈骗罪的特征。[2]
再次，本案犯罪嫌疑人的行为不符合盗窃罪的特征。盗窃罪是行为人以秘密手段将被害人占有控制的财产非法转移占有的行为。诈骗犯罪是以虚构事实，隐瞒真相的手段，使被害人交付其控制占有的財产或使被骗者处分被害人的财产使被害人损失的行为。本案中，被害人在支付宝钱包的资金是由支付宝平台系统保管的资金，绑定的信用卡中可使用的资金本质上是其使用的资金额度，犯罪嫌疑人所实施的行为是向支付宝钱包内资金的保管者、与绑定信用卡相关联的第三方支付平台的支付宝发出了使之以为其系合法使用者的指令后，支付宝作出错误认识而交付其被害人的财产，犯罪嫌疑人未以秘密手段实施转移被害人财产的行为，故不成立盗窃罪。
最后，本案不宜合并评价为普通诈骗罪。尽管本案犯罪嫌疑人的涉案金额未达到诈骗罪的追诉标准，但基于诈骗罪与信用卡诈骗罪系普通犯与特别犯的关系，是否可以合并认定为诈骗罪存在争议。笔者认为，诈骗罪与信用卡诈骗罪系普通与特别犯的关系，在诈骗罪法律条文中明确“本法另有规定的，依照规定”，本着罪刑法定原则，符合特别犯行为的应当以特别犯论处，而不应再以普通犯进行类推认定，故不可合并计算认定。
综上分析，笔者认为本案犯罪嫌疑人柳某某的行为不构成犯罪。
注释：
[1]刘宪权、于亮：《刑法中“盗窃信用卡并使用”的含义辨析》，载《甘肃政法学院学报》2012年第6期。
[2]参考（2015）浙甬刑二终字第497号，载《人民司法·案例》2016年第11期（总第742期）。endprint