【实务】秘密转移第三方支付平台资金行为的定性-----------以支付宝为例
秘密转移第三方支付平台资金行为的定性
-------以支付宝为例
摘要:秘密转移他人第三方支付平台账户资金的犯罪行为表现为直接转移平台账户内资金和转移平台账户所绑定银行卡内资金等两种行为方式。司法实践中应区分这两种行为方式，对直接转移他人支付宝账户内资金的行为以盗窃罪认定，而对转移他人支付宝账户所绑定银行卡内资金的行为以信用卡诈骗罪认定。从刑民结合的角度来看，应认定第三方支付平台是提供资金转移服务的中介机构，刑事认定可突出对第三方支付平台接受指令运行行为的思考，民事认定可在第三方支付平台与银行、账户权利人之间合同关系的框架下把握。
关键词:第三方支付 盗窃罪 诈骗罪 信用卡诈骗罪
当前，司法实践对于秘密转移支付宝账户资金的两种行为方式的定性问题，仍存在较大争议，因此，笔者认为，有必要对这两种行为方式进行类型化研究。
（一）直接秘密转移他人支付宝账户内资金的典型案例辨正
行为人直接秘密转移他人支付宝账户内资金的案件，其行为本身并不涉及支付宝账户所绑的 银行卡内的资金。典型案例如下：
其一，赵某盗窃案。被告人赵某于2016 年 1 月在使用被害人、其女友王某的手机时，发现王某支付宝账户内有大量钱款。在猜中支付密码后，赵某使用自己的手机登录王某的支付宝账户，分多次将该账户内的余额人民币10万元转入自己的银行账户内。杭州市下城区人民检察院以赵某涉嫌盗窃罪提起公诉，杭州市下城区人民法院判决赵某构成盗窃罪，判处有期徒刑三年，缓刑三年，并处罚金人民币4000元。①
其二，徐某诈骗案。被告人徐某于2015年3月在使用单位下发的工作手机时，发现可登录被害人、原同事马某支付宝账户，该账户内有人民币5万余元余额。徐某遂利用该手机进入马某支付宝账户，转账15000元到刘某的银行账户，后由刘某在银行提现并交给徐某。宁波市海曙区人民检察院以被告人徐某涉嫌盗窃罪提起公诉，海曙区人民法院判决被告人徐某犯诈骗罪，判处有期徒刑七个月，缓刑一年，并处罚金人民币3000元。一审宣判后，海曙区人民检察院认为一审判决定罪错误，提出抗诉。宁波市中级人民法院裁定维持原判。②
在上列第一个案件中，检察院是以涉嫌盗窃罪提起公诉，法院也是以盗窃罪予以定性；而在第二个案件中，检察院是以涉嫌盗窃罪提起公诉，但一审和二审法院都是以诈骗罪予以定性。可见，司法实务部门对于直接秘密转移支付宝账户内资金类案件的定性仍然存在较大分歧，甚至出现同案不同判的现象。
（二）秘密转移他人支付宝账户所绑定银行卡内资金的典型案例辨正
与直接秘密转移他人支付宝账户内资金有所不同，行为人秘密转移他人支付宝账户所绑定银行卡内资金的行为并非针对支付宝账户内的资金，而是针对所绑定银行卡内的资金的行为。典型案例如下：
其一，廖某盗窃案。被害人何某于2014年8月在某饭店用餐后，将背包遗留在包房。被告人、该饭店员工廖某捡到包后藏了起来，待下班后发现包内有被害人手机，手机上装有支付宝软件且无需密码，并绑定一张银行卡，廖某遂使用被害人手机从该银行卡转出人民币8000 元至其本人账户。佛山市顺德区人民检察院以涉嫌盗窃罪对廖某提起公诉，顺德区人民法院以盗窃罪判处廖某拘役六个月，并处罚金人民币1000元。宣判后，廖某提起上诉，认为其行为并非秘密窃取，不应构成盗窃罪。佛山市中级人民法院裁定维持原判。③
其二，李某信用卡诈骗案。被告人李某于2012年8月在购得新手机号码后，发现该手机号码仍然绑定被害人、号码原使用人姚某的支付宝账户。被告人李某遂利用该手机号码重置支付宝账户密码，并利用支付宝账户与信用卡的绑定关系，通过支付宝账户进行网上消费或转账取现，共计人民币15000余元。金山区人民检察院以李某涉嫌信用卡诈骗罪提起公诉，金山区人民法院以信用卡诈骗罪判处李某有期徒刑七个月，并处罚金人民币20000元。④
在上列第一个案件中，检察院是以涉嫌盗窃罪提起公诉，一审和二审法院也是以盗窃罪予以认定；而在第二个案件中，公安机关是以盗窃罪移送审查起诉，检察院则是以涉嫌信用卡诈骗罪提起公诉，法院也是以信用卡诈骗罪予以认定。据此，司法实务部门对于秘密转移与他人支付宝账户所绑定银行卡内资金类案件的定性同样存在较大分歧。
对于此类行为的定性，司法实践的争议焦点主要集中在盗窃罪和诈骗罪两个罪名的适用上。第一种意见认为应当认定为盗窃罪。理由是：除刑法和相关司法解释特别规定的冒用他人身份在ATM机上使用信用卡的情形外，其他的智能机器、智能程序不能当然认为可以作为被骗的对象。⑤第二种意见认为应当认定为诈骗罪。理由是：根据支付宝的运作流程，支付宝之所以将账户资金转账到行为人指定的银行账户，是基于之前支付宝公司与支付宝用户所签订的服务协议。根据服务协议的约定，只要用户输入正确的用户名和密码，支付宝公司就有义务按照操作指示将账户资金用于支付或转账，支付宝公司按指示转账是正当履行合同的行为。如果支付宝公司为用户代管的资金因安全问题而被窃，用户的损失应由支付宝公司承担。例如，行为人在未获取用户密码的情况下，利用黑客手段突破了支付宝公司的安全防护，将用户余额资金转出，这一犯罪的被害人就是支付宝公司，支付宝公司应承担用户的损失。⑥但如果行为人将被害人支付宝账户内资金转出的行为已经得到支付宝公司的审核和认可，那么支付宝公司的资金就并非被盗，行为人的行为也就不能构成盗窃罪。也就是说，行为人以输入正确的支付宝账户名和密码，虚构其是支付宝用户本人或者获得授权的事实，使支付宝公司产生认识错误，并基于这一错误认识主动交付财物。该行为方式无疑符合诈骗罪的构成要件，理应以诈骗罪认定。
对此，笔者赞同上述第一种意见，亦即对直接转移他人支付宝账户内资金的行为应以盗窃罪认定。理由主要包括两点:
其一，从行为的实质来看，秘密转移他人支付宝账户内资金行为的实质是以秘密方式获取他人支付宝账户和密码，进而控制支付宝账户，非法占有支付宝账户内资金，符合盗窃罪构成要件，理应以盗窃罪认定。
其二，因支付宝无法成为被诈骗的对象，该行为不能认定为诈骗罪。关于支付宝能否成为被诈骗对象，这与包括ATM机、计算机等在内的智能机器能否成为被骗对象的问题相类似。目前，我国刑法理论界与实务界对此观点不一。对此，笔者认为，尽管我国刑法和相关立法、司法解释明确规定了ATM机等机器可以成为信用卡诈骗的被骗对象，但由于上述规定属于法律拟制性规定，因而不能当然推断出所有机器均可以成为诈骗类犯罪被骗对象的结论。无论是根据罪刑法定原则，还是根据一般人对诈骗犯罪对象的理解，目前支付宝等第三方支付平台都不能成为诈骗犯罪的对象。且从技术层面来分析，支付宝账户程序运行的根本在于保障转账、消费等使用功能，在防止黑客侵入、服务器损坏等安全隐患的同时，确保账户安全、支付安全的关键、使平台确信是本人或者他人得到授权使用的凭证就是通过账户、密码的验证，支付宝平台不可能进行现实的人身或者其他验证，只能根据通过验证的指令进行支付，不会陷入所谓的错误认识。据此，支付宝平台不能被骗，表明支付宝平台背后的支付宝公司也无法被骗。值得一提的是，还有观点认为，此行为可用三角诈骗理论认定。但这一论断能否成立，其实质还在于支付宝能否被骗，在支付宝与支付宝公司不能被骗已经证成的情况下，三角诈骗自然不能成立。
对于此类行为的定性，司法实践的争议焦点主要集中在盗窃罪和信用卡诈骗罪两个罪名的适用上。第一种意见认为，对于此类案件应定性为盗窃罪。理由是：被害人在将支付宝账户与银行卡关联绑定之时，已经完成了授权协议，只要支付宝发出支付指令，银行卡就根据授权协议执行指令。所以行为人虽然控制的是支付宝账户与密码，但由于被害人事先的关联授权行为，实质上可以占有和使用支付宝账户所绑定的银行卡内资金。且因为关联授权是被害人事先自愿完成，并非由行为人擅自进行关联授权，行为人也没有直接向银行发出支付指令，并没有妨害银行卡的管理秩序；支付宝、银行是在审核认证支付宝账户、密码之后，遵循关联授权协议和指令予以执行，不存在被骗的情况，因此不能认定为信用卡诈骗罪，而应以盗窃罪来认定。该观点的实质是认为，在支付宝账户与银行卡完成关联绑定之后，银行卡就是支付宝账户的“金库”，行为人以支付宝账户密码、关联协议为依据，秘密占有和使用银行卡内的资金。第二种意见认为，对于此类案件应定性为信用卡诈骗罪。⑦笔者赞同第二种观点，理由有以下两点:
其一，就行为实质而言，信用卡诈骗罪中的“冒用他人信用卡”是指，非持卡人以非法占有为目的，未经持卡人同意或者授权，擅自以持卡人的名义使用信用卡，进行信用卡业务内的购物、消费、提取现金等诈骗行为。根据2009年“两高”《关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释》的规定，“窃取、收买、骗取或者以其他非法方式获取他人信用卡信息资料，并通过互联网、通讯终端等使用的”属于信用卡诈骗罪中“冒用他人信用卡”的行为。在上文所列何某盗窃案和李某信用卡诈骗案中，行为人均是在控制被害人支付宝账户密码后，冒用被害人名义从支付宝账户所绑定的银行卡划拨资金进行消费和取现。其实质就是通过控制支付宝账户密码，擅自以持卡人的名义将银行卡内资金，划入其实际控制的支付宝账户内加以使用。与传统“冒用信用卡”的行为不同，在这类行为方式中，行为人基本上不接触银行卡实体，也不接触银行卡持卡人的信息资料，而是通过控制支付宝账户密码，将关联绑定的银行卡在网络金融平台进行支付、消费或转账。但基于支付宝账户与银行卡的关联绑定，使得支付宝、银行等机构均以为是银行卡的主人在使用，进而自愿实施支付行为。其中，银行是所支付资金的实际保管者与现实支付渠道，如果没有银行资金和支付系统的支撑，第三方支付平台将难以运行，显然应居于被骗者的地位。据此，这类行为方式无疑符合“冒用他人信用卡”的行为特征。
其二，就具体特征而言，秘密转移支付宝账户所绑定的银行卡内资金事实上存在两个行为，即将银行卡内资金转入支付宝账户的行为和将划入支付宝账户内的资金进行支付消费的行为。在上文所列的何某盗窃案和李某信用卡诈骗案中，行为人均是利用非法手段实际控制了被害人的支付宝账户，然后根据支付宝账户与银行卡的关联绑定，将被害人支付宝账户所绑定银行卡内的资金划入支付宝账户，行为人至此已实际完成资金转移。之后行为人使用支付宝账户进行支付、消费和取现等行为，只是其对赃款的一个后续处理行为，实际上并未再侵犯新的法益，可以从事后不可罚行为的角度加以看待，行为人真正获取资金的关键是冒充持卡人从银行卡内划出资金的欺骗行为。从具体特征来说，这一行为也显然符合信用卡诈骗罪的构成要件，应以信用卡诈骗罪定罪处罚。当然，需要指出的是，控制支付宝账户与密码并不等于实际控制所绑定银卡内的资金，要实际占有银行卡内的资金，还需要行为人实施冒用行为，其犯罪金额应以实际转移的金额认定。
就支付宝等第三方支付平台的法律地位而，2010年中国人民银行《非金融机构支付服务管理办法》（以下简称《管理办法》）首次在法规层面将各类第三方支付平台统一定位为非金融机构，明确规定准入资格、业务范围、监督管理、罚则等内容，从条文层面予以了限定。根据《管理办法》的规定，支付宝等第三方支付平台是在收付款人之间作为中介机构提供网络支付等货币资金转移服务，并不能从事银行等金融机构才能开展的资金结算业务。从支付宝的相关规定来看，《支付宝服务协议》中明确载明其业务范围为非金融机构支付服务，受用户委托收款或付款的资金转移服务，并不得为金融机构，或从事信贷、融资、理财、担保、信托、货币兑换等金融业务的个人开设支付宝账户。⑧就此而言，支付宝等各类第三方支付平台作为非金融机构，并不能够从事支付结算及资金存贷等金融业务，而是通过与各大商业银行合作，提供多方银行接入端口，为用户提供便捷的资金移转通道。虽然对金融机构的认定现在更趋于从功能来考察，在金融创新的背景下也显得更为宽松，但是针对目前的法律规定和业务状况，应当认为支付宝等第三方支付平台的行为是经许可为收付款双方提供资金转移服务的中介机构，系非金融机构。
就支付宝等第三方支付平台与各商业银行或者说现有金融体系之间的法律关系而言，根据《管理办法》和业务流程，支付宝等第三方支付平台的主要业务范围系提供资金转移服务，在整个业务过程中，将需要转移支付的资金从买方的开户银行移转至第三方支付平台的银行账户，待交易成功后再从第三方支付平台的银行账户转移给卖方账户。整个过程中支付宝等第三方支付平台依照支付宝账户权利人所下达的指令从事各项资金转移服务。根据2005
年中国人民银行《电子支付指引（第一号）》第33条规定，第三方支付平台为银行支付业务的外包机构，应根据银行的委托来承担资金转移服务。简而言之，第三方支付平台就是通过技术手段创设通道，连接用户（交易双方）和商业银行，为交易双方提供支付和结算的中介服务，抑或说支付宝等第三方支付平台与商业银行（包括买方和卖方银行）之间实际上是一种服务合同关系。
从实践来看，发生秘密转移他人支付宝账户资金这类未经授权交易行为的具体原因主要还是账 户和密码的泄露。由于在注册使用各类第三方支付平台时，第三方支付平台均会要求账户权利人签署电子服务协议，约定各自的权利义务，如明确规定用户有义务保证账号及密码的安全。因此，只有在能够证明第三方支付平台具有故意或重大过失的情况下（诸如平台被黑客攻击、自身支付功能出现错乱等情况），第三方支付平台才会对此类损失承担民事赔偿责任。然而，在支付宝账户资金被秘密转移的实践情形中，账户权利人或多或少都对于自己账户和密码的保管、使用存在一定疏忽（在前文所述的案例中有所体现），而且囿于电子支付技术的复杂性、信息的不对称与实际举证的困难，权利人难以证明第三方支付平台是否存在故意或重大过失，事实上导致权利人很难通过民事法律途径来维护自身权益。
从刑民交织的角度，通过借鉴民事责任的区分可以明确两点认识。一是支付宝等第三方支付平台是提供资金转移服务的中介机构，与各商业银行、账户权利人是服务合同关系，在服务合同法律框架内承担民事法律责任。二是支付宝的实际运行、提供资金支付服务是根据账户与银行的相关指令进行，《管理办法》明确要求支付宝等第三方支付平台应当具备必要的技术手段，确保支付指令的完整性、一致性和不可抵赖性，支付业务处理的及时性、准确性和支付业务的安全性；具备灾难恢复处理能力和应急处理能力，确保支付业务的连续性，说明相关指令是推动支付宝运行的具体依据。三是行为的认定与责任的区分。根据刑法看行为、民法看关系的原则，对秘密转移他人支付宝账户资金的行为，从刑事认定上应当聚焦对支付宝账户接受指令实际运行的行为，这样的考虑也与前文的论证能够衔接，从另一方面证明了区分类型、分处盗窃罪与信用卡诈骗罪的合理性，防止因为民事赔偿问题影响刑事责任的认定、罪名的考虑。从民事责任上应当在第三方支付平台与银行、账户权利人之间合同关系的框架下来把握，针对行为的发生、实际损失的形成，第三方支付平台是否具有故意或重大过失进行论证。从长远的考虑来看，还可以从民事举证责任方面再做修改完善。
作者：吴波，华东政法大学刑事法学研究院研究员，上海市普陀区人民检察院检察官