网银交易中，网络交易身份认证信息验证通过，一般可认定为持卡人本人或其授权交易；但持卡人提供证据足以证明案涉交易系他人冒用持卡人名义所为的，应认定系网络盗刷。发卡行主张持卡人违反信息保管义务的，应当承担举证责任；仅以信息验证通过为由，主张持卡人存在信息保管过错的，不能成立。在无证据证明持卡人自身存在违约行为等可归责事由的情况下，发卡行就被盗刷的款项承担责任。
2011年4月，丁某在甲银行处办理一张卡号6226……08的储蓄卡。2011年4月24日，丁某填写申请表申请开通该储蓄卡网上个人银行，并在“关联本行卡”选择框中划“√”，在“申请移动数字证书”前选择框中划“×”， “申请文件数字证书”、“作废文件数字证书”、“作废移动数字证书”以及“关联他行卡”栏均未填写。该申请表背面功能说明及责任条款载明，客户凭账号、密码和数字证书进行个人银行（专业版）网上交易。客户对网上交易指令及由此产生的结果承担一切经济和法律上的责任。客户需要妥善保管账号、密码和数字证书等资料，由本人泄露客户资料产生的风险及损失由客户本人承担。
2015年1月18日，丁某开通该卡的短信验证码转账功能，单日限额为20万元。短信验证码转账流程为：第一步，打开甲银行个人银行大众版首页；第二步，进入个人银行大众版登录页面，输入用户名（登录名／手机号／邮箱）、登录密码、附加码登录；第三步，进入转账汇款页面，输入收款方户名、账号、金额等相关信息；第四步，点击获取验证码，输入取款密码及发送至验证码收取手机号所接收的验证码，点击完成。
2015年6月28日、7月7日，丁某使用短信验证码转账功能进行过转账，短信验证码接收手机号为189……69。2015年9月16日3时43分，甲银行系统向上述手机号发送一网通关联手机修改验证码。7时29分、31分、35分，丁某账户通过短信验证码转账功能向户名为章某、卡号为6230……22的卡分别转账5万元、5万元、4,750元，甲银行系统均将短信验证码发送至上述手机号中。7时49分，丁某口头挂失该卡，甲银行系统也向上述手机号发送短信告知口头挂失操作成功。2015年9月16日9时33分，丁某将该卡中剩余款项取出，并更换新卡同时开通短信通知功能。10时46分，丁某至上海市某经侦支队报警。
另有生效刑事判决查明：自2015年9月起，被告人童某用非法获取个人信息的大量数据，与被告人唐某一起对上述数据进行切割、整理，保留原始数据中的移动电话号码、身份证号、密码等内容，随后由被告人童某使用专门的扫号软件，在其租赁的服务器上用盗取的网银登录名和登录密码进行自动匹配，选取登录名和密码正确的信息，再使用变号软件用被害人的电话号码拨打通信运营公司客服电话，以被害人名义在被害人的移动通讯功能中开通短信助手业务，增设短信过滤、短信保管、短信转移等功能，然后登陆被害人网上银行主页，输入截取的银行发送的转账验证码等方式，将被害人银行卡中的存款转账后予以侵吞。2015年8月29日至9月21日期间，共计从7名被害人的账户中转账或消费1,728,261.50元，所得赃款除部分由被告人童某替唐某归还债务外，余款化用殆尽。丁某属于上述受害人之一。
现丁某向一审法院提起诉讼，请求判令甲银行赔偿存款损失及相应利息损失。
一审法院于2019年1月8日作出民事判决：甲银行应赔偿丁某存款及相应利息损失。甲银行不服一审判决，提出上诉。上海法院于2019年5月17日作出（2019）沪74民终200号民事判决：驳回上诉，维持原判。
法院认为，当丁某将货币存入甲银行时，即不再对其享有所有权，而是获得依合同约定请求甲银行支付本息的债权。虽然丁某的诉请表述为“赔偿损失”,但实为确认其与甲银行之间就被盗刷部分的债权债务关系仍然存在，要求甲银行承担继续履行的违约责任。
网上银行业务不同于物理卡交易，银行无法凭借真实有效的银行卡来验证持卡人身份，而是通过卡号、登录及交易密码、动态验证码等持卡人网络交易身份认证信息的一致性来核实客户身份。银行提供的证据证明上述信息验证通过的，通常即认定构成具有受领权的权利外观、银行的给付属于适当履行。但上述网银交易中债务履行适当性的认定，在性质上属于事实推定，即以相关验证信息的私密性为前提，推定系争交易由持卡人或其授权所为。如果持卡人提供证据足以证明相关交易系他人冒用持卡人名义、使用持卡人网络交易身份认证信息所为的，即可推翻上述事实推定。本案中根据相关案件刑事判决书查明的事实，案涉交易系案外人童某等冒用丁某的身份而为，因此应当适用上述规则。
甲银行进一步主张，取款密码是丁某自行设置的，犯罪分子之所以可以扫号登录成功是因为丁某在其他网站使用了相同的用户名和密码，因此持卡人丁某自身存在泄露信息的过错，故应减轻银行的责任。该主张是以取款密码等银行账户信息只有丁某知晓为前提的，而网银交易系统的安全隐患、银行对网银交易环境的管理不善等均有可能导致银行卡信息泄露。而且，即便丁某在其他网站使用了与案涉银行卡相同的用户名和密码，亦不能即得出丁某未尽到妥善保管自己银行卡信息的义务。甲银行未提供相应的证据证明丁某未尽到适当注意义务导致银行卡信息泄露，应承担举证不能的后果。因此，甲银行据此要求减轻或免除责任的主张，不予采纳。
从利益衡量和风险防范的角度讲，将案涉银行卡欺诈的风险分配给甲银行也更为合理。作为专业金融机构，甲银行对其所提供的供客户选择的任何一种网上交易模式，均具有保障账户资金安全的法定义务。丁某之所以选择将案涉款项存入甲银行，也正是基于对其作为商业银行的信任。为此，作为借记卡的发卡行及相关技术、设备和操作平台的提供者，应当对交易机具、交易场所加强安全管理，对各项软硬件设施及时更新升级，以最大限度地防范资金交易安全漏洞。尤其是随着电子银行业务的发展，商业银行作为电子交易系统的开发、设计、维护者，也是从电子交易的风险中获得经济利益的一方，相较于持卡人而言,应当也更有能力采取措施防范风险和解决问题：一方面，可以通过发布警示案例，告知持卡人相应的风险隐患，还可以通过引入保险机制，分散相应的风险。另一方面，可以升级软件硬件等技术保障措施，增强防范银行卡违法犯罪行为的能力。
综上，丁某账户资金遭网络盗刷，在没有证据证明丁某存在违约行为等可归责事由的情况下，甲银行对冒名者的付款行为不能产生清偿的效果，仍应当就被盗刷的款项对丁某承担全部支付责任。
