利用銀行系統漏洞獲得財物的行為判斷

姚婭　王曉

摘 要：隨著信息化社會發展，通過網絡平臺買賣“虛擬”黃金成為投資理財新形式，與此同時也出現了新型的違法犯罪行為。行為人利用銀行系統漏洞造成銀行損失的行為如何評價，是犯罪行為，還是民事不當得利，實踐中存在分歧。行為人主觀上是否具有非法占有目的、客觀上是否具有轉移占有行為成為此類案件定性的關鍵因素。實踐中應以個案證據為基礎，嚴格按照犯罪構成要件分析行為人的客觀行為性質和主觀目的，堅持主客觀相一致的原則，對案件作出準確定性。

關鍵詞：盜竊 侵占 詐騙 民事不當得利

一、基本案情

2022年2月24日下午至2月25日上午10時許，某銀行因系統內部升級導致客戶交易數據異常，部分購買積利金［1］的客戶賬戶內出現黃金克數虛增至900克的情況，且該時段內積利金買賣交易無法及時完成核銷。

2022年2月24日17時許，劉某甲通過操作其母李某某銀行手機APP發現，李某某銀行積利金賬戶內黃金由原來的20克虛增至900克，第一次點擊出售后賬戶內黃金克數仍顯示為900克，并將上述情況告知其父劉某乙、其母李某某。后該三人通過連續多次點擊出售賬戶內黃金得款共計人民幣862萬余元，并將其中人民幣100萬元用于購買基金理財產品、人民幣31萬元用于購買外匯、人民幣500萬元用于購買中國黃金金條，并通過銀行轉賬至劉某乙和劉某甲賬戶各人民幣20萬元。案發后，出售積利金所得錢款已全部退還給被害銀行。

二、意見分歧

針對案件中劉某甲、劉某乙、李某某的行為性質，存在不同的認定意見：

第一觀點認為，涉及出現問題的積利金交易系統，與銀行ATM機有相似之處，是按照銀行事先設定好的參數運行，通過人機互動，完成日常民事交易行為，所體現的是銀行意志，應當認定構成詐騙罪。

第二種觀點認為，行為人系在銀行不知情的情況下，將賬戶內虛增的積利金賣出，造成銀行財產損失，與許霆案、于德水案類似，屬于秘密竊取的行為，應當認定構成盜竊罪。

第三種觀點認為，行為人系明知虛增積利金非其所有仍進行交易，該行為應當構成侵占罪。

第四種意見認為，本案不構成犯罪，屬于民法上的不當得利。

三、評析意見

筆者同意第四種意見。

（一）本案不構成詐騙罪

行為人通過銀行手機APP將賬戶內900克積利金反復出售，該交易的行為對象是銀行積利金交易系統，屬于人工智能系統，而并非銀行的工作人員。對此，涉及到機器或者人工智能能否被詐騙的問題，學界目前兩種不同觀點：一是詐騙罪的行為對象只能是自然人，不能是機器或者人工智能，因為后者雖然已經廣泛應用于替代人工從事日常的生產工作，但其不具有自主意識，僅是按照人為設定的程序完成任務，無法陷入錯誤認識，不符合詐騙罪的構成要件。二是機器或人工智能同樣可以作為詐騙罪的行為對象，因為其雖然沒有或者自主思維能力有限，但在日常生產過程中它們是代替人在進行工作，所產生的后果由使用的自然人來承擔，可以成為詐騙罪的行為對象。［2］

在本案中，按照第一種通說觀點，交易對象是銀行積利金交易系統，甚至不存在詐騙罪的行為對象，當然不構成詐騙罪；即便按照第二種觀點，機器或者人工智能并沒有陷入錯誤認識。首先，行為人賬戶內已經顯示有900克積利金，雖遠遠多于其實際購買的積利金克數，但該錯誤并非行為人人為造成，而是基于系統升級造成的漏洞，之后行為人出售積利金，系統就按照交易指令兌換錢款，不存在所謂的錯誤認識。其次，所謂的“認識錯誤”就是交易期間沒有發現行為人出售時賬戶內的900克積利金與實際不符，但該項審查并不在積利金交易系統的審查范圍內，正常情況下該系統只要識別出交易的種類和數量后進行等價兌換即可。綜上，無論采取哪種觀點，行為人均不構成詐騙罪。

（二）本案不構成盜竊罪

盜竊罪的本質是行為人違背原占有人的意志，將其占有的財物轉移占有。本案是否構成盜竊罪的關鍵問題在于：一是行為時積利金賬戶內的積利金由誰占有；二是行為人點擊出售積利金的行為是否可以屬于轉移占有的行為。

在司法實踐中，刑法上的占有與民法不同，刑法的占有一般采取控制、支配說，即財物處于行為人實際控制和支配范圍內，對于在銀行卡內錢款由誰占有存在爭議，主要有以下兩種觀點：

銀行債權說，認為銀行卡內錢款屬于銀行占有，存款人在銀行開設賬戶，將錢款存入銀行后，根據貨幣占有即所有的屬性，該錢款屬于銀行占有，銀行可將用戶存入銀行的錢款用于日常對外的貸款業務，并承諾給予存款人一定利息，故銀行與存款人之間屬于借款合同之債，系一種債權債務關系。存款人占有銀行債權，具有取款的權能。存款人占有說，認為銀行卡內錢款屬于存款人占有，該銀行卡始終處于存款人支配狀態，隨著互聯網的發展，電子交付的普及，存款人亦可以隨時通過電子支付的方式使用卡內的錢款，賬戶內的錢款已然處于存款人實際控制和支配的范圍內。［3］

伴隨電子支付的興起，人們對于現金支付的需求越來越小，借助微信、支付寶等支付軟件即可隨時實現對存儲在銀行賬戶內錢款的支配和使用。因此，在貨幣電子化和數字化的今天，對于賬戶內的錢款，存款人雖然將其存放于銀行內，但銀行是基于存款人的同意而控制財物，更多起到輔助占有的作用。銀行占有說已然與現代生活實際背道而馳，存款人占有說更具有合理性。

1.關于本案積利金賬戶內積利金的占有問題

首先，行為人在銀行開設的積利金賬戶與一般銀行存款有所不同。兩者賬戶開設的前提性法律關系不同，一般在銀行開設賬戶辦理存款，銀行與用戶之間本質上是一種借款合同，而本案行為人開設的積利金賬戶，其與銀行之間是基于可贖回的買賣合同關系，即行為人在銀行購買一定數量的積利金，可隨時、定時根據銀行提供的積利金市場價格出售給銀行兌換等價的人民幣，關于積利金的買進賣出屬于等價有償的市場經濟交易行為。本案雖然不是存款，但本質上仍是銀行債權，由賬戶所有人占有。

其次，該積利金與一般的理財產品不同，后者更多屬于一攬子投資，客戶將投資款交由金融機構進行投資理財，投資項目由金融機構自主決定，客戶沒有投資的決策權，但享有一定的預期收益、承擔一定的投資風險；而積利金屬于銀行獨有的項目，以在銀行開設積利金賬戶為前提，以積利金為固定投資對象，且客戶享有投資決策的自主權，直接面對投資的收益和風險。雖然該賬戶設立在銀行系統內，但客戶對其賬戶內的積利金享有絕對的所有權和占有權，銀行沒有任何處分的權限，僅為占有的輔助者角色，故本案銀行的積利金賬戶應屬于行為人自己占有。

2.行為人點擊出售積利金的行為是否屬于轉移占有的行為

（1）行為人第一次點擊出售賬戶內900克積利金的行為評價。行為人賬戶內積利金虛增至900克系銀行系統升級所致，并非行為人的個人行為，案發時多余的積利金已然進入行為人賬戶，處于由其實際占有的事實狀態下，因此第一次點擊出售賬戶內900克積利金的行為屬于對其已經實際占有的賬戶內積利金的處分行為，而不是轉移占有的行為。

（2）行為人第一次之后反復點擊出售賬戶內900克積利金的行為評價。先來分析許霆案，許霆之所以構成盜竊罪的根本在其客觀上具有轉移占有的行為。當許霆發現銀行ATM機發生故障后，其明知自己賬戶內的余額為176.97元，仍利用系統取現1000元、賬戶內扣款1元的交易計數差額漏洞，繼續交易直至賬戶內顯示余額為0，而其實際獲取17萬余元，這種利用系統漏洞通過積極作為的方式將他人財物轉為自己占有的行為符合盜竊罪的客觀行為構成要件，且對于系統漏洞主觀明知，根據主客觀相統一的原則，當然構成盜竊罪。［4］

再來分析于德水案，其之所以構成盜竊罪的原因同許霆案一致。于德水在發現銀行存款ATM機存在漏洞，存入1000元后，現金被退回但賬戶內顯示對等數額增加。其反復存儲1000元，通過此種操作，使得銀行賬戶內存款增加至9萬元，卻沒有實際存入等額錢款。賬戶內的9萬元原本屬于銀行所有且占有，通過其積極作為的方式轉移至自己賬戶，同樣具有轉移占有的客觀行為，且主觀上屬于明知，當然構成盜竊罪。

再結合本案分析，行為人是否具有轉移占有的行為關鍵就在于第一次之后反復點擊出售積利金的行為是否誘使銀行繼續向其賬戶內填補900克積利金。

經詢問相關證人，其表示本案系統漏洞涉及通過第三方渠道開通并購買該銀行積利金的客戶，該漏洞的具體表現有兩點：一是部分客戶積利金賬戶內積利金克數均虛增至900克；二是交易后數據無法更新反饋核銷，即900克積利金在行為人第一次點擊出售后并未實際完成核銷，但顯示交易成功，給付交易對方價款。即行為人反復點擊出售的行為并未誘使銀行接續向其賬戶內不斷填補新的900克積利金，而是因未核銷導致第一次虛增的900克積利金始終顯示在賬戶內，且處于可交易狀態。由此可見，客觀上行為人通過反復點擊出售的行為沒有造成銀行需要不斷拿出900克積利金填補，銀行的損失是因為核銷不及時導致同一900克被反復交易造成的。對此，本案與許霆利用ATM機的漏洞，通過取現的方式將遠超過自己賬內余額ATM機內的錢（銀行錢款）取出或者轉移至自己賬戶內存在本質上的區別。行為人取得銀行的財物系銀行系統發生錯誤導致銀行“自愿”交付財物，并沒有違背銀行的意思，不符合盜竊罪的構成要件。

（3）行為人反復出售同一900克積利金的行為評價。行為人反復出售行為對象是其賬戶內已經占有的900克積利金，根據積利金產品說明，購買積利金的客戶有權在規定的時間內按照銀行提供的報價買賣賬戶內的積利金，銀行的損失是行為人多次交易后的價款。首先，這種點擊出售的行為屬于對于自己已經占有的財物的處分行為；其次，該交易行為符合積利金產品交易規則，本質上屬于買賣合同的即時給付行為，若交易過程中存在重大誤解、欺詐等情況，根據《民法典》的相關規定，合同一方當事人享有撤銷權，只不過在本案中銀行既是被害單位又是后續交易行為的合同相對方。

由此可以看出，行為人反復點擊出售的行為是對已經處于事實占有狀態的積利金的處分行為，而不是轉移占有行為。

3.行為人將出售積利金所得錢款用于購買黃金、外匯行為評價

行為人將出售賬戶內積利金所得錢款直接打入綁定的銀行卡內，是對占有物處分之后所得的對應價款，正如上文所述行為人反復出售賬戶內積利金的行為尚且不屬于轉移占有的行為，那么行為人使用銀行卡內的錢款用于購買黃金、外匯等行為，甚至連事后的不可罰行為都算不上，自然也不屬于盜竊罪。

（三）本案不構成侵占罪

侵占罪主要分兩種：一種為委托占有物的侵占，另一種是遺忘物、埋葬物的侵占。本案顯然不屬于第一種。但即便滿足遺忘物、埋葬物的前提條件，還需要主觀上有非法占有的目的和客觀上拒不歸還的行為。［5］

本案中，雖然行為人將虛增黃金售出后所得錢款用于購買黃金、外匯等產品，但其目的是在歸還所有人之前賺取孳息，且行為人所投資的黃金、外匯均屬于相對保值、低風險的產品，即便是有所虧損，其名下資產亦具備返還能力。此外，從案發后行為看，行為人在接到銀行工作人員的電話后，沒有任何逃避行為而是答應與其見面，且在案發后及時將所有錢款歸還銀行，整個過程亦不存在拒不歸還的情況。

結合本案在案證據，無法認定行為人存在“變占有為所有”的主觀目的，客觀上亦不存在拒不歸還的行為，故本案同樣不構成侵占罪。

（四）本案屬于民事不當得利

《民法典》985條規定，得利人沒有法律根據取得不當利益的，受損失的人可以請求得利人返還取得的利益，但具有下列情形之一的除外：（1）為履行道德義務進行的給付；（2）債務到期之前的清償；（3）明知無給付義務而進行的債務清償。第986條規定，得利人不知道且不應當知道取得的利益沒有法律根據，取得的利益已經不存在的，不承擔返還該利益的義務。第987條規定，得利人知道或者應當知道取得的利益沒有法律依據的，受損失的人可以請求得利人返還取得的利益并依法賠償損失。

根據《民法典》中關于不當得利的相關規定，民法保護財物所有人的財產所有權，同時法律也不強人所難，對于善意不當得利者和惡意不當得利者的法律后果顯然不同，善意不當得利者僅就剩余利益承擔返還的義務，而惡意不當得利者需以受損失人的損失為限承擔責任。

結合本案來看，首先，行為人賬戶內超過其實際購買克數的部分既不屬于銀行贈與或者分紅收益，也不是行為人通過其他非法行為轉移占有得來，而是銀行系統升級造成的賬戶克數虛增。其次，該900克積利金已然存入行為人的賬戶內，由其實際占有，且可以通過點擊進行出售，享有實際的控制、支配權，但其對于超過克數積利金的占有沒有法律依據，因此，應屬于民法上的不當得利。再次，通過因系統升級漏洞致使該900克積利金可以反復出售，行為人所得利益（銀行所受損失）不僅是該900克積利金對等的價款，而是多次反復出售同一900克積利金的所得所有錢款。最后，行為人主觀上明知賬戶內多余的克數系他人所有仍反復多次點擊賣出，屬于惡意不當得利者，根據《民法典》第987條的規定，應該依法返還其所取得利益并依法賠償損失。

法律是正義的。法律的正義并不僅僅是立法上的正義，也包含了法律適用的正義。但正義是抽象的，因為每個人認知、學識、經歷等方面的差異，對正義的感知理解也就存在不同之處，因此在具體案件的處理上，只有得出基于樸素的正義感知而認為最為妥當的結論，這種處理方式與刑法精神相契合，與刑法條文相協調，那么具體案件的處理結果才能是正義的。積利金一案，就罪與非罪、此罪與彼罪存在多種觀點，在本案辦理中即與類似的許霆案、于德水案兩個已經入罪處理的案件進行了細致區分，從犯罪構成詳細論證了行為人的行為性質，并作出法定不起訴決定。對此結果，仍會有不同的觀點與認識，而因時代飛速發展伴隨出現的新型行為方式在法律適用上的研究討論，終將推動整個法治發展的進程。