界定信用卡诈骗罪：输入密码并非身份验证

发布：2016-09-19      来源： 检察日报      浏览：312

    拾得他人信用卡并在ATM机上取款（下称拾卡取款），如何确定行为性质，2008年4月发布的《最高人民检察院关于拾得他人信用卡并在自动柜员机(ATM机)上使用的行为如何定性问题的批复》、2009年12月发布的《最高人民法院、最高人民检察院关于办理妨害信用卡管理刑事案件具体应用法律若干问题的解释》（下称《解释》），均明确指出该行为属于“冒用他人信用卡”情形，构成犯罪的以信用卡诈骗罪追究刑事责任。然而，拾卡取款的行为性质，并没有因司法解释的出台而一锤定音，学界和实务界仍然出现以盗窃罪和信用卡诈骗罪定性的两种主张和判例，造成同案异判的现象。近来，学术界有一种观点认为，拾得信用卡并取款的过程细分为插卡、输码、按数、取款、退卡等五个步骤，“冒用”行为发生在“输码”环节，拾得信用卡取款需要输入密码操作，定为信用卡诈骗罪；拾得信用卡时已完成输入密码环节，可以直接按数取款，不属于“冒用”行为，不构成信用卡诈骗罪，应定盗窃罪。笔者认为，这种输入密码代表身份验证的观点值得商榷。

    输入密码不具有验证持卡人真实身份功能

    该观点认为，在ATM机取款操作步骤中，输码是ATM机身份验证的唯一环节，而按数取款等步骤均无身份验证的效用。“冒用他人信用卡”中的“冒用”是冒名使用的缩写，拾卡人在已经输码的ATM机按数取款，没有输码就没有“冒名”；没有冒名就没有诈骗；而无诈骗又何来信用卡诈骗？

    笔者认为，把输码界定在持卡人身份的验证功能上是对输码功能的误读。众所周知，自动柜员机简称为ATM机。银行设置ATM机，就是通过计算机代替柜员进行交易，为持卡人与银行之间架起便捷的交易桥梁。同时，由于存放在银行或ATM机中的现金归银行占有和控制，各商业银行都会根据中国人民银行发布的《银行卡业务管理办法》中关于“银行应在章程中向持卡人说明密码的重要性及丢失责任”的规定，与持卡人在签订领用卡合约时，一方面会约定凡输码正确，银行占有和控制的现金就转移给取款人；另一方面也会约定“凡密码相符的信用卡交易，均视为持卡人所为，由持卡人承担还款责任，持卡人应承担因密码保管不善而造成的风险损失”。

    简言之，输码只是银行与持卡人之间约定，只要输入密码正确并符合额度标准，ATM机就必须吐钞，而不问取款人的真实身份。因此，输码不是验证持卡人的真实身份，而是银行与持卡人之间约定占有转移的条件，并在此条件下还款责任的承担。在现实生活中，有的持卡人为了方便，在领用卡时干脆不设密码，此时持卡人在ATM机上取款，银行是无法也无须验证身份的。还有一种情况，持卡人把密码告诉取款人，取款人在ATM机上取款，银行也不能辨别取款人的真实身份。同样，拾卡人如果到银行柜台去取款，只要拾卡人输入密码正确，取款时柜台工作人员也不会问其身份如何。因此，持卡人既可以本人去取款，也可以委托他人去取款，还可能由于信用卡丢失或遗忘退卡而被拾卡人取款，对此，ATM机在现有技术条件下，无法辨别谁在取款。换言之，银行与持卡人之间设置密码，不是为了验证身份，而是约定占有转移的条件，其功能主要是为了方便交易。

    如果按照输入密码代表身份验证的观点，《解释》应区分为两种情况，即拾卡人输码属于“冒用”，以信用卡诈骗罪定性；持卡人已经输码，拾卡人按数取款不属于“冒用”，以盗窃罪定性。那么，在第一种情形下，因为柜员机输错密码三次就吞卡，拾卡人“冒用”的概率只有三次，而三次机会要破解六位数的信用卡密码，根据概率计算法，只有一百万分之三的概率，如此微乎其微的概率完全可以忽略不计。拾卡人通过破解密码来“冒名”几乎是一件不可能的事。而法律的对象，正如黑格尔所概括得那样：“法律是应适用于个别事件的一种普遍规定。”“两高”对于“冒用他人信用卡”的司法解释，是司法实践中普遍发生的案件，不为只有一百万分之三概率的案件作出司法解释。对《解释》，应理解为拾卡人无论以何种方式使用信用卡，也无论信用卡和密码是否真的，只要未经持卡人同意或授权以持卡人的名义使用信用卡的，就构成对持卡人身份的“冒用”，这才是“冒用他人信用卡”中“冒用”的真正含义。因此，把输码界定在验证持卡人身份功能上是错误的。

    拾卡人取款是银行自愿和知情交付的行为

    这种将输码界定在验证持卡人身份功能上的观点认为，拾卡人在冒充持卡人身份而按数取款时，其取款的方式是自己“获取”而非银行“交付”，其理由之一为援引平野龙一教授观点即“交付行为的有无，划定了诈骗罪与盗窃罪的界限。被害人交付财物时是诈骗罪而不是盗窃罪”。从而认为，在持卡人输码，拾卡人按数取款阶段，只要所按取款数额符合在ATM机取款的额度要求，ATM机就得听命于拾卡人的指令依其所按数额吐钞，此时ATM机由拾卡人操控，拾卡人按数取款属于“获取”——“秘密窃取”。

    笔者认为，盗窃罪中的“获取”应是拾卡人将银行占有的现金直接拿走，直接拿走银行占有的现金与经银行同意交付拿走现金，正是盗窃罪与信用卡诈骗罪的一个重要区别。拾卡人在持卡人已在ATM机输入密码的情况下按数取款，在ATM机吐钞之前，拾卡人与银行之间仍然处在交易之中，在短暂的交易过程中，ATM机界面会显示“交易正在进行中”。既然拾卡人与银行之间存在交易，拾卡人就不是直接拿走银行占有现金的“获取”，而是在交易程序中经银行“同意”与“交付”。而银行在每一次“同意”与“交付”中，后台的电子数据都会记录交易时间、交易数额等，并把一清二楚的交易情况及时以信息方式通知持卡人。在这个操作过程中，既有银行的主动审查，又有银行与拾卡人的互联互动，无论何种方式皆体现了ATM机及其背后银行的意志，完全不是受制于拾卡人的指令。我们很难想象出这种有违常识的现象：所有人将其财产拱手让与盗窃犯，并完整地记录每一次盗窃时间及数额等信息。所以，财产所有人在知情的情况下，把财物“交付”给他人，怎么能说财物是被盗窃呢？

    认定“利用计算机诈骗罪”可以保证司法协调性

    在国外，德国、日本等刑法把拾得他人信用卡并在ATM机上取款的行为定为使用计算机诈骗罪，这从另一个方面说明拾卡取款不能或不宜定盗窃罪。有学者提出根据我国刑法第287条关于“利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚”的规定，利用计算机实施金融诈骗的，以相应的金融诈骗罪处罚，信用卡诈骗罪属于金融诈骗，所以，利用计算机实施的金融诈骗，根据我国刑法第287条规定，应当以信用卡诈骗罪定罪处罚。这样分析，正确解释了刑法第287条的立法精神，理顺了刑法第287条和第196条第1款第3款之间的关系，笔者对此表示赞同。因此，根据现行法律规定和司法解释，拾卡取款行为的定性，无论拾卡人是否输入密码，统一定为信用卡诈骗罪无疑是最合适的。当然，如果我国刑法能对第287条进行修改，对利用计算机进行的盗窃、金融诈骗（包括信用卡诈骗）定为利用计算机诈骗罪，则能保证司法上的协调一致性，避免理论上的不必要争论。

    综上，笔者认为，输入密码不具有验证持卡人真实身份的功能，输入密码只是银行与持卡人之间约定ATM机中现金占有转移的条件。同时，持卡人输入密码，拾卡人通过ATM机发出按数取款的指令后，银行既有主动审查的行为，又实现了与拾卡人取款信息的互联互动，并不是单纯地听命于拾卡人的指令。拾卡人在取款时，银行是知情的并“同意”与“交付”，并没有违反银行意愿而转移占有，不符合盗窃罪的构成要件。而以输入密码主体之不同作为界分信用卡诈骗罪与盗窃罪的标准，既违反了刑法中罪责相适应的基本原则，也不能保证司法协调性。