对钓鱼欺诈中第三方支付机构作为或不作为法律问题的思考
黎四奇
【摘要】钓鱼欺诈是与第三方支付相伴而生的、利用技术不法套利的现象。在对被欺诈者进行法律救济时，第三方支付机构究竟应该扮演什么样的角色，是一个比较尴尬的问题。基于买方市场、第三方支付行业自身的特点、技术与法律的关联等从实体与程序上标明第三方支付机构应对该类突发事件的作为义务及对相关法律进行适时创新事关该新兴行业的发展与壮大。
【关键词】第三方支付；钓鱼；反欺诈
【全文】
第三方支付作为一项金融业务创新已极大地改变了人们的生活方式，拓展了电子商务的发展空间。然而，在另一方面，信息严重不对称的远程电子化结算方式也剧增了买方可能钱货两空的交易风险。在发生钓鱼欺诈时，第三方支付机构究竟要如何应对？作为或不作为都是一个两难的法律选择问题。澄清这一点不仅有益于维护消费者的权益，而且对于明确第三方支付机构的风险边界及促进法律制度的求真务实亦具有很好的启示意义。
一、问题的提出——什么是钓鱼欺诈尽管在电子技术中，“钓鱼”{1}具有广泛的公共知识性，但是在法学理论圈内，学界对于何谓“钓鱼欺诈”仍没有形成共识。然而，已有的洞见对于我们从学理上来把握对“钓鱼”的认识，并对之进行归纳起到了很好的抛砖引玉作用。如百度百科的定义是：所谓钓鱼网站是一种网络欺诈行为，指不法分子利用各种手段，仿冒真实网站的URL地址以及页面内容，或者利用真实网站服务器程序上的漏洞在站点的某些网页中插入危险的HTML代码，以此来骗取用户银行或信用卡账号、密码等私人资料。反钓鱼工作组（APWG）{2}则将“网络钓鱼”界定为一种利用社会工程学和技术手段盗窃消费者个人身份资料和金融账号凭证的身份信息在线窃取活动。美国司法部的定义是指仿制知名合法企业、金融机构或政府机关的电子邮件和网站，诱骗网络用户透露他们的银行和金融账户信息或其它个人信息如用户名和密码的行为。[1]日本警察厅则认为：“网络钓鱼是指伪装成银行等企业的邮件，引导收件人访问虚假的网页，使其在该网页上输入个人的信用卡号、ID、密码等信息，并以此为基础所进行的诈骗活动。”[2]虽然这些认识有助于揭开了电子商务背景下钓鱼欺诈的面纱，但是这种概括并不全面，因为仅将钓鱼局限于以因特网为载体的欺诈，而没有将非网络平台的钓鱼一网其中。法律是一种一般性的陈述，其力求将纷繁复杂的同质性社会关系纳入规范的序列。故而，从知有所禁而不敢犯的角度出发，对钓鱼欺诈进行法律学的概念化是制度创新中必备的环节。
勿庸置疑，在责任追究与风险防范的制度设计上，钓鱼欺诈理所当然地属于法律学的范畴。在技术上，钓鱼的“鱼饵”多表现为电子邮件、手机短信、WAP（无线应用协议）、IVR（互动式语音对答）或伪造的网络站点等，而根据《最高人民法院关于贯彻执行（中华人民共和国民法通则）若干问题意见》（后简称《意见》）第68条的规定，一方当事人故意告知对方虚假情况，或者隐瞒真实情况，诱使对方作出错误意思表示的，可以认定为期诈行为。将两者串联起来，则不难得出以下结论，钓鱼欺诈特指那些以欺骗性的电子邮件、手机短信、WAP、IVR或伪造的网络站点等为依托诱骗不确定的信息接收者或网站访问者在违背真实意思表示的情况下提供其个人的金融信息（如银行账户与密码、信用卡信息、社保编号等），或在B2C交易模式下将价款汇转到欺诈者特设的账户而获取不法利益的行为。
概言之，钓鱼欺诈是现代电子化科技下的一种副产物，具有非柜台式的远程特点。对于新制度的开发而言，这种行为发生的“既不见其人又难见其声”的隐蔽性说明反钓鱼欺诈制度的求实拓展并非单纯的法律规范设计问题，其更应是一个技术安全先行的问题。在本质上，当被钓者上钩之时，无论受害人如何寻求法律的正义，或者假设法律的救济途径是畅通无阻的，但是在当下资金转移时间缺乏过多限制的交易模式下，法律追责的事后性并不能完全确保拯救的成功，而且在另一方面，法律的无大为、违法成本与违法捕获的失衡也间接地纵容与刺激了钓鱼者的再次欺诈。从钓鱼欺诈的概念识别可知，其必须以网络、其它电子化的信息交流平台为媒介，因此从法律的本位在于防范而不在救济的理念出发，促成被模仿的网站、短信及电话的运营商等在反欺诈中尽到谨慎小心的注意义务就是一种自然的法律逻辑。反欺诈技术先行和法律对其的确认与保驾无疑是合理与正当的。科技狂飙突进的时代，远程信息交流模式亦步亦趋，这也必然导致钓鱼手段的“与时俱进”，因而在策略上有必要从防微杜渐的角度出发，因时而化地对钓鱼采取扩大性解释，而不能仅拘泥于互联网方式；钓鱼欺诈所涉法律层次众多，其不仅因欺诈而在钓鱼者与被钓者之间形成民事法律上的不当得利返还之债，而且还牵涉到金融监管机构的监管，在钓鱼情节严重及社会危害性大时，还会触发刑事问责的问题。由此可见，在法律语境中，钓鱼欺诈是一个具有“多米诺骨牌效应”的联动问题。
