小華因為有多的餐券，所以放到網路上轉賣，卻在115年1月12日交易時被詐騙集團誘導，於交易過程中開啟通訊軟體的分享螢幕畫面功能，因此被詐騙集團取得年籍資料、電話、身分證換發日期及金融帳戶等資訊。之後詐騙集團用小華的名義向A銀行線上申辦貸款50萬元，款項在當天就被詐騙集團提領一空。而在辦理貸款的當下，小華正搭機前往日本，但是申辦貸款的IP位址卻是在香港，顯然是境外詐騙集團所為。A銀行對此沒有落實審核，這筆貸款應該從一開始就不存在才對。

A銀行的○○○線上申貸專案，是透過與客戶間的往來情形進行部分預先審核，以提供符合資格的客戶快速申貸服務。小華在115年1月12日透過A銀行的網路銀行辦理線上申貸，經評估小華符合專案資格，A銀行依據金融機構辦理電子銀行業務安全控管作業基準的規定，採用一次性密碼（OTP簡訊）確認小華身分及辦理簽約對保，經驗證成功，並且經A銀行審核通過後，才把款項撥入小華本人的帳戶。而A銀行寄發的OTP驗證碼簡訊，內容載明密碼只用於線上申貸，並且提醒不要把密碼提供給其他人以防詐騙，A銀行已經善盡了告知義務。小華誤信他人導致開啟螢幕分享轉出帳戶金額的損失，不能歸責於A銀行。

縱使認為這筆貸款是由其他人所申辦，但是小華依照別人的指示分享螢幕畫面，讓別人可以藉此得知這筆貸款的OTP密碼，小華對於貸款OTP密碼外洩一事也是有過失的，依據網路銀行契約條款的約定，小華主張這筆貸款自始不存在，並沒有理由。

1. 一、依據A銀行的網路銀行契約條款約定，客戶對於銀行提供的「網銀密碼」跟「用戶代號」負保管責任，不可以洩漏讓其他人知道，如果沒有妥善保管或保密而被盜用、偽造所導致的損害，由客戶自行負責，銀行不負賠償責任。其次，客戶對於銀行提供的其他識別碼也應該負保管之責。而且雙方間的電子文件，經過驗證數位簽章、密碼、代號等識別方法無誤的話，就視為客戶親為，效力與書面文件相同。另外，雙方如果發現有其他人冒用或盜用代號、密碼、憑證、私密金鑰，或是其他沒有經過合法授權的情形，應該立刻通知他方停止使用服務，而在銀行接到通知之前，對於其他人使用服務已經發生的效力，由銀行來負責，但是如果客戶有故意或過失的話，就不在此限。
2. 二、經查A銀行在115年1月12日寄發OTP驗證碼簡訊到小華的手機門號，內容記載：「…您於115年1月12日申請個人信用貸款，密碼○○○，10分鐘內有效，密碼請勿提供他人以防詐騙」。由此可以認為小華是唯一知道這個密碼的人，在此情形下，小華就是密碼安全最關鍵的控管者，之後既然完成了驗證碼確認，就可以認為雙方已經對於借貸意思互相表示合致。縱使認為這筆貸款是由其他人所申辦，但是小華依照別人的指示分享螢幕畫面，讓別人可以藉此得知這筆貸款的OTP密碼，小華對於貸款OTP密碼外洩一事也是有過失的，依據網路銀行契約條款的約定，小華主張這筆貸款自始不存在，並沒有理由。
3. 三、然而，依據貸款契約書上記載的IP位址資訊，該IP位址所在地是香港，因為IP位址可以用來判斷申辦貸款裝置的位置或來源，如果IP位址顯示來自境外，就是一個高度可疑屬於異常交易的警訊，應該可以作為資安或風險控管的依據。鑒於網路銀行的授信貸款業務具有匿名、非親見親聞的特性，為了維護借款人的信用和權益，於境外裝置申辦網路銀行的貸款業務，如果A銀行只有使用OTP密碼進行驗證，而沒有採行其他方式（例如撥打電話）確認小華本人確實有要申辦貸款的意思，或者沒有使用其他方式來審核對保，很難認為A銀行在核貸及對保流程已經盡到善良管理人的注意義務。
4. 四、評議中心受理申請評議後，應該斟酌事件的事實證據，依照公平合理原則，超然獨立進行評議。衡酌本案小華被別人冒用申辦貸款，主要是因為小華沒有妥善保管個人資料、沒有適當維護個人通訊設備所導致，但是A銀行對於這筆貸款的資安、風險控管、對保流程也有不足的地方，因此A銀行也應該負擔這筆貸款中○○○元的責任才公平。

1. 金融消費者保護法第7條第3項：
   金融服務業提供金融商品或服務，應盡善良管理人之注意義務；其提供之金融商品或服務具有信託、委託等性質者，並應依所適用之法規規定或契約約定，負忠實義務。
2. 金融消費者保護法第20條第1項：
   爭議處理機構受理申請評議後，應斟酌事件之事實證據，依公平合理原則，超然獨立進行評議。

※本文改寫自評議案例，完整內容以評議決定為準。內容僅供參考，不作為其他個案援引之依據或證明。

4Debug ControlName DetailCommonDate