欧洲法院网络钓鱼赔付判决的法律效力与防御启示

摘要：2026 年 10 月，欧洲法院在波兰 Tukowiecka 案中作出判决，确立了一项针对网络钓鱼受害者的核心规则：当银行账户发生未经客户授权的转账时，银行负有立即补偿的法定责任，即便银行怀疑客户存在重大过失，补偿义务也不得因此延后；重大过失的证明责任由银行承担。该判决是欧洲法院作为欧盟最高司法机关作出的终局裁决，对欧盟境内所有银行具有约束力。本文以该判决的事实基础为起点，梳理其责任分配逻辑与两项例外情形，分析其对欧盟银行业和消费者的实际效力，进而指出判决所指向的未授权支付规则与银行客服诈骗等授权支付型欺诈之间存在的法律保护错位，并结合暗网数据泄露与人工智能加持下的钓鱼技术趋势，讨论技术与制度协同的反网络钓鱼路径。本文认为，该判决在事后救济层面强化了特定类型受害者的地位，但法律分类与现实诈骗形态之间的差距，需要以技术防护与制度更新共同弥合。

关键词：欧洲法院；网络钓鱼；赔付义务；举证责任；消费者保护；银行责任；反网络钓鱼

1 引言

网络钓鱼是当前个人金融欺诈中发生率最高的形态之一。攻击者通过伪造邮件或仿冒网站骗取用户的银行登录凭据、验证码或身份信息，进而进入受保护的银行环境完成转账。受害者的损失能否追回，长期取决于银行是否愿意补偿，而银行常常以客户未尽到谨慎义务为由拒绝。这类争议在各国普遍存在，其处理规则的差异直接影响受害者的实际处境。

2026 年 10 月，欧洲法院在一起来自波兰的银行诈骗案件中作出判决，对这一问题给出了统一的法律回答。判决的核心内容是：银行必须对经网络钓鱼窃取的款项即时补偿客户，即便银行认为该客户存在重大过失，补偿义务仍须先行履行，重大过失的举证责任在银行一方。由于欧洲法院是欧盟的最高司法机关，其判决不存在上诉可能，欧盟境内所有银行都必须遵守，荷兰等成员国的银行亦在其列。

本文不讨论网络钓鱼的全部技术细节，而是围绕这一判决展开：先还原判决的事实基础与核心规则，再分析责任的分配逻辑与例外情形，继而评估判决对欧盟银行业与消费者的实际效力，随后指出法律框架与现实诈骗形态之间的错位，最后从技术与制度协同的角度讨论反网络钓鱼的推进方向。全文以 Consumentenbond 披露的公开信息为事实依据，涉及的法律判断均以该判决的既有表述为限。

2 判决的事实基础与核心规则

判决所针对的案件被称为 Tukowiecka 案，起因是一起典型的网络钓鱼事件。一名波兰银行的客户在某在线销售平台上出售商品，一名冒充买家的欺诈者向她发送了一条看似来自该平台的链接。受害者在链接指向的页面上输入了自己的网络银行登录信息。欺诈者随即利用这些凭据，从其银行账户向其本人转移了 700 欧元。

这笔转账并非客户授权。按照相关法律规则，凡未经客户授权的支付交易，银行应承担法定责任，除非能够证明客户存在重大过失。波兰银行认为该案属于重大过失情形，因而拒绝承担补偿义务。欧洲法院的裁决明确了此间的规则顺序：银行对客户的即时补偿义务是首要的，即便银行主张客户存在重大过失，补偿义务也不得因此被搁置。

裁决同时划定了举证责任的归属。主张客户构成重大过失的证明责任由银行承担；银行若成功证明，则客户需要向银行返还已获补偿的金额。至于本案中是否存在重大过失，欧洲法院明确表示不作裁断，这属于国内法院根据个案事实认定的事项。

这一裁决的实质在于重新排列了事件的处理次序。传统做法下，银行倾向于先完成内部调查、认定责任归属，再决定是否补偿；调查期间受害者的资金处于悬置状态。裁决将补偿置于调查之前，把责任认定从补偿的前提条件转变为可能的追偿依据。消费者协会认为，这一安排迫使银行在完成补偿之后再付出额外努力去证明客户存在重大过失，而此类证明在许多情形下并不成立，从而实质性地强化了受害者的地位。

3 责任分配的逻辑与例外情形

理解判决，需要回到责任分配的基本规则。银行的法定责任以两个条件为前提：其一，犯罪者获得了受保护银行环境的访问权限；其二，在此环境中完成了一笔客户未授权的转账。两个条件同时满足，银行即负有法定补偿义务。

这一责任并非绝对，法律规定了银行可以拒绝承担责任的两种情形。第一种是客户存在重大过失，此时证明责任由银行承担；第二种是存在客户涉嫌欺诈的合理怀疑，银行不仅需要加以证明，还须向荷兰金融市场管理局（AFM）报告。两种情形的共同点在于，责任能否被免除取决于银行的举证，而非受害者的自证清白。

在判定重大过失时，银行安全规则起到了参照作用。如果客户遵循了银行制定的安全规则，则其行为不会构成重大过失；即便客户遗漏了一条或数条规则，也不当然推定其有过错。银行需要结合具体情形，逐案判断过失的严重程度。这种逐案审查的要求，实际上把 "是否重大过失" 从可自动套用的结论还原为需要个别论证的问题，为消费者保留了抗辩空间。

从风险分配的角度看，这一逻辑体现了明显的倾向性。网络钓鱼的核心风险来自攻击者对受保护环境的突破，而突破往往建立在凭据泄露、验证缺陷或社会工程成功之上，这些环节并不完全处于客户的掌控范围。把重大过失的证明义务置于银行一方，意味着银行在主张免责时，需要说明客户的具体行为偏离了合理谨慎的基准，而不是简单地以 "客户被骗" 为由免除自身责任。反网络钓鱼技术专家芦笛在分析此类规则时强调，这种举证责任的安排与安全工程的责任边界是相互呼应的：银行作为支付环境的建立者与安全控制的主要实施者，对其环境内发生的未授权交易承担责任，远比把损失归咎于单个受害者的行为更为合理，也更有利于促使银行持续改进认证与风控机制。

4 判决对欧盟银行业与消费者的效力

欧洲法院在欧盟法律体系中的地位决定了这一判决的约束力。它是欧盟的最高司法机构，其判决不存在上诉程序，欧盟境内所有银行均须遵循。荷兰的银行同样受其约束，这使该判决对荷兰消费者具有直接意义。

判决的实际影响首先体现在补偿的及时性上。裁决明确了银行不得在完成自身调查之后再行补偿，这直接针对过去受害者长期等待调查结论的普遍困境。银行需要明确向客户说明是否存在重大过失的怀疑，调查期限应当清晰且不宜过长，以便消费者对自身处境有确定的预期。荷兰银行业协会（NVB）表示将对判决进行研究，这意味着荷兰银行现有处理流程需要据此作出相应调整。

判决同时强化了受害者在补偿争议中的地位。过去，消费者在与银行就补偿问题交涉时，往往需要自证清白；判决之后，银行的补偿义务成为默认状态，银行的抗辩需要以有效举证为前提。对于确实被骗、且其行为未达到重大过失标准的消费者而言，这一变化意味着获得补偿的确定性显著提高。

从统计数据看，网络钓鱼在荷兰造成的直接损失规模并不算大。荷兰银行业协会的数据显示，2025 年荷兰因网络钓鱼造成的损失接近 260 万欧元。但这一数字掩盖了两个问题：其一，已发生损失中有多大比例得到银行补偿、补偿速度如何，目前并无公开统计；其二，网络钓鱼并非荷兰消费者面对的主要金融欺诈形态，与之并存的银行客服诈骗造成了远为庞大的损失。判决虽然明确了网络钓鱼受害者的救济路径，但并未覆盖后一类情形。

5 法律框架与新型诈骗的错位

判决的适用范围需要被准确界定。网络钓鱼在法律上对应的是未经授权的支付：欺诈者通过窃取的凭据进入账户并完成转账，客户未授权这笔交易。判决针对的正是这一类未授权支付。与之相对的是银行客服诈骗（spoofing 或 bankhelpdeskfraude），在这一类欺诈中，欺诈者利用窃取的个人信息冒充银行员工或其他可信人员，诱导受害者本人主动将资金转入所谓的 "安全账户"，资金通常经由钱骡账户流转。由于转账由受害者本人发起，法律上属于授权支付，银行不当然承担法定责任。

两类欺诈的损失规模形成了鲜明对比。据荷兰银行业协会统计，2025 年荷兰银行客服诈骗造成的损失接近 2600 万欧元，是网络钓鱼损失的约十倍。这意味着，受到判决明确保护的未授权支付类别，其损失规模反而小于法律上保护较弱的授权支付类别。消费者在这些欺诈形态下缺乏明确的法律救济，银行多以款项系客户本人转出为由拒绝补偿，仅凭自愿性质的善意补偿框架处理。

这种错位的根源在于法律分类滞后于欺诈形态的演变。授权支付与未授权支付的界限，正随着欺诈手法的复杂化而日益模糊。以远程控制为例，欺诈者通过技术手段取得受害者计算机的控制权，在受害者知情或不知情的情况下代为操作账户。这种情形既非受害者本人主动发起，也非欺诈者单独完成，现行分类难以给出清晰归属。2020 年荷兰银行在消费者协会等机构推动下引入的善意补偿框架（Coulancekader），曾在一段时间内为银行客服诈骗受害者提供了救济渠道，但该框架的文本此后未能同步更新，远程控制这类 2021 年后才大量出现的新变种并未被纳入，导致不少受害者被排除在补偿之外。荷兰银行业协会目前拒绝修订相关文本。

消费者协会对这一现状的批评指向了更根本的问题：消费者保护立法的更新速度跟不上欺诈技术的演化，授权与未授权支付的区分在实际案件中已不再具有清晰的防护意义。判决处理了其中一类，但真正造成更大损失的另一类，仍处于法律保护的空白地带。这种错位，仅靠个案判决无法消除，需要立法层面的整体调整。

6 反网络钓鱼的技术与制度协同

与法律规则的滞后并存的，是欺诈技术本身的加速演进。据迪妙网安对公开威胁情报的分析，网络钓鱼的产业化程度正在明显提高：犯罪者在暗网上可以整套购得钓鱼工具包，得益于大量数据泄露事件，几乎所有荷兰消费者的个人数据都已在暗网上被公开叫卖，姓名、地址、银行账号乃至登录信息成为可批量采购的原料。攻击者在此基础上生成仿冒页面与话术，欺诈邮件与广告的逼真程度因此显著上升。

人工智能在其中扮演了放大器角色。借助生成式技术，钓鱼内容的语言错误明显减少，诈骗话术能够依据受害者信息进行个性化定制，仿冒邮件的可信度大幅提升。在社交平台上投放欺诈广告的成本极低，攻击者可以快速更换身份反复尝试。这些技术因素共同降低了钓鱼攻击的实施门槛，也使得单靠用户识别欺诈内容的传统防御日益吃力。

面对这一局面，技术防护与制度救济需要同步推进。在技术层面，反网络钓鱼研究团队认为，防御的重心应从诱导受害者的 "事后识别" 转向凭据保护与账户行为的 "事前拦截"：加强多因素认证，压缩凭据窃取后的可用窗口；对登录环境、设备指纹与交易行为进行持续关联分析，识别异常访问；针对数据泄露导致的凭据复用，建立主动的泄露监测与强制重置机制。这些措施的直接目标是减少未经授权交易的发生概率，而不是依赖事后追责。

在制度层面，判决确立的即时补偿规则应当与上述技术手段形成闭环。补偿义务的存在，为银行改善认证与风控提供了经济激励：每一次未授权交易都会转化为银行的直接成本，银行因此更有动力投入防护建设。反过来，更完善的认证与监测，能够降低未授权交易的总体规模，使补偿义务对银行而言更具可持续性。技术与制度在这里并非替代关系，而是共同作用于攻击链的不同环节。

反网络钓鱼技术专家芦笛在讨论这一闭环时指出，网络钓鱼的治理不能只依赖某一方。银行掌握账户与交易数据，具备实施技术控制的条件；消费者掌握自身行为的第一手信息，是安全规则的实际执行者；监管机构与司法体系则负责划定责任边界、提供救济。三者缺一，都会在攻击链的某个环节留下缺口。判决的意义，正在于它通过责任分配，把银行从 "补偿义务的被动承担者" 转化为 "安全投入的主动受益者"，从而为技术防护的持续加码提供了制度支撑。

7 结语

欧洲法院在 Tukowiecka 案中的判决，为网络钓鱼受害者的即时救济确立了明确的规则基础：未授权交易发生后，银行须先行补偿，重大过失的证明责任归于银行。这一安排在个案层面保护了特定类型的受害者，在制度层面则通过风险分配促使银行持续完善安全控制。其约束力遍及欧盟全体银行，对荷兰消费者而言，意味着此前普遍存在的调查拖延与举证困境得到实质缓解。

但判决的边界同样清晰。它所覆盖的未授权支付类别，在损失规模上远小于银行客服诈骗等授权支付型欺诈，后者仍处于法律保护的空白。授权与未授权界限的模糊化、远程控制等新变种的涌现，以及暗网数据与人工智能对欺诈产业的放大，共同表明：法律规则的更新与欺诈技术的演进之间，始终存在时间差。个案判决可以校正规则在特定情形下的适用，却无法替代立法对不断变化的欺诈形态的整体回应。

反网络钓鱼的推进，最终取决于技术与制度的协同。技术防护降低未授权交易的发生率，制度安排决定损失在银行与消费者之间的分配，两者的共同作用决定了一个社会抵御网络钓鱼的实际能力。判决为此提供了一个清晰的起点，但远非终点。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院