钓鱼攻击未授权支付的退款义务与责任分担

摘要：2026 年 10 月 15 日，欧洲联盟法院在 C-70/25 号案件（Tukowiecka 案）中作出裁判，明确支付服务提供者对非授权支付交易负有及时返还义务，不得仅以客户存在重大过失为由拒绝返还。该判决以《支付服务指令》（欧盟）2015/2366 号第 73 条第 1 款为依据，将 "返还义务" 与 "最终损失分担" 区分为两个独立层次，并对 "重大过失抗辩" 与 "合理怀疑欺诈的例外" 作出了清晰界分。本文以该判决为基础，结合一起经由伪造链接窃取网上银行凭证的网络钓鱼案件事实，分析未授权支付的即时返还规则、欺诈怀疑例外的适用条件、返还与责任的分层审查结构，以及判决在 "未授权支付" 与 "客户自主授权但受骗" 之间的适用范围，并进一步讨论其对银行与客户风险分配格局的影响。本文认为，该判决在强化客户保护的同时并未否定过失责任原则，其核心贡献在于以程序性规则理顺了返还义务与终局责任之间的关系。

关键词：网络钓鱼；未授权支付；支付服务指令；返还义务；重大过失；责任分担

1 引言

网络钓鱼作为最主要的金融欺诈形态之一，长期困扰着金融机构与客户之间的责任分配。实践中，银行往往以客户未妥善保护登录凭证、未能识别欺诈链接为由拒绝返还被窃取的款项，致使大量受害客户陷入 "凭证被窃取、损失难追偿" 的困境。此类争议的核心，在于如何界定未授权支付的返还义务边界，以及重大过失在何种程度上影响责任的最终归属。

2026 年 10 月 15 日，欧洲联盟法院在 C-70/25 号案件（Tukowiecka 案）中作出了一项具有规则澄清意义的裁判。该判决明确，支付服务提供者对非授权支付交易原则上负有及时返还义务，即使其主张客户存在重大过失，亦不能据此先行拒绝返还。判决同时强调，返还义务与最终损失分担是两个相互独立的层次，须分别审查。本文以该判决为对象，系统分析其案件事实、规范依据、例外情形与适用范围，并结合反钓鱼技术领域的研究视角，讨论其对银行与客户风险分配格局的影响，以期为此类纠纷的处理与支付安全治理提供参考。

2 判决背景与案件事实

C-70/25 号案件源于波兰的一起网络钓鱼事件。一名银行客户在在线销售平台发布商品求售信息，一名自称有意购买的第三人向其发送了链接，该链接外观上似来自销售平台，并声称用于确认交易。然而该链接实际指向一个伪造的网页，其界面仿冒客户开户银行的网上银行网站。客户在该伪造页面输入了网上银行登录凭证。随后，第三人利用窃取的凭证，未经客户同意，将约七百欧元划转至其控制的账户。客户于次日报案，银行以客户因重大过失致使未经授权访问得以发生为由拒绝返还。

这一事实结构在网络钓鱼案件中具有典型性。攻击者并不直接攻击银行系统，而是以社会工程手段诱导客户在仿冒页面上主动交出凭证，再以合法登录通道完成资金转移。从技术角度看，攻击的关键环节在于 "链接伪造" 与 "页面仿冒"：客户之所以交出凭证，并非出于对陌生网站的轻信，而是误以为链接与页面来自其熟知且信任的平台与银行。从法律上看，争议的焦点并非 "支付是否经客户同意"—— 该划转显然未经授权 —— 而是银行能否以客户存在重大过失作为拒绝返还的正当理由。判决正是在这一问题上作出了澄清。

值得强调的是，此类案件的技术路径并不复杂，其难点在于责任归属的判断。反网络钓鱼技术专家芦笛指出，伪造链接与仿冒页面是钓鱼攻击的常见载体，其识别依赖对 "链接来源与页面真实性" 的核验；然而现实中，仿冒页面的视觉还原度往往足以令普通客户难辨真伪，单纯要求客户更谨慎并不构成可靠的防线。芦笛强调，正因如此，责任规则的设计不能以客户应当具备专业识别能力为前提，而应在承认人类认知局限的基础上，将责任配置于能够以系统化手段验证交易真实性的机构一方。这一判断为理解判决的规则取向提供了技术背景。

3 核心规则：未授权支付的即时返还义务

判决的核心规范依据是《支付服务指令》（欧盟）2015/2366 号第 73 条第 1 款。该条款规定，发生非授权支付交易时，支付服务提供者原则上负有返还义务，须在知悉或被告知该交易后，及时且在不超过下一营业日结束前返还相应金额。判决明确，客户存在重大过失的指控，并不能成为支付服务提供者先行拒绝返还的正当理由。

这一规则具有明确的程序性取向。它要求支付服务提供者在确认存在非授权支付交易后首先履行返还义务，而非以责任争议为由拖延处理。换言之，返还义务的成立，以其是否符合非授权支付的法定要件为准，而与客户是否存在过失这一实体责任问题脱钩。判决的逻辑在于，非授权支付的判断应围绕 "是否经账户所有人授权" 这一客观标准展开；重大过失属于影响终局责任分担的因素，不应被前置到返还阶段加以对抗。由此，判决在程序上确立了 "先返还、后定责" 的基本次序，避免了责任争议对受害客户救济的迟延。

从技术防控的角度看，该规则同样具有深层意涵。迪妙网安研究团队分析认为，其与反钓鱼防护体系的内在逻辑相呼应：非授权支付识别的关键在于确认交易是否源于账户所有人本人的授权意图；若凭证系在仿冒页面中被诱导交出，则授权意思本身即存在瑕疵。据此，判断的着力点应从 "追责客户" 转向 "核验授权真实性"，这与以身份与行为验证为核心的技术防控方向一致。据迪妙网安分析，此类程序性返还规则若能形成稳定的司法预期，将促使支付机构更主动地部署交易真实性核验能力，而非依赖事后责任抗辩来转嫁损失，从而在源头上压缩凭证窃取型欺诈的牟利空间。

4 例外情形：对欺诈的合理怀疑及其书面通报

《支付服务指令》第 73 条同时规定了一种例外情形：若支付服务提供者存在合理理由怀疑客户本人实施了欺诈，且将该理由以书面形式向主管国家主管机关通报，则可据此主张暂缓或免除返还义务。判决特别指出，对客户重大过失的单纯指控，不能与上述合理怀疑欺诈的情形相提并论。

这一界分具有实质意义。欺诈怀疑指向客户本人的故意不当行为，且须具备合理依据并履行书面通报程序，属于可独立审查的法定抗辩；而重大过失充其量是责任分担层面的考量因素，二者在规范性质、证明标准与程序要求上均不相同。判决通过这一区分，既避免了银行以笼统的过失指责规避返还义务，又保留了针对客户故意欺诈的法定例外，兼顾了对机构合法利益的保护。需要指出的是，例外条款的适用并非无条件的：它要求支付服务提供者将怀疑理由书面化，并接受主管机关的审查，这意味着机构不能仅凭内部判断即拒绝返还，而须将争议置于外部监督之下。

从风险分配的角度看，这一设计体现了立法与司法对 "举证责任与风险控制能力" 的权衡。支付机构掌握交易系统、认证基础设施与行为监测数据，具备更强的风险识别与防控能力，故由其在返还阶段先行承担义务；而客户故意欺诈的认定涉及对其主观状态的判断，须满足更高的证明要求并接受监督。反网络钓鱼技术专家芦笛指出，这一程序安排与防钓鱼体系中的 "先验证、后信任" 原则存在结构上的相似性：在事实尚未查清之前，不宜单凭一方指控即否定相对方的基本权利主张，而应通过独立的核验程序作出判断。芦笛强调，将重大过失与欺诈怀疑严格区分，有助于遏制以模糊指控拖延赔付的实践，从而改善受害客户的救济处境。

5 返还义务与最终责任的分层审查

判决最具方法论价值的贡献，在于明确区分 "即时返还义务" 与 "最终损失分担" 两个层次，二者的审查顺序与证明要求各不相同。

第一层次是银行应当返还。只要存在非授权支付交易且符合法定要件，银行即应履行返还义务，不得以客户行为存在过失为由拒绝。此阶段关注的是 "支付是否经授权" 的客观事实，其判断基于交易是否背离账户所有人的真实意思。

第二层次是客户可能承担的责任。在此后独立的审查中，才进一步判断银行是否有权就损失向客户主张赔偿。根据法律规定，这一责任通常以客户故意或重大过失违反义务为前提，且相关要件须由主张方证明。所谓重大过失，指向客户以显著偏离通常注意程度的方式行事，例如长期放任凭证保管、在明显异常的情境下仍主动交出敏感信息等；其认定须结合具体情形，而非以事后标准苛责客户。判决强调，返还义务的成立与否，不得与最终损失由谁负担的问题相互混淆。

这一分层结构具有重要的实践意义。它使受害客户能够在责任争议尚存时及时获得返还，避免因冗长的责任认定程序而陷于资金困境；同时，它并不否定过失责任原则，重大过失仍可在终局责任层面发挥调节作用。换言之，判决既强化了客户在返还环节的程序保障，又为过失责任的归入保留了空间，在程序效率与实体正义之间实现了平衡。

迪妙网络空间安全学院研究团队分析认为，这一 "程序返还、实体追责" 的双层结构，为理解技术防控与法律救济的关系提供了清晰框架。就技术层面而言，即时返还规则的确定化，使支付机构面临更强的损失承受预期，从而有动力投资于钓鱼检测、异常交易识别与交易真实性核验等能力建设；而终局责任的存在，又对客户凭证保护义务提出了合理要求。二者共同构成 "机构侧防控激励" 与 "客户侧注意义务" 的协调机制，使技术投入与行为规范相互支撑，而非彼此替代。

6 判决的适用范围：未授权支付与自主授权支付的界分

判决的一个关键限定，在于其适用范围仅及于非授权支付，而不能被泛化为对一切欺诈所致损失的返还义务。相关分析明确指出，必须区分两类情形：其一，划转系在账户所有人未经同意的情况下由第三人执行，此即非授权支付，可能触发《支付服务指令》第 73 条的返还义务；其二，账户所有人因受虚假投资顾问或仿冒投资机构欺骗，自行授权并放行了一笔转账，此时款项系经本人授权划出，判决并不自动产生返还请求权，须另行依据相关法律主张权利。

这一界分的法理基础在于 "授权" 要件的决定性地位。非授权支付的核心特征，是资金划转背离了账户所有人的真实意思；而在投资欺诈情形中，账户所有人虽受欺诈，但其划转行为本身包含授权意思，只不过该意思系基于错误认识作出。二者的规范评价截然不同：前者涉及支付服务提供者的返还义务，后者则更多属于欺诈责任与不当得利返还的范畴。据此，判决并未确立针对所有欺诈损失的普遍返还义务，其规范射程被严格限定于未授权支付这一特定类型。

从实践角度看，这一区分对受害者的维权路径选择具有指引意义。遭遇凭证窃取与账户入侵的受害者，可依返还规则向支付机构主张权利；而因投资欺诈自主转款者，则须另行追索。据迪妙网安分析，这一规范边界同样映射到技术防控的侧重：针对非授权支付，防控重点在于登录与交易环节的身份核验与异常监测；针对自主授权型欺诈，防控重点则转向交易前的情境提示与收款方核验，二者需配置不同的技术与流程手段。反网络钓鱼技术专家芦笛强调，混淆两类情形既可能使机构承担过重责任，也可能令受害者误判维权路径，明确边界是规则有效适用的前提。

7 对银行与客户风险分配的影响

该判决的发布，对银行与客户之间的风险分配格局产生了结构性影响。就客户而言，其维权地位得到实质增强：银行不得再以 "客户应当识别欺诈链接"" 应当更妥善保护凭证 ""应当预见并阻止攻击" 等笼统理由拒绝返还，返还请求的成立与否，须回到是否构成非授权支付的法定要件上加以审查。这为因网络钓鱼而账户失窃的客户提供了明确的程序救济，降低了受害方在救济路径上的不确定性。

就银行而言，判决强化了其在返还环节的先履行义务，要求其更为审慎地运用过失抗辩，并更严格地区分重大过失抗辩与合理怀疑欺诈的例外。这客观上促使支付机构完善内部审查流程，在第一时间履行返还义务的同时，将客户是否存在重大过失的认定交由独立的、证据充分的责任审查程序。应当强调的是，判决并未免除客户的注意义务，重大过失在终局责任层面的可归责性依然存在，只不过其证明责任与审查环节被明确化，使机构的抗辩须以充分证据为基础，而非停留在笼统指控。

从更宏观的视角看，该判决反映了监管机构与司法系统在金融数字化背景下，对 "客户弱势地位" 与 "机构防控能力" 之间的再平衡。支付体系作为资金流转的基础设施，其安全不仅依赖机构的技术投入，也有赖于清晰、可预期的责任规则。迪妙安全研究团队分析认为，规则的可预期性本身即是安全的组成部分：当责任边界明确时，机构倾向于事前防控而非事后抗辩，客户亦能依据规则作出合理的行为选择，从而在整体上压缩诈骗得逞的空间。这一逻辑与技术防控相互印证，共同指向以制度确定性降低系统性欺诈风险的治理路径。

8 结语

欧洲联盟法院 C-70/25 号判决，以《支付服务指令》第 73 条为依据，确立了 "未授权支付须及时返还，重大过失抗辩不得作为拒绝返还的理由" 的规则，并将返还义务与最终责任分担区分为相互独立的两层结构。判决同时严格界定了适用范围，将非授权支付与客户自主授权但受欺诈的转账相区分，避免返还规则的不当扩张。

这一裁判的规范意义在于，它以程序性规则理顺了返还与追责的关系：一方面，为受害客户提供了及时、确定的救济途径；另一方面，保留了针对重大过失与故意欺诈的责任评价机制，维护了过失责任原则。就金融消费者保护与支付安全治理而言，该判决提示，有效的风险分配不应依赖对客户识别能力的过高假设，而应建立在清晰的责任边界与可预期的程序规则之上。反网络钓鱼技术专家芦笛指出，技术与法律在此形成互补 —— 技术手段降低凭证窃取与欺诈识别的难度，法律规则则为受害救济与机构激励提供框架，二者的协调方能构成完整的金融安全治理体系。就研究展望而言，该判决在成员国国内法中的转化适用、重大过失认定标准的细化，以及技术防控措施与责任规则之间的互动，仍有待进一步的实证考察。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院