近年来电信诈骗发案率居高不下，一直呈现增长趋势，给民众造成严重经济损失。据统计2015年全国电信诈骗案发生约60万起，造成经济损失约人民币222亿元。攻击者究竟通过什么方法得以实施诈骗行为？谁应该对受害者的损失承担责任？银行账户网络支付真的不安全吗？

我们来看一起典型案例。央视新闻节目近期报道了一件电信诈骗案。受害人小许由于回复了一条短信，他所有绑定在支付宝、微信支付、百度钱包等移动支付平台上的银行账户里资金被洗劫一空。

看似不可思议的电信诈骗是如何办到的？

要对小许的银行电子账户进行操作，必须掌控小许的账号密码和手机动态验证码。这就是操作资金账户的双因素认证，同时掌握两把钥匙，才能打开一把锁。

第一步，攻击者在发起电信诈骗短信前通过非法渠道掌控小许的身份证号码、手机号码、银行卡号及其相关的密码等信息，从而获得了控制银行资金账户的第一把钥匙：银行账号及静态密码。

第二步，攻击者精心设计了电信诈骗的套路，用以实际掌控用户的手机号码，从而获取控制银行资金账户的第二把钥匙：动态信息验证码。

第三步，攻击者拿到了小许资金账户的两把钥匙，即通过第三方电子支付平台对小许银行资金账户进行转账操作。

详见下图

最重要的是第二步：掌控用户的手机号码，攻击者是如何做到的呢？

犯罪嫌疑人采用的办法是利用中国移动的“自助换卡”业务。这项业务只需要得知短信验证码，通过验证就可以在不更换号码的情况下启动新的SIM卡，同时旧卡作废。攻击者通过换卡不换号成功掌控受害人手机号码。

整个过程中，小许将换卡验证码误以为是退订业务的验证码转发给攻击者是最为致命的一步，导致他的手机号码被攻击者替换。

谁应该对受害者的损失承担责任？

攻击者需承担刑事责任和民事赔偿责任

对于攻击者而言，犯罪嫌疑人以非法占有为目的，通过一系列精心设计的骗局和行为，转移占有他人银行账户内的资金，已经构成犯罪事实，需承担刑事责任和民事赔偿责任。

网络运营商应当承担对受害人的民事赔偿责任

对于网络运营商，是否应该承担责任呢？《侵权责任法》第36条对网络侵权作了专门规定：“网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任”。犯罪分子利用网络运营品提供的产品漏洞，通过网络运营商的平台向用户发出用于实施诈骗的短信，作为网络运营商自身，提供的产品存在明显漏洞，且明知或应知该漏洞可能被人利用实施诈骗活动，但并没有采取相应的必要措施。具体到本案来看，对于重要的换卡操作，没有做任何身份验证，发送到用户手机的动态验证码发送也没有注明用途，缺乏应有的风险提示。因此，网络运营商在提供的业务产品上存在明显漏洞，对造成用户财产损失具有一定过错，应当承担相应的法律责任，对损失承担民事赔偿责任。

银行应承担盗刷造成损失的违约赔偿责任

对于银行来说，银行与用户存在合法有效的储蓄存款合同关系，银行有向用户兑付存款金额的义务。根据《中华人民共和国商业银行法》第六条规定：“商业银行应当保障存款人的合法权益不受任何单位和个人的侵犯。”银行作为用户资金账户保管机构，首先对储户存款具有安全保障的法定义务，应当保障用户的合法权益不受任何侵犯。确保银行卡内的数据信息不被非法窃取、不被非法使用。其次，银行对持卡人负有全面履行储蓄存款合同的义务。根据储蓄存款合同的性质，银行应承担尽到安全保障和识别伪信息的义务，将存款按储蓄存款协议支付给小许本人。而盗刷造成损失相关银行应承担违约赔偿责任，银行承担违约责任后，可以依法向犯罪分子或相关过错方进行追偿。

正策观点

受害人因电信诈骗受到巨大损失，犯罪嫌疑人需承担刑事责任和民事赔偿责任。网络运营商在服务和监管中存在明显漏洞，且未采取必要安全措施，应当承担民事赔偿责任。而银行没有尽到妥善保管用户信息和保障银行账户资金安全的义务，应承担违约责任。

同时我们也注意到，电子支付普及后电信诈骗案高发，此类案件的本质，是电子支付快捷与资金账户安全的矛盾。便捷电子支付呈现出一种不可逆转的发展趋势，它给社会生产力带来的提升和收益，远远大于产生问题所付出的成本。电信诈骗犯罪高发的根本原因在于网络改号诈骗电话、诈骗短信的渠道一直无法切断，网络运营商负有不可推卸的责任。对于用户而言，妥善的保管个人信息和密码，保护好操作资金账户的两把钥匙，电子支付仍是一种十分便捷和安全的支付方式。