共享单车二维码诈骗案

案情简介

2017年3月1日，江某准备骑共享单车外出办事，找到附近的单车后,江某发现车身后座上有两个二维码，于是便用微信扫描二维码开锁。手机上随即跳出支付页面，江某没有多想就按照提示支付了99元押金。然而，在支付了押金之后，车锁却并未开启。由于是第一次使用，他以为是系统故障，紧接着又扫描单车车头的二维码，在成功支付299元押金之后，单车终于顺利解锁。当单车使用结束后，江某请求退还押金时，系统只退还了其第二次支付的299元。这时，江某才意识到自己可能被骗，立即向当地公安局报警。

处理情况

经警方查看，其第一次扫描的二维码并非共享单车二维码。据福州警方透露，从今年2月开始陆续接到群众报警，称其在扫描共享单车二维码支付完押金后，未能解锁成功。接警后，当地派出所立即展开侦查，最终抓获两名犯罪嫌疑人。据了解，2月以来，犯罪嫌疑人包某伙同林某，伪造了包括摩拜、哈罗等多家品牌共享单车的二维码数百枚，设置的转账金额有299元、199元、99元三种，并随机粘帖在相应的共享单车上。经初步统计，总涉案金额达3200余元。民警介绍，包某和林某伪造共享单车二维码骗取共享单车押金的行为涉嫌诈骗。

法律分析

1.法律合规性风险。二维码支付属于创新型业务，目前，国内尚无具体法律法规对二维码支付进行指导和监管，相关技术标准和法律监管的缺失加剧了业务的无序发展，这也是2014年3月央行紧急叫停该项业务的首要原因。在《中国人民银行支付结算司关于暂停支付宝公司线下条码(二维码)支付等业务意见的函》中提到，商业银行、支付机构在推出创新产品与服务时，应至少提前30日履行业务报备义务。根据该意见要求，商业银行在二维码支付业务实际开办前，须做好相关监管部门的报备沟通工作，防范政策合规风险。

2.二维码安全性风险。根据《消费者权益保护法》第十八条规定，“经营者应当保证其提供的商品或者服务符合保障人身、财产安全的要求”。二维码和二维码扫描客户端（手机银行等）均由商业银行提供，对于保障二维码的安全性，商业银行责无旁贷。第十二条对商品或服务交易真实性提出要求，商业银行与商户协议应当明确一下几方面内容：首先，商户有保证贸易背景真实、合法的义务；其次商业银行有现场检查的权利，如发现虚构贸易背景或出售违法商品的情况，商业银行有权进行调查，并要求客户提供单据、录像等资料协助调查。

二维码本身技术门槛低，编译和发布都较为简单，从而为钓鱼网站和恶意软件创造了有利条件。案例中不法分子通过二维码链接钓鱼网站或植入恶意木马等方式劫持用户信息，将用户支付账户洗劫一空，类似案件时有发生。除了技术风险以外，商业银行面临的法律风险点主要表现在：第一，商户或第三方侵权风险。从目前技术水平来看，部分商业银行的二维码扫描客户端不具备识别外来二维码的能力，既能识别商业银行提供的二维码，也能读取外部二维码信息；且二维码长期置放在商户经营场所，如商户或第三方恶意更换二维码导致用户损失，商业银行和商户可能因未尽安保义务而被课以赔偿或补偿之责。虽事后有权向侵权人追偿，仍可能不足以弥补商业银行和商户的经济损失及声誉损失。第二，用户过错风险。由于二维码表现形式的抽象性，用户在扫码前难以分辨真伪，对用户注意义务的要求更为有限，相应对经营者安全保障义务的要求将更加严格。一旦发生因用户误操作造成损失的情况，商业银行较难以用户未尽注意义务为由，请求减轻或免除商业银行责任。

3.信用卡套现、洗钱风险。当产业中某一领域反套现、反洗钱力量薄弱时，信用卡套现、洗钱风险自然会向该领域转移。同银行卡收单、线上支付相比，二维码支付具有缺乏监管制度、商业银行不易掌握原始交易情况等劣势，或将成为套现、洗钱的高发地。

根据央行、银监会发布的《关于防范信用卡风险有关问题的通知》，在银行卡收单领域，特约商户不得协助持卡人进行信用卡套现。二维码支付虽暂时没有具体监管规定，然而在信用卡套现中，无论商户还是用户违背了各自与银行签订的合约，违反了合同法的诚实信用原则。这就构成了银行追究商户违约责任的理论基础。商业银行可比照同类业务的现行监管规定，协议约定商户不得以虚构教育、虚开价格、现金退货等方式协助用户进行信用卡套现，否则银行有权终止相关服务，并通过现场及非现场检查，通过执行违约金罚则及其他救济措施追究商户民事法律责任。

4.电子支付风险。现阶段商业银行二维码支付业务通过手机银行实现对外支付，电子支付中密码被冒用的风险是银行需要防范的主要课题。目前，商业银行普遍在电子银行协议中约定“密码使用即视为本人使用”原则，但鉴于我国法律尚未明确确立本人行为原则，该约定能否被司法机关普遍采纳还有待实践检验。同时电子支付业务中，由于商业银行与用户双方的信息掌握不对等，不能排除司法机关要求银行承担更多的举证责任的可能。

在实践中，由于我国尚未明确确定“密码使用即视为本人使用”原则，在按用户能够证明付款指令并非自己所为的情况下，银行与用户如何确定责任主体十分困难。商业银行应履行告知义务、加大对密码私密性宣传，提示用户妥善保管密码及用于结合搜认证短信的手机，明确发生遗失或密码泄露时应及时挂失，否则自行承担相关责任。

案例启示

据了解，先后在上海、北京、成都、福州、海口、宁波等城市都有类似诈骗案例出现，最常见的是骗子利用共享单车扫码开锁的设计，在车身上加贴个人微信和支付宝收款二维码，同时将微信、支付宝昵称改为共享单车，以假乱真。

共享单车扫码骗局的三种常见作案手法：最常见的一种，是骗子们利用扫码开锁的设计，在车身上加贴微信、支付宝转账二维码，同时将微信、支付宝头像昵称改为共享单车，以假乱真。第二种技术含量稍高，骗子在共享单车的原有二维码上覆盖一层底色透明的假二维码，破坏原有二维码，导致消费者扫码时出现“二维码格式有误”或“系统升级”，“请暂时使用微信/支付宝使用共享单车”等字样，迫使消费者选择车身上假的付款码付款。第三种的技术含量最高，对消费者造成的损失也最大。骗子通过在车身上粘贴假二维码，诱使消费者下载该二维码导向的假租车软件，手机被趁机植入木马病毒盗取手机绑定的银行卡卡号密码或者远程操控消费者手机，给消费者带来很大的财产损失。

分析本案，给人的启示主要有：

1.行业监管部门应高度关注二维码等线下条码支付潜在的风险，加快推进线下条码支付等相关立法工作，不断完善法律法规、业务制度，尽快制定技术标准、增强防伪能力，切实加强对行业的指导与监督，引导二维码等线下条码支付的规范有序发展。

2.金融机构、支付机构在提供二维码等线下条码支付服务时，应提高二维码等线下条码的编译发布技术门槛，增强防伪能力，增强识假能力，防止线下条码支付服务被不法分子利用。共享单车等在利用线下条码支付技术提供服务时，应严格按照《消费者权益保护法》的有关规定，应采取技术手段、日常管理与消费者教育等有效措施，保障消费者的财产安全权等合法权利，防止消费者上当受骗。

3.金融消费者在使用共享单车时首先尽量先通过正规应用商店下载共享单车APP，在扫码时一定要仔细分辨车身上的二维码，是否有被撬、被更换、被涂改、被覆盖、粘贴等痕迹。如果二维码是粘上去的，务必提高警惕，以免被骗。而且，正规二维码扫描后一般会进入使用模式，绝不会跳转至付款页面。一旦扫码后弹出付款界面，肯定是假的，请立即中止，并联系共享单车客服反映相关情况。