“上屋抽梯”出自《孙子兵法•九地篇》：“帅与之期，如登高而去其梯”。意思是送人家上了高楼却搬掉梯子，比喻诱人向前而断其后路，使其束手就缚。
2014年春节前夕，宋总（系化名）前往上海南京东路某高档酒店（下称：A酒店）宴请宾客。用餐完毕，宋总刷工行双币贷记卡（下称：涉案银行卡）付款并索要发票。服务生李某称开发票需拿银行卡去收银台核对信息，宋总便将涉案银行卡交李某。十几分钟后，李某仍未返回包房，却等来工行的两条短信通知：涉案银行卡被刷卡消费71901.4元，在ATM机上取款2000元。宋总顿悟银行卡被人盗刷，旋即拨打110报案，并致电工行客服要求拒付刷卡消费的金额。
经南京东路派出所办案警官初步调查，涉案银行卡被李某在A酒店旁的某知名高档百货公司（下称：B百货公司）购物盗刷。办案警官向A酒店了解李某情况时，发现李某入职时提交的身份资料均系伪造，要查获李某犹如大海捞针，案件侦破受阻。其间，宋总多次与工行交涉，并提交拒付申请及非本人交易等资料，但工行对宋总要求消除盗刷透支款的不良记录置之不理，让宋总郁闷不已！
此案涉案金额虽不高，但类似事件却呈频发高发态势。尽管其中法律关系复杂，银行态度傲慢强势，但春雷所仍决定为宋总维权到底。
刘春雷律师提出分两步走策略，首先确定涉案银行卡被盗刷的损失应归属谁，即谁是受害者？其次由受害者向相关责任主体追责，即由谁来为损失买单？（如图一）。
图一
第一确定受害者--小舢板与航母的较量，虽败犹荣！
刘春雷律师认为涉案银行卡被盗刷，受害者应是发卡行--工行上海市第一支行（下称：发卡行），但要起诉发卡行得找到切入点。案发后的2014年1月28日，宋总向涉案银行卡存入2005元后旋即被划走，用于抵减被盗刷的透支金额。据此，2014年8月，宋总将发卡行诉至上海市黄浦区人民法院（下称：黄浦法院），请求判令返还其存款2005元，赔偿利息损失，消除非本人刷卡消费透支款项逾期还款的不良信用信息记录（下称：违约案）。
发卡行答辩称：因宋总未妥善保管涉案银行卡及交易密码，给李某盗刷以可乘之机。且李某刷卡消费和取款时，均输入有效交易密码。据宋总与发卡行签订的《信用卡领用合约》（下称：《合约》）第二条第3款之约定，“凡使用密码进行的交易均视为甲方本人所为，甲方应承担因密码保管不善造成的风险损失”（下称：争议条款），李某的行为应视为宋总的行为，故发卡行不应承担盗刷的损失。
刘春雷律师驳斥称：第一，争议条款属于对表见代理的具体运用，但李某盗刷行为并非宋总真实意思表示，且已涉嫌犯罪，故不能构成表见代理；且该条款与我国《电子签名法》相关规定有冲突。第二，宋总与发卡行因办理涉案银行卡而形成借贷关系（如图二），李某盗窃款项的受害人应是发卡行而非宋总。第三，发卡行擅自将李某盗窃款项的损失强加于宋总，划走其2005元并错误记载透支逾期不还的不良记录，应予以纠正。等等。
图二：持卡人与银行的法律关系
黄浦法院认为，宋总作为持卡人应对涉案银行卡及交易密码妥善保管。宋总因疏于管理导致涉案银行卡被李某盗走和盗刷，应自行承担损失。发卡行记载透支款逾期不还的不良记录，符合《合约》约定。故驳回宋总诉讼请求。
宋总不服，向上海市第二中级人民法院（下称：上海二中院）提起上诉。二审时，上海二中院回避违约案的核心问题，未谈及和认定涉案银行卡被盗刷的损失，应归属于发卡行还是宋总；仅把审理重点放在发卡行是否存在违约上。最终驳回宋总的上诉请求。
第二确定责任人——析法厘责，为宋总减损
宋总首战虽未获胜，但上海二中院在判决书中指出，宋总可向其他责任人追责。
2015年6月，宋总向黄浦法院提起诉讼，请求B百货公司、工行南京东路支行（系为B百货公司提供转账收银等服务的银行，下称：签约行）、 A酒店共同赔偿损失71896.4元及相应利息（下称：侵权案）。
刘春雷律师认为，涉案银行卡被盗刷，虽然李某是直接责任人，但三被告也有过失应承担相应责任。第一，B百货公司作为信用卡特约商户，违反信用卡交易规程，未尽到谨慎审查持卡人签名的义务。第二，签约行既然开通信用卡业务，理应建立完善的挂失服务制度、并对商户收银员进行培训，但签约行并未全面履行职责。第三，A酒店招录李某，既未认真核查其身份且疏于管理，导致宋总在店消费时财产被侵吞。
庭审时，B百货公司辩称：特约商户审查义务有限，在涉案银行卡被盗刷中无过错。签约行辩称：与本案无法律关系，并非涉案银行卡的发卡行及管理行；A酒店辩称：其辨识员工身份的手段及能力有限，不应为宋总的损失担责。
就三被告的辩解，刘春雷律师一一批驳：
第一，刷卡人为男性，而涉案银行卡显示卡主为女性，B百货公司收银员核对持卡人身份时存在重大过失；且签购单上的签名与涉案银行卡上预留的签名不一致。
第二，签约行对可疑交易应进行再次审查，但签约行未尽到审查责任。
第三，即便A酒店不具备公安机关核查身份证真伪的手段和能力，但李某工作时间擅自离岗近二十分钟去实施犯罪行为，A酒店却毫不知情，显然未尽到管理职责。同时，A酒店招录李某后未及时为其开具社保账户，再次错失查验其身份信息的机会。
2016年7月，黄浦法院对侵权案做出判决：A酒店因未尽到对员工的管理责任，应按责任比例赔偿宋总损失43137.84元及相应利息；驳回宋总其他诉讼请求。
第一关于持卡人与银行的法律关系
现今，我国司法实践普遍认为，银行与持卡人的法律关系系储蓄合同关系，这在王永胜诉中国银行南京河西支行案[1]、刘德俊诉农业银行吴江三角井支行案[2]、陈晓丹诉建设银行温州经济技术开发区支行案[3]中均有体现。但，春雷所对此持有异议。因为我国《合同法》规定的14种有名合同中并没有“储蓄合同”，且亦无其他法律创设储蓄合同这一概念。认定持卡人与银行的法律关系应依据《合同法》，或归属于14种有名合同中一种法律关系，或认定为无名合同的法律关系。
英美法系国家把银行与持卡人的法律关系视为债权债务关系。1811年，英国的William Grant 爵士在一份判词中指出：“存入银行的客户款项虽通常被称为存款，但实际上却是客户对银行的贷款”。1848年，英国大法官Cottenham勋爵在Fokey VS Hill 案件中指出：“款项一经付入银行就不再是当事人的钱，此款即属银行所有；当存款人要求支付时，银行有义务偿还相等于存入金额的款项”。[4]以此为借鉴，从银行的传统经营模式以及民法、合同法的法理来分析，我国也可认定持卡人和银行系借款合同关系。从《合同法》角度考虑，持卡人填写开户申请书，银行为持卡人开立账户，就形成双方的要约和承诺，相当于订立《借款合同》。持卡人把钱存入银行履行了借款义务，就成为银行的债权人；而银行作为债务人，承担在一定期限后返还本金及利息的义务。通过《借款合同》，持卡人获得对银行的债权，而银行获得货币所有权。
持卡人使用银行卡消费，与银行更是基于《借款合同》而产生借贷关系。正如下图三所示，银行基于持卡人的信用额度，在持卡人刷卡消费时代为付款，并因此产生对持卡人的债权；而持卡人根据每月的账单向银行还款。整个过程相当于银行对持卡人的小额信用贷款。故，不论持卡人的储蓄行为还是持卡人使用信用卡消费的行为，持卡人与银行之间都是基于《借贷合同》的债权债务关系。
结合宋总案，李某盗刷涉案银行卡的行为相当于冒用宋总名义向工行借款，发卡行付款给李某后所形成的损失自然应归属于发卡行，宋总与发卡行的债权债务关系不因李某的行为而改变。
图三：信用卡消费法律关系
第二关于争议条款的效力
1.《合约》是格式合同，争议条款或无效
发卡行所制争议条款系单方预先设定的条款，且在其所有《合约》中重复使用，符合《合同法》第三十九条[5]关于格式条款的认定。根据《合同法》第四十条[6]、《合同法解释二》第十条[7]等规定，如果提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。
2.发卡行设置该条款旨在逃避自身的审查义务
信用卡本质上是银行对特定用户的一种特殊信用凭证，具有很强的人身依附性。正因此，根据银行业惯例，发卡行发放信用卡时会严格审查申请人的资信状况。持卡人刷卡消费时，发卡行、签约行也应认真核核实持卡人的身份信息，通常情况下是以信用卡预留签名及密码的方式。
持卡人刷卡时输入密码系电子签名[8]。据《电子签名法》第十三条[9]规定，电子签名只有同时符合以下条件，才能视为可靠的电子签名：
①电子签名制作数据用于电子签名时，属于电子签名人专有；
②签名时电子签名制作数据仅由电子签名人控制；
③签署后对电子签名的任何改动能够被发现；
④签署后对数据电文内容和形式的任何改动能够被发现。
而根据《电子签名法》第二十条[10]的规定，工行作为电子认证服务提供者，在收到交易信息后，应当对电子签名人的身份进行查验，以保证其所发放的证书具有可靠的权威性和信任度。争议条款中约定只要使用密码进行交易均视为本人操作，发卡行明显是在逃避其谨慎审核的义务，与《电子签名法》规定不符。
3.银行谨慎审核义务的内容
总结频发的信用卡被盗刷事件，银行谨慎审核义务至少应包括以下几点：
①查验输入密码是否为本人所为；
②查验密码是否被他人非法篡改；
③查验信用卡是否为非法复制的假卡；
④根据信用卡上载明的性别、姓名等信息核对持卡人的真实身份等。
在宋总被盗刷信用卡案件中，不论是签约行还是发卡行，均没有做到这些内容，未尽到谨慎审核义务。仔细分析争议条款的内容，工行将所有凭密码交易的行为均视为持卡人本人交易的做法，无非是利用争议条款来免除其义务。
4.争议条款是表见代理的具体运用，但违约案中不能适用表见代理
争议条款中，发卡行使用了“视为”二字，即“只要输对了密码，就推定为持卡人本人交易”的意思，本质上是对民法中表见代理理论的具体运用。但在此类盗刷银行卡事件中恰恰不能适用表见代理。
“表见代理”是指行为人虽无代理权，但由于被代理人的行为，造成了足以使善意第三人相信其有代理权的表象，而与善意第三人进行的、由被代理人承担法律后果的代理行为。《合同法》第四十九条[11]对此做出了相关规定并明确了其效力。表见代理须满足以下四个构成要件，缺一不可：
①须行为人无代理权；
②须有使相对人相信行为人具有代理权的事实或理由；
③须相对人为善意且无过失；
④须行为人与相对人之间的民事行为具备民事行为的有效要件。
结合宋总被盗刷信用卡案件以及以上四个构成要件分析，李某盗刷涉案银行卡的行为显然不构成表见代理。首先，宋总未对李某在B百货公司刷卡消费及从ATM机取款进行授权。其次，B百货公司及签约行均未审查李某的身份，而实际上，宋总为女性，涉案银行卡上的预留签名也明显可以判断持卡人性别为女；但刷卡人李某明显是一名男性。因此，这显然不符合“相对人善意且无过失”这一构成要件。缺失了这两个重要的构成要件，李某盗刷涉案银行卡的行为无法构成表见代理。
另外，李某盗刷涉案银行卡涉及刑事犯罪，亦不适用表见代理。在民事法律关系中，表见代理原则可以看作一种特殊情况下的代理行为，是出于交易安全和保护善意第三人的利益考虑。一旦涉及刑事犯罪，如果继续适用表见代理，那犯罪行为的后果就应由被代理人承担，如此一来，在刑事、民事上对同一个行为做出了完全不同的法律判断，显然不合理。
综上，“只要凭借密码进行交易就可以视为本人交易”的观点显然是错误的。
第三关于用人单位的用工风险
在侵权案中，黄浦法院判定A酒店承担责任的关键点在于A酒店没有尽到对员工的管理责任。A酒店作为犯罪嫌疑人工作的单位，对员工管理不善，未对员工的身份背景做仔细审查，给犯罪嫌疑人可乘之机，给消费者带来财产损失。
现今仍有不少企业在招工过程中，对员工身份信息审查不严，日常管理力度不够，存在不小用工风险。用人单位应当如何减少或避免用工风险呢？
首先，用人单位在录用员工时，应该对其身份信息进行详细审查。我们从社会生活常识可以知道，普通的旅店都可以核实住客的身份信息，具有一定规模有足够的资金和资源的用人单位，更应该注重提升自己的软硬件设施，以有效地核查员工身份。没有条件的小规模用人单位，可通过请求公安机关或其他政府机构协助，以核实新录用员工的身份。另外，根据我国《社会保险法》相关规定[12]，企业应当在用工之日起三十日内为员工办理社会保险登记。企业如果能够及时为员工缴纳社保，也能及时发现员工入职时使用虚假身份信息这一情况。在宋总被盗刷信用卡案件中，A酒店作为一个有足够规模、足够资金能力的用人单位，在录用之初就没有做好员工信息核查，也没有及时为员工办理社保。因此，A酒店完全应为其疏于管理承担责任。
除了员工信息核查，用人单位加强日常管理亦很重要。用人单位应积极完善工作签到，工作计划及工作记录、绩效考评等制度，并留有相应的书面材料，做到有理有据。在宋总被盗刷信用卡案中，李某在用餐高峰时擅离岗位并实施犯罪，
A酒店对此却浑然不知。显然是未做好员工的日常管理。黄浦法院据此判定其承担相应管理责任亦合情合理合法。
春雷提示
办卡也好，开店也罢，商家在提供商品和服务时，都应当保障消费者的人身和财产安全，这不仅系我国《消费者权益保护法》第七条[13]的明文规定，也是商家应遵守的诚实经营、童叟无欺的商业道德。若只管促销了事，上屋抽梯，最终会自食其果。
2016年6月，宋总被盗刷信用卡案件有幸被上海电视台新闻综合频道《法特勤组》栏目选为首期节目案例。叶萍律师接受上海电视台采访时提醒消费者：
1.使用信用卡付款前应确认收款人身份，确定是商家员工的职务行为。
2.刷卡付款时不能让银行卡脱离自己的视线。
3.输入密码时，要注意保密，防止周围人偷窥。
4.遭遇银行卡盗刷时，应第一时间挂失止付并及时报警。
叶萍律师就此案件接受上海电视台采访
[1]最高院公报案例2009年第2期。
[2]案号：（2016）苏05民终2213号；审理法院：苏州市中级人民法院。
[3]案号：（2010）浙温商终字第720号；审理法院：温州市中级人民法院。
[4]李惠。银行储户存款被盗取责任认定问题探讨——以存款的法律性质为视角。法制博览。2013.05.
R.R.Pennington,A.H.hudson,J.E.Mmann,Commercial Banking Law.1 sted Macdonald and Evans LTD, 1978;22.
[5]《中华人民共和国合同法》（1999）
第三十九条采用格式条款订立合同的，提供格式条款的一方应当遵循公平原则确定当事人之间的权利和义务，并采取合理的方式提请对方注意免除或者限制其责任的条款，按照对方的要求，对该条款予以说明。
格式条款是当事人为了重复使用而预先拟定，并在订立合同时未与对方协商的条款。
[6]《中华人民共和国合同法》（1999）
第四十条格式条款具有本法第五十二条和第五十三条规定情形的，或者提供格式条款一方免除其责任、加重对方责任、排除对方主要权利的，该条款无效。
[7]《最高人民法院关于适用<中华人民共和国合同法>若干问题的解释（二）》
第十条提供格式条款的一方当事人违反合同法第三十九条第一款的规定，并具有合同法第四十条规定的情形之一的，人民法院应当认定该格式条款无效。
[8]《中华人民共和国电子签名法》（2015年修正）
第二条本法所称电子签名，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。
[9]《中华人民共和国电子签名法》（2015年修正）
第十三条电子签名同时符合下列条件的，视为可靠的电子签名：
（一）电子签名制作数据用于电子签名时，属于电子签名人专有；
（二）签名时电子签名制作数据仅由电子签名人控制；
（三）签署后对电子签名的任何改动能够被发现；
（四）签署后对数据电文内容和形式的任何改动能够被发现。
[10]《中华人民共和国电子签名法》（2015年修正）
第二十条电子认证服务提供者收到电子签名认证证书申请后，应当对申请人的身份进行查验，并对有关材料进行审查。
[11]《中华人民共和国合同法》（1999）
第四十九条行为人没有代理权、超越代理权或者代理权终止后以被代理人名义订立合同，相对人有理由相信行为人有代理权的，该代理行为有效。
[12]《中华人民共和国社会保险法》（2011）
第五十八条用人单位应当自用工之日起三十日内为其职工向社会保险经办机构申请办理社会保险登记。未办理社会保险登记的，由社会保险经办机构核定其应当缴纳的社会保险费。
[13]《中华人民共和国消费者权益保护法》（2013年修订）
第七条消费者在购买、使用商品和接受服务时享有人身、财产安全不受损害的权利。
消费者有权要求经营者提供的商品和服务，符合保障人身、财产安全的要求。