申女士通过携程购买机票后收到航班取消退费短信，一天内将10余万元转账到骗子账户。因认为携程未尽到安全保障义务，致其身份信息及订票信息泄露，支付宝未依法实施注册实名制，申女士将上海携程商务有限公司(以下简称携程公司)、支付宝(中国)网络技术有限公司(以下简称支付宝)诉至法院。今日上午(12月29日)，北京朝阳法院宣判，认定携程公司在信息安全管理方面存在漏洞，判决赔偿申女士经济损失5万元并向其赔礼道歉。
“客服”告知航班取消 并准确说出乘机人信息
2017年8月9日零时许，申女士通过携程APP为同事订购东方航空公司承运的两张联程航班机票。首乘飞机起飞前，申女士收到+85295672718号码向其订购机票所留的手机号发送的短信，短信内容为“尊敬的旅客：你好!您原订于2017年8月10日航班因起落架故障已被取消。请及时致电客服008617710402984办理改签或退票。 [东方航空]”。
申女士称其按照短信提示拨打了“客服电话”。“客服”准确地说出了乘机人信息，并再次告知申女士因航班取消需退款1250元，并提出可通过支付宝或微信途径退款。申女士将其支付宝账户提供后，“客服”以无法操作为由，向申女士提出以更为快捷的支付宝亲密付方式支付。申女士开通支付宝亲密付功能，通过其绑定在支付宝的中国工商银行账户以支付宝亲密付方式分四次向支付宝会员“开通航空服务”付款共计19008.99元。
申女士称，看到银行提示短信后，挂断“客服”电话欲与银行核实时，“客服电话”回拨表示，因申女士挂断电话影响后台操作，导致申女士的上述款项被划走，现需要将划走的款项转回，因亲密付有限额，需要用申女士的网银转账。后申女士到楼下的银行柜台开通了手机银行、网上银行。按照“客服”的要求分两次共计转账99976元，因仍未收到退款，申女士意识到被骗，后向派出所报案，目前该刑事案件尚未侦破。申女士就此起诉。
法院：携程在信息安全管理方面存在漏洞
携程公司辩称，根据民航局的规定，中国民航信息网络股份有限公司、东方航空公司、中国联通都会获取其订票信息。同时不排除申女士个人将涉案信息提供给他人。公司已尽到信息保密义务，公司内部有专门的信息安全部门、信息保密制度规定，申女士的信息按照公司规定进行了技术上的加密处理。且公司页面上也明确提示用户要警惕诈骗，如客户接到类似电话应当立即与航空公司和携程进行联系。
庭审中，携程公司提交的2018年敏感信息管理规则显示，订单信息属于一级信息，内部传输可不加密。
经审理，法院认为，携程公司在信息安全管理的落实方面存在漏洞，未尽到对个人信息负有的信息保管及防止泄露义务，具有过错，应承担侵权责任。因携程公司违反了网络运营主体的安全保障义务，存在个人信息保护上的安全维护漏洞，导致申女士遭遇诈骗形成财产损失。法院综合案情及携程公司的过错责任程度，酌情确定携程公司赔偿申女士5万元。
至于支付宝，法院认为，从已有证据来看，申女士因受骗先后开通了支付宝亲密付功能和手机银行功能并转款，虽然支付宝亲密付的授权消费对象没有实名制，但在手机银行功能存在实名制以及支付宝、手机银行均对申女士进行了开通提示的情况下，申女士仍完成了转账行为。因此可看出，在该过程中申女士受骗原因是其过于轻信和轻率的思想状态，而与是否实名制及是否尽到风险提示义务并无直接因果关系。故在本案中申女士请求支付宝公司承担侵权责任，法院不予支持。
