广东酷码信息科技有限公司、中国联合网络通信有限公司吉安市分公司合同纠纷二审民事判决书

江西省吉安市中级人民法院 民 事 判 决 书 （2019）赣08民终2014号 上诉人（原审被告）：广东酷码信息科技有限公司，住所地：广东省广州市白云区永平街同泰路83号803房，统一社会信用代码：91440101788947741U 法定代表人：***，公司总经理 委托诉讼代理人：***，公司员工。 委托诉讼代理人：***，江西智桥律师事务所律师。 被上诉人（原审原告）：中国联合网络通信有限公司吉安市分公司，住所地：江西省吉安市青原区井冈山大桥东，统一社会信用代码：91360800731975231Q 法定代表人：***，公司总经理 委托诉讼代理人：***,该公司副总经理。 委托诉讼代理人：***，江西文修律师事务所律师。 上诉人广东酷码信息科技有限公司（以下简称酷码公司）因与被上诉人中国联合网络通信有限公司吉安市分公司（以下简称吉安联通）合同纠纷一案，不服吉安市青原区人民法院（2019）赣0803民初682号民事判决，向本院提起上诉。本院于2019年9月26日立案后，依法组成合议庭进行了审理。本案现已审理终结。 酷码公司上诉请求：1.撤销原判，改判驳回吉安联通的诉请；2.一、二审诉讼费由吉安联通负担。事实和理由：一、本案之所以出现盗打国际长途电话，是如下几个原因综合导致：首先吉安联通提供的网络存在问题，吉安联通明知外呼过程中存在恶意攻击的危险，依然为酷码公司提供安全性极低的静态公网IP：其次，吉安联通并未将国际长途业务，国内长途，省内长途取消。根据合同约定，酷码公司的合同义务是呼叫吉安市范围内的联通客户，根本无需开通国际长途，国内长途，省内长途业务。***联通将国际长途，国内长途等业务取消，那即使设备遭到恶意攻击也无法实现盗打国际长途的目的；再是广东酷码公司在安装MX100G设备、A9软件时未修改初始密码。但目前并无证据证实未修改初始密码就必然会导致盗打国际长途电话，酷码公司即便存在过错，也只是本案发生的一方面原因，不应承担主要责任，吉安联通应承担主要责任甚至全部责任；二、公安机关出具的《情况说明》仅为案涉事情立案，不可作为审判案件的证据。其认定本案盗打国际长途是通过讯时交换机设备拨打出去的，但实际上国际长途是通过什么方式拨打出去的至今没有任何证据证实，也没有相关的权威结论；三、酷码公司在得到吉安联通A9软件有外呼情况提醒后，经查询判断非本公司员工外呼，并反馈给吉安联通。吉安联通可以查询到所有呼叫记录，其作为信息电路管控的总窗口，没有做到应尽的责任是本次事件的主要原因。四、酷码公司按照合同约定开展吉安市范围内客户营销，已按约提供了相关服务，其在处理受托事项时不存在过错，监管线路安全并非酷码公司的义务，即使酷码公司没有更换初始密码，也不是导致盗打国际长途的必然原因，一审法院适用法律错误，对责任划分有违公平原则。 吉安联通辩称，一、酷码公司为提高营销效率，自行安装了A9系统和MX100G设备。吉安联通应酷码公司要求，为其提供了一条语音中继（中继群号为30）专线给其使用。吉安联通在为酷码公司开通专线时关闭了国际长途，履行了交接义务；广东酷码具有管理、维护和保证安全的义务。本案的发生在于广东酷码使用的MX100G设备未修改登录密码、增加设备的访问列表，导致无法过滤非法IP，而被外网恶意扫描和攻击，进行了恶意呼叫，其责任在广东酷码对其自用设备未能有效的安全设置，是导致吉安联通发生损失的根本原因；二、青原区公安局出具的情况说明明确指出：“广东酷码公司在安装调试Nerock(讯时)交换机（MX数字中继网关）设备时，未按照设备说明书要求进行规范的安全设置，仅是改了进入设备管理界面的端口，密码没有进行任何修改，还是使用厂家原始默认的密码”。青原区公安局对上海讯时公司新产品管理部经理**笔录证实：对侦查人员提供的酷码公司吉安办事处使用过的MX100G设备，使用MX100G密码登录时，无法正常使用登录该设备。**通过出厂CONSOLE密码直连后，发现该设备的管理员密码被修改成779060**，操作员的密码被修改成admin779060**,语音安全SIP授信地址全部为空，这样的设置任意IP都可以通过该设备进行恶意呼叫。也就是说，这台Ｍ×××××设备已被恶意攻击，被恶意呼叫。以上公安的情况说明和**的证言，可以证实盗打国际长途是通过MX100G设备实现的，广东酷码应承担全部责任；三、2018年5月29日，有人利用酷码公司的外呼系统，使用1001的主叫号码拨打了120急救电话，时长17秒，显示酷码公司的外呼系统可能存在被外网恶意攻击、非法外呼的情况发生。吉安联通的员工第一时间提醒广东酷码查找原因，已经尽了告知义务；广东酷码作为A9软件和MX100G设备的所有者和管理者，有责任和义务查找原因，采取一切必要措施防止外部系统即MX100G设备再次被恶意攻击的现象出现。但是，酷码公司因为自己的疏忽和大意，无视问题的存在，导致本案吉安联通经济损失的发生，广东酷码应承担全部责任；四、吉安联通与酷码公司签订了《江西联通电话营销合同》，系有偿委托合同。酷码公司应遵守合同的相关规定，遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务及本案中相应的安全注意义务。酷码公司对其所属A9软件和MX100G设备有保证安全不被攻击的责任。酷码公司违反了合同的附属义务，造成本案损失，应承担赔偿责任。 吉安联通向一审法院起诉请求：1.判令酷码公司赔偿吉安联通经济损失245564.98元（吉安联通实际损失为250564.98元，扣除酷码公司签订协议后缴纳的5000元保证金，还需赔偿损失245564.98元）。2.本案诉讼费由酷码公司承担。 一审法院认定事实：2017年5月27日，吉安联通（甲方）与酷码公司（乙方）签订《江西联通电话营销合同》约定，为提高联通客户在网满意度，进一步提升市场占有率和客户在网时长，经甲、乙双方共同协商，达成以下合作协议：甲方授权乙方开展吉安市范围内客户营销等工作，包括甲方指定的目标客户群体的新入网用户回访、2G、3G转4G套餐、3G、4G流量包、合约续约、单卡转合约及宽带续约等业务；甲方负责乙方营销工作的管理、考核、指导、协调工作，免费向乙方提供专用的号源及相关营销政策、营业渠道入单工号、佣金系统、数据接口、呼叫软件、呼叫线路及其他需要的软件配置的支持；免费提供电话营销所需的办公场地、水电费、销售产品资源等运营硬件支撑；不定期对乙方主管培训人员进行业务培训，提供乙方开展市场营销所需的宣传资料；指导并协助乙方做好客户服务、客户申告及投诉工作等。乙方在合同期限内开展吉安地区客户营销及客户服务工作，负责根据甲方的业务规范，开展业务及规范营业操作；准确收集、汇总、分析客户需求，并及时报送甲方；根据客户需求，及时制定营销方案，报甲方审核后实施；未经甲方书面同意，不得开展双方约定的服务项目之外的其他项目；每日营业款按照当地业务规范要求进行结算等。结算办法，按江西省联通公司文件规定的佣金标准或者由甲、乙双方书面商定计算佣金，每自然月进行一次结算，甲方系统提供佣金数据，双方核对无误后，甲方于次月以转账方式向乙方支付；为保证甲方权益不受侵害，确保乙方严格执行本协议，乙方需缴纳保证金5000元；协议期限，自签订之日起至2018年12月31日，合同期满后，双方无异议，自动续签一年；合同终止后，乙方应拆除、销毁所有使用的甲方的服务标识、上交有关业务资料、清算双方账目；争议解决办法，发生争执，协议双方应通过协商解决，协商不成，协议任何一方可依法向甲方所在地的人民法院提起诉讼；合同还对业务开展流程、投诉界定、重要约定、违约责任、免责条款、不可抗力、保密条款等进行了约定。合同签订后，酷码公司将其营销工作办公室设在吉安联通的二楼，双方按合同履行相应的权利义务。到2018年4月，为了提高营销效率，省去话务员人工拨号成本，酷码公司向吉安联通申请一条语音中继专线，中继群号为30，中继群号标识为吉安酷码。吉安联通为酷码公司开通该专线时，关闭了国际长途。由于酷码公司的总服务器在云南昆明，该总服务器通过公网IP（互联网）连接酷码公司在吉安办事处安装的一台（迅时）交换机（又称MX100G数字中继网关，以下简称MX100G设备），MX100G设备再连接语音中继专线后实现外呼。吉安联通将大量客户信息发给酷码公司吉安办事处的负责人***，钟将这些信息导入本公司安装在电脑上的A9软件中。工作期间，***只需登入该A9软件点击开始执行外呼任务，便会通过MX100G设备，经语音中继专线自动批量拨打吉安客户的电话，并将已接通的客户电话自动送到空闲的话务员处，由话务员进行电话营销。2018年6月2日8时28分50秒至6月4日14时05分15秒，通过中继群号为30的中继专线，有人采取在号首加拨0791的套拨方式，将国际长途掩饰成国内长途，拨打***、***等14国的国际长途电话7698次，吉安联通因此支出国际结算费用250564.98元。对该损失，吉安联通、酷码公司经多次协商无果，吉安联通因此诉至法院。 另查明，发生上述高额国际长途结算费用后，吉安联通于2018年6月4日，向吉安市公安局青原分局报案。该分局刑事侦查大队于2018年6月6日，对吉安联通被盗一案进行立案侦查。经侦查发现：“广东酷码公司在安装调试Newrock（迅时）交换机（MX100G数字中继网关）设备时，未按照设备说明书要求进行规范的安全设置，仅是改了进入设备管理界面的端口，密码没有进行修改，还是使用厂家原始默认的密码，并且使用安全防护措施较低的静态公网IP，存在一定的漏洞。”但由于案情复杂，专业技术难度较高，侦查周期漫长，侦破难度较大，吉安市公安局青原分局仅对吉安联通中继线被盗打一事立案，尚未对广东酷码公司进行任何刑事立案侦查，至今无法侦破此案确定犯罪嫌疑人。 又查明，在公安机关侦查过程中，广州亚通信息科技有限公司（以下简称广州亚通公司）技术员**、上海迅时通讯设备有限公司（以下简称上海迅时公司）新产品管理部经理**，分别接受吉安市公安局青原分局刑事侦查人员询问时证实：一、酷码公司与吉安联通签订了营销合同，为了省去人工拨号成本，实现电脑直接拨号，广东酷码公司向广州亚通公司采购MX100G设备、A9软件做外呼系统，通过IP公网与安装在吉安联通二楼办事处的MX100G设备进行连接，并安装一个集客服资料管理、订单和具有外呼功能的A9软件；二、广州亚通公司技术员**负责对A9软件和MX100G设备进行远程安装调试时，只改了登录MX100G设备管理界面的端口，没有修改该设备登录密码，登录密码仍为厂家原始默认密码MX100。但**曾多次建议酷码公司不要使用公网IP连接MX100G设备，要使用家用的ADSL拨号光纤，先经过猫、路由器，再到设备，这样比较安全；三、如果这个系统要实现非法外呼国际长途，可以直接侵入MX100G设备，然后控制该设备直接拨打号码；也可以侵入A9软件系统，也就是服务器，实现外呼国际电话。但**查了A9软件从2018年4月底到6月11日，没有任何国际外呼数据；四、上海迅时公司生产的MX100G设备等迅时系列产品，厂家都会有相关安全指导说明，即首先要求修改设备的出厂默认登录密码，登录密码长度8-16位，强度建议设置字母大小写、数字、特殊字符混合；其次要修改设备的默认常规端口，包含SIP、WEB、teInet＆SSH；第三增加设备的访问列表，过滤非法IP。如果密码没有按照要求修改，可能会被暴力破解，让外人获取设备的最高控制权限，整台设备都会被他人完全非法控制；五、上海迅时公司新产品管理部经理**，对侦查人员提供的酷码公司吉安办事处使用过的MX100G设备，使用MX100密码登录时，无法正常登录该设备。**通过出厂CONSOLE密码直连后，发现该设备的管理员密码被修改成779060＊＊，操作员的密码被修改成admin779060＊＊，语音安全SIP授信地址全部为空，这样的设置，任意IP都可以通过该设备进行恶意呼叫。也就是说，这台Ｍ×××××设备已被恶意攻击，可以进行任何恶意呼叫。 再查明，2018年6月1日下午5点左右，吉安联通员工***发微信给酷码公司吉安办事处的负责人***，告知她A9软件外呼系统在2018年5月29日22时16分08秒，被人使用了1001的主叫号码拨打了一次120急救电话，时长17秒，要***查一下是什么情况。***本人并要求广东酷码公司江西分公司的员工**先后查询了A9软件系统，在没有查到通话记录后，吉安联通、酷码公司双方都没有进一步查找原因。 一审法院认为，本案争议的焦点为：一、对产生的国际长途结算费用损失250564.98元，酷码公司是否存在过错，是否应当承担赔偿责任；二、对本案的处理是否应先刑后民。 关于焦点一，酷码公司因违反合同义务，造成合同相对***联通的损失，应当承担赔偿责任。理由是:首先，根据吉安联通、酷码公司双方签订的《江西联通电话营销合同》约定，吉安联通为了维系老客户，发展新客户，而授权酷码公司开展吉安地区范围内客户电话营销工作，吉安联通按省公司规定或双方约定的标准支付佣金给酷码公司。符合委托合同的法律特征，我国《合同法》第三百九十六条规定：“委托合同是委托人和受托人约定，由受托人处理委托人事务的合同。”本案受托人酷码公司处理的委托事务是通过电话营销活动，为吉安联通维系老客户、发展新客户，而由委托人吉安联通给付佣金，因此本案属有偿委托合同；其次，虽然《江西联通电话营销合同》只约定酷码公司方拨打吉安联通提供的吉安地区范围的客户电话进行营销，没有约定如果违约拨打电话，特别是拨打国际长途电话费用由谁承担。但酷码公司为了提高自己的工作效率，减少人工拨号成本，在安装MX100G设备和A9软件系统时，有义务确保设备和软件系统的安全，严格按照生产厂家相关指导说明要求，修改设备出厂默认登录密码、常规端口，并增加设备的访问列表，过滤非法IP，以防设备被外网恶意扫描、恶意攻击，被他人非法控制后进行恶意呼叫。而酷码公司的设备在安装调试时，只修改MX100G设备常规端口，没有按照设备指导说明要求，修改登录密码，增加设备的访问列表，致使MX100G设备被他人恶意攻击并非法控制外呼国际长途电话7698次，造成吉安联通重大损失。我国《合同法》第六十条第二款规定：“当事人应当遵循诚实信用原则，根据合同的性质、目的和交易习惯履行通知、协助、保密等义务。”其中的“通知、协助、保密等义务”，应当包括相应的安全注意义务。因此，酷码公司因违反合同附随义务，造成合同相对人损失，应承担赔偿责任；第三，如果酷码公司认为《合同法》第六十条规定的合同附随义务不够明确，那么作为有偿委托合同的受托人因自己的过错给委托人造成损失的，委托人也可以要求受托人赔偿损失。我国《合同法》第四百零六条规定：“有偿的委托合同，因受托人的过错给委托人造成损失的，委托人可以要求赔偿损失。无偿委托合同，因受托人的故意或者重大过失给委托人造成损失的，委托人可以要求赔偿损失。”酷码公司在安装调试MX100G设备时，未按照生产厂家的指导说明进行必要的安全设置。特别是酷码公司委托的安装调试人员，曾多次建议酷码公司要使用家用的ADSL拨号光纤，先经过猫、路由器，再到设备的安全使用方法后，酷码公司并未改变其直接连接公网IP的不安全做法，导致MX100G设备被外网恶意攻击、非法控制，明显存在过错，所以吉安联通有权要求酷码公司赔偿因此造成的损失；第四，在2018年5月29日22时16分08秒，有人利用酷码公司的外呼系统，使用1001的主叫号码拨打了一次120急救电话，时长17秒，也就是酷码公司的外呼系统可能存在被外网恶意攻击、非法外呼的情况发生下，吉安联通的员工提醒酷码公司的吉安办事处负责人查找原因，酷码公司只查找了A9软件系统无相关通话记录后，没有引起高度重视，继续查找整个系统是否存在漏洞，是否存在安全隐患，而是采取继续放任的态度，所以对几天后发生的非法外呼国际长话造成的损失，应承担主要赔偿责任；当然，作为公网IP和语音中继专线提供者的专业网络通信公司，吉安联通在明知酷码公司的系统可能存在非法外呼情况时，也没有引起高度重视，未与酷码公司一同检查酷码公司的MX100G设备和A9软件系统是否存在安全漏洞；同时酷码公司仅对吉安地区范围内的客户进行电话营销，本无需开通酷码公司吉安办事处的国内长途电话，合同虽然无约定，酷码公司没有反对且使用过国内长途电话，但如果吉安联通关闭了国内长途电话，也许可以阻止他人非法套拨国际长途电话。吉安联通因此对损失的发生也有过错。综上，酷码公司因违反法定的安全注意等合同附随义务，以及作为受托人存在过错，而给吉安联通造成重大损失，应当承担赔偿责任，但因吉安联通也存在一定的过错，故吉安联通对损失承担25%的次要责任，酷码公司承担75%的主要赔偿责任。酷码公司关于在本案中自己不存在任何过错和不当，不承担赔偿责任的抗辩意见，不成立。 关于焦点二，虽然产生异常高额国际结算费用后，吉安联通向吉安市公安局青原分局报案，该分局已对吉安联通被盗一事进行了立案侦查。公安机关通过侦查查明了因被盗打电话产生的异常高额国际长途结算费用，是通过（迅时）交换机设备（MX100G设备）、语音中继专线拨打出去的，广东酷码公司安装调试（迅时）交换机（MX100G设备）存在漏洞的事实，但因为案情复杂，技术难度高，侦破难度大，仅对吉安联通中继线被盗打一事立案，尚未对广东酷码公司进行任何刑事立案侦查，至今一年多时间无法侦破此案确定犯罪嫌疑人。即公安机关至今并没有查明可能承担本案刑事责任的主体，不符合《最高人民法院关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》中规定的应当将案件移送公安机关或检察机关的情形，本案应作为经济纠纷案件继续审理，如果今后公安机关查明了犯罪嫌疑人，酷码公司承担赔偿责任后，可以向犯罪嫌疑人追偿。故酷码公司关于本案的处理应先刑后民的抗辩意见，于法不符，不予采信。 综上所述，吉安联通要求酷码公司赔偿经济损失187923.74元（250564.98元×75%）的诉讼请求，予以支持，剩余损失62641.24元，由吉安联通自行承担；抵扣酷码公司交纳的保证金5000元后，酷码公司还应赔付182923.74元。依照《中华人民共和国合同法》第四十四条、第六十条、第三百九十六条、第三百九十七条、第四百零六条和《中华人民共和国民事诉讼法》第六十四条第一款规定，判决：酷码公司于本判决生效之日起五日内赔付吉安联通经济损失182923.74元。如果酷码公司未按本判决指定的期间履行给付金钱义务，应当依照《中华人民共和国民事诉讼法》第二百五十三条规定，加倍支付迟延履行期间的债务利息。案件受理费4990元，由吉安联通负担1000元，酷码公司负担3990元。 本院二审期间，当事人围绕上诉请求依法提交了证据。本院组织当事人进行了证据交换和质证。1.酷码公司申请证人**出庭作证，以证明A9系统系吉安联通安装，系统在发现有异常拨打120记录时，酷码公司进行了自查，尽到了相应的义务。吉安联通质证后认为，该证人证言属于新证据，**系酷码公司员工，与酷码公司存在利害关系，真实性不予认可。应以公安笔录为准，公安笔录中明确**了广州亚通公司应酷码公司要求安装了A9软件和MX100G设备。本院认为，**在公安机关调查期间已作笔录，应以公安机关调查情况为准，**一审未作为证人作证，其二审证言不属于新证据，且**作为酷码公司员工，与酷码公司利益存在关联，其证言的真实性也不予认可。2.酷码公司证人**出庭作证，以证明本案出现盗打国际长途的根本原因系联通公司没有按照工信部的要求设置主叫鉴权机制，没有做到相应的防范措施。吉安联通质证后认为，证人与本案不存在任何关联性，对其证言真实性、合法性、关联性均有异议，应以公安机关笔录内容为准。本院认为，亚通公司技术员**对A9软件及讯时交换机的使用及本案出现外呼国际长途电话现象已有**，本院对**证言的真实性不予认可。 二审查明的事实与一审一致，本院对一审查明的事实予以确认。 本院认为，本案二审争议的焦点为：对产生的国际长途结算费用损失250564.98元，酷码公司是否存在过错，应否承担主要赔偿责任？根据**在接受公安机关调查时的询问笔录，本案出现盗打国家长途系“直接侵入交换机，然后控制交换机直接拨打号码”，讯时交换机的使用是本案发生的一个根本介质，酷码公司作为讯时交换机的购买者和使用管理者，其对交换机的安全使用负有保障义务，案涉MX100G设备遭受黑客入侵，造成联通公司国际话费损失，酷码公司负有不可推卸的责任。另一方面，在交换机的安全设置方面，酷码公司作为交换机的购买者和管理使用者，在设备安装时未严格按照产品的相关安全指导，修改设备的出厂默认登陆密码，也未增加设备的访问列表，过滤非法IP。依照上海讯时公司新产品管理部经理**的询问笔录，如果密码没有按照要求修改，可能会被暴力破解，让外人获取设备的最高控制权限，整台设备都会被他人完全非法控制。如果没有过滤非法IP的话可能会出现其他非法IP通过该设备进行非法呼叫。并且在MX100G设备的安全使用方面，广州亚通公司技术员**多次建议酷码公司使用家用的相对来说比较安全的ADSL拨号的光纤，但酷码公司并未改变其直接连接公网IP的不安全做法。从MX100G设备的调试到使用，酷码公司对其安全设置均未作出任何防范，对专业人员的建议也未引起重视，最终导致MX100G设备遭到入侵，酷码公司对本案的发生存在重大过错，应承担主要责任。吉安联通与酷码公司之间系有偿委托合同关系，依照《中华人民共和国合同法》第四百零六条规定：“有偿的委托合同，因受托人的过错给委托人造成损失的，委托人可以要求赔偿损失。”故因酷码公司不当使用MX100G设备，给吉安联通造成案涉话费损失，吉安联通有权要求酷码公司赔偿。鉴于酷码公司系在吉安联通办公楼内受吉安联通委托开展电话营销工作，吉安联通作为专业的网络服务单位，应具备网络安全意识，在2018年5月29日发现A9软件存在异常外呼情况时，仅仅履行了其告知义务，并未进一步查找原因、排除隐患，存在一定的过错，应承担次要责任。酷码公司主***联通若能关闭国内长途电话功能，可以避免本案的发生，但酷码公司并未提供充分证据证明该主张成立。综上，酷码公司作为MX100G设备的购买者和管理使用者，未能充分保障设备的安全使用，对产品的安全性疏于防范，导致黑客直接入侵了该设备，并通过该设备实现盗打国际长途，造成本案损失，一审认定酷码公司承担75%的主要责任并无不当，吉安联通作为酷码公司的委托方及公网IP的提供者，对案涉损失承担25%的次要责任。酷码公司主***联通开通了国际长途，未提供证据证明，本院不予支持。 综上所述，酷码公司上诉请求不能成立，应予驳回；一审判决认定事实清楚，适用法律正确，应予维持。依照《中华人民共和国民事诉讼法》第一百七十条第一款第一项规定，判决如下： 驳回上诉，维持原判。 二审案件受理费4990元，由广东酷码信息科技有限公司负担。 本判决为终审判决。 审判长　　*** 审判员　　*** 审判员　　**长 二〇一九年十一月二十六日 书记员　　谭　洋