网络钓鱼与网络欺诈：欺诈罪、数字证据与银行责任的法律指南

1. 系统性框架：数字犯罪时代财产刑法的演变

数字革命的冲击在传统财产刑法的结构中造成了深刻的裂痕。欺诈行为的演变——特别是网络钓鱼现象——是犯罪非物质化的典型范例。

欺诈罪（刑法第640条）在历史上基于人际欺骗，而现代技术攻击则具体表现为创建“模拟数字环境”。这种演变要求区分：

• 欺诈罪（刑法第640条）：惩罚诱使他人陷入错误并使其意志产生瑕疵的行为。
• 网络欺诈罪（刑法第640条之三）：惩罚改变系统功能或非法干预数据和程序的行为。

2. 网络钓鱼剖析：欺诈罪与网络欺诈罪的结构性区别

辩论的核心在于确定攻击的对象：是受害者的心理还是算法？

2.1. “传统”网络钓鱼中刑法第640条欺诈罪的持续适用性

在传统的网络钓鱼中，黑客通过欺骗技术操纵受害者对现实的感知。违法行为的本质仍然是心理层面的：是用户被欺骗后自愿输入自己的凭证。意大利最高法院已裁定，如果损害事件源于被诱导陷入错误的受害人的有意识行为，则该案情构成欺诈罪。

2.2. 刑法第640条之三的网络欺诈罪：非人为中介

刑法第640条之三惩罚对数据或系统进行干预以获取不法利益的行为。在此，欺骗是直接针对“机器”的。资金转移在没有受害者（即使是存在瑕疵的）配合的情况下发生，通常通过恶意软件或中间浏览器攻击实现。

根据最高法院联合庭（第41210/2017号判决）的观点，区分关键在于意志的作用：如果资金转移是绕过人类行为的网络入侵的直接后果，则构成网络欺诈罪。

2.3. “灰色地带”：混合模式与数罪并罚

经常会出现连锁攻击（例如语音钓鱼结合SIM卡交换攻击）。在这些情况下，常常会与以下罪行构成想象竞合犯（刑法第81条）：

• 身份冒充罪（刑法第494条）
• 非法访问信息系统罪（刑法第615条之三）
• 非法持有访问代码罪（刑法第615条之四）

3. 证据难题：数字证据

认定网络欺诈需要数字取证方面的专业知识。

3.1. 行为人识别与钱骡

匿名性通过VPN、TOR和使用钱骡（提供账户以分散资金追踪的个人）来保证。调查基于对互联网服务提供商（ISP）提供的日志文件和网络流量数据的分析。

3.2. 证据的易失性与ISO/IEC 27037标准

数字证据是脆弱的。为保证其完整性，取证必须遵循精确的标准：

1. 执行法证副本（位流镜像）。
2. 计算哈希值（算法数字指纹）。

缺少这些程序可能导致证据无法使用。

3.3. 属地管辖权：损害发生地

意大利最高法院（第17325/2020号判决）已明确，管辖权确立于财产减损发生地（locus damni），该地通常与受害人银行账户所在的分行一致。

4. 民法：银行中介的责任

追回款项的斗争转移到了银行身上。

4.1. 善良银行家的审慎义务

银行作为专业经营者，有义务履行专业技术审慎义务（民法典第1176条第2款）。在发生未经授权的交易时，银行有责任提供免责证据（不可抗力或客户的重大过失）。

4.2. PSD2带来的革命

第218/2017号法令（PSD2）引入了：

• 强客户认证（SCA）：基于两个或多个因素（所知、所有、所是）的认证。
• 举证责任倒置：银行必须立即赔偿客户，除非能证明客户存在欺诈或重大过失。

4.3. “重大过失”的限制

“重大过失”的概念被严格解释。如果欺骗手段特别高明，陷入短信欺骗或来电显示欺骗不构成重大过失。然而，如果客户忽视明确的安全警告或疏于保管密码，则可认定为重大过失。

4.4. 银行金融仲裁员（ABF）

银行金融仲裁员（ABF）是追回款项的主要工具。尽管其决定不是判决，但为避免声誉损害，银行的遵守率极高。

5. 未来展望

生成式人工智能和语音深度伪造的使用将使网络钓鱼变得越来越阴险。防御将转向技术规范，如DORA法规和未来的PSD3，旨在加强网络弹性并防范身份冒充欺诈。