臺灣臺中地方法院民事判決
113年度簡上字第329號
上訴人鼎新數智股份有限公司（原名：鼎新電腦股份有限
公司）
法定代理人 葉子禎
訴訟代理人 王瑞彬
被上訴人三橋食品股份有限公司
法定代理人 陳曉峯
訴訟代理人 陳鼎謙
上列當事人間請求請求返還買賣價金事件，上訴人對於民國113年4月9日本院沙鹿簡易庭112年度沙簡字第637號第一審判決提起上訴，本院於民國114年5月23日言詞辯論終結，判決如下：
主 文
原判決命上訴人應給付被上訴人新臺幣2,815,454元，及自民國112年12月6日起至清償日止，按週年利率5％計算之利息，暨該部分訴訟費用及假執行宣告部分（即原判決主文第四至六項）廢棄。
上開廢棄部分，被上訴人在第一審之訴及假執行之聲請均駁回。
第一審反訴訴訟費用、第二審訴訟費用由被上訴人負擔。
事實及理由
一、被上訴人主張：
㈠於原審以：被上訴人基於公司電腦系統之資安防護需求，故曾於民國111年9月28日，向上訴人訂購Fortinet資安鐵三角方案及其維護服務、伺服器主機代理商硬體維護服務（下稱系爭產品），並簽訂訂購單，並約定由上訴人指派工程師為被上訴人進行系爭產品之建置安裝。然查被上訴人所購買之系爭產品經上訴人派遣之工程師至被上訴人公司安裝交付後，僅使用數日，被上訴人公司之電腦系統竟遭攻擊者散佈勒索軟體，並用之將被上訴人之電腦檔案加密並勒索被上訴人，致使被上訴人無法使用前開重要電腦檔案（下稱系爭事件），雖經與駭客歹徒交涉並交付金錢後，被上訴人公司之電腦始得以恢復正常運作。被上訴人因上訴人之過失造成各項損害，其中包含111年10月25日至同年月28日中午期間（共3.5天）無法運營之損失新臺幣（下同）1,463,906元、111年10月28日中午至同年11月4日，因恢復運營所需後續處理貨單及庫存貨品而增加人力支出之薪資、加班費共181,548元、商譽損失945,000元及被上訴人經與駭客歹徒交涉並交付美金7,100元（折合新臺幣係225,000元）等，是被上訴人得依民法第184條第1項前段、第227條第2項及第360條規定，請求上訴人賠償上開損害共計2,815,454元等語。
㈡於本院補陳：
⒈上訴人主張系爭事件即被上訴人電腦遭受攻擊與上訴人無涉，原判決認定事實應有違誤云云：
⑴惟被上訴人主張之事實，於原審已據提出損害計算表、上訴人工程師設定完工報告、被上訴人電腦伺服器紀錄、兩造就被上訴人公司電腦遭攻擊之談話內容錄音譯文及光碟、營業人銷售額與稅額申報書、各月額統計表、出勤紀錄、人員加班費報單、被上訴人與駭客歹徒議價暨交付金錢之電子郵件截圖、舊防火牆設定之電腦畫面截圖等為證。原審判決理由係認定被上訴人向上訴人購買資安鐵三角設備，其目的即在維護電腦資訊安全，然上訴人所交付之系爭產品，卻未達成此目的，可認上訴人所交付之物具有瑕疵，此瑕疵缺少出賣人所保證之品質，則被上訴人向上訴人請求不履行之損害賠償應有理由。
⑵又上訴人所提供之買賣標的物，就建置安裝過程是否確有設定缺失存在乙情，上訴人應顯較一般人更具專業知識，而據被上訴人於原審所提出之兩造就被上訴人公司電腦遭攻擊之談話内容錄音譯文及光碟内容所示，上訴人出席人員就被上訴人公司電腦遭攻擊之原因，確有表示此與上訴人之人員設定間應有關係，且觀原審被證7錄音檔05：46-06：58，上訴人出席人員已明確陳明：「沒錯，這段我們工程師狀況似乎很大了，因為其實他們在設定前就應該跟你確認說（ODBC）這個Policy這個真的要設定，我覺得這段是我們工程師欠缺思慮的地方，的確我們在，應該說過往部分我們派工給工程師時，我們是信任他基本的專業能力，那這次案件的確工程師也是老工程師了，老實講他有這段的疏忽，我們責無旁貸，因為的確就我們在施工前，就是對他自主我們重複再check的動作，我們沒有落實的check」等語、錄音檔10：50-11：25，上訴人出席人員復陳述：「你們這邊那個，老實說這個疏失的確真的很嚴重，我這個不得不承認，這個是應該說，我也難辭其咎，老實講，在派案的狀況下，因為我們的案況，的確是有時候案件多的時候，我沒有辦法去一一的控管案件」等語，是上訴人之上訴理由主張系爭事件與上訴人無涉云云，顯非可採。
⑶據上，上訴意旨係針對原審取捨證據、認定事實之職權行使指摘其為不當，未具體表明合於不適用法規或適用法規不當之情形，顯難認對該判決之如何違背法令已有具體之指摘。
⒉上訴人雖另主張被上訴人公司電腦持續有木馬狀況等情形，未善盡確認自身環境是否符合資通安全之義務，致其電腦遭受攻擊，與有過失云云。然被上訴人向上訴人購買資安鐵三角設備，其目的即在維護電腦資訊安全，然上訴人所交付之系爭產品，卻未達成此目的，可認上訴人所交付之物具有瑕瑕疵，業經原審判決所認定，是縱被上訴人公司電腦持續有木馬狀況等情形，實難謂被上訴人有何與有過失可言，是以上訴人前開所主張，顯無可採。
⒊上訴人復主張如認上訴人應付賠償責任，原審所認定賠償項目之賠償金額亦屬過高；對系爭事件發生事實之認定，聲請送鑑定云云。
⑴惟上訴人於原審未曾爭執被上訴人所主張賠償項目之賠償金額過高，且被上訴人各項損害之列表、營業人銷售額與稅額申報書、各月銷售額統計表、出勤紀錄、人員加班費報單、被上訴人與駭客歹徒議價暨交付金錢之電子郵件截圖等，業據被上訴人於第一審審理中即已提出，上訴人迄至第二審始以原審所認定賠償金額過高為爭執，顯非就第一審提出之攻擊防禦方法為補充，上訴人復未釋明有何其他民事訴訟法第447條第1項但書各款事由情形，及不能於第一審提出之正當理由，其逾時提出此新攻擊防禦方法，有礙訴訟之終結，違反適時提出攻防方法之義務，請求鈞院駁回不予審究之。
⑵另上訴人於第二審始聲請對系爭事件發生事實之認定為鑑定，惟被上訴人於第一審時即已主張系爭事件乃係上訴人所指派之工程師於進行系爭產品建置安裝之過程，因其過失，而造成被上訴人公司電腦發生遭勒索軟體加密其檔案暨發生損害等情，上訴人遲於第二審審理時始主張應就系爭事件生事實之認定，且未釋明其遲誤之事由，故非可採，請求鈞院予以駁回等語。
三、上訴人則以：
㈠於原審以：
⒈被上訴人雖以系爭事件係因上訴人於建置安裝工程疏失致系爭事件，請求損害賠償，顯有誤會，被上訴人未舉證以實其說，混淆被證1與被證2內容，欲使鈞院誤信系爭事件主因係為前述建置導致，要無可採。上訴人於資安鐵三角建置安裝過程，與系爭事件無相當因果關係。
⒉針對被上訴人提出系爭錄音檔之意見如下：
⑴系爭錄音檔係兩造於112年11月4日舉行會議對系爭事件發生原因與後續處理，非上訴人自承系爭事件與上訴人有關。
⑵錄音檔譯文所稱上訴人人員非經理 林伯豐 ，應為上訴人工程師 林穎厚 。今被上訴人未徵得上訴人同意，私自以不法手段紀錄並擷取兩造會議片段，辯稱上訴人自承疏失云云，後仍未提出兩造於同年11月4日完整之會議對話內容，首段即以上訴人工程師突兀致歉，該人員更非林伯豐（實則林伯豐當日不在現場），前言不搭後語，系爭錄音檔之證據能力顯有瑕疵。
⑶縱認系爭錄音檔有證據能力，然觀諸上開譯文內容，系爭錄音檔尚在就系爭事件做問題釐清，上訴人工程師所述：「其實他們在設定前就應該跟你確認說OTOT（OTBC）這個Policy這個真的要設定」、「就是對他自主我們重複再check的動作，我們沒有落實的check」云云，上訴人認有與被上訴人舊防火牆設定不同，至上訴人工程師表明「我來的時候才知道說原來事情是這樣」、「然後我目前還不太確定，要等我們回去之後討論」等語，被上訴人遂約定同年11月8日由上訴人進行系爭事件完整報告，顯然並無被上訴人所述「上訴人亦當場自承上開情事乃係上訴人所指派之工程師...因疏失所不慎造成」之情形，自難憑前開語焉不詳之對話內容，率認系爭事件與上訴人有關。
⒊被上訴人已於111年10月15日完成貨物驗收，此有被上訴人簽有之技術服務明細表可稽，明細表所列「fortifw81f(防火牆)installok」、「sw224e(交換器)Ⅹ3installok」等，應可認被上訴人巳同意貨物無瑕疵。次查，上訴人交付資安鐵三角，與舊防火牆設定不同者，尚不影響貨物欠缺依其正常方式使用時，通常應有之效用，又被上訴人現仍持續使用資安鐵三角，實難遽認貨物有瑕疵。縱被上訴人認貨物經驗收後，有不能即知之瑕疵，按不能即知之瑕疵，至日後發見者，應即通知出賣人，怠於為通知者，視為承認其所受領之物。被上訴人未舉證貨物瑕疵之通知，自難逕認被上訴人因不能即知之瑕疵，有通知上訴人瑕疵補正之情形。綜上可知，系爭事件與上訴人無相當因果關係。
㈡於本院補陳：
⒈系爭事件與上訴人無涉，原判決認定事實應有違誤：
⑴原審依錄音譯文，認設定與舊防火牆不同即導致被上訴人電腦遭受攻擊之原因有關係，可歸責於被上訴人，負不完全給付責任。惟就系爭事件發生主因兩造尚未有定論，觀諸錄音譯文，上訴人員工表示：「那我們這邊就是會看說整個設定的細節有哪些疏失攻擊的狀況發生」及在檢測中毒的伺服器主機時，並未有發現係因防火將設定致系爭事件乙情。
⑵又被上訴人以Ｗindows事件檢視器紀錄被告自10月22日至10月25日間計24頁曾有以不同使用者名稱登入並失敗之內容，主張電腦遭受攻擊，但不同使用者名稱嘗試登入之情形，尚無法證明與上訴人或與上訴人設定與舊防火牆不同有關。
⑶再者，被上訴人雖向上訴人購買資安鐵三角設備，然上訴人並不因此負有保證資安鐵三角設備即不會被勒索病毒攻擊，勒索病毒攻擊原因甚多，無從憑以推斷設定與舊防火牆不同與系爭事件有相當因果關係（被上訴人所提證據均無法證明：設定不同，一定會導致勒索病毒攻擊）。
⑷承上所述，上訴人就建置安裝過程，確有設定缺失，然此缺失並無礙於資安鐵三角設備之預定效用，難謂有何瑕疵（實則，上訴人迄今仍持續使用資安鐵三角設備），是原判認定事實顯有違誤。
⒉退萬步言，如認上訴人應負損害賠償責任，其賠償金額亦屬過高：
⑴依訂購單第4條規定：「…安裝完成後客戶應負有產品保管之責。惟被上訴人電腦持續有木馬狀況等情形，且未善盡確認自身環境是否符合資通安全之義務，致其電腦遭受攻擊，與有過失。又自系事事件發生以來，經被上訴人要求，上訴人即派員積極協助被上訴人處理，期間亦投入人力資源，倘買方遭受勒索病毒攻擊即令賣方支付買賣金額13倍有餘以為賠償，顯失公平。
⑵原審就被上訴人所提列之各項損害，未做核實，例如商譽部分何以為945,000元，其計算基礎與標准為何？原審單以被上訴人所提書狀資料，即據以認定上訴人應負擔全部損害賠償，實誠難以讓人信服。是以，上訴人爰依民法第252條，請求鈞院依職權酌減等語。
四、原審對於被上訴人之請求，為勝訴之判決，上訴人不服，提起上訴，並上訴聲明：㈠原判決不利上訴人部分廢棄。㈡前開廢棄部分，被上訴人在第一審之訴與假執行聲請均駁回。㈢願供擔保，請准宣告假執行。被上訴人則聲明：上訴駁回。
五、得心證之理由
㈠被上訴人主張其向上訴人訂購系爭產品，並由上訴人指派工程師為被上訴人建置安裝，嗣後被上訴人公司之電腦因系爭事件而無法使用3.5日等情，為兩造所不爭執，堪信為真。
㈡按相當因果關係乃由「條件關係」及「相當性」所構成，必先肯定「條件關係」後，再判斷該條件之「相當性」，始得謂有相當因果關係，該「相當性」之審認，必以行為人之行為所造成之客觀存在事實，為觀察之基礎，並就此客觀存在事實，依吾人智識經驗判斷，通常均有發生同樣損害結果之可能者，始足稱之；若侵權之行為與損害之發生間，僅止於「條件關係」或「事實上因果關係」，而不具「相當性」者，仍難謂該行為有「責任成立之相當因果關係」，或為被害人所生損害之共同原因（最高法院101年度台上字第443號判決意旨參照）。本件被上訴人本件主張因上訴人交付之系爭產品有瑕疵，致其受有無法營運期間之損失1,463,906元、恢復營運而增加支出之薪資、加班費181,548元、商譽損失945,000元及與駭客交涉給付之美金7,100元等損害，且係因過失侵害被上訴人權利，係因上訴人之加害給付所致，自應檢視被上訴人主張之上開損害與上訴人之給付行為有無相當因果關係。
㈢經查，被上訴人於原審提出其與上訴人人員之錄音譯文（見原審卷第231-249頁），可見上訴人公司人員稱：「這段我們工程師狀況似乎就很大了，因為其實他們在設定前就應該跟你確認說OTOT(ODBC)這個policy這個真的要設定，我覺得這段是我們工程師欠缺思慮的地方，過往我們派工給工程師時，是信任他基本的專業能力，那這次案件的確工程師也是老工程師了，老實講他有這段的疏忽，我們責無旁貸，因為的確就我們在施工前，就是對他自主我們重複再check的動作，我們沒有落實check，這個案件之後，我們希望協理、總經理可以再信任我們一次，我們會依照你們的設定，設定好了之後，我們再做一個更嚴謹的log確認，是否說這樣換上去之後，這個攻擊現象還有沒有再發生？」等語，固然足認上訴人公司人員於設定系爭產品時有錯誤，後續被上訴人公司系統則遭駭客以勒索病毒攻擊，被上訴人因而給付7,100美元予使用勒索病毒之人，此為上訴人所不爭執（見本審卷第185頁），然縱使上訴人就被上訴人購買之系爭產品設定上有欠缺，使用勒索病毒之人係故意攻擊被上訴人公司之系統，已介入第三人之故意行為，自難認通常情形下，會產生遭他人使用勒索病毒攻擊之結果，尚難認定此結果與上訴人所為給付或過失行為間有相當因果關係，被上訴人請求依民法第184條第1項前段、第227條第2項、第360條規定，請求上訴人負損害賠償責任，並無理由，應予駁回。
六、綜上所述，被上訴人依民法第184條第1項前段、第227條第2項、第360條規定，請求上訴人給付2,815,454元及遲延利息，為無理由，應予駁回。原判決為被上訴人勝訴之判決，即有未洽。上訴意旨指摘原判決不當，求予廢棄改判，為有理由，爰由本院廢棄改判如主文第2項所示。
七、本件事證已臻明確，兩造其餘主張及舉證，核與判決結果無影響，爰不逐一論斷，附此敘明。
八、據上論結，本件上訴為有理由，依民事訴訟法第436之1條第3項、第450條、第78條，判決如主文。
中 華 民 國 114 年 6 月 27 日
民事第五庭 審判長法 官 陳文爵
法 官 潘怡學
法 官 陳昱翔
上正本證明與原本無異。
如不服本判決，僅得以適用法規顯有錯誤為理由，於本判決正本送達後20日內，向本院提出第三審上訴狀（須按他造當事人人數附繕本及繳納第三審裁判費），同時表明上訴理由，經本院許可後始可上訴第三審；前項許可以所涉及之法律見解具有原則上之重要性者為限。
上訴時應提出委任律師或具有律師資格之人之委任狀；委任有律師資格者，另應附具律師資格證書及釋明委任人與受任人有民事訴訟法第466條之1第1項但書或第2項所定關係之釋明文書影本。
中 華 民 國 114 年 6 月 27 日
書記官 許瑞萍