臺灣高等法院民事判決113年度重上字第601號上 訴 人 英特拉金融科技股份有限公司法定代理人 王鏗又訴訟代理人 蔡茂松律師被上訴人 宏庭科技股份有限公司法定代理人 林秀穎訴訟代理人 賴昱豪
賴文智律師蕭家捷律師上列當事人間請求給付價金等事件，上訴人對於中華民國113年5月31日臺灣臺北地方法院111年度重訴字第1084號判決提起上訴，經本院於114年3月25日言詞辯論終結，判決如下：
主 文上訴駁回。
第二審訴訟費用由上訴人負擔。
原判決所命給付，於被上訴人以新臺幣肆佰柒拾萬元供擔保後，得假執行；但上訴人如以新臺幣壹仟肆佰壹拾伍萬肆仟陸佰肆拾玖元預供擔保，得免為假執行。
事實及理由
一、被上訴人之法定代理人原為曾詩淵，嗣於訴訟繫屬中變更為林秀穎，有經濟部商工登記公示資料在卷可稽，並據其具狀聲明承受訴訟(本院卷第61頁)，核無不合，應予准許。
二、被上訴人主張：上訴人於民國108年12月4日與伊簽訂「Goog
le Cloud Platform雲端服務合作協議書」(下稱系爭契約)，雙方合作期間自同年月23日起至翌年12月23日止，由上訴人向伊申請租用Google Cloud Platform雲端服務（下稱GCP服務），伊則依上訴人實際使用雲端提供商Google公司所訂之價格收取服務費用另加計5%營業稅，且開立發票予上訴人，上訴人應於伊開立發票30日內給付服務費。詎伊於111年8月26日就上訴人7月間使用GCP服務所生新臺幣（除美金另為標示外，下同）1,415萬4,649元費用（下稱系爭服務費），業開立發票請款，而上訴人應於同年9月26日前給付全額，屆期竟遲未支付費用，自應負給付之責等情。爰依系爭契約第2 條第1款至第6款約定，求為命上訴人如數給付系爭服務費及自111年9月27日起至清償日止，按週年利率5%計算利息之判決（未繫屬本院者，不予贅述）。原審為上訴人上開部分敗訴判決，上訴人不服提起上訴，被上訴人答辯聲明：㈠上訴駁回。㈡願供擔保請准宣告假執行。
三、上訴人則以：系爭契約第2條第3 款約定，GCP服務費用收取項目及收費標準，將依據伊透過被上訴人GCP服務，實際所使用之GCP服務，按雲端提供商訂立之價格收取。因此，在伊實際使用之費用有疑義時，應參照消費者保護法（下稱消保法）第11條第2項規定，為有利於消費者之解釋，以伊實際使用量計算費用。被上訴人僅以Google公司所設GCP提供之報表計算伊111年7月間費用，未考慮扣除伊在當月遭他人惡意破解帳號密碼，盜用GCP服務所生費用，應有未合。又被上訴人依約應建構安全GCP服務環境及協助客戶設置安全防護方案而未為之，致伊使用GCP服務遭他人入侵，依「利之所在，損之所歸」之法理，應由被上訴人承擔他人盜用所生服務費之損失等語，資為抗辯。上訴聲明：㈠原判決命上訴人給付部分，及該訴訟費用之裁判均廢棄。㈡上開廢棄部分，被上訴人在第一審之訴駁回。㈢如受不利判決，願供擔保請准宣告免假執行。
四、查，上訴人係依系爭契約第2條第1款至第3款、第6款第2目約定，就每月使用之GCP實際使用費，加計5％營業稅後，由被上訴人開立發票給上訴人，上訴人給付款項予被上訴人。
系爭契約附件「報價單QUOTATION」項次一「GCP Billing Service」之內容說明記載「GCP實際使用量將由Google Clou
d Platform所提供之報表為計費依據」。上訴人之GCP服務帳號於111年7月之使用費為美金45萬8208.93元，相當於1,443萬3,584元，遠高於上訴人於111年4月至6月、8月至10月之使用費，依序為25萬5,641元、29萬3,543元、30萬1,758元、30萬7,843元、32萬1,196元，有系爭契約及「報價單」附件、電子發票證明聯、電子郵件（附使用明細）可資佐據（臺灣臺北地方法院111年度司促字第15358號卷，下稱促字卷第14至24、26頁；原審卷一第253至254、255至256、261至262、267至268、273至274、279至280、285至286頁）。
兩造並不爭執（見本院卷第161頁），堪認為真實。
五、被上訴人主張上訴人應按111年7月份GCP報表，如數給付系爭服務費乙節，為上訴人否認，且以前詞置辯，經查：
（一）系爭服務費之請求
1、被上訴人依系爭契約附件「報價單QUOTATION」項次一「G
CP Billing Service」之內容說明記載「GCP實際使用量將由Google Cloud Platform所提供之報表為計費依據」。且上訴人於111年7月間之GCP服務帳號使用費為美金45萬8208.93元，相當於1,443萬3,584元，均如上述。依系爭契約第2條第2款約定：「乙方（即被上訴人）每月依據GCP實際使用費另加計5%營業稅開立發票予甲方（即上訴人）」。上訴人應給付服務費用額依約達1,515萬5,263元（00000000＋000000005%=00000000，元以下四捨五入），被上訴人主張其得向上訴人請求給付系爭服務費，並無不合。
2、上訴人雖以訴外人即其公司會計蔡素真於111年7月25日為核對被上訴人所開立同年6月發票金額，請其網路管理人員黃至誠開啟後台儀表板(dashboard) (下稱後台)查看6月份GCP計費，以供會計人員查核是否與發票金額相符，黃至誠開啟後台發現當日GCP用量有異常衝高情形，因不知用量異常增加發生原因，隨即連繫被上訴人協助處理。於同年月27日，經被上訴人所屬人員Albert Yen在通訊軟體之群組內協助黃至誠查明係駭客以不明方式破解上訴人Google雲端帳號，使用專案「allpay-pass」建立近千台虛擬主機(vm)，再透過該等虛擬主機盜用被上訴人提供之GCP服務，致GCP用量異常增加，黃至誠依Albert Yen引導始緊急刪除駭客建立之虛擬主機，上揭GCP服務使用量應不屬上訴人應計價之服務費內云云置辯。復以黃至誠與Albert Yen於通訊軟體之對話中，Albert Yen主動就大量虛擬主機之名稱，表示：「除了ci開頭還有temp開頭的機器，temp該也不是你們自己開的，對吧」，黃至誠亦回覆：
「恩 不是我們開的!確認!」；Google公司回報設立虛擬主機之使用者網際網路協定位址為IP（下稱使用者位址）
: 185.128.9.59 ，且查得該位址係在葡萄牙里斯本，惟上訴人在歐洲並無設立分公司，根本不可能在該國設立大量虛擬主機使用GCP服務；再者，被上訴人自行製作之時間軸亦自承上訴人係遭駭客入侵，盜用開啟1319臺，被上訴人緊急協助關閉，可見111年7月份GCP服務使用費異常暴增，係遭他人入侵盜用等情，提出對話紀錄、時間軸說明資料、Google公司回報郵件、內政部警政署刑事警察局112年8月22日函為據（見原審卷一第211、213、215、307、401頁；原審卷二第139頁）。惟查，證人即被上訴人經理亦為以Albert Yen名稱與上訴人接洽之人員顏志全證稱：同年7月27日時下午被告知上訴人端發生問題，經由上訴人授予權限後，其登入GCP後台，從日誌中發現有一個服務帳號在做大量虛擬機器啟用動作，由此產生很多的費用。印象中是上訴人公司的BEN及CS這兩個信箱啟用該服務帳號，當下看不出來BEN及CS這兩個信箱啟用服務帳號之動作係遭到第三人入侵所作之操作，其僅能就日誌給與之資訊瞭解BEN及CS有調整權限，但原因為何有很多可能，有可能是信箱早就被盜用，亦有可能是工作需求所為調整，甚至是第三方人員所為調整等語（見原審卷二第21頁）。足認顏志全未在當場確認設置大量虛擬主機行為與上訴人無涉。此由對話紀錄內顏志全僅以推測語氣逕稱虛擬主機不是上訴人所設，上訴人人員亦只是隨口附和，並未有何實質確認動作，亦足佐明。上訴人執該對話紀錄內顏志全推測語氣大量虛擬主機應不是上訴人所創設，即謂係駭客侵入致虛擬主機大量增加並使用GCP服務云云，自不足採。其次，雖上訴人持Google公司所提供使用者位址經警查明係位於葡萄牙里斯本，惟該等事實要僅證明使用者位址位於國外，就該國外之使用者即為駭客而與上訴人完全無涉乙節，仍未證明。另被上訴人否認時間軸說明資料由其製作，陳稱：該資料係兩造間尚有契約關係時，被上訴人為與上訴人進行會議討論，依上訴人之說法所製作之文件等語（見本院卷第94頁），上訴人並未更就被上訴人曾承認事發當時GCP服務流量暴增確係駭客入侵，始製作時間軸說明資料，舉證以明。其僅憑時間軸說明資料載有「宏庭確認客戶被駭客入侵，盜用開啟1319臺VM（即虛擬主機），緊急協助關閉」、「2022/7/23至2022/7/27被駭金額達44.9萬美元」等內容，即聲稱被上訴人承認流量暴增為駭客入侵云云，要非可取。
3、上訴人固又依系爭契約第2條第2款、第3 款之約定，因其為系爭契約之消費者，當其是否實際使用GCP服務有疑義時，應參照消保法第11條第2 項規定，為其有利之解釋。
其於111年3月間之GCP使用費僅23萬9,863元；4月為25萬5,641元、5月29萬3,543元；6月30萬1758元，8月30萬7,843元；9月32萬1,196元。而同年7月間GCP使用費暴增至1,443萬3,584元相差數十倍，就該有疑義部分，不應屬其給付範圍云云，執為抗辯理由，且提出發票證明聯6紙為證（見原審卷一第299至305頁）。惟按消保法之立法目的乃在於保護消費者權益，促進國民消費生活安全，提昇國民消費生活品質；所謂「消費者」，係指以消費為目的，而為交易、使用商品或接受服務者而言；消費者與企業經營者間就商品或服務所發生之法律關係，始稱之為「消費關係」（參照消保法第1條第1項、第2條第1款、第3款之規定）。故倘交易之目的主要供執行業務或投入生產使用，即非屬消費關係。本件上訴人為公司企業組織，且經營之營業項目多為資訊軟體服務業、資料處理服務業、第三方支付服務業等項目，有經濟部商工登記公示資料查詢服務附卷（見本院卷第259至261頁），足認上訴人租用GCP服務，係供其執行業務使用，上訴人執其與被上訴人間關於系爭契約之訂定，為消費關係，要求為其有利之解釋云云，應有誤會。並不可採。
4、上訴人再以被上訴人提供租用GCP服務業務，從中抽取服務費獲有金錢利益，更在其官網宣稱其專業團隊幫助企業免於資安威脅，提出許多防護方案，所提供客戶之服務內容，不僅是GCP服務，尚包含技術支援、監控服務及資安服務等項目。因此，被上訴人自應負有建構安全GCP服務環境及協助客戶設置安全防護方案之義務，然被上訴人怠於履行該義務，致伊使用GCP服務遭他人入侵，依「利之所在，損之所歸」之法理，被上訴人應承擔出租GCP服務遭他人盜用，所產生無法收取服務費之損失云云為辯，並提出被上訴人公司展示服務內容網頁、電子郵件及「報價單」附件為據（見原審卷二第65至79、85至86、87頁）。
然上訴人自陳：被上訴人於109年11月8日提供其GCP三種SupportPlan報價方式，其選擇其中「標準型」，標準型是最基本的服務方案等語（見原審卷二第56至57頁）。依系爭契約第2條第3 款約定：「GCP服務費用實收項目及收費標準，將依據甲方（即上訴人）透過乙方（即被上訴人）GCP服務，實際所使用之雲端提供商所訂立之價格收取，並依據附件雙方同意之報價單所載明之合作內容開立發票金額」；同條第5 款約定：「合作期間內，甲方需求異動時，依雙方合意之條件、項目、費用等，增補為附件，以利雙方調整及遵守」。可見被上訴人為上訴人之服務項目及費用計算，悉按「報價單」附件所載內容而定。又「報價單」附件所載被上訴人之服務項目（Microfusion Technical Support欄）僅有「每月帳務報表」、「成本優化」、「最佳化架構建議」、「產品新訊分享」、「GCP8*5在地化技術支援、電子郵件問題通報平台Help Des」，並無資安防護服務（見促字卷第24頁）。另證人即被上訴人經理黃懿亭證稱：因上訴人經被上訴人向Google公司購買GCP服務，僅願享有折扣之優惠，並未要求被上訴人提供服務，因此上訴人於開立GCP服務之專案時，必須同意僅屬IaaS（Infrastructure as a Service）等級，即google僅提供伺服器，使用之客戶在雲端上如何應用，由客戶自行選擇，Google公司無權干涉。諸如存取政策、營運、存取的認證、應用程式的安全性、網路安全性等，均為客戶之責任等語（見原審卷二第12至13頁）。亦有Google公司為GCP服務所訂責任分擔條款「Shared responsibiliti
es and shared fate on Google Cloud」，GCP使用者應就Content (使用內容)、Access policy (存取政策)、Us
age (使用)、Deployment (部署)、Web Application security (網路應用安全)、Identity (身分)、Operations(營運)、Access and authentication (存取與認證)、Network security(網路安全)、Guest OS.data,and content(訪客操作系統、資料及內容)之安全負責，可資佐據（見原審卷一第543至548頁；譯文見本院卷第169至176頁），益證因上訴人未向被上訴人購買資安維護服務，而須於使用Google公司之GCP服務時，自行維護安全。上訴人此部分所辯，要不足取。
5、上訴人復又以被上訴人就上訴人所使用之流量可隨時掌握及控管，應於費用異常暴漲時負有警告並予控管、追蹤之義務云云，並提出被上訴人官網資料載有「即時掌握用量、流量異常即刻控管」、「追蹤所有雲端用量及產生的費用」等廣告詞；GCP服務之3 種等級，不論是「標準級」、「專業級」、「企業級」，均提供監控服務之告警設定（GCP Stackdriver）為據（見本院卷第203、204、209頁）。惟「報價單」附件所載服務項目（Microfusion Technical Support欄）僅「每月帳務報表」、「成本優化」、「最佳化架構建議」、「產品新訊分享」、「GCP8*5在地化技術支援、電子郵件問題通報平台Help Des」等項，並無監控服務如上述，兩造間所約定被上訴人服務項目有無包含上述監控服務，已屬有疑。又證人黃懿亭證述：因為被上訴人並未提供雲端代管服務，不會主動幫上訴人觀測異常流量等語（見原審卷二第16頁）；證人顏志全證陳：上訴人起初並未授權被上訴人看後台之帳務資訊，係因發生流量問題，不知道發生何事，始通知被上訴人業務人員，業務人員再轉知其，上訴人嗣在GCP緊急會議授權予其，其始得進入系統看發生之原因為何。上訴人在GCP之操作介面最初授與其IAM權限，即專案擁有者的角色，但因可新增、刪除雲端資源，權限過大，其要求上訴人改授與其瀏覽者之權限，僅觀看上訴人之GCP資源等語（見原審卷二第20頁）。可見被上訴人並無隨時監控且警告上訴人流量異常之義務，復須上訴人之授權始得觀看後台之帳務資訊，上訴人是項答辯與系爭契約約定不合，自非可採。
6、上訴人另以其僅係單純使用GCP服務，對GCP之安全維護、監控並非專業，本件流量暴增，應不可歸責於其云云，執為上訴理由。惟證人顏志全就時間軸說明資料內上訴人於111年7月25日「表示因進行系統版本升級/測試環境，近期將產生較多用量」，證述：「版本升級若有啟動若干功能，例如自動擴展(猶如壓力測試，讓多數人同時存取虛擬主機，看系統是否不會當機)，在版本升級有可能將金鑰放置在公開環境如網路或雲端，或是金鑰在終端使用者處，但終端使用者電腦被侵入而被使用」，其並因此提供上訴人建議：「（你給上訴人的資安建議與上述版本升級可能漏洞有何關係？）我第一個建議是權限控管，要使用系爭雲端使用，若控管不嚴，將使無權限者進入系爭雲端內使用系爭服務。第二個是網路網段設定，此次我們發現上訴人系爭事故使用的網段已遍及整個GOOGLE預設網段，使得可開啟主機數量非常龐大，所以短時間使用量就非常大，這個網段預設是上訴人員工始能控制。上訴人使用GOOGLE預設的防火牆，會保留一些給網路常用的埠給初次使用者，有可能外人會因此侵入，但並不容易。第四點關於金鑰的問題，這次系爭事故也有發現上訴人有創造金鑰的紀錄，若終端使用者沒有把金鑰解除，有可能被重覆使用，甚至進入環境中，開啟創設主機的功能」（見本院卷第141至143頁）。且有記載：「1、IAM只提供必要權限給使用者即可，盡量避免給Owner/Editor。2、VPC要避免直接用default VPC，應依實際需求規劃網段和IP數量。3、防火牆只需要開必要的port，除非是對外服務，非必要不要直接開0.0.0.0/.0。4、App Engine service account等service account確定沒在使用應直接停用」等通訊軟體對話紀錄可資佐參（見原審卷一第371頁）。可見上訴人在版本升級當時在其帳戶內有創設虛擬主機必要，且可能未嚴管創建之金鑰，而遭他人使用之情形，並非毫無歸責可能。上訴人僅以其並非資安維護專業，即謂GCP服務流量暴增不可歸責於上訴人云云，尚非可採。
7、上訴人辯以證人黃懿亭、顏志全為被上訴人所屬人員，證詞偏頗，不可採信云云。惟按證人為不可代替之證據方法，倘確係在場聞見得證事實，縱令證人與當事人有親屬、親戚，或其他利害關係，其證言得否採用，應依事實審法院 之自由心證決之，如其證述並非虛偽，其證言尚非不可採信（最高法院109年度台上字第1012號判決意旨參照）。證人黃懿亭、顏志全之證詞均就其所見所聞為陳述，且均有其他客觀證據足可佐證，證詞尚無偏頗不實可言，上訴人否認證詞真正，自屬無據。
8、綜上，被上訴人得請求上訴人給付系爭服務費。
（二）可否減免系爭服務費之判斷上訴人辯稱：被上訴人曾於111年8月5日使用通訊軟體通知上訴人表示Google公司願幫上訴人免除暴增金額，被上訴人自不得再請求暴增部分之費用額云云，且提出被上訴人「今早收到幫您向原廠（即Google公司）申請Support Ticket部分，原廠回應能幫您Waive（中譯：免除）到異常暴增金額」之通訊軟體對話紀錄為證（見原審卷一第233頁）。惟按債務之免除，須由債權人向債務人表示免除其債務之意思始生效力（最高法院22年上字第3973號判例意旨參照）。系爭契約之當事人為兩造，系爭服務費為上訴人積欠被上訴人之債務，倘被上訴人有意免除上訴人之債務，自應由被上訴人向上訴人表示免除債務之意思。上開對話紀錄僅記載Google公司有免除債務之意思，並不能解為被上訴人已對上訴人為免除之意思表示，上訴人以此聲稱被上訴人已免除系爭服務費債務，不得向其請求云云，已不可取。況Google公司曾提議提供總金額50%之酌減，惟為上訴人親向Google公司拒絕，且被上訴人已於112年3月6日匯款予Google公司美金45萬8208.93元，有對話紀錄、月結單、匯款水單等件可證（見原審卷一第471、379、467頁），足見被上訴人倘單獨免除與上訴人間系爭服務費債務或達成和解，將獨自承受巨額損失，益證上訴人所述被上訴人在與Google公司接洽後，即得免除系爭服務費之情，與事理顯不相符。上訴人此部分辯詞，自屬無據。
六、綜上所述，被上訴人依系爭契約第2 條第1款至第6款約定，請求上訴人應給付系爭服務費及依同條第6款約定，自開立發票日111年8月26日（發票見促字卷第26頁）之30日後即同年9月27日起至清償日止，按週年利率5%計算之利息，為有理由，應予准許。原審為上訴人該部分敗訴之判決，並無不合。上訴論旨指摘原判決不當，求予廢棄改判，為無理由，應駁回上訴。又原判決所命給付，兩造陳明願供擔保，聲請宣告假執行及免為假執行，核無不合，爰分別酌定相當擔保金額宣告之。
七、本件事證已臻明確，兩造其餘之攻擊或防禦方法及所用之證據，經本院斟酌後，認為均不足以影響本判決之結果，爰不逐一論列，附此敘明。
八、據上論結，本件上訴為無理由，依民事訴訟法第449條第1項、第78條、第457條第1項、第463條、第392條第2項，判決如主文。
中 華 民 國 114 年 4 月 29 日
民事第六庭
審判長法 官 周美雲
法 官 汪曉君法 官 古振暉正本係照原本作成。
如不服本判決，應於收受送達後20日內向本院提出上訴書狀，其未表明上訴理由者，應於提出上訴後20日內向本院補提理由書狀（均須按他造當事人之人數附繕本），上訴時應提出委任律師或具有律師資格之人之委任狀；委任有律師資格者，另應附具律師資格證書及釋明委任人與受任人有民事訴訟法第466條之1第1項但書或第2項所定關係之釋明文書影本。如委任律師提起上訴者，應一併繳納上訴審裁判費。
中 華 民 國 114 年 4 月 29 日
書記官 廖逸柔