Antwerp Exchange Bank, con sede en Ohio, ha demandado ante un tribunal federal al proveedor de tecnología financiera Fiserv. El banco sostiene que la empresa hizo declaraciones engañosas sobre sus controles de seguridad para obtener acceso a datos de clientes. Es la décima demanda relacionada que tramita el abogado Charles Nerko desde 2018 y la primera interpuesta por un banco; las nueve anteriores correspondían a cooperativas de crédito. Las reclamaciones se centran en la protección de datos de cuentas, la autenticación multifactor y las posibles comisiones por poner fin a la relación con Fiserv. Ningún tribunal ha determinado si las medidas de ciberseguridad de la empresa son adecuadas.
Antwerp presentó la demanda el 8 de octubre ante un tribunal federal de Toledo, Ohio. El banco cuenta con 161 millones de dólares en activos. Fiserv presta servicios a unas 10.000 entidades financieras, por lo que el caso pone el foco en cómo se reparten las responsabilidades de autenticación y seguridad cuando bancos y cooperativas utilizan sistemas de procesamiento bancario de terceros.
Antwerp centra la demanda en secretos comerciales y declaraciones de seguridad
La demanda se apoya exclusivamente en la Ley federal de Defensa de Secretos Comerciales y en la legislación equivalente de Ohio. Antwerp afirma que las identidades de sus clientes y los registros de sus cuentas constituyen secretos comerciales, y acusa a Fiserv de obtener esa información mediante declaraciones falsas sobre sus controles de seguridad en contratos y documentación de cumplimiento. A diferencia de algunos casos anteriores, Antwerp no reclama por incumplimiento contractual ni fraude: limita su argumento jurídico a la apropiación indebida de secretos comerciales.
La denuncia identifica nueve sistemas de Fiserv utilizados por el banco y sostiene que algunos no disponen de autenticación multifactor. El sistema central Premier almacena información de las cuentas de los clientes. Según la demanda, los empleados acceden con nombre de usuario y contraseña y reciben «periódicamente» un código de un solo uso por correo electrónico. El sistema también permite obtener códigos a través de una aplicación de autenticación. La denuncia, que cita recomendaciones del Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), sostiene que los códigos por correo electrónico no cumplen los requisitos de un segundo factor de autenticación. No aclara, sin embargo, si el banco activó la opción de la aplicación. Nerko dijo que no comentaría la configuración de seguridad de clientes concretos.
La demanda afirma que, una vez dentro del sistema, los empleados pueden consultar números de cuenta, direcciones y números de la Seguridad Social de los clientes. No identifica ninguna filtración concreta ni pérdidas por fraude en Antwerp. Nerko señaló que los dos casos más recientes no requieren demostrar que ya se haya producido un incidente de seguridad. El banco también sostiene que abandonar Fiserv podría acarrear una comisión de rescisión de «siete cifras», sin precisar el importe. El consejero delegado de Antwerp, Jeff Mumma, afirmó que un banco no debería seguir debiendo comisiones por rescisión si el proveedor ha incumplido sus obligaciones.
Fiserv afirma que sus clientes eligen qué funciones activar
Fiserv aún no ha respondido formalmente a la demanda de Antwerp. En otros litigios relacionados, la compañía ha defendido que varios de sus sistemas ofrecen protecciones de acceso más robustas y que corresponde a cada cliente decidir si las activa. En un escrito del 5 de octubre, los abogados de Fiserv señalaron que los clientes determinan en última instancia su propio nivel de tolerancia al riesgo. Un portavoz sostuvo que la empresa ofrece herramientas de seguridad y autenticación adaptadas a distintas necesidades y preferencias, y que ni Antwerp ni Marshall Community Credit Union, de Michigan, han identificado un incidente concreto que afectara a clientes o datos. Fiserv considera que las acusaciones carecen de fundamento y ha dicho que las defenderá ante los tribunales.
En otro caso, presentado por Midwest Family Federal Credit Union, de Indiana, Fiserv afirmó que la cooperativa no había activado funciones de seguridad adicionales y había rechazado migrar a su producto de autenticación actualizado, SecureNow. La empresa sostiene que SecureNow incorpora autenticación multifactor a sus servicios de banca en línea Virtual Branch y de banca móvil Mobiliti, y que está sustituyendo al sistema anterior Enhanced Authentication. También indicó que SecureNow tiene un coste adicional. Algunos demandantes consideran poco razonable que se exija a los clientes cambiar a un producto de pago durante la vigencia del contrato.
Los documentos judiciales muestran además que las funciones de seguridad varían entre los sistemas de Fiserv. En una declaración de 2025, un ejecutivo de la compañía afirmó que el sistema central Portico incorporó verificación multifactor para el alta en la banca en línea en abril, y que los códigos de aplicaciones de autenticación estuvieron disponibles desde junio. Otro sistema central para cooperativas de crédito, CUSA, no admitía ese tipo de verificación en ese momento. Los documentos presentados hasta ahora no indican cuándo se añadió la opción de la aplicación de autenticación a Premier, el sistema que utiliza Antwerp.
Los tribunales deniegan dos medidas urgentes, pero los casos siguen abiertos
Dos solicitudes urgentes sobre las que ya se han pronunciado jueces fueron denegadas. Ninguna de las decisiones resolvió si los controles de seguridad de Fiserv eran suficientes. En junio de 2025, un juez federal de Connecticut rechazó la petición de Cencap Federal Credit Union para impedir que Fiserv almacenara su información en sistemas conectados a internet sin autenticación multifactor. Entre otros factores, el juez señaló que la cooperativa había esperado varios años antes de demandar. En enero de 2025, un juez federal de Carolina del Norte también denegó la solicitud de Self-Help Credit Union para cortar el acceso a internet al portal de soporte Client360 de Fiserv y exigir un plan de salida.
Más adelante, Self-Help tuvo que pagar los honorarios legales correspondientes de Fiserv, después de que el tribunal concluyera que había eludido preguntas durante la fase de obtención de pruebas. El juez también determinó que la cooperativa había tenido la oportunidad, varios años antes, de utilizar los códigos de la aplicación de autenticación de Portico. Self-Help retiró al día siguiente su solicitud de medidas cautelares preliminares. Nerko dijo que la cooperativa aceptó una propuesta que Fiserv ya había planteado, según la cual podría marcharse más adelante ese año sin pagar por adelantado una comisión de rescisión. Sigue pendiente la solicitud urgente de FiCare Federal Credit Union para impedir que Fiserv libere automáticamente, a través de su centro de llamadas, retenciones de tarjetas vinculadas a posibles fraudes.
El resultado de los demás litigios ha sido dispar. En junio, un juez federal de California rechazó desestimar la demanda de Polam Federal Credit Union y consideró que los asuntos debían abordarse una vez completada la fase de obtención de pruebas. La demanda de Bessemer System Federal Credit Union, de Pensilvania, siguió adelante antes de que ambas partes acordaran retirarla en 2024. Otras dos cooperativas de crédito de Nueva York llegaron a un acuerdo en 2023, mientras que el caso de Cencap se desestimó en abril después de que las partes comunicaran que habían alcanzado un acuerdo. Los otros siete casos gestionados por Nerko siguen sin resolverse, y Fiserv no ha obtenido una resolución judicial que desestime directamente todas las reclamaciones en ninguno de los diez procesos.