ओहायो के Antwerp Exchange Bank ने वित्तीय प्रौद्योगिकी कंपनी Fiserv के खिलाफ संघीय अदालत में मुकदमा दायर किया है। बैंक का आरोप है कि Fiserv ने अपने सुरक्षा उपायों के बारे में भ्रामक बयान देकर बैंक के ग्राहकों के डेटा तक पहुंच हासिल की। 2018 से वकील Charles Nerko द्वारा संभाला गया यह इस तरह का दसवां मुकदमा है और किसी बैंक की ओर से दायर पहला मामला; इससे पहले के नौ मुकदमे क्रेडिट यूनियनों ने किए थे। विवाद में ग्राहक खातों के डेटा की सुरक्षा, बहु-कारक प्रमाणीकरण और Fiserv से संबंध समाप्त करने पर लग सकने वाली फीस शामिल हैं। किसी अदालत ने अब तक यह तय नहीं किया है कि Fiserv के साइबर सुरक्षा उपाय पर्याप्त हैं या नहीं।
Antwerp ने 8 अक्टूबर को ओहायो के टोलेडो स्थित संघीय अदालत में शिकायत दर्ज की। बैंक की परिसंपत्तियां 161 मिलियन डॉलर हैं। Fiserv करीब 10,000 वित्तीय संस्थानों को सेवाएं देता है। इसलिए यह विवाद इस सवाल से भी जुड़ा है कि जब बैंक और क्रेडिट यूनियन तृतीय-पक्ष कोर-प्रोसेसिंग सिस्टम पर निर्भर हों, तो प्रमाणीकरण और सुरक्षा सुविधाओं की जिम्मेदारी किसकी होती है।
Antwerp का मामला व्यापार रहस्यों और सुरक्षा दावों पर केंद्रित
Antwerp का मुकदमा केवल संघीय Defend Trade Secrets Act और उससे जुड़े ओहायो कानून पर आधारित है। बैंक का कहना है कि ग्राहकों की पहचान और खाते के रिकॉर्ड व्यापार रहस्य हैं। आरोप है कि Fiserv ने अपने अनुबंधों और अनुपालन दस्तावेजों में सुरक्षा उपायों के बारे में गलत जानकारी देकर यह डेटा हासिल किया। पहले के कुछ मामलों से अलग, Antwerp ने अनुबंध उल्लंघन या धोखाधड़ी के दावे नहीं किए हैं; उसकी कानूनी दलील व्यापार रहस्यों के अनुचित इस्तेमाल तक सीमित है।
शिकायत में Fiserv के उन नौ सिस्टमों का उल्लेख है जिनका बैंक इस्तेमाल करता है। आरोप है कि इनमें से कुछ में बहु-कारक प्रमाणीकरण नहीं है। Premier कोर सिस्टम ग्राहकों के खाते की जानकारी रखता है। शिकायत के अनुसार, बैंक कर्मचारी यूजरनेम और पासवर्ड से लॉग इन करते हैं और उन्हें “समय-समय पर” ईमेल से एक बार इस्तेमाल होने वाला कोड मिलता है। सिस्टम में ऑथेंटिकेटर ऐप के जरिए कोड पाने का विकल्प भी है। शिकायत में National Institute of Standards and Technology के दिशानिर्देशों का हवाला देते हुए कहा गया है कि ईमेल कोड दूसरे प्रमाणीकरण कारक की शर्तें पूरी नहीं करते। हालांकि, इसमें यह नहीं बताया गया कि बैंक ने ऑथेंटिकेटर ऐप का विकल्प चालू किया था या नहीं। Nerko ने कहा कि वह अलग-अलग ग्राहकों की सुरक्षा सेटिंग पर टिप्पणी नहीं करेंगे।
शिकायत के मुताबिक, लॉग इन करने के बाद कर्मचारी ग्राहकों के खाता नंबर, पते और Social Security नंबर देख सकते हैं। हालांकि, बैंक में किसी खास डेटा उल्लंघन या धोखाधड़ी से हुए नुकसान का उल्लेख नहीं है। Nerko ने कहा कि हाल के दो मामलों में यह साबित करना जरूरी नहीं है कि सुरक्षा घटना पहले ही हो चुकी है। Antwerp का यह भी आरोप है कि Fiserv की सेवा छोड़ने पर “सात अंकों” में समाप्ति शुल्क लग सकता है, लेकिन उसने कोई निश्चित रकम नहीं बताई। बैंक के CEO Jeff Mumma ने कहा कि अगर सेवा प्रदाता अपने दायित्व पूरे नहीं करता, तो बैंक पर संबंध समाप्त करने से जुड़ी फीस बकाया नहीं रहनी चाहिए।
Fiserv का कहना है कि ग्राहक सुरक्षा सुविधाएं चुन सकते हैं
Antwerp के मुकदमे में Fiserv ने अभी जवाब दाखिल नहीं किया है। हालांकि, इससे जुड़े दूसरे मुकदमों में कंपनी का लगातार तर्क रहा है कि उसके कई सिस्टम बेहतर लॉगिन सुरक्षा देते हैं और ग्राहक तय करते हैं कि इन सुविधाओं को चालू करना है या नहीं। 5 अक्टूबर की एक अदालती अर्जी में Fiserv के वकीलों ने कहा कि ग्राहक अंततः अपने जोखिम सहने की सीमा खुद तय करते हैं।
कंपनी के प्रवक्ता ने कहा कि Fiserv अलग-अलग ग्राहकों की जरूरतों और पसंद के अनुरूप सुरक्षा और प्रमाणीकरण उपकरण देता है। उनका कहना था कि न तो Antwerp और न ही मिशिगन की Marshall Community Credit Union ने ग्राहकों या डेटा को प्रभावित करने वाली किसी विशिष्ट सुरक्षा घटना की पहचान की है। Fiserv ने दावों को आधारहीन बताया और कहा कि वह अदालत में अपना बचाव करेगा।
इंडियाना की Midwest Family Federal Credit Union के मुकदमे में Fiserv ने कहा कि क्रेडिट यूनियन ने अतिरिक्त सुरक्षा सुविधाएं चालू नहीं की थीं और उसके उन्नत प्रमाणीकरण उत्पाद SecureNow पर जाने से इनकार किया था। कंपनी के अनुसार, SecureNow उसके Virtual Branch ऑनलाइन बैंकिंग और Mobiliti मोबाइल बैंकिंग उत्पादों में बहु-कारक प्रमाणीकरण जोड़ता है और पुराने Enhanced Authentication सिस्टम की जगह ले रहा है। Fiserv ने यह भी कहा कि SecureNow के लिए अतिरिक्त शुल्क लगता है। कुछ वादी पक्षों का तर्क है कि अनुबंध की अवधि के बीच ग्राहकों को सशुल्क उत्पाद पर जाने के लिए कहना अनुचित है।
अदालती दस्तावेजों से यह भी पता चलता है कि Fiserv के अलग-अलग सिस्टमों की सुरक्षा क्षमताएं एक जैसी नहीं हैं। कंपनी के एक कार्यकारी ने 2025 के घोषणापत्र में कहा कि Portico कोर सिस्टम में ऑनलाइन बैंकिंग के लिए नामांकन के दौरान बहु-कारक सत्यापन अप्रैल में जोड़ा गया था, जबकि ऑथेंटिकेटर ऐप कोड जून में उपलब्ध हुए। Fiserv का एक अन्य क्रेडिट यूनियन कोर सिस्टम, CUSA, उस समय इस तरह के सत्यापन का समर्थन नहीं करता था। उपलब्ध अदालती दस्तावेज यह नहीं बताते कि Antwerp के Premier सिस्टम में ऑथेंटिकेटर ऐप का विकल्प कब जोड़ा गया।
दो आपातकालीन अनुरोध खारिज, मुकदमे जारी
जिन दो आपातकालीन अनुरोधों पर न्यायाधीशों ने फैसला दिया, वे खारिज कर दिए गए। लेकिन किसी भी फैसले में यह तय नहीं हुआ कि Fiserv के सुरक्षा उपाय पर्याप्त हैं या नहीं। जून 2025 में कनेक्टिकट के एक संघीय न्यायाधीश ने Cencap Federal Credit Union की वह मांग ठुकरा दी जिसमें Fiserv को बहु-कारक प्रमाणीकरण के बिना इंटरनेट से जुड़े सिस्टमों पर उसकी जानकारी रखने से रोकने को कहा गया था। न्यायाधीश ने अन्य बातों के साथ इस तथ्य का उल्लेख किया कि क्रेडिट यूनियन ने मुकदमा दायर करने से पहले कई साल इंतजार किया था। जनवरी 2025 में उत्तरी कैरोलिना के एक संघीय न्यायाधीश ने Self-Help Credit Union की Fiserv के Client360 सहायता पोर्टल का इंटरनेट एक्सेस बंद करने और उससे बाहर निकलने की योजना देने की मांग भी खारिज कर दी।
बाद में अदालत ने Self-Help को संबंधित कानूनी खर्च Fiserv को चुकाने का आदेश दिया। अदालत ने पाया कि क्रेडिट यूनियन ने साक्ष्य जुटाने की प्रक्रिया में सवालों से बचने की कोशिश की थी। अदालत ने यह भी कहा कि Self-Help को कई साल पहले Portico के ऑथेंटिकेटर ऐप कोड इस्तेमाल करने का अवसर मिला था। क्रेडिट यूनियन ने अगले दिन शुरुआती निषेधाज्ञा की अपनी मांग वापस ले ली। Nerko के अनुसार, क्रेडिट यूनियन ने पहले Fiserv द्वारा पेश की गई व्यवस्था स्वीकार की थी, जिसके तहत वह उसी साल बाद में बिना अग्रिम समाप्ति शुल्क चुकाए सेवा छोड़ सकती थी। FiCare Federal Credit Union की वह आपातकालीन मांग अब भी लंबित है जिसमें Fiserv को अपने कॉल सेंटर के जरिए कार्ड धोखाधड़ी से जुड़ी रोक अपने-आप हटाने से रोकने को कहा गया है।
बाकी मुकदमों में अब तक मिले नतीजे अलग-अलग रहे हैं। जून में कैलिफोर्निया के एक संघीय न्यायाधीश ने Polam Federal Credit Union का मामला खारिज करने से इनकार किया। अदालत का कहना था कि पक्षों की साक्ष्य जुटाने की प्रक्रिया पूरी होने के बाद इन मुद्दों पर विचार करना बेहतर होगा। पेंसिल्वेनिया की Bessemer System Federal Credit Union का मुकदमा आगे बढ़ने दिया गया था, लेकिन दोनों पक्षों ने 2024 में उसे खारिज करने पर सहमति जताई। न्यूयॉर्क की दो अन्य क्रेडिट यूनियनों ने 2023 में अपने मुकदमे सुलझा लिए, जबकि Cencap का मामला अप्रैल में तब खारिज हुआ जब पक्षों ने समझौते की जानकारी दी। Nerko द्वारा संभाले जा रहे बाकी सात मामले अनसुलझे हैं। Fiserv को इन दस मुकदमों में से किसी में भी सभी दावों को सीधे खारिज करने वाला अदालती फैसला नहीं मिला है।