オハイオ州のAntwerp Exchange Bankは、金融テクノロジー企業Fiservがセキュリティー対策について誤解を招く説明を行い、その結果として顧客データを取得したとして、連邦裁判所に提訴した。Charles Nerko弁護士が2018年以降に手掛けるFiserv関連訴訟としては10件目で、銀行が原告となるのは今回が初めて。これまでの9件はすべて信用組合によるものだった。訴訟では、口座データの保護、多要素認証、顧客がサービスを解約する際に負担する可能性がある費用が争点となっている。ただし、Fiservのサイバーセキュリティー対策が十分かどうかについて、裁判所はまだ判断していない。
Antwerpは10月8日、オハイオ州トレドの連邦裁判所に訴状を提出した。同銀行の総資産は1億6100万ドル。約1万の金融機関にサービスを提供するFiservを巡り、本人確認の方法を誰が決めるのか、また高度なセキュリティー機能に追加料金が発生するのかという問題は、金融機関が第三者の基幹システムを利用する際の責任分担にも関わる。
Antwerp、営業秘密とセキュリティー説明を問題視
Antwerpの訴えは、連邦営業秘密保護法とオハイオ州法に基づくものに限られている。同行は、顧客の本人情報や口座記録は営業秘密に当たると主張。Fiservが契約書やコンプライアンス関連資料でセキュリティー対策を事実と異なる形で説明し、それによってデータを取得したとしている。これまでの一部の訴訟とは異なり、Antwerpは契約違反や詐欺を請求原因として挙げず、主張を営業秘密に集中させた。
訴状には、同行が利用するFiservの9つのシステムが列挙されており、一部には多要素認証が備わっていないと記されている。基幹システムのPremierには顧客の口座情報が保存されている。訴状によると、銀行職員はユーザー名とパスワードでログインし、そのうえで「定期的に」電子メールで送られるワンタイムコードを受け取る仕組みになっている。認証アプリでコードを受け取る選択肢もあるという。
訴状は、米国立標準技術研究所（NIST）の指針を引用し、電子メールで送られるコードは第2の認証要素の要件を満たさないと主張している。一方、同行が認証アプリの選択肢を有効にしていたかどうかは明らかにしていない。Nerko弁護士は、個別顧客のセキュリティー設定についてコメントを控えた。
訴状では、職員がログイン後に顧客の口座情報、住所、社会保障番号などへアクセスできるとされているが、同行で具体的な情報漏えいや詐欺被害が発生したとは記載されていない。Nerko氏は、最近提起された2件の訴訟はいずれも、すでにセキュリティー事故が起きたことを立証の前提としていないと説明した。
Antwerpは、Fiservとの契約を解消する場合、「7桁規模」の解約費用を請求される可能性があるとも主張したが、具体的な金額は示していない。Jeff Mumma最高経営責任者（CEO）は、サービス提供者が合意した義務を果たしていないのであれば、銀行が解約に伴う費用まで支払うべきではないとの考えを示した。
Fiservはセキュリティー機能を顧客が選択すると主張
FiservはAntwerpの訴訟について、まだ答弁書を提出していない。ただ、ほかの関連訴訟では、一部のシステムにより高度なログイン保護機能が提供されており、導入するかどうかは顧客が決めると一貫して主張している。
Fiserv側の弁護士は10月5日に提出した書面で、最終的にどの程度のリスクを受け入れるかは顧客が判断すると説明した。同社の広報担当者は、顧客ごとに異なるニーズや選好を踏まえたセキュリティーおよび本人確認ツールを提供していると述べた。また、Antwerpとミシガン州のMarshall Community Credit Unionの訴状はいずれも、顧客やデータに影響を与えた具体的なセキュリティー事故を指摘していないとした。Fiservは、これらの請求には根拠がないとし、法廷で争う方針を示している。
インディアナ州のMidwest Family Federal Credit Unionを巡る訴訟で、Fiservは同信用組合が追加のセキュリティー機能を有効にせず、アップグレード版の本人確認製品「SecureNow」への移行も拒んだと主張している。Fiservによると、SecureNowはVirtual BranchのオンラインバンキングとMobilitiのモバイルバンキングに多要素認証を追加する製品で、旧版のEnhanced Authenticationに代わるものとして導入が進められている。
FiservはSecureNowには追加料金がかかるとしている。一方、原告側の一部は、契約期間中に有料製品への移行を求められるのは合理的ではないと主張している。
関連する裁判資料からは、システムによって利用できるセキュリティー機能が異なることもうかがえる。Fiservの幹部が2025年に提出した声明によると、基幹システムのPorticoでは、オンラインバンキング登録時の多要素認証が同年4月に利用可能となり、認証アプリでコードを受け取る機能は6月に追加された。一方、別の信用組合向け基幹システムであるCUSAは、当時この種の認証に対応していなかった。Antwerpが利用するPremierに認証アプリの選択肢がいつ追加されたのかは、公開された裁判資料では明らかになっていない。
緊急申立ては退けられ、訴訟ごとに進展が分かれる
これまでに裁判官が判断した2件の緊急申立てはいずれも退けられた。ただし、いずれの決定もFiservのセキュリティー対策が十分かどうかを判断したものではない。
2025年6月、コネチカット州の連邦判事は、Cencap Federal Credit Unionが求めた仮救済を認めなかった。同信用組合は、多要素認証が有効になっていないインターネット接続システムにFiservが情報を保存することを禁じるよう求めていたが、提訴前に数年にわたり対応を遅らせていたことなどが理由とされた。
北カロライナ州の連邦判事も今年1月、Self-Help Credit Unionによる緊急申立てを退けた。同信用組合は、FiservのClient360サポートポータルとのインターネット接続を遮断し、サービスからの移行計画を策定するよう求めていた。
Self-Helpはその後、証拠開示に関する質問への回答を避けたとして、Fiserv側の弁護士費用を負担するよう裁判所から命じられた。裁判所は、同信用組合が数年前の時点でPorticoの認証アプリによるコード機能を利用できたとも認定した。Self-Helpは翌日、仮差し止めの申立てを取り下げた。Nerko氏によると、同信用組合は、年内の遅い時期に前払いの解約費用なしでFiservを離れられるという、同社が以前提示していた取り決めを受け入れたという。
FiCare Federal Credit Unionが求めた別の緊急申立ては、現在も審理中だ。同信用組合は、Fiservが自動音声のコールセンターを通じて、カードに設定された不正利用の凍結を解除することを阻止するよう求めている。
関連訴訟全体の進展は一様ではない。カリフォルニア州の連邦判事は6月、Polam Federal Credit Unionの訴訟について、請求を退けることを拒否した。裁判所は、争点は双方が証拠を集めた後に判断する方が適切だとした。ペンシルベニア州のBessemer System Federal Credit Unionの訴訟は審理継続が認められたものの、2024年に双方の合意で取り下げられた。ニューヨーク州の別の2つの信用組合による訴訟は2023年に和解し、Cencapの訴訟も双方が和解を報告した後、4月に取り消された。
Nerko氏が代理する残り7件は、いずれもまだ終結していない。Fiservがこの10件の訴訟で、請求全体を裁判所から直接退けられた例は、現時点ではない。