오하이오주 Antwerp Exchange Bank가 금융기술 서비스업체 피서브(Fiserv)를 상대로 연방법원에 소송을 제기했다. 은행은 피서브가 보안조치에 대해 오해를 불러일으키는 설명을 했고, 이를 바탕으로 고객 데이터를 확보했다고 주장하고 있다. 이번 사건은 변호사 찰스 네르코(Charles Nerko)가 2018년 이후 피서브를 상대로 맡은 관련 소송 가운데 10번째이며, 은행이 원고로 참여한 첫 사례다. 앞선 9건은 모두 신용협동조합이 제기했다. 쟁점은 계좌정보 보호, 다중요소인증(MFA), 서비스 종료 시 고객이 부담할 수 있는 비용이다. 다만 법원은 아직 피서브의 사이버보안 조치가 충분했는지 판단하지 않았다.
Antwerp는 10월 8일 오하이오주 톨레도 연방법원에 소장을 제출했다. 이 은행의 자산 규모는 1억6,100만달러다. 피서브는 약 1만개 금융기관에 서비스를 제공하고 있어, 누가 인증 방식을 결정하는지와 보안 기능에 별도 비용이 부과되는지는 금융기관이 외부 핵심시스템을 이용할 때 보안 책임을 어떻게 나눌지와도 연결된다.
Antwerp, 영업비밀과 보안 관련 설명 문제 제기
Antwerp는 연방 영업비밀보호법과 오하이오주 관련 법률에 근거해 소송을 제기했다. 은행은 고객 신원정보와 계좌 기록이 영업비밀에 해당하며, 피서브가 계약서와 규정준수 자료에서 보안조치를 사실과 다르게 설명해 해당 데이터를 취득했다고 주장했다. 앞선 일부 사건과 달리 Antwerp는 계약 위반이나 사기를 청구하지 않고, 법적 주장을 영업비밀 침해에 집중했다.
소장에는 Antwerp가 사용하는 피서브 시스템 9개가 열거돼 있다. 은행은 이 가운데 일부 시스템에 다중요소인증이 없다고 주장했다. 핵심시스템인 Premier에는 고객 계좌정보가 저장된다. 소장에 따르면 은행 직원은 사용자명과 비밀번호로 로그인하며, ‘정기적으로’ 이메일로 발송되는 일회용 인증코드를 추가로 받는다. 인증 앱으로 코드를 받는 선택지도 제공된다. 소장은 미국 국립표준기술연구소(NIST) 지침을 인용해 이메일 인증코드는 두 번째 인증수단 요건을 충족하지 않는다고 주장했지만, 은행이 인증 앱 선택지를 실제로 활성화했는지는 밝히지 않았다. 네르코 변호사는 개별 고객의 보안 설정에 대해서는 언급하지 않았다.
소장에는 직원이 로그인한 뒤 고객 계좌, 주소, 사회보장번호 등에 접근할 수 있다고 적혀 있지만, Antwerp에서 구체적인 보안사고나 사기 손실이 발생했다는 내용은 제시되지 않았다. 네르코 변호사는 최근 제기된 두 건의 소송이 실제 보안사고 발생을 입증하는 것을 전제로 하지 않는다고 말했다. Antwerp는 또 피서브를 떠날 경우 ‘7자리 수’ 규모의 해지 비용을 부담할 수 있다고 주장했지만, 구체적인 금액은 제시하지 않았다. 제프 멈마(Jeff Mumma) Antwerp 최고경영자는 서비스 제공업체가 계약상 의무를 이행하지 않았다면 은행이 서비스 종료 비용까지 부담해서는 안 된다고 말했다.
피서브, 보안 기능 선택권은 고객에게 있다고 주장
피서브는 Antwerp 사건에 대한 답변서를 아직 법원에 제출하지 않았다. 다만 다른 관련 소송에서 회사는 여러 시스템에 강화된 로그인 보호 기능이 있으며, 해당 기능을 활성화할지는 고객이 결정한다고 일관되게 주장해왔다. 피서브 측 변호인은 10월 5일 제출한 서류에서 고객이 최종적으로 자신의 위험 감수 수준을 결정한다고 밝혔다. 회사 대변인은 고객별 요구와 선호를 고려할 수 있도록 보안 및 인증 도구를 제공하고 있다고 설명했다. 또 Antwerp와 미시간주 Marshall Community Credit Union의 소장 모두 고객이나 데이터에 영향을 준 구체적인 보안사고를 지적하지 않았다고 주장했다. 피서브는 해당 청구에 근거가 부족하다며 법정에서 적극 대응하겠다는 입장이다.
인디애나주 Midwest Family Federal Credit Union 사건에서 피서브는 해당 신용협동조합이 추가 보안 기능을 활성화하지 않았고, 업그레이드된 인증 제품인 SecureNow로 이전하는 것도 거부했다고 주장했다. 피서브에 따르면 SecureNow는 Virtual Branch 온라인뱅킹과 Mobiliti 모바일뱅킹에 다중요소인증을 추가하며, 기존 Enhanced Authentication을 대체하는 제품이다. 회사는 이 제품에 별도 비용이 부과된다고 설명했다. 반면 일부 원고들은 계약기간 중 유료 제품으로 전환하라는 요구가 부당하다고 주장하고 있다.
관련 법원 서류는 시스템별 보안 기능이 동일하지 않다는 점도 보여준다. 피서브 임원은 2025년 제출한 진술서에서 Portico 핵심시스템이 같은 해 4월 온라인뱅킹 가입 과정에 다중요소인증을 제공했고, 인증 앱을 통한 코드 발급 기능은 6월 도입됐다고 밝혔다. 반면 또 다른 신용협동조합 핵심시스템인 CUSA는 당시 이 같은 인증을 지원하지 않았다. 현재 공개된 서류만으로는 Antwerp가 사용하는 Premier 시스템에 인증 앱 선택지가 언제 추가됐는지 확인되지 않는다.
긴급 신청 두 건 기각됐지만 보안 적정성 판단은 없어
판사의 결정을 받은 두 건의 긴급 신청은 모두 기각됐지만, 해당 결정은 피서브의 보안조치가 충분했는지를 판단한 것은 아니었다. 2025년 6월 코네티컷주 연방법원 판사는 Cencap Federal Credit Union이 다중요소인증이 활성화되지 않은 인터넷 연결 시스템에 피서브가 자사 정보를 저장하지 못하도록 해달라고 낸 신청을 기각했다. 법원은 신용협동조합이 소송을 제기하기 전 수년간 지연했다는 점 등을 이유로 들었다. 올해 1월에는 노스캐롤라이나주 연방법원도 Self-Help Credit Union이 피서브의 Client360 지원 포털 인터넷 연결을 차단하고 서비스 이탈 절차를 마련해달라고 요구한 신청을 받아들이지 않았다.
Self-Help는 이후 증거개시 과정에서 관련 질문에 회피적으로 답변했다는 이유로 피서브의 변호사 비용을 부담하라는 명령을 받았다. 법원은 이 신용협동조합이 수년 전부터 Portico의 인증 앱 코드 기능을 사용할 기회를 갖고 있었다고도 판단했다. 다음 날 Self-Help는 예비 금지명령 신청을 철회했다. 네르코 변호사는 Self-Help가 피서브가 앞서 제시한 조건을 받아들여, 해당 연도 후반에 해지 비용을 선지급하지 않고 서비스를 종료할 수 있게 됐다고 밝혔다. FiCare Federal Credit Union이 피서브의 자동 콜센터가 카드 사기 관련 동결을 해제하지 못하도록 막아달라고 낸 긴급 신청은 아직 심리 중이다.
관련 소송의 진행 상황은 제각각이다. 캘리포니아주 연방법원은 6월 Polam Federal Credit Union 사건에서 피서브의 기각 신청을 받아들이지 않았다. 법원은 관련 쟁점이 양측의 증거 수집이 끝난 뒤 판단하는 편이 적절하다고 봤다. 펜실베이니아주 Bessemer System Federal Credit Union 사건은 심리를 계속할 수 있도록 허용됐지만, 양측 합의에 따라 2024년 취하됐다. 뉴욕주의 다른 두 신용협동조합이 제기한 소송은 2023년 합의로 마무리됐고, Cencap 사건도 양측이 합의 사실을 보고한 뒤 4월 취하됐다. 네르코 변호사가 맡은 나머지 7건은 아직 종결되지 않았으며, 10건의 소송 가운데 피서브의 모든 청구를 법원이 직접 기각한 사례는 아직 나오지 않았다.