Antwerp Exchange Bank dari Ohio menyaman penyedia teknologi kewangan Fiserv di mahkamah persekutuan, dengan mendakwa kenyataan mengelirukan tentang langkah keselamatan digunakan untuk mendapatkan data pelanggan bank. Ini ialah saman berkaitan Fiserv yang ke-10 dikendalikan peguam Charles Nerko sejak 2018, dan yang pertama difailkan oleh sebuah bank; sembilan kes terdahulu dibawa oleh kesatuan kredit. Pertikaian melibatkan perlindungan data akaun, pengesahan berbilang faktor dan kemungkinan caj apabila pelanggan menamatkan perkhidmatan. Setakat ini, mahkamah belum memutuskan sama ada langkah keselamatan siber Fiserv mencukupi.
Antwerp memfailkan saman pada 8 Oktober di mahkamah persekutuan di Toledo, Ohio. Bank itu mempunyai aset AS$161 juta. Fiserv menyediakan perkhidmatan kepada kira-kira 10,000 institusi kewangan, menjadikan pertikaian tentang pihak yang menentukan kaedah pengesahan dan sama ada ciri keselamatan dikenakan bayaran sebagai isu yang lebih luas bagi institusi yang bergantung pada sistem teras pihak ketiga.
Antwerp tumpukan tuntutan pada rahsia perdagangan
Saman Antwerp hanya berasaskan Akta Perlindungan Rahsia Perdagangan persekutuan dan undang-undang berkaitan di Ohio. Bank itu mendakwa identiti pelanggan dan rekod akaun ialah rahsia perdagangan, dan Fiserv memperoleh data tersebut melalui kenyataan tidak benar tentang langkah keselamatan dalam kontrak serta bahan pematuhan. Berbeza daripada beberapa kes terdahulu, Antwerp tidak mendakwa pelanggaran kontrak atau penipuan; tuntutannya tertumpu pada rahsia perdagangan.
Saman itu menyenaraikan sembilan sistem Fiserv yang digunakan bank berkenaan dan mendakwa sebahagiannya tidak mempunyai pengesahan berbilang faktor. Sistem teras Premier menyimpan maklumat akaun pelanggan. Menurut saman, kakitangan bank log masuk menggunakan nama pengguna dan kata laluan, dan “secara berkala” menerima kod sekali guna melalui e-mel. Sistem itu turut menawarkan pilihan kod melalui aplikasi pengesah. Saman merujuk panduan Institut Piawaian dan Teknologi Kebangsaan Amerika Syarikat (NIST), dengan menyatakan kod melalui e-mel tidak memenuhi syarat faktor pengesahan kedua. Namun, dokumen itu tidak menjelaskan sama ada bank mengaktifkan pilihan aplikasi pengesah. Nerko berkata beliau tidak mengulas tetapan keselamatan pelanggan tertentu.
Saman menyatakan bahawa selepas log masuk, kakitangan boleh mengakses maklumat seperti nombor akaun pelanggan, alamat dan nombor Keselamatan Sosial. Namun, ia tidak menyebut sebarang insiden keselamatan khusus atau kerugian akibat penipuan di bank itu. Nerko berkata dua kes terbaru ini tidak bergantung pada bukti bahawa insiden keselamatan telah pun berlaku. Antwerp juga mendakwa bank itu mungkin dikenakan caj penamatan kontrak berjumlah “tujuh angka” jika meninggalkan Fiserv, tetapi tidak menyatakan jumlah tepat. Ketua Pegawai Eksekutif Antwerp, Jeff Mumma, berkata bank tidak sepatutnya masih perlu membayar kos penamatan perkhidmatan jika pembekal gagal memenuhi komitmennya.
Fiserv kata pelanggan boleh memilih ciri keselamatan
Fiserv belum memfailkan jawapan dalam kes Antwerp. Namun, dalam saman berkaitan yang lain, syarikat itu secara konsisten berhujah bahawa beberapa sistemnya menawarkan perlindungan log masuk yang lebih kukuh dan pelanggan sendiri menentukan sama ada ciri tersebut diaktifkan. Dalam dokumen yang difailkan pada 5 Oktober, peguam Fiserv berkata pelanggan akhirnya menentukan tahap risiko yang sanggup mereka terima.
Jurucakap Fiserv berkata syarikat menyediakan alat keselamatan dan pengesahan identiti yang mengambil kira keperluan serta pilihan pelanggan. Beliau turut menyatakan bahawa saman Antwerp dan Marshall Community Credit Union di Michigan tidak mengenal pasti sebarang insiden keselamatan khusus yang menjejaskan pelanggan atau data. Fiserv menganggap tuntutan itu tidak berasas dan berkata ia akan mempertahankan diri di mahkamah.
Dalam kes Midwest Family Federal Credit Union di Indiana, Fiserv berkata kesatuan kredit itu tidak mengaktifkan ciri keselamatan tambahan dan menolak untuk beralih kepada produk pengesahan yang dinaik taraf, SecureNow. Menurut Fiserv, SecureNow menambah pengesahan berbilang faktor pada perbankan dalam talian Virtual Branch dan aplikasi mudah alih Mobiliti, serta menggantikan Enhanced Authentication versi lama. Fiserv juga berkata produk itu melibatkan caj tambahan. Beberapa pihak yang menyaman pula mempertikaikan kewajaran pelanggan diminta beralih kepada produk berbayar ketika kontrak masih berjalan.
Dokumen mahkamah turut menunjukkan ciri keselamatan berbeza antara sistem. Dalam kenyataan yang difailkan pada 2025, seorang eksekutif Fiserv berkata sistem teras Portico menyediakan pengesahan berbilang faktor untuk pendaftaran perbankan dalam talian pada April tahun itu, manakala kod daripada aplikasi pengesah diperkenalkan pada Jun. Satu lagi sistem teras kesatuan kredit, CUSA, ketika itu belum menyokong pengesahan sedemikian. Dokumen yang tersedia tidak menyatakan bila pilihan aplikasi pengesah ditambah pada sistem Premier yang digunakan Antwerp.
Dua permohonan segera ditolak, kes lain masih berjalan
Dua permohonan segera dalam pertikaian berkaitan yang telah diputuskan hakim kedua-duanya ditolak. Keputusan itu tidak menentukan sama ada langkah keselamatan Fiserv mencukupi. Pada Jun 2025, seorang hakim persekutuan di Connecticut menolak permohonan Cencap Federal Credit Union untuk menghalang Fiserv daripada menyimpan maklumatnya dalam sistem yang disambungkan ke internet tanpa pengesahan berbilang faktor. Antara alasannya ialah kesatuan kredit itu menunggu bertahun-tahun sebelum memfailkan saman.
Pada Januari tahun ini, seorang hakim persekutuan di North Carolina turut menolak permohonan Self-Help Credit Union untuk memutuskan sambungan internet portal sokongan Fiserv Client360 dan mengatur proses keluar daripada perkhidmatan. Mahkamah kemudian mengarahkan Self-Help membayar yuran guaman berkaitan Fiserv kerana mengelak daripada menjawab soalan tentang proses penemuan bukti. Mahkamah juga mendapati kesatuan kredit itu telah berpeluang menggunakan kod daripada aplikasi pengesah Portico beberapa tahun lebih awal.
Sehari kemudian, Self-Help menarik balik permohonan injunksi awalnya. Nerko berkata kesatuan kredit itu menerima aturan yang ditawarkan Fiserv sebelum ini, iaitu membolehkannya keluar pada penghujung tahun tanpa membayar yuran penamatan terlebih dahulu. Permohonan segera FiCare Federal Credit Union untuk menghalang pusat panggilan automatik Fiserv daripada membuka sekatan kad bank yang dikenakan susulan penipuan masih dalam pertimbangan.
Perkembangan kes-kes lain tidak seragam. Pada Jun, seorang hakim persekutuan di California menolak permohonan untuk menggugurkan kes Polam Federal Credit Union, dengan menyatakan isu berkenaan lebih sesuai dipertimbangkan selepas kedua-dua pihak mengumpulkan bukti. Kes Bessemer System Federal Credit Union di Pennsylvania dibenarkan diteruskan, tetapi ditarik balik pada 2024 selepas kedua-dua pihak bersetuju. Dua kes oleh kesatuan kredit di New York diselesaikan pada 2023, manakala kes Cencap digugurkan pada April selepas kedua-dua pihak melaporkan penyelesaian. Tujuh lagi kes yang dikendalikan Nerko masih belum selesai, dan Fiserv belum memperoleh keputusan mahkamah yang menggugurkan semua tuntutan dalam mana-mana daripada sepuluh saman tersebut.