O Antwerp Exchange Bank, do Ohio, processou a empresa de tecnologia financeira Fiserv num tribunal federal, alegando que a companhia fez declarações enganadoras sobre os seus controlos de segurança para obter acesso aos dados dos clientes bancários. É a décima ação relacionada conduzida pelo advogado Charles Nerko desde 2018 e a primeira apresentada por um banco; as nove anteriores foram movidas por cooperativas de crédito. As alegações envolvem a proteção de dados de contas, a autenticação multifator e possíveis comissões aplicáveis quando os clientes terminam a relação com a Fiserv. Nenhum tribunal determinou até agora se as medidas de cibersegurança da empresa são adequadas.
O Antwerp apresentou a queixa em 8 de outubro num tribunal federal em Toledo, Ohio. O banco tem 161 milhões de dólares em ativos. A Fiserv presta serviços a cerca de 10.000 instituições financeiras, o que torna o litígio relevante para a forma como bancos e cooperativas de crédito repartem a responsabilidade pela autenticação e pelas funcionalidades de segurança quando recorrem a sistemas de processamento bancário de terceiros.
Antwerp centra a ação em segredos comerciais e declarações de segurança
A ação do Antwerp baseia-se exclusivamente na lei federal norte-americana Defend Trade Secrets Act e na legislação correspondente do Ohio. O banco afirma que as identidades dos clientes e os registos das contas podem ser considerados segredos comerciais e alega que a Fiserv obteve essa informação através de declarações falsas sobre os seus controlos de segurança, incluídas em contratos e materiais de conformidade. Ao contrário de alguns processos anteriores, o Antwerp não apresentou acusações de incumprimento contratual ou fraude, limitando a sua tese jurídica à apropriação indevida de segredos comerciais.
A queixa identifica nove sistemas da Fiserv utilizados pelo banco e alega que alguns não dispõem de autenticação multifator. O sistema central Premier armazena informação sobre as contas dos clientes. De acordo com a petição, os funcionários do banco entram no sistema com um nome de utilizador e uma palavra-passe e recebem “periodicamente” um código único por correio eletrónico. O sistema também disponibiliza códigos através de uma aplicação autenticadora. Invocando orientações do National Institute of Standards and Technology, a queixa sustenta que os códigos enviados por correio eletrónico não cumprem os requisitos de um segundo fator de autenticação, mas não esclarece se o banco ativou a opção da aplicação autenticadora. Nerko afirmou que não comentaria as definições de segurança de clientes individuais.
A queixa afirma que, depois de iniciarem sessão, os funcionários podem aceder a números de contas, moradas e números da Segurança Social dos clientes, mas não identifica uma violação de dados ou uma perda resultante de fraude no banco. Nerko declarou que os dois processos mais recentes não dependem da prova de que já tenha ocorrido um incidente de segurança. O Antwerp também alega que a saída da Fiserv poderia desencadear uma comissão de rescisão de “sete algarismos”, sem especificar o montante. O presidente executivo do banco, Jeff Mumma, afirmou que uma instituição não deveria continuar a pagar comissões relacionadas com a rescisão se um fornecedor não tiver cumprido as suas obrigações.
Fiserv diz que os clientes escolhem as funcionalidades de segurança
A Fiserv ainda não apresentou uma resposta no processo do Antwerp. Noutros litígios relacionados, porém, a empresa tem defendido de forma consistente que vários dos seus sistemas oferecem proteções de acesso mais fortes e que cabe aos clientes decidir se as ativam. Numa petição datada de 5 de outubro, os advogados da Fiserv afirmaram que os clientes determinam, em última instância, o seu próprio nível de tolerância ao risco. Um porta-voz da empresa disse que a Fiserv disponibiliza ferramentas de segurança e autenticação concebidas para responder a diferentes necessidades e preferências dos clientes. A empresa acrescentou que nem o Antwerp nem a Marshall Community Credit Union, do Michigan, identificaram um incidente de segurança específico que tenha afetado clientes ou dados. A Fiserv considera que as alegações não têm fundamento e pretende defendê-las em tribunal.
Num processo apresentado pela Midwest Family Federal Credit Union, do Indiana, a Fiserv afirmou que a cooperativa não tinha ativado funcionalidades adicionais de segurança e tinha recusado migrar para o seu produto de autenticação atualizado, o SecureNow. Segundo a empresa, o SecureNow acrescenta autenticação multifator aos produtos de banca online Virtual Branch e de banca móvel Mobiliti, substituindo o sistema mais antigo Enhanced Authentication. A Fiserv também afirmou que o SecureNow implica uma comissão adicional. Alguns autores defendem que obrigar os clientes a mudar para um produto pago durante o período de vigência do contrato é uma exigência injustificada.
Os documentos judiciais mostram ainda que as capacidades de segurança variam entre os sistemas da Fiserv. Um executivo da empresa afirmou numa declaração apresentada em 2025 que o sistema central Portico acrescentou a verificação multifator ao registo na banca online em abril, enquanto os códigos de aplicações autenticadoras ficaram disponíveis em junho. Outro sistema central de cooperativas de crédito, o CUSA, não suportava esse tipo de verificação naquela altura. Os documentos atualmente apresentados não indicam quando a opção de aplicação autenticadora foi adicionada ao sistema Premier utilizado pelo Antwerp.
Tribunais recusam dois pedidos urgentes enquanto os processos avançam
Dois pedidos urgentes que já receberam decisões judiciais foram rejeitados, mas nenhuma dessas decisões determinou se os controlos de segurança da Fiserv eram suficientes. Em junho de 2025, um juiz federal do Connecticut recusou o pedido da Cencap Federal Credit Union para impedir a Fiserv de armazenar a sua informação em sistemas ligados à internet sem autenticação multifator. Entre outros fatores, o juiz considerou que a cooperativa tinha esperado vários anos antes de avançar com a ação. Em janeiro de 2025, um juiz federal da Carolina do Norte também rejeitou o pedido da Self-Help Credit Union para cortar o acesso à internet ao portal de suporte Client360 da Fiserv e exigir um plano de saída.
Mais tarde, a Self-Help foi condenada a pagar as despesas legais relacionadas da Fiserv, depois de o tribunal concluir que tinha evitado responder a perguntas durante a fase de produção de prova. O tribunal também concluiu que a cooperativa tivera, vários anos antes, a oportunidade de utilizar os códigos da aplicação autenticadora do Portico. A Self-Help retirou o pedido de providência cautelar no dia seguinte. Nerko afirmou que a cooperativa aceitou um acordo anteriormente proposto pela Fiserv, que lhe permitia sair mais tarde nesse ano sem pagar antecipadamente uma comissão de rescisão. O pedido urgente da FiCare Federal Credit Union para impedir a Fiserv de libertar automaticamente bloqueios relacionados com fraude de cartões através do seu centro de atendimento continua pendente.
O conjunto mais amplo de litígios tem produzido resultados variados. Em junho, um juiz federal da Califórnia recusou arquivar o processo da Polam Federal Credit Union, considerando que as questões deveriam ser apreciadas depois de as partes concluírem a produção de prova. Um processo movido pela Bessemer System Federal Credit Union, da Pensilvânia, foi autorizado a prosseguir antes de as partes acordarem o seu arquivamento em 2024. Duas outras cooperativas de crédito de Nova Iorque chegaram a acordos em 2023, enquanto o processo da Cencap foi arquivado em abril, depois de as partes comunicarem um acordo. Os outros sete processos conduzidos por Nerko continuam sem resolução, e a Fiserv não obteve uma decisão judicial que arquivasse diretamente todas as alegações em qualquer um dos 10 processos.