Банк Antwerp Exchange Bank из Огайо подал в федеральный суд иск к поставщику финансовых технологий Fiserv. Банк утверждает, что компания вводила клиентов в заблуждение относительно средств защиты и использовала эти заявления для получения доступа к данным банковских клиентов. Это десятый связанный иск, который с 2018 года ведет адвокат Чарльз Нерко, и первый иск, поданный банком: предыдущие девять заявляли кредитные союзы. Разбирательство касается защиты данных счетов, многофакторной аутентификации и возможных платежей при прекращении отношений с Fiserv. Ни один суд пока не установил, соответствуют ли меры кибербезопасности Fiserv необходимому уровню.
Antwerp подал иск 8 октября в федеральный суд в Толидо, штат Огайо. Активы банка составляют 161 млн долларов. Fiserv обслуживает около 10 000 финансовых организаций, поэтому спор затрагивает вопрос о том, как распределяется ответственность за аутентификацию и защиту данных, когда банки и кредитные союзы используют сторонние системы банковского процессинга.
Antwerp сосредоточил иск на коммерческой тайне и заявлениях о безопасности
Иск Antwerp основан исключительно на федеральном законе США о защите коммерческой тайны Defend Trade Secrets Act и соответствующем законодательстве штата Огайо. Банк считает идентификационные данные клиентов и сведения об их счетах коммерческой тайной и утверждает, что Fiserv получила эту информацию благодаря ложным заявлениям о средствах защиты, содержащимся в договорах и материалах по соблюдению требований. В отличие от некоторых предыдущих дел, Antwerp не заявил требований о нарушении договора или мошенничестве, ограничив правовую позицию обвинениями в незаконном присвоении коммерческой тайны.
В иске перечислены девять систем Fiserv, которыми пользуется банк. Antwerp утверждает, что в некоторых из них отсутствует многофакторная аутентификация. Основная система Premier хранит информацию о счетах клиентов. Согласно материалам дела, сотрудники банка входят в систему по имени пользователя и паролю, а затем «периодически» получают одноразовый код по электронной почте. Система также поддерживает коды из приложения-аутентификатора. Ссылаясь на рекомендации Национального института стандартов и технологий США (NIST), банк утверждает, что коды, отправленные по электронной почте, не отвечают требованиям ко второму фактору аутентификации. При этом в иске не указано, включил ли банк возможность использовать приложение-аутентификатор. Нерко отказался комментировать настройки безопасности отдельных клиентов.
После входа сотрудники могут получить доступ к номерам счетов, адресам и номерам социального страхования клиентов, говорится в иске. Однако в документе не указаны конкретная утечка данных или понесенные банком потери из-за мошенничества. Нерко заявил, что два последних дела не зависят от доказательств уже произошедшего инцидента безопасности. Antwerp также утверждает, что уход от Fiserv может повлечь за собой комиссию за расторжение договора «в размере семи цифр», не уточняя точную сумму. Генеральный директор банка Джефф Мамма заявил, что банк не должен продолжать платить сборы за расторжение, если поставщик не выполнил свои обязательства.
Fiserv указывает на возможность самостоятельного выбора функций защиты
Fiserv пока не представила ответ по иску Antwerp. В других связанных разбирательствах компания последовательно утверждала, что ряд ее систем поддерживает более надежные способы защиты входа, а решение об их активации принимают сами клиенты. В документе от 5 октября юристы Fiserv заявили, что именно клиенты в конечном счете определяют приемлемый для них уровень риска. Представитель компании сообщил, что Fiserv предоставляет инструменты безопасности и аутентификации, рассчитанные на разные потребности и предпочтения клиентов. Он также отметил, что ни Antwerp, ни Marshall Community Credit Union из Мичигана не указали на конкретный инцидент, затронувший клиентов или их данные. Fiserv считает претензии необоснованными и намерена защищать свою позицию в суде.
В деле, возбужденном кредитным союзом Midwest Family Federal Credit Union из Индианы, Fiserv заявила, что организация не активировала дополнительные функции защиты и отказалась перейти на обновленный продукт аутентификации SecureNow. По данным компании, SecureNow добавляет многофакторную аутентификацию в продукты интернет-банкинга Virtual Branch и мобильного банкинга Mobiliti и заменяет прежнюю систему Enhanced Authentication. Fiserv также указала, что SecureNow предоставляется за дополнительную плату. Некоторые истцы считают необоснованным требование переводить клиентов на платный продукт в течение срока действия договора.
Судебные документы показывают, что возможности защиты различаются в разных системах Fiserv. В декларации, представленной руководителем Fiserv в 2025 году, говорится, что основная система Portico добавила многофакторную проверку при подключении интернет-банкинга в апреле, а коды из приложения-аутентификатора стали доступны в июне. Другая система для кредитных союзов, CUSA, в тот момент такую проверку не поддерживала. В имеющихся документах не указано, когда аналогичная возможность появилась в системе Premier, которой пользуется Antwerp.
Суды отклонили два срочных ходатайства
Два срочных ходатайства, по которым суды уже вынесли решения, были отклонены. Однако ни одно из этих решений не определило, отвечают ли средства защиты Fiserv необходимым требованиям. В июне 2025 года федеральный судья в Коннектикуте отклонил просьбу кредитного союза Cencap Federal Credit Union запретить Fiserv хранить его информацию в системах, подключенных к интернету, без многофакторной аутентификации. Среди прочих обстоятельств суд учел, что кредитный союз ждал несколько лет, прежде чем подать иск. В январе 2025 года федеральный судья в Северной Каролине также отклонил просьбу Self-Help Credit Union отключить интернет-доступ к сервисному порталу Fiserv Client360 и обязать компанию представить план выхода.
Позднее суд обязал Self-Help оплатить связанные с делом юридические расходы Fiserv, установив, что кредитный союз уклонялся от ответов на вопросы в ходе раскрытия доказательств. Суд также указал, что несколькими годами ранее у Self-Help была возможность использовать коды из приложения-аутентификатора в системе Portico. На следующий день кредитный союз отозвал ходатайство о предварительном судебном запрете. Нерко сообщил, что Self-Help согласился на ранее предложенную Fiserv схему, которая позволяла покинуть платформу позднее в том же году без предварительной выплаты комиссии за расторжение договора. Срочное ходатайство FiCare Federal Credit Union о запрете Fiserv автоматически снимать блокировки по операциям с картами, связанным с мошенничеством, через кол-центр пока остается на рассмотрении.
Результаты остальных разбирательств неоднородны. В июне федеральный судья в Калифорнии отказался прекратить дело Polam Federal Credit Union, решив, что спорные вопросы следует рассматривать после завершения раскрытия доказательств сторонами. Иск кредитного союза Bessemer System Federal Credit Union из Пенсильвании также был допущен к дальнейшему рассмотрению, но в 2024 году стороны договорились прекратить дело. Еще два кредитных союза из Нью-Йорка урегулировали свои иски в 2023 году, а дело Cencap было прекращено в апреле после того, как стороны сообщили о соглашении. Остальные семь дел, которые ведет Нерко, не завершены. Fiserv пока не добилась судебного решения, напрямую отклоняющего все требования по любому из десяти исков.