Antwerp Exchange Bank ธนาคารจากรัฐโอไฮโอ ยื่นฟ้อง Fiserv ผู้ให้บริการเทคโนโลยีทางการเงินต่อศาลรัฐบาลกลาง โดยกล่าวหาว่าบริษัทให้ข้อมูลชวนเข้าใจผิดเกี่ยวกับมาตรการรักษาความปลอดภัย และใช้ข้อมูลลูกค้าธนาคารจากข้อมูลดังกล่าว คดีนี้เป็นคดีที่ 10 ที่ทนายความ Charles Nerko เป็นตัวแทนฟ้อง Fiserv นับตั้งแต่ปี 2018 และเป็นคดีแรกที่โจทก์เป็นธนาคาร ขณะที่ 9 คดีก่อนหน้านี้ยื่นโดยสหกรณ์เครดิต
ข้อพิพาทครอบคลุมการปกป้องข้อมูลบัญชี การยืนยันตัวตนหลายปัจจัย และค่าธรรมเนียมที่สถาบันการเงินอาจต้องจ่ายเมื่อต้องยุติการใช้บริการ อย่างไรก็ตาม ศาลยังไม่ได้วินิจฉัยว่ามาตรการรักษาความปลอดภัยไซเบอร์ของ Fiserv เพียงพอหรือไม่
Antwerp ยื่นคำฟ้องเมื่อวันที่ 8 ตุลาคมต่อศาลรัฐบาลกลางในเมืองโทเลโด รัฐโอไฮโอ ธนาคารมีสินทรัพย์ 161 ล้านดอลลาร์สหรัฐ ส่วน Fiserv ให้บริการสถาบันการเงินราว 10,000 แห่ง ทำให้ข้อพิพาทเรื่องผู้ที่มีอำนาจตัดสินใจเกี่ยวกับการยืนยันตัวตน รวมถึงการคิดค่าบริการสำหรับฟังก์ชันรักษาความปลอดภัย เกี่ยวข้องโดยตรงกับการแบ่งความรับผิดชอบด้านความปลอดภัยเมื่อธนาคารใช้ระบบ core banking ของผู้ให้บริการภายนอก
คำฟ้อง Antwerp มุ่งประเด็นความลับทางการค้าและคำกล่าวอ้างด้านความปลอดภัย
Antwerp ยื่นข้อเรียกร้องโดยอาศัยกฎหมายคุ้มครองความลับทางการค้าของรัฐบาลกลางสหรัฐฯ และกฎหมายของรัฐโอไฮโอที่เกี่ยวข้องเท่านั้น ธนาคารระบุว่า ตัวตนของลูกค้าและบันทึกบัญชีถือเป็นความลับทางการค้า และ Fiserv ได้ข้อมูลเหล่านี้จากการให้ข้อมูลที่ไม่เป็นความจริงเกี่ยวกับมาตรการรักษาความปลอดภัยในสัญญาและเอกสารด้านการปฏิบัติตามกฎเกณฑ์
แตกต่างจากคดีบางส่วนก่อนหน้านี้ Antwerp ไม่ได้กล่าวหาว่าผิดสัญญาหรือฉ้อโกง แต่จำกัดประเด็นทางกฎหมายไว้ที่การใช้หรือได้มาซึ่งความลับทางการค้าโดยไม่ชอบ
คำฟ้องระบุระบบของ Fiserv ที่ธนาคารใช้งานอยู่ 9 ระบบ และกล่าวว่าบางระบบไม่มีการยืนยันตัวตนหลายปัจจัย ระบบ core banking Premier เก็บข้อมูลบัญชีของลูกค้าไว้ โดยตามคำฟ้อง พนักงานธนาคารเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่าน และจะได้รับรหัสใช้ครั้งเดียวทางอีเมลเป็นระยะ ๆ นอกจากนี้ ระบบยังมีตัวเลือกให้รับรหัสผ่านแอปยืนยันตัวตน
คำฟ้องอ้างแนวทางของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ หรือ NIST ว่ารหัสที่ส่งทางอีเมลไม่เป็นไปตามข้อกำหนดของการยืนยันตัวตนขั้นที่สอง แต่ไม่ได้ระบุว่าธนาคารเปิดใช้ตัวเลือกแอปยืนยันตัวตนหรือไม่ Nerko ระบุว่าเขาไม่ขอให้ความเห็นเกี่ยวกับการตั้งค่าความปลอดภัยของลูกค้ารายใดรายหนึ่ง
คำฟ้องระบุว่า หลังเข้าสู่ระบบแล้ว พนักงานสามารถเข้าถึงข้อมูลบัญชีลูกค้า ที่อยู่ และหมายเลขประกันสังคมได้ แต่ไม่ได้ระบุว่าเกิดเหตุการณ์ด้านความปลอดภัยหรือความเสียหายจากการฉ้อโกงขึ้นจริงกับธนาคาร Nerko กล่าวว่า คดีใหม่สองคดีนี้ไม่ได้ตั้งอยู่บนเงื่อนไขว่าต้องพิสูจน์ก่อนว่าเกิดเหตุข้อมูลรั่วไหลหรือเหตุการณ์ด้านความปลอดภัยแล้ว
Antwerp ยังระบุว่า หากออกจากการใช้บริการของ Fiserv ธนาคารอาจต้องจ่ายค่าธรรมเนียมยกเลิกสัญญาในระดับ “เจ็ดหลัก” แต่ไม่ได้เปิดเผยมูลค่าที่แน่นอน Jeff Mumma ประธานเจ้าหน้าที่บริหารของธนาคารกล่าวว่า หากผู้ให้บริการไม่ปฏิบัติตามข้อตกลง ธนาคารก็ไม่ควรต้องจ่ายค่าธรรมเนียมที่เกี่ยวข้องกับการยุติบริการ
Fiserv ระบุว่าลูกค้าเป็นผู้เลือกฟังก์ชันรักษาความปลอดภัย
Fiserv ยังไม่ได้ยื่นคำให้การต่อสู้คดีในคดีของ Antwerp แต่ในคดีอื่น ๆ ที่เกี่ยวข้อง บริษัทแสดงจุดยืนมาโดยตลอดว่า ระบบหลายประเภทมีฟังก์ชันป้องกันการเข้าสู่ระบบที่เข้มงวดยิ่งขึ้น และลูกค้าเป็นผู้ตัดสินใจว่าจะเปิดใช้งานหรือไม่
เอกสารที่ทนายความของ Fiserv ยื่นเมื่อวันที่ 5 ตุลาคมระบุว่า ลูกค้าเป็นผู้กำหนดระดับความเสี่ยงที่ตนเองยอมรับได้ โฆษกของบริษัทกล่าวว่า Fiserv มีเครื่องมือด้านความปลอดภัยและการยืนยันตัวตนสำหรับความต้องการและข้อจำกัดที่แตกต่างกันของลูกค้า พร้อมระบุว่า คำฟ้องของ Antwerp และ Marshall Community Credit Union ในรัฐมิชิแกนไม่ได้ชี้ให้เห็นเหตุการณ์ด้านความปลอดภัยที่กระทบต่อลูกค้าหรือข้อมูลอย่างเป็นรูปธรรม
Fiserv เห็นว่าข้อเรียกร้องเหล่านี้ไม่มีมูล และจะต่อสู้คดีในศาล
ในคดีของ Midwest Family Federal Credit Union ในรัฐอินเดียนา Fiserv ระบุว่าสหกรณ์เครดิตไม่ได้เปิดใช้ฟังก์ชันรักษาความปลอดภัยเพิ่มเติม และปฏิเสธการย้ายไปใช้ผลิตภัณฑ์ยืนยันตัวตนรุ่นใหม่ SecureNow ของบริษัท Fiserv ระบุว่า SecureNow เพิ่มการยืนยันตัวตนหลายปัจจัยให้กับบริการธนาคารออนไลน์ Virtual Branch และบริการธนาคารบนมือถือ Mobiliti และกำลังเข้ามาแทนที่ Enhanced Authentication รุ่นเก่า
Fiserv ยังระบุว่า SecureNow มีค่าใช้จ่ายเพิ่มเติม ขณะที่โจทก์บางรายเห็นว่า การถูกกำหนดให้ย้ายไปใช้ผลิตภัณฑ์ที่คิดค่าบริการระหว่างอายุสัญญาไม่สมเหตุสมผล
เอกสารในศาลยังแสดงให้เห็นว่าฟังก์ชันรักษาความปลอดภัยของแต่ละระบบไม่เหมือนกัน คำให้การของผู้บริหาร Fiserv ที่ยื่นในปี 2025 ระบุว่า ระบบ core banking Portico เปิดให้ใช้การยืนยันตัวตนหลายปัจจัยสำหรับการลงทะเบียนธนาคารออนไลน์ในเดือนเมษายนปีเดียวกัน และเปิดใช้รหัสจากแอปยืนยันตัวตนในเดือนมิถุนายน ส่วนระบบ core banking สำหรับสหกรณ์เครดิตอีกระบบหนึ่ง คือ CUSA ยังไม่รองรับการยืนยันรูปแบบดังกล่าวในเวลานั้น
เอกสารที่มีอยู่ไม่ได้ระบุว่า ระบบ Premier ที่ Antwerp ใช้งาน เพิ่มตัวเลือกแอปยืนยันตัวตนเมื่อใด
ศาลปฏิเสธคำขอฉุกเฉิน 2 คดี ข้อพิพาทยังดำเนินต่อ
คำขอฉุกเฉิน 2 รายการที่มีคำวินิจฉัยจากศาลถูกปฏิเสธทั้งหมด แต่คำตัดสินดังกล่าวไม่ได้ชี้ขาดว่ามาตรการรักษาความปลอดภัยของ Fiserv เพียงพอหรือไม่
ในเดือนมิถุนายน 2025 ผู้พิพากษาศาลรัฐบาลกลางรัฐคอนเนตทิคัตปฏิเสธคำขอของ Cencap Federal Credit Union ที่ต้องการให้ Fiserv ห้ามเก็บข้อมูลของสหกรณ์ไว้ในระบบที่เชื่อมต่ออินเทอร์เน็ตแต่ไม่ได้เปิดใช้การยืนยันตัวตนหลายปัจจัย โดยหนึ่งในเหตุผลคือสหกรณ์เครดิตใช้เวลานานหลายปีกว่าจะยื่นฟ้อง
ในเดือนมกราคมปีนี้ ผู้พิพากษาศาลรัฐบาลกลางรัฐนอร์ทแคโรไลนาปฏิเสธคำขอของ Self-Help Credit Union ที่ต้องการให้ Fiserv ตัดการเชื่อมต่ออินเทอร์เน็ตของพอร์ทัลสนับสนุน Client360 และจัดทำแผนการถอนตัวออกจากระบบ
ต่อมา Self-Help ถูกศาลสั่งให้รับผิดชอบค่าทนายความของ Fiserv หลังให้คำตอบที่หลีกเลี่ยงประเด็นในการดำเนินการเปิดเผยพยานหลักฐาน ศาลยังวินิจฉัยว่าสหกรณ์เครดิตมีโอกาสใช้รหัสจากแอปยืนยันตัวตนของ Portico มาหลายปีแล้ว
วันถัดมา Self-Help ถอนคำขอคำสั่งห้ามเบื้องต้น Nerko ระบุว่า สหกรณ์ยอมรับข้อตกลงที่ Fiserv เสนอไว้ก่อนหน้านี้ ซึ่งเปิดทางให้ออกจากระบบได้ในช่วงปลายปีเดียวกันโดยไม่ต้องจ่ายค่าธรรมเนียมยกเลิกล่วงหน้า
ส่วนคำขอฉุกเฉินของ FiCare Federal Credit Union ที่ต้องการให้ศาลห้าม Fiserv ปลดการระงับบัตรโดยอัตโนมัติผ่านศูนย์บริการลูกค้า หลังระบบตรวจพบการทุจริต ยังคงอยู่ระหว่างการพิจารณา
ความคืบหน้าของคดีทั้ง 10 คดีแตกต่างกันไป ผู้พิพากษาศาลรัฐบาลกลางรัฐแคลิฟอร์เนียปฏิเสธคำขอให้ยกฟ้องคดีของ Polam Federal Credit Union ในเดือนมิถุนายน โดยเห็นว่าประเด็นดังกล่าวเหมาะที่จะพิจารณาหลังทั้งสองฝ่ายรวบรวมพยานหลักฐานเพิ่มเติม
คดีของ Bessemer System Federal Credit Union ในรัฐเพนซิลเวเนียเคยได้รับอนุญาตให้เดินหน้าต่อ ก่อนที่ทั้งสองฝ่ายจะตกลงถอนคดีในปี 2024 ขณะที่คดีของสหกรณ์เครดิตอีก 2 แห่งในรัฐนิวยอร์กยุติลงด้วยการประนีประนอมในปี 2023 และคดีของ Cencap ถูกยกเลิกในเดือนเมษายน หลังทั้งสองฝ่ายแจ้งต่อศาลว่าบรรลุข้อตกลงกันแล้ว
คดีที่เหลืออีก 7 คดีซึ่ง Nerko เป็นตัวแทนยังไม่สิ้นสุด และในคดีทั้ง 10 คดีนี้ Fiserv ยังไม่เคยได้รับคำตัดสินจากศาลที่ยกข้อเรียกร้องทั้งหมดโดยตรง