Antwerp Exchange Bank, một ngân hàng tại Ohio, kiện nhà cung cấp dịch vụ công nghệ tài chính Fiserv tại tòa án liên bang, cáo buộc công ty đưa ra thông tin sai lệch về các biện pháp bảo mật để thu thập dữ liệu khách hàng của ngân hàng. Đây là vụ kiện liên quan thứ 10 do luật sư Charles Nerko đại diện kể từ năm 2018, đồng thời là vụ đầu tiên do một ngân hàng khởi kiện; chín vụ trước đó đều do các quỹ tín dụng khởi xướng. Tranh chấp xoay quanh việc bảo vệ dữ liệu tài khoản, xác thực đa yếu tố và các khoản phí có thể phát sinh khi khách hàng chấm dứt dịch vụ. Tòa án chưa ra phán quyết về mức độ đầy đủ của các biện pháp an ninh mạng của Fiserv.
Antwerp nộp đơn kiện ngày 8/10 tại tòa án liên bang ở Toledo, Ohio. Ngân hàng có tổng tài sản 161 triệu USD. Fiserv cung cấp dịch vụ cho khoảng 10.000 tổ chức tài chính, nên tranh luận về bên quyết định phương thức xác thực và việc các tính năng bảo mật có bị tính thêm phí cũng liên quan đến cách phân chia trách nhiệm an ninh khi tổ chức tài chính sử dụng hệ thống lõi của bên thứ ba.
Antwerp tập trung vào bí mật thương mại và thông tin bảo mật
Đơn kiện của Antwerp chỉ dựa trên Đạo luật Bảo vệ Bí mật Thương mại liên bang và luật tương ứng của Ohio. Ngân hàng cho rằng thông tin nhận dạng khách hàng và hồ sơ tài khoản là bí mật thương mại, đồng thời cáo buộc Fiserv đã tiếp cận dữ liệu này thông qua những tuyên bố không chính xác về biện pháp bảo mật trong hợp đồng và tài liệu tuân thủ. Khác với một số vụ kiện trước, Antwerp không đưa ra yêu cầu về vi phạm hợp đồng hay gian lận, mà giới hạn lập luận pháp lý ở vấn đề bí mật thương mại.
Đơn kiện liệt kê chín hệ thống Fiserv mà ngân hàng sử dụng và cho rằng một số hệ thống không có xác thực đa yếu tố. Hệ thống lõi Premier lưu trữ thông tin tài khoản khách hàng. Theo đơn kiện, nhân viên đăng nhập bằng tên người dùng và mật khẩu, đồng thời “định kỳ” nhận mã xác minh dùng một lần qua email. Hệ thống cũng có tùy chọn nhận mã qua ứng dụng xác thực. Đơn kiện dẫn hướng dẫn của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST), lập luận rằng mã gửi qua email không đáp ứng yêu cầu về yếu tố xác thực thứ hai, nhưng không cho biết ngân hàng có bật tùy chọn ứng dụng xác thực hay không. Nerko cho biết ông không bình luận về cấu hình bảo mật của từng khách hàng.
Đơn kiện nói nhân viên sau khi đăng nhập có thể truy cập số tài khoản, địa chỉ và số An sinh Xã hội của khách hàng, nhưng không nêu sự cố an ninh cụ thể hay thiệt hại do gian lận tại ngân hàng. Nerko cho biết hai vụ kiện mới không đặt điều kiện phải chứng minh một sự cố bảo mật đã xảy ra. Antwerp cũng cho rằng nếu rời Fiserv, ngân hàng có thể phải trả phí chấm dứt hợp đồng ở mức “bảy chữ số”, nhưng không nêu con số cụ thể. Tổng giám đốc điều hành Jeff Mumma nói ngân hàng không nên vẫn phải chịu phí chấm dứt dịch vụ nếu nhà cung cấp không thực hiện đúng thỏa thuận.
Fiserv nói khách hàng có thể chọn tính năng bảo mật
Fiserv chưa nộp bản trả lời trong vụ Antwerp. Tuy nhiên, trong các vụ kiện liên quan khác, công ty nhất quán cho rằng nhiều hệ thống có các biện pháp bảo vệ đăng nhập nâng cao và khách hàng tự quyết định có sử dụng hay không. Trong hồ sơ nộp ngày 5/10, luật sư của Fiserv nói khách hàng là bên cuối cùng quyết định mức độ rủi ro có thể chấp nhận.
Người phát ngôn Fiserv cho biết công ty cung cấp các công cụ bảo mật và xác thực phù hợp với nhu cầu, lựa chọn khác nhau của khách hàng. Người này cũng nói đơn kiện của Antwerp và Marshall Community Credit Union tại Michigan đều không nêu sự cố an ninh cụ thể nào ảnh hưởng đến khách hàng hoặc dữ liệu. Fiserv cho rằng các yêu cầu khởi kiện không có cơ sở và sẽ tích cực bảo vệ quan điểm tại tòa.
Trong vụ Midwest Family Federal Credit Union tại Indiana, Fiserv nói quỹ tín dụng này không kích hoạt các tính năng bảo mật bổ sung và từ chối chuyển sang sản phẩm xác thực nâng cấp SecureNow. Theo Fiserv, SecureNow bổ sung xác thực đa yếu tố cho dịch vụ ngân hàng trực tuyến Virtual Branch và ứng dụng ngân hàng di động Mobiliti, đồng thời đang thay thế phiên bản Enhanced Authentication cũ. Công ty cho biết SecureNow phát sinh thêm phí; một số nguyên đơn lại cho rằng việc bị yêu cầu chuyển sang sản phẩm trả phí trong thời hạn hợp đồng là không hợp lý.
Hồ sơ tòa án cũng cho thấy các hệ thống không có tính năng bảo mật đồng nhất. Trong bản khai năm 2025, một lãnh đạo Fiserv cho biết hệ thống lõi Portico bổ sung xác thực đa yếu tố khi đăng ký ngân hàng trực tuyến vào tháng 4 năm đó; mã từ ứng dụng xác thực được triển khai vào tháng 6. Một hệ thống lõi khác dành cho quỹ tín dụng, CUSA, khi đó chưa hỗ trợ hình thức xác thực này. Hồ sơ hiện có không nêu thời điểm hệ thống Premier mà Antwerp sử dụng bổ sung tùy chọn mã từ ứng dụng xác thực.
Hai yêu cầu khẩn cấp bị bác, tranh chấp vẫn tiếp diễn
Hai yêu cầu khẩn cấp đã được thẩm phán xem xét đều bị bác, nhưng các quyết định này không kết luận biện pháp bảo mật của Fiserv có đầy đủ hay không. Tháng 6/2025, thẩm phán liên bang tại Connecticut bác yêu cầu của Cencap Federal Credit Union, trong đó muốn Fiserv không được lưu trữ thông tin của mình trên các hệ thống có kết nối mạng nhưng chưa bật xác thực đa yếu tố. Một lý do được nêu là quỹ tín dụng đã chờ nhiều năm mới khởi kiện.
Tháng 1 năm nay, thẩm phán liên bang tại North Carolina cũng bác yêu cầu của Self-Help Credit Union về việc ngắt kết nối Internet của cổng hỗ trợ Fiserv Client360 và lập kế hoạch chấm dứt dịch vụ. Sau đó, tòa yêu cầu Self-Help thanh toán một phần phí luật sư của Fiserv vì né tránh trả lời các câu hỏi trong quá trình thu thập chứng cứ. Tòa cũng nhận định quỹ tín dụng đã có cơ hội sử dụng mã xác thực từ ứng dụng trên Portico từ vài năm trước. Ngày hôm sau, Self-Help rút yêu cầu lệnh cấm sơ bộ. Nerko cho biết quỹ tín dụng chấp nhận thỏa thuận Fiserv đưa ra trước đó, theo đó có thể rời hệ thống vào cuối năm mà không phải trả trước phí chấm dứt hợp đồng. Yêu cầu khẩn cấp của FiCare Federal Credit Union nhằm ngăn Fiserv tự động mở khóa thẻ ngân hàng đang bị khóa do nghi vấn gian lận tại tổng đài vẫn đang được xem xét.
Các vụ kiện còn lại có tiến triển khác nhau. Tháng 6, thẩm phán liên bang tại California từ chối bác vụ kiện của Polam Federal Credit Union, cho rằng nên xử lý các vấn đề liên quan sau khi hai bên thu thập chứng cứ. Vụ của Bessemer System Federal Credit Union tại Pennsylvania được phép tiếp tục, nhưng hai bên sau đó đồng ý rút đơn vào năm 2024. Hai quỹ tín dụng khác tại New York dàn xếp vào năm 2023; vụ Cencap cũng bị hủy vào tháng 4 sau khi hai bên thông báo đã đạt thỏa thuận. Bảy vụ kiện còn lại do Nerko đại diện chưa khép lại. Trong tổng số mười vụ này, Fiserv chưa được tòa án trực tiếp bác toàn bộ yêu cầu khởi kiện.