俄亥俄州Antwerp Exchange Bank已入稟聯邦法院,控告金融科技服務商Fiserv就其安全措施作出誤導性陳述,並藉此取得銀行客戶數據。這是律師Charles Nerko自2018年起代理的第10宗針對Fiserv的相關訴訟,也是首宗由銀行提出的案件;此前九宗均由信用合作社提出。案件涉及賬戶數據保護、多重身份驗證,以及客戶終止服務時可能承擔的費用,但法院目前尚未裁定Fiserv的網絡安全措施是否足夠。
Antwerp於10月8日在俄亥俄州托萊多聯邦法院提交訴狀。該行資產約1.61億美元。Fiserv為約1萬家金融機構提供服務,因此,誰有權決定身份驗證方式,以及相關安全功能是否需要額外收費,亦牽涉金融機構使用第三方核心系統時的安全責任分配。
Antwerp訴訟集中於商業秘密及安全陳述
Antwerp的訴訟只依據聯邦《保護商業秘密法》及俄亥俄州相應法律提出。銀行主張,客戶身份及賬戶紀錄屬於商業秘密,而Fiserv在合約及合規文件中就安全措施作出失實陳述,藉此取得相關數據。與此前部分案件不同,Antwerp沒有提出違約或欺詐訴求,而是把法律主張集中在商業秘密上。
訴狀列出該行使用的九套Fiserv系統,並稱其中部分系統欠缺多重身份驗證。核心系統Premier儲存客戶賬戶資料。根據訴狀,銀行員工以用戶名稱及密碼登入,並且「定期」透過電郵接收一次性驗證碼;系統亦提供透過身份驗證器應用程式接收驗證碼的選項。訴狀引用美國國家標準與技術研究院(NIST)的指引,認為電郵驗證碼不符合第二重身份驗證要求,但沒有說明該行是否已啟用身份驗證器應用程式選項。Nerko表示,他不會評論個別客戶的安全設定。
訴狀稱,員工登入後可以查閱客戶賬戶、地址及社會安全號碼等資料,但沒有列出該行曾發生具體安全事故或蒙受欺詐損失。Nerko表示,這兩宗近期案件並不以證明已發生安全事故為前提。Antwerp還稱,如離開Fiserv,可能被收取「七位數字」的解約費,但未披露具體金額。該行行政總裁Jeff Mumma表示,如果供應商未有履行協議,銀行不應仍須支付與終止服務相關的費用。
Fiserv稱客戶可自行選擇安全功能
Fiserv尚未就Antwerp案件提交答辯,但公司在其他相關訴訟中一貫主張,多套系統均提供更強的登入保護,是否啟用則由客戶決定。Fiserv律師在10月5日提交的文件中表示,客戶最終決定自身可以承受的風險。公司發言人表示,Fiserv會提供配合不同客戶需求及偏好的安全與身份驗證工具,並稱Antwerp及密歇根州Marshall Community Credit Union的訴狀均未指出任何影響客戶或數據的具體安全事故。Fiserv認為相關訴求缺乏依據,將在法庭上積極應對。
在印第安納州Midwest Family Federal Credit Union的案件中,Fiserv表示,該信用合作社沒有啟用額外安全功能,也拒絕遷移至其升級版身份驗證產品SecureNow。Fiserv稱,SecureNow為Virtual Branch網上銀行及Mobiliti手機銀行加入多重身份驗證,並逐步取代舊版Enhanced Authentication。Fiserv同時表示,該產品會產生額外費用;部分原告則認為,在合約期內被要求轉用收費產品並不合理。
相關法庭文件亦顯示,不同系統的安全功能並不一致。Fiserv高管在2025年提交的聲明稱,Portico核心系統於當年4月提供網上銀行註冊的多重驗證,身份驗證器應用程式驗證碼則於6月推出;另一套信用合作社核心系統CUSA當時仍不支援這類驗證。現有文件沒有說明Antwerp所使用的Premier系統何時加入身份驗證器應用程式選項。
兩項緊急申請遭拒,訴訟仍在進行
兩宗已獲法官裁決的緊急申請均被拒絕,但相關決定沒有判定Fiserv的安全措施是否足夠。2025年6月,康涅狄格州聯邦法官拒絕Cencap Federal Credit Union要求Fiserv不得在未啟用多重驗證的聯網系統中儲存其資料的申請,理由包括該信用合作社在提起訴訟前已延誤多年。北卡羅來納州聯邦法官今年1月亦拒絕Self-Help Credit Union要求切斷Fiserv Client360支援門戶互聯網連接、並制定退出安排的申請。
Self-Help其後因在取證問題上作出回避回答,被法院要求承擔Fiserv相關律師費。法院還認定,該信用合作社早在數年前已有機會使用Portico的身份驗證器應用程式驗證碼。翌日,Self-Help撤回初步禁制令申請;Nerko表示,該行接受了Fiserv此前提出的安排,可以在當年稍後離開,且毋須預先支付解約費。FiCare Federal Credit Union要求阻止Fiserv自動呼叫中心解除其銀行卡欺詐凍結的緊急申請,仍在審理中。
相關訴訟的進展各不相同。加州聯邦法官6月拒絕駁回Polam Federal Credit Union的案件,認為相關問題較適合在雙方完成證據搜集後處理。賓夕法尼亞州Bessemer System Federal Credit Union的案件一度獲准繼續審理,後於2024年由雙方同意撤訴;另外兩家紐約信用合作社的訴訟於2023年和解,Cencap案件亦在雙方報告達成和解後於4月撤銷。Nerko代理的其餘七宗案件仍未結案,而Fiserv在這10宗訴訟中,尚未取得法院直接駁回全部主張的裁決。