Los pagos mediante la ACH (Cámara de Compensación Automatizada) son pagos electrónicos que mueven fondos entre cuentas bancarias utilizando la red de la ACH en Estados Unidos. Este sistema está gestionado por Nacha y facilita una variedad de pagos, incluidos los depósitos directos de empleadores, pagos a contratistas, débitos automáticos de facturas y transferencias entre personas.

Al igual que otros tipos de pagos electrónicos, las transferencias ACH son vulnerables al fraude. En 2025, el 76 % de las organizaciones enfrentó un fraude de pagos real o un intento de fraude, mientras que el 30 % de los encuestados reportó fraudes relacionados con débitos ACH.

A continuación, te explicaremos lo que necesitas saber sobre el fraude ACH, incluidos los métodos de fraude comunes, la responsabilidad en caso de fraude ACH y cómo prevenir y detectar el fraude ACH.

¿Qué contiene este artículo?

• Tipos de fraude ACH
  
• ¿Cuándo se debe rastrear un pago ACH?
  
• Cómo rastrear pagos ACH
  
• ¿Quién es responsable del fraude ACH?
  
• Detección de fraude ACH
  
• Prevención de fraude ACH
  
• Cómo puede ayudar Stripe Radar
  

Tipos de fraude mediante la ACH

El fraude ACH explota vulnerabilidades en las transferencias electrónicas de fondos (EFT, por sus siglas en inglés) a través de débitos no autorizados, credenciales comprometidas o instrucciones de pago engañosas. Estos esquemas suelen involucrar la manipulación de pagos y el engaño a clientes y empresas para obtener información bancaria y redirigir los fondos.

¿Cuándo se debe rastrear un pago ACH?

Un rastreo ACH ayuda a las instituciones financieras a hacer un seguimiento del estado y la ubicación de los fondos en toda la red ACH mediante el número de rastreo único de 15 dígitos de una transacción.

Considera solicitar un rastreo a tu banco o procesador de pagos en las siguientes situaciones:

• Retrasos inexplicables en los pagos: Los fondos se debitaron de la cuenta del originador, pero el destinatario no recibió el depósito después del plazo estándar de acreditación de fondos (generalmente, de 1 a 3 días hábiles o más de 5 días hábiles para transferencias estándar).

• Sospecha de fraude o retiros no autorizados: Aparece un débito no reconocido en el extracto de tu cuenta. El rastreo de la transacción identifica a la Institución financiera depositaria de origen (ODFI, por sus siglas en inglés) y el ID de la empresa, lo que permite a tu banco iniciar una devolución no autorizada (p. ej., código de devolución R10 o R29).

• Débitos o créditos duplicados: Una falla técnica, un error en el archivo por lotes o un envío doble da como resultado que se procesen transacciones idénticas más de una vez.

• Detalles de cuenta o de enrutamiento incorrectos: Se inició una transferencia con información bancaria mal escrita y no se rechazó de forma automática como una transacción que no se puede contabilizar (p. ej., código de devolución R03 o R04).

• Disputas de entrega de nómina o de proveedores: Un proveedor, contratista o empleado informa que no recibió el pago a pesar de que el libro mayor del originador muestra un desembolso completado. Proporcionar el ID de rastreo sirve como comprobante formal de la transferencia para que el banco receptor pueda localizar los fondos de forma manual.

Cómo rastrear pagos de ACH

Rastrear pagos ACH puede ayudar a resolver problemas como la no recepción de fondos, errores o sospechas de fraude. Cuanto antes inicies un rastreo, más fácil será hacer el seguimiento de los detalles con precisión.

Estos son los pasos para rastrear un pago ACH:

1. Recopila los detalles del pago
   Recopila la fecha exacta de la transacción, el monto en dólares, los números de cuenta y de enrutamiento de origen y de recepción, y tu ID de referencia interna.

2. Obtén el ID de rastreo ACH de 15 dígitos del remitente
   Si enviaste el pago, recupera el ID de rastreo de 15 dígitos en tu extracto bancario, el Dashboard del procesador de pagos o la ODFI. Si eres el destinatario, pídele al remitente que obtenga este número en su institución financiera.

3. Comunícate con la institución financiera correspondiente

   1. Si eres el remitente: Pídele a tu banco o procesador de pagos que inicie una solicitud formal de rastreo ACH a través de la red hacia el banco receptor.
      
   2. Si eres el destinatario: Proporciona el ID de rastreo de 15 dígitos al equipo de operaciones de ACH de tu banco para que puedan buscar en las colas de compensación los depósitos retenidos, pendientes o mal enrutados.
      

4. Revisa la resolución del rastreo y documenta los resultados
   Las investigaciones de rastreo ACH generalmente tardan entre 1 y 3 días hábiles. Una vez que se resuelva, revisa el informe para conocer el estado de la transacción, la marca de tiempo de la acreditación de fondos o el código de devolución específico de Nacha (p. ej., R01 por fondos insuficientes, R03 por número de cuenta incorrecto) y archiva el informe para los registros contables y de disputas.

¿Quién es responsable del fraude ACH?

La responsabilidad por fraude ACH depende principalmente de si la cuenta comprometida pertenece a un cliente o a una empresa. En virtud de la Ley de Transferencia Electrónica de Fondos (EFTA, por sus siglas en inglés), los clientes tienen amplias protecciones legales para los débitos no autorizados que se reporten dentro de los plazos requeridos. Las empresas se rigen por el Código Comercial Uniforme (UCC, por sus siglas en inglés) y, por lo general, asumen la pérdida a menos que la institución financiera no haya seguido los procedimientos de seguridad comercialmente razonables y acordados.

Así es como se suele asignar la responsabilidad en situaciones comunes, como débitos no autorizados, BEC o apropiación de cuenta:

• Débitos no autorizados: Los bancos reembolsan a los consumidores los débitos no autorizados reportados dentro de los 60 días posteriores a la transmisión del extracto periódico en virtud de la EFTA de los EE. UU. Las empresas tienen un plazo mucho más estrecho para disputar los débitos no autorizados.

• BEC: La responsabilidad casi siempre recae en la empresa que autorizó el pago, ya que las instituciones financieras no son responsables de verificar la legitimidad subyacente de una orden de pago autorizada.

• ATO: Por lo general, los bancos cubren las pérdidas de los clientes que se reportan de inmediato. En el caso de las cuentas de empresas, la empresa asume la pérdida a menos que el banco no haya proporcionado o seguido procedimientos de seguridad «comercialmente razonables» en virtud del artículo 4A del UCC, un marco legal que determina quién asume las pérdidas de las transferencias bancarias no autorizadas y ciertos pagos de crédito ACH.

• Robo de datos: Las organizaciones que sufren vulneraciones enfrentan responsabilidades, multas reglamentarias y daños civiles si los datos bancarios de un cliente quedaron expuestos debido a controles de ciberseguridad inadecuados o al incumplimiento de los estándares del sector.

• Estafas de phishing: Para los clientes, los débitos no autorizados que resultan de credenciales robadas siguen estando protegidos por la Regulación E, una regulación de los EE. UU. que protege a los clientes contra las EFT no autorizadas. En el caso de las empresas, las pérdidas suelen recaer en la empresa cuyo empleado o sistema se vio comprometido.

• Amenazas internas: Las organizaciones son responsables de las pérdidas que resulten de empleados o contratistas malintencionados, en especial cuando los controles internos deficientes o la falta de autorización doble permitieron el fraude.

• Fraude tipo kiting en ACH: Los actores fraudulentos enfrentan responsabilidad penal y civil directa. Las pérdidas interbancarias se asignan según las reglas de Nacha, y las instituciones pueden ser responsables si no mantienen los umbrales de monitoreo de riesgos requeridos.

• Pagos falsos y fraude de facturas: La empresa de origen asume la pérdida por no verificar las instrucciones de pago alteradas o las facturas fraudulentas, ya que los bancos están protegidos legalmente cuando procesan órdenes de pago según los números de cuenta proporcionados.

Detección de fraudes mediante la ACH

Detectar el fraude ACH requiere un monitoreo, una revisión y un intercambio de información diligentes.

Esto es lo que debes saber:

Monitoreo de transacciones

Implementa software especializado que analice continuamente tus transacciones de ACH con respecto a los valores de referencia establecidos y los patrones históricos. La inteligencia artificial y el machine learning pueden aprender el comportamiento de pago típico de tu empresa y marcar las transacciones posiblemente sospechosas en función de patrones complejos que los humanos podrían pasar por alto. Los siguientes podrían ser signos de posible fraude.

• Direcciones IP inusuales o dispositivos asociados a las transacciones

• Desviaciones en el volumen o los montos de las transacciones en comparación con los promedios históricos

• Pagos a beneficiarios nuevos, especialmente a aquellos en ubicaciones geográficas de alto riesgo

• Horarios de transacción irregulares (fuera del horario comercial estándar)

• Solicitudes urgentes (p. ej., correos electrónicos o llamadas que exigen una acción inmediata) que presionan a las empresas para acelerar pagos o enviar dinero a cuentas desconocidas

• Inconsistencias en nombres, números de cuenta u otros detalles dentro de una solicitud de pago

Procedimientos de revisión

• Escrutinio manual de las transacciones de alto riesgo: examina cuidadosamente las transacciones que marquen tus herramientas de monitoreo. El personal especializado debe verificar si hay irregularidades en los detalles del beneficiario, el historial de pagos y en cualquier comunicación asociada.

• Auditorías puntuales: realiza auditorías aleatorias en un subconjunto de transacciones de ACH. Incluso si no descubres ningún fraude, algunos actores fraudulentos podrían disuadirse si saben que una empresa examina minuciosamente las transacciones en cualquier momento.

• Análisis de devoluciones de ACH: monitorea de cerca las devoluciones de ACH. Las tasas de devolución altas pueden indicar débitos no autorizados o información de beneficiarios fraudulenta. Analiza los motivos de las devoluciones y busca patrones.

Prácticas de Conoce a tu Cliente (KYC)

• Verificación de clientes: antes de iniciar pagos recurrentes o agregar nuevos beneficiarios, realiza la diligencia debida. Verifica las direcciones y la legitimidad de las empresas, y compáralas con las listas de sanciones y las bases de datos de fraudes.

• Monitoreo de relaciones: comprueba de forma periódica si hay cambios en el comportamiento del destinatario, el estilo de comunicación o información actualizada de las cuentas bancarias que puedan indicar que una cuenta se ha visto comprometida.

Intercambio de información

• Colaboración bancaria: mantén una comunicación abierta con el departamento de prevención de fraude de tu banco. Pueden alertarte sobre patrones de fraude emergentes y colaborar en investigaciones.

• Redes del sector: únete a asociaciones del sector y redes de prevención de fraude. Compartir información sobre amenazas y prácticas recomendadas ayuda a que todos se mantengan un paso por delante de los actores fraudulentos.

Plan de respuesta ante fraude

No esperes a que ocurra un incidente para decidir qué hacer. Crea un plan de manera proactiva que incluya los siguientes pasos:

1. Mitiga mayores daños: congela las cuentas bancarias comprometidas, revoca las sesiones activas de usuarios, restablece las credenciales de la banca electrónica y rota las claves de API. Coloca bloqueos de débito de ACH de emergencia y filtros de pago positivo en las cuentas afectadas para detener cualquier transacción saliente pendiente o programada.

2. Notifica al equipo de administración de tesorería o de prevención de fraude de tu banco: comunícate de inmediato con el departamento especializado de fraude o el gerente de relaciones de tesorería de tu banco. Proporciona los detalles de la transacción, solicita un rastreo de ACH de inmediato y pide al banco que inicie una solicitud de devolución no autorizada o cancelación en la institución receptora.

3. Ejecuta los protocolos internos de informes e investigación: documenta todo el historial del incidente y conserva los registros. Informa a las partes interesadas internas, el asesor legal y los equipos de cumplimiento de la normativa para evaluar los requisitos de elaboración de informes en virtud de las leyes federales y estatales de protección de datos aplicables.

4. Presenta informes ante las agencias reguladoras y las fuerzas del orden público: denuncia el incidente a las fuerzas del orden público locales y envía una reclamación en línea al Centro de Denuncias de Delitos en Internet del FBI. Si se expuso información de identificación personal o registros financieros de un cliente, notifica a los fiscales generales estatales y a los organismos reguladores correspondientes dentro de los plazos requeridos.

Prevención de fraude mediante la ACH

El fraude de ACH supone una amenaza significativa para las empresas, que incluye la pérdida de fondos y el daño a la reputación.

A continuación, te explicamos cómo fortalecer tus defensas y prevenir los intentos de fraude de ACH:

• MFA: implementa la MFA para todos los inicios de sesión y las transacciones financieras. Exige un paso de verificación adicional más allá del nombre de usuario y la contraseña. Esto reduce el riesgo de acceso no autorizado, incluso si se ven comprometidas las credenciales de inicio de sesión.

• Pagos preautorizados: este sistema de verificación de débito de ACH permite a las empresas preautorizar destinatarios legítimos y montos para los débitos de ACH. Cualquier desviación activa alertas para su revisión antes de procesarlos, lo que evita los retiros fraudulentos.

• Capacitación del personal: capacita al personal para reconocer intentos de phishing, tácticas de ingeniería social y señales de alerta asociadas con el fraude de ACH. Edúcalos sobre los procedimientos adecuados para gestionar las transacciones de ACH e informar sobre la actividad sospechosa.

• Separación de funciones: implementa un sistema en el que diferentes empleados gestionen tareas como iniciar pagos, aprobar transacciones y conciliar cuentas. Esto reduce el riesgo de que un solo empleado manipule el sistema con fines fraudulentos.

• Monitoreo en tiempo real: utiliza herramientas de monitoreo de transacciones en tiempo real para identificar anomalías y actividades sospechosas, y detenerlas antes de que se procesen.

• Procedimientos de conciliación: establece procedimientos exhaustivos de conciliación para comparar los pagos esperados con los débitos y créditos reales. Revisa regularmente los estados de cuenta bancarios e identifica cualquier discrepancia que pueda indicar una actividad fraudulenta.

• Cifrado de datos: asegúrate de que todos los datos confidenciales, incluida la información de la cuenta y los registros financieros, estén cifrados en reposo y en tránsito. Esto hace que sea mucho más difícil para los actores fraudulentos robar información valiosa, incluso si vulneran tus sistemas.

• Controles de acceso: implementa controles de acceso estrictos para los datos financieros y los sistemas de procesamiento de ACH. Otorga acceso solo a quienes lo necesiten y utiliza políticas de contraseñas seguras con cambios regulares de contraseña.

• Servicios de prevención de fraude: considera asociarte con especialistas en prevención de fraude que ofrezcan inteligencia contra amenazas avanzada y servicios de monitoreo. Estos servicios pueden proporcionar capas adicionales de seguridad y experiencia en la detección de intentos de fraude sofisticados.

• Participación en la red de ACH: participa en las iniciativas de mitigación de riesgos de la red de ACH. Estas iniciativas ofrecen recursos y herramientas para identificar amenazas emergentes y prácticas recomendadas para combatir el fraude de ACH.

Cómo puede ayudar Stripe Radar

Stripe Radar ayuda a detectar el fraude y promover el crecimiento mediante el uso de IA entrenada con datos de la red global de Stripe. Radar ayuda a proteger tu empresa del fraude durante todo el ciclo de vida del cliente antes de que afecte tus resultados finales, al mismo tiempo que te ayuda a aprobar más clientes y pagos legítimos.

Radar permite que tu empresa logre lo siguiente:

• Prevén las pérdidas por fraude: la IA de Radar aprende de más de 1.9 billones de dólares en transacciones anuales en toda la red global de Stripe, lo que la ayuda a identificar y bloquear patrones de fraude que las empresas de forma individual podrían no captar por sí solas.

• Unifica la protección frente a los ataques de fraude en evolución: Radar reúne la protección contra el fraude en las transacciones, el fraude de cuentas y el abuso de clientes en una sola solución para que obtengas una protección unificada en los principales tipos de fraude.

• Adáptate a medida que evoluciona el fraude: Radar se adapta continuamente a los patrones cambiantes de fraude, desde el abuso de primera parte hasta las transacciones generadas por agentes, lo que ayuda a proteger tu empresa contra las amenazas emergentes.

• Trabaja con tu pila de software existente: utiliza Radar con los pagos de Stripe sin necesidad de integración o accede a la inteligencia de Radar a través de API programables, independientemente de si procesas pagos en Stripe o no.

Obtén más información sobre Stripe Radar o empieza a utilizarlo hoy mismo.