Los pagos de la ACH (cámara de compensación automatizada) son pagos electrónicos que mueven fondos entre cuentas bancarias utilizando la red ACH en los EE. UU. Este sistema está gestionado por Nacha y facilita varios tipos de pago, lo que incluye depósitos directos de los empleadores, pagos a contratistas, pagos automáticos de facturas y transferencias entre particulares.

Al igual que otros tipos de pagos electrónicos, las transferencias ACH son vulnerables al fraude. En 2025, el 76 % de las organizaciones se enfrentaron a un fraude de pago real o intentado, mientras que el 30 % de los encuestados reportaron un fraude relacionado con los adeudos ACH.

A continuación, te explicaremos lo que necesitas saber sobre el fraude ACH, incluidos los métodos de fraude habituales, la responsabilidad en caso de fraude ACH y cómo prevenir y detectar el fraude ACH.

Esto es lo que encontrarás en este artículo:

• Tipos de fraude ACH
  
• ¿Cuándo debes rastrear un pago ACH?
  
• Cómo rastrear pagos ACH
  
• ¿Quién es responsable del fraude ACH?
  
• Detección del fraude ACH
  
• Prevención de fraude ACH
  
• Cómo puede ayudar Stripe Radar
  

Tipos de fraude de ACH

El fraude ACH explota vulnerabilidades en las transferencias electrónicas de fondos (EFT) a través de adeudos no autorizados, credenciales comprometidas o instrucciones de pago engañosas. Estos esquemas suelen consistir en manipular los pagos y engañar a los clientes y empresas para obtener información bancaria y redirigir los fondos.

¿Cuándo debes rastrear un pago ACH?

Un rastreo ACH ayuda a las instituciones financieras a hacer un seguimiento del estatus y la ubicación de los fondos en la red ACH mediante el número de rastreo exclusivo de 15 dígitos de una transacción.

Considera solicitar un rastreo a tu banco o procesador de pagos en las siguientes situaciones:

• Retrasos de pago inexplicables: Los fondos se han adeudado de la cuenta del emisor, pero el destinatario no ha recibido el depósito después del plazo de cobro estándar (normalmente de 1 a 3 días hábiles o más de 5 días hábiles para transferencias estándar).

• Sospecha de fraude o retiros no autorizados: Aparece un adeudo no reconocido en tu extracto bancario. El rastreo de la transacción identifica a la institución financiera de depósito originante (ODFI, por sus siglas en inglés) y el ID de la empresa, lo que permite a tu banco iniciar una devolución no autorizada (p. ej., código de devolución R10 o R29).

• Adeudos o créditos duplicados: Un fallo técnico, un error en el archivo por lotes o un envío doble provocan que transacciones idénticas se procesen más de una vez.

• Detalles de la cuenta o ruta incorrectos: Se inició una transferencia con información bancaria mal escrita y no se ha devuelto automáticamente como una transacción no contabilizable (p. ej., código de devolución R03 o R04).

• Disputas por la entrega a proveedores o de nóminas: Un proveedor, contratista o empleado informa de que no ha recibido el pago, a pesar de que el libro mayor del emisor muestra un desembolso completado. Proporcionar el ID de rastreo sirve como prueba formal de la transferencia, de modo que el banco receptor pueda localizar los fondos manualmente.

Cómo rastrear pagos ACH

Rastrear los pagos ACH puede ayudar a resolver problemas como la falta de recepción de fondos, los errores o las sospechas de fraude. Cuanto antes inicies un rastreo, más fácil será hacer un seguimiento preciso de los detalles.

Estos son los pasos para rastrear un pago ACH:

1. Reúne los detalles de pago
   Recopila la fecha exacta de la transacción, el importe en dólares, los números de cuenta/ruta de origen y recepción y tu ID de referencia interno.

2. Obtén el ID de rastreo ACH de 15 dígitos del remitente
   Si enviaste el pago, recupera el ID de rastreo de 15 dígitos de tu extracto bancario, el Dashboard del procesador de pagos o la ODFI. Si eres el destinatario, pide al remitente que solicite este número a su institución financiera.

3. Ponte en contacto con la institución financiera correspondiente

   1. Si eres el remitente: Pide a tu banco o procesador de pagos que inicie una petición formal de rastreo ACH a través de la red dirigida al banco receptor.
      
   2. Si eres el destinatario: Proporciona el ID de rastreo de 15 dígitos al equipo de operaciones de la ACH de tu banco, de forma que puedan buscar depósitos retenidos, pendientes o mal enrutados en las colas de compensación.
      

4. Revisa la resolución del rastreo y documenta los resultados
   Las investigaciones de rastreo ACH suelen tardar de 1 a 3 días hábiles. Una vez resueltas, revisa el estatus de la transacción en el informe, la marca de tiempo del cobro o el código de devolución específico de Nacha (p. ej., R01 por insuficiencia de fondos, R03 por número de cuenta incorrecto) y archiva el informe para los registros contables y de disputas.

¿Quién es responsable del fraude ACH?

La responsabilidad por el fraude ACH depende principalmente de si la cuenta comprometida pertenece a un cliente o a una empresa. En virtud de la Ley de Transferencias Electrónicas de Fondos (EFTA, por sus siglas en inglés), los clientes tienen amplias protecciones legales para los adeudos no autorizados que se denuncien dentro de los plazos requeridos. Las empresas se rigen por el Código Comercial Uniforme (UCC) y, por lo general, asumen la pérdida, a menos que la institución financiera no haya seguido los procedimientos de seguridad comercialmente razonables y acordados.

Así es como suele asignarse la responsabilidad en situaciones habituales como los adeudos no autorizados, el BEC o la apropiación de cuentas:

• Adeudos no autorizados: Los bancos reembolsan a los consumidores los adeudos no autorizados que se informen en un plazo de 60 días a partir de la transmisión del estado de cuenta periódico en virtud de la EFTA de los EE. UU. Las empresas tienen un margen de tiempo mucho más reducido para disputar adeudos no autorizados.

• BEC: La responsabilidad recae casi siempre en la empresa que autorizó el pago, ya que las instituciones financieras no son responsables de verificar la legitimidad subyacente de una orden de pago autorizada.

• ATO: Por lo general, los bancos cubren las pérdidas de los clientes que se reportan de inmediato. En el caso de las cuentas de empresa, la empresa asume la pérdida, a menos que el banco no haya proporcionado o no haya seguido procedimientos de seguridad «comercialmente razonables» en virtud del artículo 4A del UCC, un marco jurídico que determina quién asume las pérdidas derivadas de transferencias bancarias no autorizadas y de ciertos pagos de crédito ACH.

• Robo de datos: Las organizaciones que sufren vulneraciones se enfrentan a responsabilidades, sanciones reglamentarias y daños civiles si los datos bancarios de un cliente se han expuesto debido a controles de ciberseguridad inadecuados o al incumplimiento de la normativa del sector.

• Estafas de phishing: En el caso de los clientes, los adeudos no autorizados que resultan de credenciales robadas siguen protegidos en virtud del Reglamento E, una normativa de los EE. UU. que protege a los clientes contra las EFT no autorizadas. En el caso de las empresas, las pérdidas suelen recaer en la empresa cuyo empleado o sistema se ha visto comprometido.

• Amenazas internas: Las organizaciones son responsables de las pérdidas resultantes de empleados o contratistas deshonestos, especialmente cuando unos controles internos deficientes o la falta de autorización doble facilitaron el fraude.

• Fraude de kiting ACH: Los actores fraudulentos se enfrentan a una responsabilidad penal y civil directa. Las pérdidas interbancarias se asignan en función de las normas de Nacha, y las instituciones pueden ser responsables si no mantienen los umbrales requeridos para la supervisión de riesgos.

• Pagos falsos y fraude de facturas: La empresa emisora asume la pérdida por no verificar instrucciones de pago alteradas o facturas fraudulentas, ya que los bancos están protegidos legalmente cuando procesan órdenes de pago de acuerdo con los números de cuenta proporcionados.

Detección del fraude de ACH

La detección del fraude de ACH requiere una supervisión, revisión y intercambio de información diligentes.

Aquí explicamos lo que debes saber.

Supervisión de transacciones

Implementa software especializado que analice continuamente tus transacciones ACH en comparación con referencias establecidas y patrones históricos. La inteligencia artificial y el machine learning pueden aprender el comportamiento de pago habitual de tu empresa y marcar las transacciones potencialmente sospechosas basándose en patrones complejos que los humanos podrían pasar por alto. Los siguientes podrían ser indicios de un posible fraude.

• Direcciones IP o dispositivos inusuales asociados a transacciones

• Desviaciones en el volumen de transacciones o en los importes en comparación con las medias históricas

• Pagos a nuevos beneficiarios, especialmente a aquellos en ubicaciones geográficas de alto riesgo

• Horarios de transacción irregulares (fuera del horario comercial habitual)

• Solicitudes urgentes (p. ej., correos electrónicos o llamadas que exigen una acción inmediata) que presionan a las empresas para acelerar pagos o enviar dinero a cuentas desconocidas

• Incoherencias en los nombres, números de cuenta u otros detalles de una solicitud de pago

Revisar los procedimientos

• Escrutinio manual de transacciones de alto riesgo: Examina cuidadosamente las transacciones que marcan tus herramientas de monitorización. El personal especializado debe comprobar si existen irregularidades en los detalles del beneficiario, el historial de pagos y cualquier comunicación asociada.

• Auditorías aleatorias: Realiza auditorías aleatorias sobre un subconjunto de transacciones ACH. Aunque no descubras ningún fraude, algunos actores fraudulentos podrían disuadirse si saben que una empresa está escrutando de cerca las transacciones en cualquier momento.

• Análisis de devoluciones ACH: Monitoriza de cerca las devoluciones ACH. Las altas tasas de devolución pueden indicar adeudos no autorizados o información fraudulenta de los beneficiarios. Analiza los motivos de las devoluciones y busca patrones.

Prácticas para conocer a tus clientes (KYC)

• Verificación de clientes: Antes de iniciar pagos recurrentes o añadir nuevos beneficiarios, lleva a cabo la diligencia debida. Verifica las direcciones y la legitimidad de la empresa, y compruébalas en las listas de sanciones y en las bases de datos de fraude.

• Monitorización de relaciones: Comprueba con regularidad si hay cambios en el comportamiento del destinatario, el estilo de comunicación o la información actualizada de la cuenta bancaria que puedan indicar que una cuenta se ha visto comprometida.

Intercambio de información

• Colaboración bancaria: Mantén una comunicación abierta con el departamento de prevención de fraude de tu banco. Pueden alertarte de patrones de fraude emergentes y colaborar en las investigaciones.

• Redes del sector: Únete a asociaciones del sector y a redes de prevención de fraude. Compartir información sobre amenazas y prácticas recomendadas ayuda a todos a ir un paso por delante de los actores fraudulentos.

Plan de respuesta al fraude

No esperes a que ocurra un incidente para decidir qué hacer. Crea proactivamente un plan que incluya los siguientes pasos:

1. Mitiga daños mayores: congela las cuentas bancarias comprometidas, revoca las sesiones activas de los usuarios, restablece las credenciales de la banca electrónica y rota las API keys. Coloca bloqueos de adeudos ACH de emergencia y filtros de pago positivo en las cuentas afectadas para detener cualquier transacción saliente pendiente o programada.

2. Notifica al equipo de gestión de tesorería o fraude de tu banco: Ponte en contacto inmediatamente con el servicio de fraude o el gestor de relaciones de tesorería de tu banco. Proporciona los detalles de la transacción, solicita un rastreo ACH inmediato y pide al banco que inicie una solicitud de devolución no autorizada o una retirada en la institución receptora.

3. Ejecuta los protocolos de investigación y elaboración de informes internos: Documenta la línea temporal completa del incidente y conserva los logs. Informa a las partes interesadas internas, al asesoramiento jurídico y a los equipos de cumplimiento de la normativa para evaluar los requisitos de notificación en virtud de las leyes estatales y federales de protección de datos aplicables.

4. Presenta informes ante las fuerzas del orden y los organismos reguladores: Denuncia el incidente a las fuerzas del orden locales y presenta una queja en línea en el Centro de Denuncias de Delitos en Internet del FBI. Si la información de identificación personal o los registros financieros de un cliente quedaron expuestos, notifícalo a los fiscales generales estatales y a los organismos reguladores correspondientes dentro de los plazos requeridos.

Prevención del fraude de ACH

El fraude de ACH representa una amenaza importante para las empresas, incluida la pérdida de fondos y el daño a la reputación.

Así es como puedes fortalecer tus defensas y prevenir intentos de fraude ACH:

• MFA: Aplica la MFA para todos los inicios de sesión y transacciones financieras. Exige un paso de verificación adicional más allá de un simple nombre de usuario y contraseña. Esto reduce el riesgo de acceso no autorizado incluso si las credenciales de inicio de sesión se ven comprometidas.

• Pagos preautorizados: Este sistema de verificación de adeudos ACH permite a las empresas preautorizar a destinatarios e importes legítimos para los adeudos ACH. Cualquier desviación activa alertas para revisar antes de procesar, lo que previene retiradas fraudulentas.

• Formación del personal: Forma al personal para que reconozca los intentos de phishing, las tácticas de ingeniería social y las señales de alerta asociadas al fraude ACH. Edúcalos sobre los procedimientos adecuados para gestionar las transacciones ACH e informar sobre actividades sospechosas.

• Segregación de funciones: Implementa un sistema en el que diferentes empleados gestionen tareas como iniciar pagos, aprobar transacciones y conciliar cuentas. Esto reduce el riesgo de que un solo empleado manipule el sistema con fines fraudulentos.

• Monitorización en tiempo real: Utiliza herramientas de monitorización de transacciones en tiempo real para identificar anomalías y actividades sospechosas, y deténlas antes de que se procesen.

• Procedimientos de conciliación: Establece procedimientos minuciosos de conciliación para comparar los pagos esperados con los adeudos y abonos reales. Revisa regularmente los extractos bancarios e identifica cualquier discrepancia que pueda indicar una actividad fraudulenta.

• Cifrado de datos: Asegúrate de que todos los datos confidenciales, incluida la información de la cuenta y los registros financieros, estén cifrados en reposo y en tránsito. Esto hace que sea mucho más difícil para los actores fraudulentos robar información valiosa, incluso si vulneran tus sistemas.

• Controles de acceso: Implementa controles de acceso estrictos para los datos financieros y los sistemas de procesamiento ACH. Solo concede acceso en función de la necesidad de saber y utiliza políticas de contraseñas seguras con cambios de contraseña periódicos.

• Servicios de prevención de fraude: Considera la posibilidad de asociarte con especialistas en prevención de fraude que ofrezcan inteligencia avanzada sobre amenazas y servicios de monitorización. Estos servicios pueden proporcionar capas adicionales de seguridad y experiencia en la detección de intentos de fraude sofisticados.

• Participación en la red ACH: Participa en las iniciativas de mitigación de riesgos de la red ACH. Estas iniciativas ofrecen recursos y herramientas para identificar amenazas emergentes y prácticas recomendadas para combatir el fraude ACH.

Cómo puede ayudarte Stripe Radar

Stripe Radar ayuda a detectar el fraude y a impulsar el crecimiento gracias al uso de IA entrenada con datos de la red global de Stripe. Radar ayuda a proteger tu empresa del fraude a lo largo de todo el ciclo de vida del cliente antes de que afecte a tus resultados, al tiempo que te ayuda a aprobar a más clientes y pagos legítimos.

Estos son algunos de los beneficios de trabajar con Radar:

• Prevén pérdidas por fraude: La IA de Radar aprende de más de 1,9 billones de $ en transacciones anuales en toda la red global de Stripe, lo que le ayuda a identificar y bloquear patrones de fraude que las empresas individuales podrían no detectar por sí solas.

• Unifica la protección frente a los ataques de fraude en constante evolución: Radar reúne la protección contra el fraude en las transacciones, el fraude en las cuentas y el abuso de clientes en una sola solución, para que obtengas una protección unificada contra los principales tipos de fraude.

• Adáptate a medida que evoluciona el fraude: Radar se adapta de forma continua a los patrones de fraude cambiantes, desde el abuso de primera mano hasta las transacciones delegadas a agentes, y ayuda a proteger tu empresa contra las amenazas emergentes.

• Trabaja con tu pila tecnológica actual: Utiliza Radar con los pagos de Stripe sin necesidad de integración, o accede a la inteligencia de Radar a través de las API programables, independientemente de si procesas los pagos en Stripe o no.

Obtén más información sobre Stripe Radar o empieza hoy mismo.