Los pagos ACH son pagos electrónicos realizados a través de la red de la cámara de compensación automatizada (ACH), un sistema de transacciones financieras con sede en EE. UU. Este sistema maneja un gran volumen de transacciones, incluidos depósitos directos de empleadores, pagos a contratistas y proveedores, transacciones de consumidores, como facturas de servicios públicos y primas de seguros, y pagos de persona a persona.

Los pagos ACH se procesan en lotes y suelen tardar entre uno y tres días hábiles en completarse. Son una forma rentable para que las empresas envíen fondos sin usar cheques, transferencias electrónicas o redes de tarjetas de crédito. Primero, el originador inicia un pago, y luego su institución financiera lo procesa por lotes y a través de la red ACH a la cuenta bancaria del destinatario.

Sin embargo, este tipo de pago conlleva riesgos. En una encuesta de 2022, el 30 % de las empresas declaró haber sufrido fraude a través de adeudos ACH y créditos ACH. A continuación, explicamos cómo identificar los riesgos comunes de ACH, mitigarlos y abordar la mitigación de riesgos ACH con Stripe.

¿De qué trata este artículo?

• ¿Cómo funcionan los pagos ACH?
  
• Fraude en los pagos ACH
  
• Cómo identificar los riesgos comunes de ACH
  
• Cómo mitigar los riesgos de ACH
  
• Cumplimiento normativo y gestión de riesgos ACH
  
• Cómo abordar la mitigación de riesgos de ACH con Stripe
  

¿Cómo funcionan los pagos ACH?

Los pagos ACH se transfieren electrónicamente entre bancos a través de la red de la Cámara de Compensación Automatizada. Los pagos ACH son fiables y rentables, con comisiones más bajas que las transferencias electrónicas o los pagos con tarjeta de crédito, y son especialmente útiles para las transacciones recurrentes. Así es como suele funcionar el proceso.

• Autorización: el originador del pago primero debe obtener la autorización del beneficiario para iniciar una transacción de adeudo o crédito ACH. El beneficiario puede autorizarlo mediante un formulario firmado, un acuerdo de pago en línea o un acuerdo verbal.

• Inicio del pago: una vez autorizado, el originador del pago (que puede ser una empresa, un ente público o un particular) introducirá la información del pago en su sistema bancario. Estos datos incluyen el importe de la transacción, los datos de la cuenta bancaria del beneficiario y la fecha en la que debe producirse la transferencia.

• Procesamiento por lotes: el banco del originador agrega todas las transacciones ACH salientes en lotes en momentos predeterminados a lo largo del día. Luego envía estos lotes a uno de los operadores de ACH (ya sea la Reserva Federal o la Cámara de Compensación).

• Compensación: los operadores de ACH clasifican las transacciones y las dirigen al banco del destinatario, verifican la precisión de los detalles y aseguran que la cuenta del beneficiario sea válida para recibir los fondos.

• Liquidación: envíos de fondos desde la cuenta bancaria del originador a la cuenta bancaria del destinatario.

• Confirmación: tanto el originador como el destinatario reciben la confirmación de que la transacción ha sido procesada. Las empresas actualizan sus registros de cuentas por pagar o por cobrar según corresponda.

Fraude en los pagos ACH

Si bien los pagos ACH suelen ser seguros y cómodos, son susceptibles a ciertos tipos de fraude (como la mayoría de los métodos de envío electrónico de fondos). Estas son las formas más comunes en las que se produce el fraude en los pagos ACH:

• Transacciones no autorizadas: un actor fraudulento inicia pagos ACH desde la cuenta de la víctima sin su consentimiento. La cuenta bancaria y los números de ruta de la víctima pueden obtenerse a través de estafas de phishing, filtraciones de datos o malware.

• Fraude de apropiación de cuentas: un actor fraudulento obtiene acceso a las credenciales de online banking de la víctima y, luego, cambia la información de la cuenta para desviar los pagos ACH a su propia cuenta.

• Suplantación del correo electrónico empresarial (BEC): los estafadores se hacen pasar por una entidad de confianza, como un proveedor o un ejecutivo de la empresa, y engañan a los empleados para que realicen pagos ACH no autorizados a su cuenta.

• Suplantación de identidad de proveedores: al igual que BEC, los estafadores se hacen pasar por proveedores legítimos y envían facturas falsas, con la esperanza de engañar a las empresas para que realicen pagos ACH a la cuenta equivocada.

• Contracargos fraudulentos: un cliente puede hacer una compra legítima con ACH, pero luego afirmar falsamente que la transacción no fue autorizada y solicitar un contracargo, lo que resulta en una pérdida financiera para el vendedor.

• Fraude de empleados: los empleados con acceso a los sistemas financieros de una empresa pueden iniciar pagos ACH no autorizados para beneficio personal.

Cómo identificar los riesgos comunes de ACH

Monitorear las siguientes señales de posible fraude puede ayudarte a detener el fraude antes de que ocurra:

Fraude y suplantación de identidad de proveedores

• Cambios inesperados en la información del proveedor: ten cuidado si un proveedor cambia repentinamente los datos de su cuenta bancaria o la información de contacto. Verifica siempre estos cambios a través de un canal de comunicación separado y de confianza antes de iniciar cualquier pago.

• Correos electrónicos de facturas no solicitados: ten cuidado con los correos electrónicos de proveedores desconocidos o aquellos con direcciones de correo electrónico inusuales. Verifica la legitimidad de la factura poniéndote en contacto directamente con el proveedor mediante la información de contacto que se estableció previamente.

• Discrepancias en la factura: permanece atento a las inconsistencias en las facturas, como importes que no coinciden, logotipos diferentes o condiciones de pago inusuales. Vuelve a verificar estos detalles con las facturas o contratos anteriores.

Fraude de empleados y amenazas internas

• Comportamiento inusual de los empleados: presta atención a cualquier cambio repentino en el estilo de vida de un empleado, dificultades financieras o comportamiento reservado, especialmente en aquellos con acceso a sistemas financieros.

• Transacciones no autorizadas: revisa periódicamente los registros de transacciones de ACH para detectar pagos que parezcan fuera de lugar, como grandes cantidades enviadas a cuentas desconocidas o transacciones que se producen fuera del horario de trabajo habitual.

Ataques de phishing e ingeniería social

• Correos electrónicos sospechosos: ten cuidado con los correos electrónicos que transmiten una sensación de urgencia, te presionan para que tomes medidas inmediatas o contienen errores gramaticales y tipográficos. Verifica siempre la identidad del remitente antes de hacer clic en cualquier enlace o descargar archivos adjuntos.

• Solicitudes desconocidas: si recibes una solicitud inesperada de información confidencial, como datos de la cuenta bancaria o credenciales de inicio de sesión, no respondas directamente. Ponte en contacto con el supuesto remitente a través de un canal diferente para confirmar la legitimidad de la solicitud.

Cómo mitigar los riesgos de ACH

La implementación de las siguientes medidas de seguridad puede ayudar a mitigar los riesgos de ACH y prevenir el fraude antes de que ocurra.

Controles previos a la transacción

• Filtrado y bloqueo de transacciones: establece filtros que limiten las transacciones ACH en función de parámetros, como el importe en dólares, el tipo de transacción o el sitio geográfico. Las empresas también pueden configurar servicios de bloqueo de ACH para evitar que los adeudos ACH no autorizados se contabilicen en sus cuentas.

• Proceso de aprobación doble: implementa un sistema en el que se requieran varias aprobaciones para iniciar y completar transacciones. Esto debería implicar roles separados para la entrada, verificación y autorización de transacciones.

Autenticación y gestión de accesos

• Autenticación multifactor (MFA): solicita MFA para acceder a los sistemas financieros y realizar transacciones. Esto reduce el riesgo de apropiación de cuenta por credenciales comprometidas.

• Infraestructura financiera dedicada: utiliza ordenadores dedicados para transacciones financieras que no se utilicen para el correo electrónico o la navegación web a fin de minimizar el riesgo de phishing y malware.

Sistemas de detección y monitoreo del fraude

• Monitorización continua: utiliza herramientas de monitoreo avanzadas que analizan los patrones de transacciones en tiempo real para identificar y marcar las actividades inusuales para su posterior revisión.

• Algoritmos de detección de anomalías: implementa algoritmos de machine learning o basados en reglas que puedan identificar desviaciones de los patrones típicos de las transacciones, lo que puede ser un indicador temprano de fraude.

Medidas de seguridad de los datos

• Cifrado: cifra todos los datos relacionados con las transacciones ACH, tanto en reposo como en tránsito. Esto minimiza el impacto de posibles filtraciones de datos.

• Auditorías de seguridad periódicas: realiza auditorías periódicas de tus sistemas de TI y procesos empresariales para identificar y mitigar las vulnerabilidades.

Gestión de proveedores y terceros

• Evaluaciones de riesgos de terceros: evalúa periódicamente los protocolos de seguridad y cumplimiento de la normativa de los proveedores externos que tienen acceso a tus sistemas financieros o manejan información confidencial.

• Contratos de servicios y cumplimiento de la normativa: asegúrate de que todos los acuerdos con los proveedores incluyan cláusulas que los obliguen a cumplir con estándares específicos de seguridad y gestión de datos. Verifica su cumplimiento de la normativa a través de auditorías o evaluaciones.

Formación y concienciación de los empleados

• Formación regular: proporciona formación continua a los empleados sobre las últimas tendencias de fraude, tácticas de phishing y las mejores prácticas de seguridad.

• Simulaciones de phishing: realiza regularmente simulaciones de ataques de phishing para ayudar a los empleados a reconocer y reaccionar adecuadamente a los correos electrónicos maliciosos.

Formulación y cumplimiento de políticas

• Políticas claras de transacciones: formula políticas claras con respecto a las transacciones ACH, incluidos los procedimientos de iniciación, autorización y conciliación.

• Cumplimiento de la normativa: mantente actualizado y asegura el cumplimiento con las regulaciones y normas financieras pertinentes que rigen las transacciones ACH, tales como las establecidas por Nacha.

Respuesta y recuperación

• Plan de respuesta a incidentes: desarrolla un plan detallado de respuesta a incidentes que describa qué hacer en caso de un incidente de fraude de ACH. Este plan debe incluir procedimientos para notificar a las partes pertinentes, contener los daños y recuperar los fondos perdidos.

• Seguros cibernéticos: considera obtener un seguro cibernético para ayudar a cubrir las pérdidas financieras y los costes de recuperación asociados con un ciberataque o un incidente de fraude.

• Comunicación: en caso de que se produzca un incidente de fraude, comunícate de forma transparente con los clientes, empleados y otras partes interesadas. Aborda las inquietudes de manera proactiva y demuestra tu compromiso con la seguridad.

Cumplimiento normativo y gestión de riesgos ACH

Ciertos reglamentos y estándares rigen los pagos ACH. El cumplimiento de la normativa de estos requisitos ayuda a gestionar el riesgo ACH y a mantener la integridad de los sistemas de pago digital. Las siguientes son las directivas clave que rigen los pagos ACH.

• Reglas operativas de Nacha: Nacha gobierna la red ACH y sus operaciones, y las reglas operativas de Nacha proporcionan el marco para intercambiar y liquidar pagos ACH. El cumplimiento de estas normas es obligatorio para todas las instituciones financieras y empresas participantes.

• Ley de Secreto Bancario (BSA): La BSA tiene requisitos de presentación de informes y mantenimiento de registros que ayudan a identificar y prevenir actividades de blanqueo de capitales. Las empresas deben implementar procedimientos eficaces contra el blanqueo de capitales (AML) que incluyan la supervisión, la detección y la notificación de actividades sospechosas.

• Ley PATRIOT de EE. UU.: la Ley PATRIOT de EE. UU. se basa en los requisitos de la BSA al imponer regulaciones más estrictas sobre las transacciones financieras para disuadir el financiamiento del terrorismo. Incluye requisitos para la verificación de la identidad y una diligencia debida más estricta.

• Directrices del Consejo Federal de Examen de Instituciones Financieras (FFIEC): la FFIEC proporciona directrices sobre las prácticas de gestión de riesgos dentro de las instituciones financieras, incluidas las relacionadas con los pagos digitales y las transacciones ACH.

• Regulaciones de la Oficina para la Protección Financiera del Consumidor (CFPB): la CFPB supervisa la protección del consumidor en virtud de la Ley de Transferencias Electrónicas de Fondos (EFTA), que rige los derechos, responsabilidades y obligaciones de las partes involucradas en los envíos de fondos electrónicos.

Cómo abordar la mitigación de riesgos de ACH con Stripe

Cuando usas Stripe para pagos ACH, hay algunas herramientas que puedes usar y las mejores prácticas que puedas implementar para mitigar el riesgo de ACH.

Utiliza las herramientas de gestión de riesgos integradas de Stripe

• Stripe Radar: esta herramienta de prevención de fraude utiliza machine learning para evaluar el riesgo de cada pago ACH. Bloquea automáticamente las transacciones de alto riesgo y marca la actividad sospechosa para su revisión manual. Personaliza las reglas de Stripe Radar según las necesidades específicas de tu empresa, ajustando los umbrales para el valor de las transacciones, la velocidad y otros factores.

• Autorización de adeudo ACH: solicita a tus clientes que autoricen adeudos ACH a través de microdepósitos o verificación bancaria instantánea, lo que confirma la titularidad de la cuenta y reduce el riesgo de transacciones no autorizadas.

Mejora la diligencia debida con respecto al cliente (CDD)

• Verificación de la identidad: recoge y verifica información del cliente, como nombre, dirección y fecha de nacimiento mediante las herramientas de verificación de identidad de Stripe o de proveedores externos.

• Verificación de empresa: en el caso de las empresas, obtén y verifica la documentación pertinente, como licencias comerciales, números de identificación fiscal y actas de constitución.

• Autenticación basada en el riesgo: implementa medidas de autenticación más estrictas para los clientes o transacciones de alto riesgo, como exigir pasos de verificación adicionales o limitar los importes de las transacciones.

Monitorea y analiza los datos de las transacciones

• Dashboard de Stripe: revisa periódicamente el Dashboard de Stripe para obtener información sobre patrones de transacción, tasas de contracargos e indicadores de fraude.

• Informes personalizados: crea informes personalizados para analizar puntos de datos específicos, como tipos de transacciones, segmentos de clientes o ubicaciones geográficas, e identificar posibles áreas de riesgo.

• Herramientas de terceros: Considera la posibilidad de integrar Stripe con plataformas de detección y prevención de fraude de terceros para mejorar las funcionalidades de monitoreo y análisis.

Optimiza la gestión de disputas

• Resolución de conflictos: establece un proceso para gestionar las disputas ACH, que incluya responder a las consultas de los clientes, reunir pruebas y presentar tu caso ante Stripe o la institución financiera correspondiente.

• Prevención de disputas: aborda los posibles problemas de forma proactiva comunicándote con los clientes a través de los recordatorios automáticos por correo electrónico de Stripe Invoicing.

Mantente informado y adáptate

• Actualizaciones de Stripe: mantente al día con los últimos lanzamientos de productos de Stripe, mejoras de seguridad y mejores prácticas de gestión de riesgos.

• Stripe Sigma: si tienes un gran volumen de transacciones ACH o necesidades complejas de gestión de riesgos, explora Stripe Sigma para obtener funcionalidades avanzadas de análisis de datos e informes personalizados.

• Soporte de Stripe: utiliza los recursos de soporte de Stripe para obtener directrices sobre la implementación de las mejores prácticas y la resolución de problemas que puedan surgir.