Les paiements ACH (Automated Clearing House) sont des paiements électroniques qui transfèrent des fonds entre les comptes bancaires via le réseau ACH aux États-Unis. Ce système est géré par Nacha et facilite divers types de paiements, notamment les versements directs des employeurs, les paiements aux sous-traitants, le paiement automatique des factures et les transferts de pair à pair.

Comme d'autres types de paiements électroniques, les transferts ACH sont vulnérables à la fraude. En 2025, 76 % des organisations ont été confrontées à des fraudes aux paiements, réelles ou tentées, tandis que 30 % des personnes interrogées ont signalé des fraudes impliquant des prélèvements ACH.

Nous expliquons ci-dessous ce qu'il faut savoir sur la fraude ACH, notamment les méthodes de fraude courantes, la responsabilité en cas de fraude ACH, ainsi que la prévention et la détection de la fraude ACH.

Sommaire

• Types de fraudes ACH
  
• Quand faut-il tracer un paiement ACH ?
  
• Comment tracer les paiements ACH
  
• Qui est responsable de la fraude ACH ?
  
• Détection de la fraude ACH
  
• Prévention de la fraude ACH
  
• Comment Stripe Radar peut vous aider
  

Types de fraudes ACH

La fraude ACH exploite les vulnérabilités des transferts électroniques de fonds (EFT) par le biais de prélèvements non autorisés, d'identifiants compromis ou d'instructions de paiement trompeuses. Ces stratagèmes impliquent généralement de manipuler les paiements et de tromper les clients et les entreprises pour obtenir des informations bancaires et réacheminer les fonds.

Quand faut-il tracer un paiement ACH ?

Une trace ACH aide les institutions financières à suivre le statut et l'emplacement des fonds sur l'ensemble du réseau ACH à l'aide du numéro de trace unique à 15 chiffres d'une transaction.

Envisagez de demander une trace à votre banque ou à votre prestataire de services de paiement dans les situations suivantes :

• Retards de paiement inexpliqués : Les fonds ont été débités du compte de l'émetteur, mais le destinataire n'a pas reçu le versement après la période de règlement standard (généralement 1 à 3 jours ouvrables, ou plus de 5 jours ouvrables pour les transferts standard).

• Suspicion de fraude ou retraits non autorisés : Un prélèvement non reconnu apparaît sur votre relevé de compte. Le traçage de la transaction permet d'identifier l'institution financière dépositaire d'origine (ODFI) et l'identifiant de l'entreprise, ce qui permet à votre banque d'initier un retour non autorisé (par exemple, code de retour R10 ou R29).

• Prélèvements ou crédits en double : Un problème technique, une erreur de fichier de lot ou une double soumission entraîne le traitement de transactions identiques à plusieurs reprises.

• Détails de compte ou d'acheminement incorrects : Un transfert a été initié avec des informations bancaires mal saisies et n'a pas été automatiquement rejeté comme une transaction impossible à comptabiliser (par exemple, code de retour R03 ou R04).

• Litiges relatifs aux paiements de fournisseurs ou à la paie : Un fournisseur, un sous-traitant ou un membre du personnel signale la non-réception du paiement, bien que le registre de l'émetteur indique un décaissement terminé. La fourniture de l'identifiant de trace sert de preuve formelle de transfert, afin que la banque de réception puisse localiser les fonds manuellement.

Suivre les paiements ACH

Le traçage des paiements ACH permet de résoudre des problèmes tels que la non-réception de fonds, les erreurs ou les suspicions de fraude. Plus vous initiez une trace rapidement, plus il est facile de suivre les détails avec précision.

Voici les étapes à suivre pour tracer un paiement ACH :

1. Recueillir les détails du paiement
   Compilez la date exacte de la transaction, le montant en dollars, les numéros de compte et d'acheminement d'origine et de réception, ainsi que votre identifiant de référence interne.

2. Obtenir l'identifiant de trace ACH à 15 chiffres auprès de l'expéditeur
   Si vous avez envoyé le paiement, récupérez l'identifiant de trace à 15 chiffres sur vos relevés bancaires, le Dashboard de votre prestataire de services de paiement ou votre ODFI. Si vous êtes le bénéficiaire, demandez à l'expéditeur d'obtenir ce numéro auprès de son institution financière.

3. Contacter l'institution financière concernée

   1. Si vous êtes l'expéditeur : Demandez à votre banque ou à votre prestataire de services de paiement d'initier une requête de trace ACH formelle via le réseau auprès de la banque de réception.
      
   2. Si vous êtes le bénéficiaire : Fournissez l'identifiant de trace à 15 chiffres à l'équipe des opérations ACH de votre banque afin qu'elle puisse rechercher les versements bloqués, en attente ou mal acheminés dans les files d'attente de compensation.
      

4. Examiner la résolution de la trace et consigner les résultats
   Les enquêtes de trace ACH prennent généralement 1 à 3 jours ouvrables. Une fois résolues, examinez le rapport pour vérifier le statut de la transaction, l'horodatage du règlement ou le code de retour Nacha spécifique (par exemple, R01 pour fonds insuffisants, R03 pour numéro de compte incorrect), puis archivez le rapport pour les dossiers comptables et les litiges.

Qui est responsable de la fraude ACH ?

La responsabilité de la fraude ACH dépend principalement du fait que le compte compromis appartient à un client ou à une entreprise. En vertu de l'Electronic Fund Transfer Act (EFTA), les clients bénéficient de larges protections légales pour les prélèvements non autorisés signalés dans les délais impartis. Les entreprises sont régies par l'Uniform Commercial Code et supportent généralement la perte, sauf si l'institution financière n'a pas respecté les procédures de sécurité convenues et commercialement raisonnables.

Voici comment la responsabilité est généralement attribuée dans des scénarios courants tels que les prélèvements non autorisés, la BEC ou la prise de contrôle de compte :

• Prélèvements non autorisés : Les banques remboursent les consommateurs pour les prélèvements non autorisés signalés dans les 60 jours suivant la transmission du relevé périodique en vertu de l'EFTA des États-Unis. Les entreprises disposent d'un délai beaucoup plus court pour contester les prélèvements non autorisés.

• BEC : La responsabilité incombe presque toujours à l'entreprise qui a autorisé le paiement, car les institutions financières ne sont pas responsables de la vérification de la légitimité sous-jacente d'un ordre de paiement autorisé.

• ATO : Les banques couvrent généralement les pertes des clients signalées rapidement. Pour les comptes d'entreprise, l'entreprise supporte la perte, sauf si la banque n'a pas fourni ou suivi des procédures de sécurité « commercialement raisonnables » en vertu du UCC 4A, un cadre juridique qui détermine qui supporte les pertes liées aux virements non autorisés et à certains paiements de crédit ACH.

• Vol de données : Les organisations qui subissent des violations font face à des responsabilités, des pénalités réglementaires et des dommages civils si les coordonnées bancaires d'un client ont été exposées en raison de contrôles de cybersécurité inadéquats ou d'une non-conformité aux normes du secteur.

• Escroqueries par hameçonnage : Pour les clients, les prélèvements non autorisés résultant du vol d'identifiants restent protégés en vertu de la Regulation E, une réglementation des États-Unis qui protège les clients contre les EFT non autorisés. Pour les entreprises, les pertes incombent généralement à la société dont le personnel ou le système a été compromis.

• Menaces internes : Les organisations sont responsables des pertes résultant d'actes malveillants de la part du personnel ou de sous-traitants, en particulier lorsque la faiblesse des contrôles internes ou l'absence de double autorisation a permis la fraude.

• ACH kiting : Les fraudeurs font face à une responsabilité civile et pénale directe. Les pertes interbancaires sont réparties selon les règles de Nacha, les institutions pouvant être tenues responsables si elles ne maintiennent pas les seuils de surveillance des risques requis.

• Faux paiements et fraude à la facture : L'entreprise émettrice supporte la perte si elle ne vérifie pas les instructions de paiement modifiées ou les factures frauduleuses, car les banques sont légalement protégées lorsqu'elles traitent les ordres de paiement en fonction des numéros de compte fournis.

Détecter les fraudes ACH

Pour détecter les fraudes ACH, vous devez surveiller, examiner et partager les informations avec rigueur.

Voici tout ce que vous devez savoir à ce sujet.

Suivi des transactions

Mettez en œuvre un logiciel spécialisé qui analyse en permanence vos transactions ACH par rapport aux bases de référence établies et aux modèles historiques. L'intelligence artificielle et le machine learning peuvent apprendre le comportement de paiement habituel de votre entreprise et signaler les transactions potentiellement suspectes en fonction de modèles complexes qui pourraient échapper à l'attention humaine. Les éléments suivants peuvent être des signes de fraude potentielle :

• adresses IP ou appareils inhabituels associés aux transactions ;

• écarts de volume ou de montant des transactions par rapport aux moyennes historiques ;

• paiements à de nouveaux bénéficiaires, en particulier ceux situés dans des zones géographiques à haut risque ;

• heures de transaction irrégulières (en dehors des heures de bureau standard) ;

• demandes urgentes (par exemple, des e-mails ou des appels exigeant une action immédiate) faisant pression sur les entreprises pour qu'elles accélèrent les paiements ou envoient de l'argent sur des comptes inconnus ;

• incohérences dans les noms, les numéros de compte ou d'autres détails au sein d'une requête de paiement.

Procédures de vérification

• examen manuel des transactions à haut risque : examinez attentivement les transactions signalées par vos outils de surveillance. Le personnel dédié doit vérifier les irrégularités dans les détails du bénéficiaire, l'historique des paiements et toutes les communications associées ;

• audits ponctuels : effectuez des audits aléatoires sur un sous-ensemble de transactions ACH. Même si vous ne découvrez aucune fraude, certains fraudeurs peuvent être dissuadés s'ils savent qu'une entreprise examine attentivement les transactions à tout moment ;

• analyse des retours ACH : surveillez de près les retours ACH. Des taux de retour élevés peuvent indiquer des débits non autorisés ou des informations de bénéficiaire frauduleuses. Analysez les raisons des retours et recherchez des tendances ;

Pratiques KYC (Know Your Customer)

• vérification des clients : avant de lancer des paiements récurrents ou d'ajouter de nouveaux bénéficiaires, exercez votre devoir de vigilance. Vérifiez les adresses et la légitimité des entreprises, et consultez les listes de sanctions et les bases de données sur les fraudes ;

• surveillance des relations : vérifiez régulièrement les changements dans le comportement du bénéficiaire, son style de communication ou les mises à jour des informations de compte bancaire qui pourraient indiquer qu'un compte a été compromis ;

Partage d’informations

• collaboration avec les banques : maintenez une communication ouverte avec le service de prévention de la fraude de votre banque. Il peut vous alerter sur les nouveaux modèles de fraude et collaborer aux enquêtes ;

• réseaux du secteur : rejoignez des associations sectorielles et des réseaux de prévention de la fraude. Le partage des renseignements sur les menaces et des bonnes pratiques permet à chacun de garder une longueur d'avance sur les fraudeurs.

Plan de réponse en cas de fraude

N'attendez pas qu'un incident se produise pour décider de la marche à suivre. Créez de manière proactive un plan qui comprend les étapes suivantes :

1. Atténuez les dommages supplémentaires : gelez les comptes bancaires compromis, révoquez les sessions d'utilisateurs actives, réinitialisez les identifiants de services bancaires en ligne et procédez à la rotation des clés d'API. Placez des blocages de débit ACH d'urgence et des filtres de paiement positif sur les comptes concernés pour interrompre toute transaction sortante en attente ou planifiée ;

2. Informez l'équipe de gestion de la trésorerie ou de la fraude de votre banque : contactez immédiatement le guichet dédié à la fraude ou le responsable des relations de trésorerie de votre banque. Fournissez les détails de la transaction, demandez un suivi ACH immédiat et demandez à la banque d'initier une requête de retour non autorisé ou un rappel auprès de l'institution réceptrice ;

3. Exécutez les protocoles internes de signalement et d'enquête : documentez l'historique complet de l'incident et conservez les logs. Informez les parties prenantes internes, les conseillers juridiques et les équipes de conformité afin d'évaluer les obligations de signalement en vertu des lois nationales et fédérales applicables en matière de protection des données ;

4. Déposez des rapports auprès des forces de l'ordre et des organismes de réglementation : signalez l'incident aux forces de l'ordre locales et soumettez une réclamation en ligne à l'Internet Crime Complaint Center du FBI. Si les informations d'identification personnelle ou les dossiers financiers d'un client ont été exposés, informez les procureurs généraux des États et les organismes de réglementation compétents dans les délais impartis.

Prévention des fraudes ACH

La fraude ACH peut avoir des conséquences graves pour une entreprise (perte de fonds ou atteinte à la réputation, par exemple).

Voici comment renforcer vos défenses et prévenir les tentatives de fraude ACH :

• MFA : appliquez la MFA pour toutes les connexions et transactions financières. Exigez une étape de vérification supplémentaire au-delà du simple nom d'utilisateur et du mot de passe. Cela réduit le risque d'accès non autorisé, même si les identifiants de connexion sont compromis ;

• paiements préautorisés : ce système de vérification des débits ACH permet aux entreprises de préautoriser les bénéficiaires et les montants légitimes pour les débits ACH. Tout écart déclenche des alertes pour examen avant traitement, ce qui empêche les retraits frauduleux ;

• formation du personnel : formez le personnel à reconnaître les tentatives de hameçonnage, les tactiques d'ingénierie sociale et les signaux d'alarme associés à la fraude ACH. Informez-le des procédures appropriées pour le traitement des transactions ACH et le signalement des activités suspectes ;

• séparation des tâches : mettez en place un système dans lequel différents employés gèrent des tâches telles que l'initiation des paiements, l'approbation des transactions et le rapprochement des comptes. Cela réduit le risque qu'un seul employé manipule le système à des fins frauduleuses ;

• surveillance en temps réel : utilisez des outils de surveillance des transactions en temps réel pour identifier les anomalies et les activités suspectes, et les bloquer avant qu'elles ne soient traitées ;

• procédures de rapprochement : établissez des procédures de rapprochement approfondies pour comparer les paiements attendus aux débits et crédits réels. Examinez régulièrement les relevés bancaires et identifiez toute divergence pouvant indiquer une activité frauduleuse ;

• chiffrement des données : assurez-vous que toutes les données sensibles, y compris les informations de compte et les dossiers financiers, font l'objet d'un chiffrement au repos et en transit. Il est ainsi beaucoup plus difficile pour les fraudeurs de voler des informations précieuses, même s'ils s'introduisent dans vos systèmes ;

• contrôles d'accès : mettez en œuvre des contrôles d'accès stricts pour les données financières et les systèmes de traitement ACH. N'accordez l'accès qu'en cas de besoin absolu et utilisez des politiques de mot de passe fortes avec des changements réguliers ;

• services de prévention de la fraude : envisagez de vous associer à des spécialistes de la prévention de la fraude qui offrent des services de renseignement sur les menaces et de surveillance avancés. Ces services peuvent fournir des niveaux de sécurité et une expertise supplémentaires pour détecter les tentatives de fraude sophistiquées ;

• participation au réseau ACH : participez aux initiatives d'atténuation des risques du réseau ACH. Ces initiatives offrent des ressources et des outils pour identifier les nouvelles menaces et les bonnes pratiques pour lutter contre la fraude ACH.

Comment Stripe Radar peut vous aider

Stripe Radar aide à détecter la fraude et à débloquer la croissance, à l'aide d'une IA entraînée sur les données du réseau mondial de Stripe. Radar aide à protéger votre entreprise contre la fraude tout au long du cycle de vie du client avant qu'elle n'affecte vos résultats, tout en vous aidant à approuver un plus grand nombre de clients et de paiements légitimes.

Radar peut aider votre entreprise à :

• prévention des pertes liées à la fraude : l'IA de Radar s'appuie sur plus de 1 900 milliards de dollars de transactions annuelles sur l'ensemble du réseau mondial de Stripe, ce qui l'aide à identifier et à bloquer les modèles de fraude que les entreprises individuelles pourraient ne pas détecter par elles-mêmes ;

• unification de la protection contre les attaques de fraude en constante évolution : Radar réunit la protection contre la fraude aux transactions, la fraude aux comptes et les abus de clients en une seule solution, afin que vous bénéficiiez d'une protection unifiée contre les principaux types de fraude ;

• adaptation à l'évolution de la fraude : Radar s'adapte en permanence à l'évolution des modèles de fraude, de la fraude à l'amiable aux transactions générées par des agents, contribuant ainsi à protéger votre entreprise contre les nouvelles menaces ;

• fonctionnement avec votre pile technologique existante : utilisez Radar avec les paiements Stripe sans aucune intégration nécessaire, ou accédez à l'intelligence de Radar via des API programmables, que vous traitiez des paiements sur Stripe ou non.

En savoir plus sur Stripe Radar, ou démarrez dès aujourd’hui.