I pagamenti ACH (Automated Clearing House) sono pagamenti elettronici che spostano fondi tra conti bancari utilizzando la rete ACH negli Stati Uniti. Questo sistema è gestito da Nacha e agevola una varietà di tipi di pagamento, tra cui depositi diretti dai datori di lavoro, pagamenti agli appaltatori, pagamenti automatici delle fatture e trasferimenti peer-to-peer.

Come altri tipi di pagamenti elettronici, i trasferimenti ACH sono vulnerabili alla frode. Nel 2025, il 76% delle organizzazioni ha affrontato frodi relative ai pagamenti, effettive o tentate, mentre il 30% degli intervistati ha segnalato frodi riguardanti addebiti ACH.

Di seguito spiegheremo cosa devi sapere sulla frode ACH, inclusi i metodi di frode più comuni, la responsabilità in caso di frode ACH e come prevenire e rilevare la frode ACH.

Contenuto dell'articolo

• Tipi di frode ACH
  
• Quando è necessario tracciare un pagamento ACH?
  
• Come tracciare i pagamenti ACH
  
• Chi è responsabile della frode ACH?
  
• Rilevamento della frode ACH
  
• Prevenzione delle frodi ACH
  
• In che modo Stripe Radar può essere d'aiuto
  

Tipi di frode ACH

La frode ACH sfrutta le vulnerabilità dei trasferimenti elettronici di fondi (EFT) attraverso addebiti non autorizzati, credenziali compromesse o istruzioni di pagamento ingannevoli. Questi schemi in genere comportano la manipolazione dei pagamenti e l'inganno di clienti e attività per ottenere informazioni bancarie e reindirizzare i fondi.

Quando è necessario tracciare un pagamento ACH?

Un tracciamento ACH aiuta gli istituti finanziari a monitorare lo stato e la posizione dei fondi sulla rete ACH utilizzando il numero di tracciamento univoco a 15 cifre di una transazione.

Prendi in considerazione la possibilità di richiedere un tracciamento alla tua banca o all'elaboratore del pagamento nelle seguenti situazioni:

• Ritardi inspiegabili dei pagamenti: i fondi sono stati addebitati sull'account dell'ordinante, ma il destinatario non ha ricevuto il deposito dopo la finestra di regolamento standard (in genere 1-3 giorni lavorativi o più di 5 giorni lavorativi per i trasferimenti standard).

• Sospetta frode o prelievi non autorizzati: sull'estratto conto appare un addebito non riconosciuto. Il tracciamento della transazione identifica l'ODFI (Originating Depository Financial Institution) e l'ID dell'azienda, consentendo alla tua banca di avviare uno storno non autorizzato (ad es. codice di storno R10 o R29).

• Addebiti o accrediti duplicati: un problema tecnico, un errore del file batch o un doppio invio fa sì che transazioni identiche vengano elaborate più di una volta.

• Dettagli di account o di routing errati: è stato avviato un trasferimento con informazioni bancarie digitate in modo errato e non è stato automaticamente respinto come transazione non registrabile (ad es. codice di storno R03 o R04).

• Contestazioni di fornitura o di erogazione delle retribuzioni: un fornitore, un appaltatore o un dipendente segnala la mancata ricezione del pagamento, sebbene il registro dell'ordinante mostri un esborso completato. Fornire l'ID di tracciamento funge da prova formale del trasferimento in modo che la banca ricevente possa individuare manualmente i fondi.

Come tracciare i pagamenti ACH

Il tracciamento dei pagamenti ACH può aiutare a risolvere problemi come la mancata ricezione di fondi, errori o sospette frodi. Prima si avvia un tracciamento, più è facile tracciare i dettagli in modo accurato.

Ecco i passaggi per tracciare un pagamento ACH:

1. Raccogli i dettagli del pagamento
   Raccogli la data esatta della transazione, l'importo in dollari, i numeri di routing e di account di origine e di destinazione e il tuo ID di riferimento interno.

2. Ottieni l'ID di tracciamento ACH a 15 cifre dal mittente
   Se hai inviato il pagamento, recupera l'ID di tracciamento a 15 cifre dal tuo estratto conto, dalla Dashboard dell'elaboratore del pagamento o dall'ODFI. Se sei il destinatario, chiedi al mittente di ottenere questo numero dal proprio istituto finanziario.

3. Contatta l'istituto finanziario competente

   1. Se sei il mittente: chiedi alla tua banca o all'elaboratore del pagamento di avviare una richiesta formale di tracciamento ACH attraverso la rete verso la banca ricevente.
      
   2. Se sei il destinatario: fornisci l'ID di tracciamento a 15 cifre al team operativo ACH della tua banca, in modo che possa cercare nelle code di compensazione eventuali depositi trattenuti, in sospeso o instradati in modo errato.
      

4. Esamina la risoluzione del tracciamento e documenta i risultati
   Le indagini di tracciamento ACH in genere richiedono 1-3 giorni lavorativi. Una volta risolte, esamina il report per verificare lo stato della transazione, il timestamp di regolamento dei pagamenti o il codice di storno Nacha specifico (ad es. R01 per fondi insufficienti, R03 per numero di account errato) e archivia il report per la contabilità e i registri delle contestazioni.

Chi è responsabile della frode ACH?

La responsabilità della frode ACH dipende principalmente dal fatto che l'account compromesso appartenga a un cliente o a un'attività. In base all'Electronic Fund Transfer Act (EFTA), i clienti godono di ampie tutele legali per gli addebiti non autorizzati segnalati entro i tempi richiesti. Le attività sono regolate dallo Uniform Commercial Code e in genere si assumono la perdita, a meno che l'istituto finanziario non abbia mancato di seguire procedure di sicurezza concordate e commercialmente ragionevoli.

Ecco come viene solitamente assegnata la responsabilità in scenari comuni come addebiti non autorizzati, BEC o acquisizione di account:

• Addebiti non autorizzati: le banche rimborsano i consumatori per gli addebiti non autorizzati segnalati entro 60 giorni dalla trasmissione dell'estratto conto periodico ai sensi dell'EFTA degli Stati Uniti. Le attività hanno una finestra di tempo molto più ristretta per contestare gli addebiti non autorizzati.

• BEC: la responsabilità ricade quasi sempre sull'attività che ha autorizzato il pagamento, poiché gli istituti finanziari non sono responsabili della verifica della legittimità sottostante di un ordine di pagamento autorizzato.

• ATO: le banche in genere coprono le perdite dei clienti segnalate tempestivamente. Per gli account aziendali, l'attività si assume la perdita, a meno che la banca non abbia fornito o seguito procedure di sicurezza "commercialmente ragionevoli" ai sensi dell'UCC 4A, un quadro di carattere giuridico che determina chi si assume le perdite derivanti da bonifici non autorizzati e da determinati pagamenti di credito ACH.

• Furto di dati: le organizzazioni che subiscono violazioni affrontano responsabilità, sanzioni normative e danni civili se i dati bancari di un cliente sono stati esposti a causa di controlli di sicurezza informatica inadeguati o di mancata conformità agli standard del settore.

• Truffe di phishing: per i clienti, gli addebiti non autorizzati derivanti dal furto di credenziali rimangono protetti dalla Regulation E, una normativa degli Stati Uniti che protegge i clienti dagli EFT non autorizzati. Per le attività, le perdite in genere ricadono sull'azienda il cui dipendente o sistema è stato compromesso.

• Minacce interne: le organizzazioni sono responsabili delle perdite derivanti da dipendenti o appaltatori disonesti, in particolare quando controlli interni deboli o la mancanza di una doppia autorizzazione hanno consentito la frode.

• ACH kiting: i truffatori affrontano responsabilità penali e civili dirette. Le perdite interbancarie vengono ripartite in base alle regole Nacha, e gli istituti sono potenzialmente responsabili se non riescono a mantenere le soglie richieste per il monitoraggio dei rischi.

• Pagamenti falsi e frodi sulle fatture: l'azienda mittente si assume la perdita per non aver verificato le istruzioni di pagamento alterate o le fatture fraudolente, poiché le banche sono legalmente protette quando elaborano gli ordini di pagamento in base ai numeri di account forniti.

Rilevamento di frodi ACH

Per individuare le frodi ACH, è necessario monitorare, esaminare e condividere le informazioni in modo diligente.

Ecco tutto quello che c'è da sapere:

Monitoraggio delle transazioni

Implementa software specializzati che analizzano costantemente le tue transazioni ACH rispetto a baseline stabilite e modelli storici. L'intelligenza artificiale e il machine learning possono apprendere il comportamento di pagamento tipico della tua attività e segnalare transazioni potenzialmente sospette in base a modelli complessi che potrebbero sfuggire agli esseri umani. I seguenti potrebbero essere segnali di potenziale frode.

• Indirizzi IP o dispositivi insoliti associati alle transazioni

• Deviazioni nel volume o negli importi delle transazioni rispetto alle medie storiche

• Pagamenti a nuovi beneficiari, in particolare quelli in aree geografiche ad alto rischio

• Orari delle transazioni irregolari (al di fuori del normale orario di lavoro)

• Richieste urgenti (ad es. email o chiamate che richiedono un'azione immediata) che mettono sotto pressione le attività affinché accelerino i pagamenti o inviino denaro a conti sconosciuti

• Incongruenze in nomi, numeri di conto o altri dettagli all'interno di una richiesta di pagamento

Procedure di revisione

• Controllo manuale delle transazioni ad alto rischio: esamina attentamente le transazioni segnalate dai tuoi strumenti di monitoraggio. Il personale dedicato dovrebbe verificare la presenza di irregolarità nei dettagli dei beneficiari, nella cronologia dei pagamenti e in eventuali comunicazioni associate.

• Verifiche a campione: conduci verifiche casuali su un sottoinsieme di transazioni ACH. Anche se non si scopre alcuna frode, alcuni soggetti malintenzionati potrebbero essere scoraggiati se sanno che un'attività esamina attentamente le transazioni in qualsiasi momento.

• Analisi dei resi ACH: monitora attentamente i resi ACH. Tassi di reso elevati possono indicare addebiti non autorizzati o informazioni fraudolente sui beneficiari. Analizza i motivi dei resi e cerca schemi ricorrenti.

Pratiche di adeguata verifica della clientela

• Verifica del cliente: prima di avviare pagamenti ricorrenti o aggiungere nuovi beneficiari, conduci la dovuta due diligence. Verifica gli indirizzi e la legittimità dell'attività ed effettua controlli incrociati con gli elenchi delle sanzioni e i database delle frodi.

• Monitoraggio delle relazioni: verifica regolarmente l'eventuale presenza di cambiamenti nel comportamento del destinatario, nello stile di comunicazione o nelle informazioni del conto bancario aggiornate che potrebbero indicare la compromissione di un conto.

Condivisione delle informazioni

• Collaborazione bancaria: mantieni una comunicazione aperta con il reparto di prevenzione delle frodi della tua banca. Possono avvisarti di modelli di frode emergenti e collaborare alle indagini.

• Reti di settore: unisciti ad associazioni di settore e reti per la prevenzione delle frodi. La condivisione di informazioni sulle minacce e best practice aiuta tutti a rimanere un passo avanti rispetto ai soggetti malintenzionati.

Piano di risposta alle frodi

Non aspettare che si verifichi un incidente per decidere cosa fare. Crea proattivamente un piano che includa i passaggi seguenti:

1. Mitiga ulteriori danni: blocca i conti bancari compromessi, revoca le sessioni utente attive, reimposta le credenziali di online banking e ruota le chiavi API. Inserisci blocchi di emergenza per gli addebiti ACH e filtri positive pay sui conti interessati per interrompere qualsiasi transazione in uscita in sospeso o programmata.

2. Informa il team di gestione delle frodi o della tesoreria della tua banca: contatta immediatamente lo sportello antifrode dedicato della tua banca o il responsabile delle relazioni di tesoreria. Fornisci i dettagli della transazione, richiedi un tracciamento ACH immediato e chiedi alla banca di avviare una richiesta di restituzione per transazione non autorizzata o un richiamo presso l'istituto ricevente.

3. Esegui i protocolli di segnalazione e indagine interni: documenta la cronologia completa dell'incidente e conserva i log. Informa le parti interessate interne, i consulenti legali e i team di compliance per valutare i requisiti di segnalazione previsti dalle leggi statali e federali applicabili in materia di protezione dei dati.

4. Invia segnalazioni alle forze dell'ordine e alle agenzie di regolamentazione: segnala l'incidente alle forze dell'ordine locali e presenta un reclamo online all'Internet Crime Complaint Center dell'FBI. Se sono state esposte informazioni di identificazione personale o registri finanziari di un cliente, informa i procuratori generali dello stato e gli organismi di regolamentazione competenti entro le tempistiche richieste.

Prevenzione delle frodi ACH

Le frodi ACH rappresentano una minaccia significativa per le attività, tra cui perdita di fondi e danni alla reputazione.

Ecco come fortificare le tue difese e prevenire i tentativi di frode ACH:

• MFA: applica l'MFA per tutti gli accessi e le transazioni finanziarie. Richiedi un passaggio di verifica aggiuntivo oltre al semplice nome utente e password. Questo riduce il rischio di accessi non autorizzati anche in caso di compromissione delle credenziali di accesso.

• Pagamenti preautorizzati: questo sistema di verifica degli addebiti ACH consente alle attività di preautorizzare destinatari e importi legittimi per gli addebiti ACH. Eventuali deviazioni attivano avvisi di revisione prima dell'elaborazione, prevenendo prelievi fraudolenti.

• Formazione del personale: forma il personale a riconoscere i tentativi di phishing, le tattiche di ingegneria sociale e i segnali di allarme associati alle frodi ACH. Istruiscilo sulle procedure corrette per la gestione delle transazioni ACH e la segnalazione di attività sospette.

• Separazione delle mansioni: implementa un sistema in cui dipendenti diversi gestiscono attività come l'avvio di pagamenti, l'approvazione di transazioni e la riconciliazione dei conti. Questo riduce il rischio che un singolo dipendente manipoli il sistema per scopi fraudolenti.

• Monitoraggio in tempo reale: utilizza strumenti di monitoraggio delle transazioni in tempo reale per identificare anomalie e attività sospette e fermarle prima che vengano elaborate.

• Procedure di riconciliazione: stabilisci procedure di riconciliazione approfondite per confrontare i pagamenti previsti con gli addebiti e gli accrediti effettivi. Esamina regolarmente gli estratti conto bancari e identifica eventuali discrepanze che potrebbero indicare attività fraudolente.

• Crittografia dei dati: assicurati che tutti i dati sensibili, incluse le informazioni sui conti e i registri finanziari, siano crittografati a riposo e in transito. Questo rende molto più difficile per i soggetti malintenzionati rubare informazioni preziose anche in caso di violazione dei tuoi sistemi.

• Controlli degli accessi: implementa controlli rigorosi degli accessi per i dati finanziari e i sistemi di elaborazione ACH. Concedi l'accesso solo in base al principio della necessità di sapere e utilizza policy per password complesse, prevedendo modifiche regolari delle stesse.

• Servizi per la prevenzione delle frodi: valuta la possibilità di collaborare con specialisti della prevenzione delle frodi che offrono servizi avanzati di intelligence sulle minacce e monitoraggio. Questi servizi possono fornire ulteriori livelli di sicurezza e competenza nel rilevamento di tentativi di frode sofisticati.

• Partecipazione alla rete ACH: partecipa alle iniziative di mitigazione del rischio della rete ACH. Queste iniziative offrono risorse e strumenti per identificare le minacce emergenti e le best practice per combattere le frodi ACH.

In che modo Stripe Radar può esserti utile

Stripe Radar è in grado di prevenire le frodi sfruttando modelli di intelligenza artificiale addestrati con i dati della rete globale di Stripe. Questi modelli vengono costantemente aggiornati in base alle ultime tendenze, proteggendo continuamente la tua attività da sistemi di frode in continua evoluzione.

Con Radar puoi:

• Prevenzione delle perdite per frode: l'intelligenza artificiale di Radar apprende da oltre 1.900 miliardi di $ in transazioni annue sull'intera rete globale di Stripe, contribuendo a identificare e bloccare modelli di frode che le singole attività potrebbero non rilevare autonomamente.

• Unificare la protezione contro i continui attacchi informatici legati alle frodi: Radar riunisce in un'unica soluzione la protezione contro le frodi relative alle transazioni, le frodi sugli account e gli abusi da parte dei clienti, in modo da ottenere una protezione unificata per i principali tipi di frode.

• Adattarsi all'evoluzione delle frodi: Radar si adatta costantemente all'evoluzione dei modelli di frode, dagli abusi di prime parti alle transazioni degli agenti, aiutando a proteggere la tua attività dalle minacce emergenti.

• Collaborare con il tuo stack tecnologico esistente: utilizza Radar con i pagamenti Stripe senza alcuna integrazione richiesta oppure accedi all'intelligenza di Radar tramite API programmabili, indipendentemente dal fatto che tu elabori o meno pagamenti su Stripe.

Scopri di più su Stripe Radar, oppure inizia oggi stesso.