ACH (Automated Clearing House) 決済は、アメリカの ACH ネットワークを利用して銀行口座間で資金を移動させる電子決済です。このシステムは Nacha によって管理されており、雇用主からの直接入金、請負業者への支払い、自動請求書支払い、P2P (ピアツーピア) 送金など、さまざまな決済タイプを処理します。

他の種類の電子決済と同様に、ACH 送金は不正利用の標的になりやすいという特徴があります。2025 年には、組織の 76% が決済の不正利用、またはその未遂に直面し、回答者の 30% が ACH 引き落としに関する不正利用を報告しました。

以下では、一般的な不正利用の手口、ACH の不正利用が発生した場合の責任、ACH の不正利用を防止および検出する方法など、ACH の不正利用に関して知っておくべきことについて説明します。

目次

• ACH の不正利用の種類
  
• ACH 決済の追跡が必要な場合
  
• ACH 決済の追跡方法
  
• ACH の不正利用の責任の所在
  
• ACH の不正利用の検出
  
• ACH の不正利用防止
  
• Stripe Radar でできること
  

ACH の不正利用の種類

ACH の不正利用は、承認されていない引き落とし、漏えいした認証情報、または偽りの支払い指示を通じて、電子資金移動 (EFT) の脆弱性を悪用します。一般的にこれらの手口では、支払いを操作し、顧客やビジネスを騙して銀行情報を入手し、資金の送金先を変更します。

ACH 決済の追跡が必要な場合

ACH 追跡機能により、金融機関は取引固有の 15 桁の追跡番号を使用して、ACH ネットワーク全体の資金のステータスと場所を追跡できます。

以下の状況では、銀行または決済代行業者に追跡をリクエストすることをご検討ください。

• 説明のつかない支払いの遅延: オリジネーターの口座から資金が引き落とされているにもかかわらず、標準的な決済期間 (通常は 1 ～ 3 営業日。標準的な送金の場合は 5 営業日以上) を経過しても受取人が入金を受け取っていない。

• 不正利用または承認されていない出金の疑い: アカウント明細に見覚えのない引き落としが表示されている。取引を追跡することで、仕向金融機関 (ODFI) と会社 ID が特定されるため、銀行が承認されていない返品 (返品コード R10 や R29 など) を開始できるようになります。

• 重複した引き落としまたは入金: 技術的な不具合、バッチファイルのエラー、または二重送信により、同一の取引が複数回処理されている。

• 誤った口座詳細またはルーティング詳細: 誤入力された銀行情報を使用して送金が開始されたが、記帳不可の取引 (返品コード R03 や R04 など) として自動的に差し戻されていない。

• ベンダーへの支払いまたは給与の支払いに関する異議: オリジネーターの台帳に支払いの完了が示されているにもかかわらず、ベンダー、請負業者、または従業員から支払いを受け取っていないと報告されている。追跡 ID を提供することは送金の正式な証拠となるため、受取銀行は手動で資金の所在を確認できるようになります。

ACH 決済の追跡方法

ACH 決済を追跡することで、資金の未受領、エラー、または不正利用の疑いなどの問題を解決できます。追跡を早く開始するほど、詳細を正確に追跡しやすくなります。

ACH 決済を追跡する手順は次のとおりです。

1. 支払い詳細を収集する
   正確な取引日、金額、オリジネーターと受取人のルーティング番号と口座番号、および内部参照 ID をまとめます。

2. 送信者から 15 桁の ACH 追跡 ID を取得する
   支払いを送信した場合は、カード利用明細、決済代行業者のダッシュボード、または ODFI から 15 桁の追跡 ID を取得します。支払いを受け取る場合は、送信者に依頼して送信者の金融機関からこの番号を取得してもらいます。

3. 関連する金融機関に問い合わせる

   1. 送信者の場合: 銀行または決済代行業者に依頼し、ネットワークを通じて受取銀行に正式な ACH 追跡リクエストを開始してもらいます。
      
   2. 受取人の場合: 銀行の ACH オペレーションチームに 15 桁の追跡 ID を提供し、保留中、処理中、または誤送金された入金がクリアリングキューにないか検索してもらいます。
      

4. 追跡の解決内容を確認し、結果を文書化する
   ACH 追跡の調査には、通常 1 ～ 3 営業日かかります。解決したら、レポートで取引のステータス、決済のタイムスタンプ、または特定の Nacha 返品コード (残高不足を示す R01、誤った口座番号を示す R03 など) を確認し、経理および不審請求の申し立ての記録としてそのレポートをアーカイブします。

ACH の不正利用の責任の所在

ACH の不正利用による責任の所在は、主に、漏えいしたアカウントが顧客のものか、ビジネスのものかによって異なります。電子資金移動法 (EFTA) の下では、規定の期間内に報告された承認されていない引き落としについて、顧客は幅広い法的な保護を受けられます。ビジネスは統一商事法典によって規定されており、金融機関が合意済みの商業的に合理的なセキュリティ手順に従わなかった場合を除き、通常はビジネス側が損失を負担します。

承認されていない引き落とし、BEC、アカウント乗っ取りなどの一般的なシナリオにおいて、通常どのように責任が割り当てられるかについて以下に示します。

• 承認されていない引き落とし: 銀行は、米国の EFTA に基づき、定期明細書の送信から 60 日以内に報告された承認されていない引き落としについて、消費者に返金します。ビジネスが承認されていない引き落としについて不審請求を申し立てるための期間は、はるかに短く設定されています。

• BEC: 金融機関には承認された支払い指示の根本的な正当性を確認する責任がないため、ほぼ常に支払いを承認したビジネスが責任を負います。

• ATO: 一般的に銀行は、速やかに報告された顧客の損失を補償します。ビジネス用アカウントの場合、承認されていない電信送金や特定の ACH 入金決済から生じた損失の負担者を決定する法的枠組みである UCC 4A に基づき、銀行が「商業的に合理的な」セキュリティ手順を提供しなかった、またはそれに従わなかった場合を除き、ビジネスが損失を負担します。

• データ窃盗: 不適切なサイバーセキュリティ対策や業界基準への違反が原因で顧客の銀行詳細が漏えいした場合、侵害を受けた組織は法的責任、規制による罰則、および民事上の損害賠償を科されます。

• フィッシング詐欺: 顧客の場合、漏えいした認証情報に起因する承認されていない引き落としは、承認されていない EFT から顧客を保護する米国の規制である Regulation E の下で引き続き保護されます。ビジネスの場合、従業員やシステムが侵害された企業が通常その損失を負担します。

• 内部の脅威: 悪意のある従業員や請負業者によって生じた損失は、組織の責任となります。特に、内部統制の甘さや二重承認の欠如が不正利用を助長した場合はなおさらです。

• ACH カイティング: 詐欺師は直接的な刑事上および民事上の責任を問われます。銀行間の損失は Nacha の規則に基づいて配分され、金融機関が必須の要件であるリスク監視のしきい値を維持できなかった場合、責任を負う可能性があります。

• 偽の支払いと請求書の不正利用: 銀行は提供された口座番号に従って支払い指示を処理する際に法的に保護されているため、変更された支払い指示や不正な請求書を確認できなかったオリジネーター企業が損失を負担します。

ACH の不正検出

ACH の不正利用を検出するには、入念な監視、レビュー、情報の共有が必要です。

ここでは、知っておくべきことをご紹介します。

取引の監視

確立されたベースラインや過去のパターンと照らし合わせて、ACH 取引を継続的に分析する専門のソフトウェアを導入します。人工知能と機械学習により、ビジネスにおける通常の支払い行動を学習し、人間が見逃す可能性のある複雑なパターンに基づいて、疑わしい可能性のある取引にフラグを立てることができます。以下は、不正利用の可能性を示す兆候です。

• 取引に関連する通常とは異なる IP アドレスやデバイス

• 過去の平均と比較した取引量や金額の逸脱

• 新規の受取人、特にリスクの高い地域の受取人への支払い

• 不規則な取引時間 (標準の営業時間外)

• 支払いの迅速化や見知らぬ口座への送金を企業に迫る、緊急の要求 (即時の対応を求めるメールや電話など)

• 支払いリクエストに含まれる名前、口座番号、その他の詳細情報の不一致

審査手続き

• リスクの高い取引の手動精査: 監視ツールがフラグを立てた取引を注意深く調査します。専任のスタッフが受取人の詳細情報、支払い履歴、および関連するやり取りに不審な点がないか確認する必要があります。

• 抜き打ち監査: 一部の ACH 取引に対して無作為な監査を実施します。不正利用が発見されなくても、企業が常に取引を厳密に精査していることを知れば、一部の不正利用者は思いとどまる可能性があります。

• ACH リターンの分析: ACH リターンを綿密に監視します。リターン率が高い場合は、不正な引き落としや不正な受取人情報を示している可能性があります。リターンの理由を分析し、パターンを探ります。

本人認証 (KYC) の実践

• 顧客の本人確認: 継続課金を開始したり、新しい受取人を追加したりする前に、デューデリジェンスを実施します。住所とビジネスの正当性を確認し、制裁対象者リストや不正利用データベースと照合します。

• 関係性の監視: アカウントが不正アクセスを受けた可能性を示す、受取人の行動、コミュニケーションスタイル、または更新された銀行口座情報の変化がないか、定期的に確認します。

情報共有

• 銀行との連携: 銀行の不正利用防止部門とオープンなコミュニケーションを維持します。これにより、新たな不正利用パターンの警告を受け、調査に協力してもらうことができます。

• 業界ネットワーク: 業界団体や不正利用防止ネットワークに参加します。脅威インテリジェンスとベストプラクティスを共有することで、誰もが不正利用者の先を行くことができます。

不正利用の対応計画

インシデントが発生してから対応を決めるのではなく、次のステップを含む計画を事前に作成します。

1. さらなる被害を軽減する: 不正アクセスされた銀行口座を凍結し、アクティブなユーザーセッションを取り消し、オンラインバンキングの認証情報をリセットし、API キーをローテーションします。影響を受けた口座に緊急の ACH 引き落としブロックとポジティブペイフィルターを適用し、保留中または予定されている出金取引をすべて停止します。

2. 銀行の不正利用対策または財務管理チームに通知する: 直ちに銀行の専用の不正利用デスクまたは財務関係担当者に連絡します。取引の詳細を提供し、直ちに ACH 追跡を依頼して、受け取り側の金融機関に対して不正なリターンリクエストまたは取り消しを開始するよう銀行に要請します。

3. 社内の報告および調査プロトコルを実行する: インシデントの完全なタイムラインを文書化し、ログを保存します。社内の関係者、法律顧問、コンプライアンスチームに報告し、該当する州法および連邦のデータ保護法に基づく報告要件を評価します。

4. 法執行機関および規制当局に報告書を提出する: インシデントを地域の法執行機関に報告し、FBI のインターネット犯罪苦情センターにオンラインで苦情を提出します。顧客の個人を特定できる情報や財務記録が漏洩した場合は、定められた期間内に適切な州司法長官や規制当局に通知します。

ACH の不正防止

ACH 不正利用は、資金の損失や風評被害など、企業に重大な脅威をもたらします。

防御を強化し、ACH の不正利用を防ぐ方法は次のとおりです。

• MFA: すべてのログインと金融取引に MFA を強制します。ユーザー名とパスワードだけでなく、追加の確認ステップを必須とします。これにより、ログイン認証情報が漏洩した場合でも、不正アクセスのリスクが軽減されます。

• 事前承認された支払い: この ACH 引き落としの検証システムにより、企業は ACH 引き落としの正当な受取人と金額を事前承認できます。逸脱があった場合は、処理前に確認のためのアラートがトリガーされ、不正な引き出しを防ぎます。

• スタッフのトレーニング: フィッシング詐欺、ソーシャルエンジニアリングの手口、および ACH の不正利用に関連する危険信号を認識できるようにスタッフをトレーニングします。ACH 取引の処理や、不審なアクティビティを報告する適切な手順について教育します。

• 職務の分離: 支払いの開始、取引の承認、アカウントの消込などのタスクを別々の従業員が処理するシステムを導入します。これにより、単一の従業員が不正な目的でシステムを操作するリスクが軽減されます。

• リアルタイムの監視: リアルタイムの取引監視ツールを使用して、異常や疑わしいアクティビティを特定し、処理される前に停止します。

• 消込手順: 徹底した消込手順を確立し、予想される支払いと実際の引き落としおよび入金を比較します。定期的に銀行取引明細書を確認し、不正利用を示す可能性のある不一致を特定します。

• データの暗号化: 口座情報や財務記録などのすべてのセンシティブデータが、保管時および転送時に確実に暗号化されるようにします。これにより、不正利用者がシステムに侵入したとしても、価値のある情報を盗むことがはるかに困難になります。

• アクセス制御: 財務データおよび ACH 処理システムに厳格なアクセス制御を導入します。アクセス権は必要最小限の範囲でのみ付与し、定期的なパスワード変更を伴う強力なパスワードポリシーを使用します。

• 不正利用防止サービス: 高度な脅威インテリジェンスと監視サービスを提供する、不正利用防止の専門機関と提携することを検討します。これらのサービスにより、セキュリティのレイヤーが追加され、巧妙な不正利用の試行を検出するための専門知識が得られます。

• ACH ネットワークへの参加: ACH ネットワークのリスク軽減の取り組みに参加します。これらの取り組みでは、新たな脅威を特定するためのリソースとツールや、ACH の不正利用に対抗するためのベストプラクティスが提供されています。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークのデータでトレーニングされた AI を使用して、不正利用の検出と成長の促進を支援します。Radar により、ビジネスの収益に影響が及ぶ前に、顧客のライフサイクル全体を通じて不正利用からビジネスを保護しながら、正当な顧客と支払いをより多く承認できるようになります。

Radar は以下のことに役立ちます。

• 不正利用による損失の防止: Radar の AI は、Stripe のグローバルネットワーク全体で行われる年間 1 兆 9,000 億ドルを超える取引から学習し、個々の企業だけでは把握できない可能性のある不正利用パターンを特定してブロックします。

• 進化する不正利用攻撃に対する保護の統合: Radar は、取引の不正利用、アカウントの不正利用、および顧客による不正行為に対する保護を 1 つのソリューションに統合し、主な不正利用のタイプ全体にわたる統合された保護を提供します。

• 不正利用の進化への適応: Radar は、ファーストパーティの不正行為からエージェント主導の取引まで、変化する不正利用パターンに継続的に適応し、新たな脅威からビジネスを保護します。

• 既存の技術スタックとの連携: Radar は、Stripe の支払いと連携して追加の実装なしで使用できます。また、Stripe で支払いを処理するかどうかにかかわらず、プログラム可能な API を通じて Radar のインテリジェンスにアクセスすることもできます。

Stripe Radar の詳細を表示するか、今すぐ使ってみる。