Los pagos ACH son pagos electrónicos que se realizan a través de la red de la Cámara de Compensación Automatizada (ACH), un sistema de transacciones financieras con sede en EE. UU. Este sistema gestiona un gran volumen de transacciones, incluidos depósitos directos de empleadores, pagos a contratistas y proveedores, transacciones de consumidores como facturas de servicios públicos y primas de seguros, y pagos entre personas.

Los pagos ACH se procesan en lotes y suelen tardar de uno a tres días hábiles en completarse. Son una forma rentable para que las empresas transfieran fondos sin usar cheques, transferencias electrónicas ni redes de tarjetas de crédito. Primero, el originador inicia un pago y, luego, su institución financiera lo agrupa y lo procesa a través de la red ACH a la cuenta bancaria del destinatario.

Sin embargo, este tipo de pago tiene sus riesgos. En una encuesta del 2022, el 30 % de las empresas declaró haber sufrido fraude a través de débitos ACH y créditos ACH. A continuación, te explicaremos cómo identificar los riesgos comunes de ACH, cómo mitigarlos y cómo abordar la mitigación de riesgos ACH con Stripe.

¿Qué contiene este artículo?

• ¿Cómo funcionan los pagos ACH?
  
• Fraude en pagos ACH
  
• Cómo identificar los riesgos comunes de ACH
  
• Cómo mitigar los riesgos ACH
  
• Cumplimiento normativo y gestión de riesgos ACH
  
• Cómo abordar la mitigación de riesgos ACH con Stripe
  

¿Cómo funcionan los pagos ACH?

Los pagos ACH se transfieren electrónicamente entre bancos a través de la red Automated Clearing House. Los pagos ACH son confiables y rentables, con comisiones más bajas que las transferencias electrónicas o los pagos con tarjeta de crédito, y son particularmente útiles para las transacciones recurrentes. Así es como suele funcionar el proceso.

• Autorización: El originador del pago debe obtener primero la autorización del beneficiario para iniciar una transacción de débito o crédito ACH. El beneficiario puede autorizar esto mediante un formulario firmado, un acuerdo de pago en línea o un acuerdo verbal.

• Inicio del pago: Una vez autorizado, el originador del pago (que podría ser una empresa, una entidad gubernamental o un particular) introducirá la información de pago en su sistema bancario. Esto incluye el monto de la transacción, los detalles de la cuenta bancaria del beneficiario y la fecha en la que debe realizarse la transferencia.

• Agrupación: El banco del originador agrega todas las transacciones ACH salientes en lotes en momentos predeterminados a lo largo del día. Luego, envía estos lotes a uno de los operadores ACH (ya sea la Reserva Federal o The Clearing House).

• Compensación: Los operadores ACH clasifican las transacciones y las dirigen al banco del destinatario, verificando la precisión de los detalles y asegurando que la cuenta del beneficiario sea válida para recibir los fondos.

• Liquidación: Los fondos se transfieren de la cuenta bancaria del originador a la cuenta bancaria del destinatario.

• __ Confirmación:__ Tanto el originador como el destinatario reciben la confirmación de que la transacción se procesó. Las empresas actualizan sus registros de cuentas por pagar o por cobrar, según corresponda.

Fraude en pagos ACH

Si bien los pagos ACH son generalmente seguros y convenientes, son susceptibles a ciertos tipos de fraude, al igual que la mayoría de los demás métodos de transferencia electrónica de fondos. Estas son las formas comunes en las que ocurre el fraude en los pagos ACH:

• Transacciones no autorizadas: Un actor fraudulento inicia pagos ACH desde la cuenta de una víctima sin su consentimiento. El número de cuenta bancaria y de ruta de la víctima pueden obtenerse a través de estafas de phishing, filtraciones de datos o malware.

• Fraude de adquisición de cuentas: Un actor fraudulento obtiene acceso a las credenciales de banca en línea de la víctima y, luego, cambia la información de la cuenta para desviar los pagos ACH a su propia cuenta.

• Compromiso de correo electrónico empresarial (BEC): Actores fraudulentos se hacen pasar por una entidad de confianza, como un proveedor o un ejecutivo de la empresa, y engañan a los empleados para que realicen pagos ACH no autorizados a su cuenta.

• Suplantación de identidad de proveedor: De forma similar al BEC, los actores fraudulentos se hacen pasar por proveedores legítimos y envían facturas falsas, con la esperanza de engañar a las empresas para que realicen pagos ACH a la cuenta incorrecta.

• Contracargos fraudulentos: Un cliente puede hacer una compra legítima utilizando ACH, pero luego alegar falsamente que la transacción no fue autorizada y solicitar un contracargo, lo que da como resultado una pérdida financiera para el vendedor.

• Fraude de empleados: Los empleados con acceso a los sistemas financieros de una empresa pueden iniciar pagos ACH no autorizados para obtener beneficios personales.

Cómo identificar los riesgos comunes de ACH

Monitorear las siguientes señales de posible fraude puede ayudarte a detener el fraude antes de que ocurra:

Fraude y suplantación de identidad de proveedores

• Cambios inesperados en la información del proveedor: Ten cuidado si un proveedor cambia repentinamente los detalles de su cuenta bancaria o su información de contacto. Siempre verifica estos cambios a través de un canal de comunicación separado y confiable antes de iniciar cualquier pago.

• Correos electrónicos de facturas no solicitadas: Desconfía de los correos electrónicos de proveedores desconocidos o de aquellos con direcciones de correo inusuales. Verifica la legitimidad de la factura comunicándote directamente con el proveedor y utilizando la información de contacto establecida previamente.

• Discrepancias en las facturas:Busca inconsistencias en las facturas, como montos que no coinciden, logotipos diferentes o términos de pago inusuales. Vuelve a verificar estos detalles con facturas o contratos anteriores.

Fraude de empleados y amenazas internas

• Comportamiento inusual de los empleados: Presta atención a cualquier cambio repentino en el estilo de vida, las dificultades financieras o el comportamiento reservado de un empleado, especialmente en el caso de aquellos que tienen acceso a los sistemas financieros.

• Transacciones no autorizadas: Revisa periódicamente los registros de transacciones ACH en busca de pagos que parezcan fuera de lugar, como grandes montos enviados a cuentas desconocidas o transacciones que se realizan fuera del horario comercial habitual.

Ataques de phishing e ingeniería social

• Correos electrónicos sospechosos: Ten cuidado con los correos electrónicos que crean una sensación de urgencia, te presionan para que tomes medidas inmediatas o contienen errores gramaticales y tipográficos. Siempre verifica la identidad del remitente antes de hacer clic en cualquier enlace o descargar archivos adjuntos.

• Solicitudes desconocidas: Si recibes una solicitud inesperada de información confidencial, como detalles de cuentas bancarias o credenciales de inicio de sesión, no respondas directamente. Comunícate con el supuesto remitente a través de un canal diferente para confirmar la legitimidad de la solicitud.

Cómo mitigar los riesgos ACH

La implementación de las siguientes medidas de seguridad puede ayudar a mitigar los riesgos ACH y a prevenir el fraude antes de que ocurra.

Controles previos a la transacción

• Filtrado y bloqueo de transacciones: Establece filtros que limiten las transacciones ACH en función de parámetros como el monto en dólares, el tipo de transacción o la ubicación geográfica. Las empresas también pueden configurar servicios de bloqueo ACH para evitar que se registren débitos ACH no autorizados en las cuentas.

• Procesos de aprobación doble: Implementa un sistema en el que se requieran múltiples aprobaciones para iniciar y completar las transacciones. Esto debe involucrar roles separados para la entrada, verificación y autorización de las transacciones.

Autenticación y gestión de acceso

• Autenticación multifactor (MFA): Exige la MFA para acceder a los sistemas financieros y realizar transacciones. Esto reduce el riesgo de adquisición de cuentas a partir de credenciales comprometidas.

• Infraestructura financiera dedicada: Utiliza computadoras dedicadas para transacciones financieras que no se usen para correo electrónico o navegación web a fin de minimizar el riesgo de phishing y malware.

Sistemas de monitoreo y detección de fraude

• Monitoreo continuo: Utiliza herramientas de monitoreo avanzadas que analicen los patrones de las transacciones en tiempo real para identificar y marcar actividades inusuales a fin de revisarlas posteriormente.

• Algoritmos de detección de anomalías: Implementa algoritmos de machine learning o basados en reglas que puedan identificar desviaciones de los patrones de transacción típicos, que pueden ser indicadores tempranos de fraude.

Medidas de seguridad de los datos

• Cifrado: Cifra todos los datos relacionados con las transacciones ACH, tanto en reposo como en tránsito. Esto minimiza el impacto de posibles filtraciones de datos.

• Auditorías de seguridad periódicas: Realiza auditorías periódicas de tus sistemas de TI y procesos empresariales para identificar y mitigar vulnerabilidades.

Gestión de proveedores y terceros

• Evaluaciones de riesgos de terceros: Evalúa periódicamente los protocolos de seguridad y cumplimiento de los proveedores externos que tienen acceso a tus sistemas financieros o manejan datos confidenciales.

• Acuerdos de servicio y cumplimiento: Asegúrate de que todos los acuerdos con proveedores incluyan cláusulas que los obliguen a cumplir con estándares específicos de seguridad y manejo de datos. Verifica su cumplimiento mediante auditorías o evaluaciones.

Capacitar y concientizar a los empleados

• Capacitación periódica: Proporciona capacitación continua a los empleados sobre las últimas tendencias de fraude, tácticas de phishing y prácticas recomendadas de higiene de seguridad.

• Simulaciones de phishing:Realiza periódicamente simulaciones de ataques de phishing para ayudar a los empleados a reconocer y reaccionar de forma apropiada a los correos electrónicos maliciosos.

Desarrollo de políticas y cumplimiento de la normativa

• Políticas claras de transacción: Desarrolla políticas claras con respecto a las transacciones ACH, incluidos los procedimientos para la iniciación, la autorización y la conciliación.

• Cumplimiento de las regulaciones: Mantente al día y asegura el cumplimiento de las regulaciones y los estándares financieros relevantes que rigen las transacciones ACH, como los establecidos por Nacha.

Respuesta y recuperación

• Plan de respuesta a incidentes: Desarrolla un plan detallado de respuesta a incidentes que describa qué hacer en caso de un incidente de fraude ACH. Este plan debe incluir procedimientos para notificar a las partes relevantes, contener el daño y recuperar los fondos perdidos.

• Ciberseguro: Considera obtener ciberseguro para ayudar a cubrir las pérdidas financieras y los costos de recuperación asociados con un ciberataque o incidente de fraude.

• Comunicación: En caso de un incidente de fraude, comunícate de manera transparente con los clientes, los empleados y otras partes interesadas. Aborda de forma proactiva las inquietudes y demuestra tu compromiso con la seguridad.

Cumplimiento normativo y gestión de riesgos ACH

Ciertas regulaciones y estándares rigen los pagos ACH. Cumplir con estos requisitos ayuda a gestionar el riesgo ACH y a mantener la integridad de los sistemas de pago electrónico. Estas son las directivas clave que rigen los pagos ACH.

• Reglas operativas de Nacha: Nacha rige la red ACH y sus operaciones, y las reglas operativas de Nacha proporcionan el marco para el intercambio y la liquidación de los pagos ACH. El cumplimiento de estas reglas es obligatorio para todas las instituciones financieras y empresas participantes.

• Ley de Secreto Bancario (BSA) La BSA tiene requisitos de informes y mantenimiento de registros que ayudan a identificar y prevenir las actividades de lavado de dinero. Las empresas deben implementar procedimientos efectivos contra el lavado de dinero (AML) que incluyan la supervisión, detección y notificación de actividades sospechosas.

• USA PATRIOT Act: La USA PATRIOT Act se basa en los requisitos de la BSA, ya que impone regulaciones más estrictas sobre las transacciones financieras para disuadir la financiación del terrorismo. Incluye requisitos para la verificación de identidad y una debida diligencia más estricta.

• Pautas del Consejo Federal de Examen de Instituciones Financieras (FFIEC): El FFIEC proporciona orientación sobre las prácticas de gestión de riesgos dentro de las instituciones financieras, incluidas las relacionadas con los pagos electrónicos y las transacciones ACH.

• Regulaciones de la Oficina de Protección Financiera del Consumidor (CFPB): La CFPB supervisa la protección del consumidor en virtud de la Electronic Fund Transfer Act (EFTA), que rige los derechos, las obligaciones y las responsabilidades de las partes involucradas en las transferencias electrónicas de fondos.

Cómo abordar la mitigación de riesgos ACH con Stripe

Cuando utilices Stripe para pagos ACH, existen ciertas herramientas y prácticas recomendadas que puedes usar para mitigar el riesgo ACH.

Utiliza las herramientas de gestión de riesgos integradas de Stripe

• Stripe Radar: Esta herramienta de prevención de fraude usa el aprendizaje automático para evaluar el riesgo de cada pago ACH. Bloquea automáticamente las transacciones de alto riesgo y marca la actividad sospechosa para su revisión manual. Personaliza las reglas de Stripe Radar según las necesidades específicas de tu empresa, ajustando umbrales para los valores de las transacciones, la velocidad y otros factores.

• Autorización de débito ACH: Exige a los clientes que autoricen los débitos ACH a través de microdepósitos o verificación bancaria instantánea, lo que confirma la propiedad de la cuenta y reduce el riesgo de transacciones no autorizadas.

Mejora la diligencia debida del cliente (DDC)

• Verificación de identidad: Recopila y verifica la información del cliente, como nombre, dirección y fecha de nacimiento, usando las herramientas de verificación de identidad de Stripe o proveedores externos.

• Verificación de empresas: Para las empresas, obtén y verifica la documentación relevante, como licencias comerciales, números de identificación fiscal y estatutos de constitución.

• Autenticación basada en riesgos: Implementa medidas de autenticación más fuertes para clientes o transacciones de alto riesgo, como exigir pasos de verificación adicionales o limitar los montos de las transacciones.

Supervisa y analiza los datos de las transacciones

• Stripe Dashboard: Revisa periódicamente el Stripe Dashboard para obtener información sobre los patrones de las transacciones, las tasas de contracargos y los indicadores de fraude.

• __ Informes personalizados:__ Crea informes personalizados para analizar puntos de datos específicos, como tipos de transacciones, segmentos de clientes o ubicaciones geográficas, e identifica posibles áreas de riesgo.

• Herramientas de terceros: Considera integrar Stripe a plataformas de detección y prevención de fraude de terceros para mejorar las capacidades de supervisión y análisis.

Optimiza la gestión de disputas

• Resolución de disputas: Establece un proceso para gestionar las disputas ACH, que incluya responder a las consultas de los clientes, recopilar evidencia y presentar tu caso a Stripe o a la institución financiera pertinente.

• Prevención de disputas: Aborda proactivamente los problemas potenciales comunicándote con los clientes a través de los recordatorios automáticos por correo electrónico de Stripe Invoicing.

Mantente informado y adáptate

• Actualizaciones de Stripe: Mantente al día con los últimos lanzamientos de productos, las mejoras de seguridad y las prácticas recomendadas de gestión de riesgos de Stripe.

• Stripe Sigma: Si tienes un alto volumen de transacciones ACH o necesidades complejas de gestión de riesgos, explora Stripe Sigma para obtener capacidades avanzadas de análisis de datos e informes personalizados.

• Soporte de Stripe: Utiliza los recursos de soporte de Stripe para obtener orientación sobre la implementación de las prácticas recomendadas y la solución de cualquier problema que pueda surgir.