ACH-betalingen (Automated Clearing House) zijn elektronische betalingen waarbij geld wordt overgemaakt tussen rekeningen via het ACH-netwerk in de Verenigde Staten. Dit systeem wordt beheerd door Nacha en maakt verschillende soorten betalingen mogelijk waaronder directe stortingen van werkgevers, betalingen aan contractanten, automatische factuur betalingen en peer-to-peer overschrijvingen.

Net als andere soorten elektronische betalingen zijn ACH-overschrijvingen kwetsbaar voor fraude. In 2025 kreeg 76% van de organisaties te maken met daadwerkelijke of gepoogde betalingsfraude, terwijl 30% van de respondenten fraude met ACH-afschrijvingen meldde.

Hieronder leggen we uit wat je moet weten over ACH-fraude, inclusief veelvoorkomende fraudemethoden, aansprakelijkheid in geval van ACH-fraude en hoe je ACH-fraude kunt voorkomen en detecteren.

Wat staat er in dit artikel?

• soorten ACH-fraude
  
• Wanneer moet je een ACH-betaling traceren?
  
• ACH-betalingen traceren
  
• Wie is aansprakelijk voor ACH-fraude?
  
• ACH-fraude detecteren
  
• ACH-fraudepreventie
  
• Hoe Stripe Radar kan helpen
  

Soorten ACH-fraude

ACH-fraude maakt gebruik van kwetsbaarheden in elektronische overschrijvingen (EFT's) via ongeautoriseerde afschrijvingen, gecompromitteerde inloggegevens of misleidende betalingsinstructies. Deze schema's omvatten meestal het manipuleren van betalingen en het misleiden van klanten en ondernemingen om bankgegevens te verkrijgen en geld om te leiden.

Wanneer moet je een ACH-betaling traceren?

Een ACH-tracering helpt financiële instellingen de status en locatie van geld in het ACH-netwerk te volgen met behulp van het unieke 15-cijferige traceringsnummer van een transactie.

Overweeg in de volgende situaties een tracering aan te vragen bij je bank of betalingsverwerker:

• Onverklaarbare betalingsvertragingen: Er is geld afgeschreven van de rekening van de opdrachtgever, maar de ontvanger heeft de storting niet ontvangen na de standaard vereffeningsperiode (meestal 1-3 werkdagen, of meer dan 5 werkdagen voor standaard overschrijvingen).

• Vermoedelijke fraude of ongeautoriseerde opnames: Er verschijnt een onbekende afschrijving op je rekeningafschrift. Het traceren van de transactie identificeert de Originating Depository Financial Institution (ODFI) en de bedrijfs-ID, waardoor je bank een ongeautoriseerde retournering kan initiëren (bijv. retourcode R10 of R29).

• Dubbele afschrijvingen of bijschrijvingen: Een technische storing, batchbestandsfout of dubbele indiening leidt ertoe dat identieke transacties meer dan eens worden verwerkt.

• Onjuiste rekening- of routinggegevens: Een overschrijving is geïnitieerd met verkeerd getypte bankgegevens en is niet automatisch teruggestuurd als een onboekbare transactie (bijv. retourcode R03 of R04).

• Geschillen over leveranciers of de salarisadministratie: Een leverancier, onderaannemer of werknemer meldt dat er geen betaling is ontvangen, hoewel het grootboek van de opdrachtgever een voltooide uitbetaling toont. Het verstrekken van de tracerings-ID dient als formeel bewijs van de overschrijving, zodat de ontvangende bank het geld handmatig kan lokaliseren.

Hoe ACH-betalingen opsporen

Het traceren van ACH-betalingen kan helpen bij het oplossen van problemen zoals het niet ontvangen van geld, fouten of vermoedelijke fraude. Hoe eerder je een tracering initieert, hoe gemakkelijker het is om de gegevens nauwkeurig bij te houden.

Hier zijn de stappen om een ACH-betaling te traceren:

1. Betalingsgegevens verzamelen
   Verzamel de exacte transactiedatum, het dollarbedrag, de routing-/rekeningnummers van de opdrachtgever en ontvanger, en je interne referentie-ID.

2. De 15-cijferige ACH-tracerings-ID opvragen bij de afzender
   Als je de betaling hebt verzonden, haal je de 15-cijferige tracerings-ID uit je afschriften, het dashboard van de betalingsverwerker of de ODFI. Als je de ontvanger bent, vraag je de afzender om dit nummer op te vragen bij de financiële instelling van de afzender.

3. Contact opnemen met de relevante financiële instelling

   1. Als je de afzender bent: Vraag je bank of betalingsverwerker om een formeel ACH-traceringsverzoek te initiëren via het netwerk naar de ontvangende bank.
      
   2. Als je de ontvanger bent: Verstrek de 15-cijferige tracerings-ID aan het ACH-operationsteam van je bank, zodat dit de wachtrijen voor verrekening kan doorzoeken op vastgehouden, openstaande of verkeerd gerouteerde stortingen.
      

4. De traceringsoplossing controleren en de resultaten documenteren
   ACH-traceringsonderzoeken duren doorgaans 1-3 werkdagen. Zodra dit is opgelost, controleer je het rapport op de transactiestatus, de tijdstempel van de vereffening of de specifieke Nacha-retourcode (bijv. R01 voor onvoldoende geld, R03 voor een onjuist rekeningnummer) en archiveer je het rapport voor de boekhouding en administratie van chargebacks.

Wie is aansprakelijk voor ACH-fraude?

De aansprakelijkheid voor ACH-fraude is voornamelijk afhankelijk van de vraag of het gecompromitteerde account van een klant of een onderneming is. Onder de Electronic Fund Transfer Act (EFTA) hebben klanten een brede wettelijke bescherming voor ongeautoriseerde afschrijvingen die binnen de vereiste termijnen worden gemeld. Ondernemingen vallen onder de Uniform Commercial Code en dragen doorgaans het verlies, tenzij de financiële instelling de overeengekomen, commercieel redelijke beveiligingsprocedures niet heeft gevolgd.

Hier zie je hoe aansprakelijkheid doorgaans wordt toegewezen in veelvoorkomende scenario's zoals ongeautoriseerde afschrijvingen, BEC of accountovername:

• Ongeautoriseerde afschrijvingen: Banken vergoeden consumenten voor ongeautoriseerde afschrijvingen die binnen 60 dagen na verzending van het periodieke afschrift worden gemeld onder de EFTA van de VS. Ondernemingen hebben een veel kortere periode om een chargeback aan te vragen voor ongeautoriseerde afschrijvingen.

• BEC: De aansprakelijkheid valt bijna altijd op de onderneming die de betaling heeft geautoriseerd, aangezien financiële instellingen niet verantwoordelijk zijn voor het verifiëren van de onderliggende legitimiteit van een geautoriseerde betalingsopdracht.

• ATO: Banken dekken over het algemeen verliezen van klanten die onmiddellijk worden gemeld. Voor zakelijke rekeningen draagt de onderneming het verlies, tenzij de bank er niet in is geslaagd om 'commercieel redelijke' beveiligingsprocedures te bieden of te volgen onder UCC 4A, een wettelijk kader dat bepaalt wie verliezen draagt als gevolg van ongeautoriseerde overboekingen en bepaalde ACH-creditbetalingen.

• Diefstal van gegevens: Organisaties die te maken krijgen met datalekken, riskeren aansprakelijkheid, boetes van toezichthouders en civiele schadevergoedingen als de bankgegevens van een klant openbaar zijn gemaakt door onvoldoende cyberbeveiligingscontroles of het niet naleven van industrienormen.

• Phishingscams: Voor klanten blijven ongeautoriseerde afschrijvingen als gevolg van gestolen inloggegevens beschermd onder Regulation E, een regelgeving in de VS die klanten beschermt tegen ongeautoriseerde EFT's. Voor ondernemingen vallen verliezen doorgaans op het bedrijf waarvan het systeem of de werknemer is gecompromitteerd.

• Bedreigingen van binnenuit: Organisaties zijn aansprakelijk voor verliezen als gevolg van frauduleuze werknemers of onderaannemers, met name wanneer zwakke interne controles of een gebrek aan dubbele autorisatie de fraude mogelijk maakten.

• ACH-kiting: Frauduleuze actoren riskeren directe strafrechtelijke en civiele aansprakelijkheid. Verliezen tussen banken worden toegewezen op basis van Nacha-regels, waarbij instellingen mogelijk aansprakelijk zijn als ze niet voldoen aan de vereiste drempels voor risicomonitoring.

• Nepbetalingen en factuurfraude: Het opdrachtgevende bedrijf draagt het verlies als het de gewijzigde betalingsinstructies of frauduleuze facturen niet kan verifiëren, aangezien banken wettelijk beschermd zijn wanneer ze betalingsopdrachten verwerken volgens de verstrekte rekeningnummers.

ACH-fraudedetectie

Het detecteren van ACH-fraude vereist zorgvuldige monitoring, controle en het delen van informatie.

Dit is wat je moet weten:

Transactiebewaking

Implementeer gespecialiseerde software die je ACH-transacties continu analyseert op basis van vastgestelde baselines en historische patronen. Kunstmatige intelligentie en machine-learning kunnen het typische betalingsgedrag van je onderneming leren en mogelijk verdachte transacties markeren op basis van complexe patronen die mensen misschien over het hoofd zien. Het volgende kan wijzen op mogelijke fraude.

• ongebruikelijke IP-adressen of apparaten die aan transacties zijn gekoppeld

• afwijkingen in transactievolume of -bedragen vergeleken met historische gemiddelden

• betalingen aan nieuwe begunstigden, vooral in geografische locaties met een hoog risico

• onregelmatige transactietijden (buiten reguliere kantooruren)

• dringende verzoeken (zoals e-mails of telefoontjes waarin onmiddellijke actie wordt geëist) die druk uitoefenen op ondernemingen om betalingen te bespoedigen of geld naar onbekende rekeningen te sturen

• inconsistenties in namen, rekeningnummers of andere gegevens binnen een betalingsverzoek

Controleprocedures

• Handmatige controle van risicovolle transacties: Onderzoek de transacties die je monitoringtools markeren zorgvuldig. Speciaal aangewezen medewerkers moeten controleren op onregelmatigheden in gegevens van begunstigden, de betalingsgeschiedenis en eventuele bijbehorende communicatie.

• Steekproeven: Voer willekeurige controles uit op een subset van ACH-transacties. Zelfs als je geen fraude ontdekt, kunnen sommige frauduleuze actoren worden afgeschrikt als ze weten dat een onderneming transacties op elk moment nauwlettend controleert.

• Analyse van ACH-retouren: Houd ACH-retouren nauwlettend in de gaten. Hoge retourpercentages kunnen wijzen op ongeautoriseerde afschrijvingen of frauduleuze informatie over de begunstigde. Analyseer de redenen voor retouren en zoek naar patronen.

Ken-je klant-(KYC)-procedures

• Klantverificatie: Voer due diligence uit voordat je terugkerende betalingen initieert of nieuwe begunstigden toevoegt. Verifieer adressen en de legitimiteit van de onderneming en controleer dit aan de hand van sanctielijsten en fraudedatabases.

• Relatiemonitoring: Controleer regelmatig op veranderingen in het gedrag van de ontvanger, communicatiestijl of bijgewerkte bankrekeninggegevens die erop kunnen wijzen dat een account is gecompromitteerd.

Informatie delen

• Samenwerking met banken: Onderhoud open communicatie met de afdeling fraudepreventie van je bank. Zij kunnen je waarschuwen voor nieuwe fraudepatronen en samenwerken bij onderzoeken.

• Branchenetwerken: Sluit je aan bij brancheorganisaties en fraudepreventienetwerken. Het delen van informatie over dreigingen en best practices helpt iedereen om frauduleuze actoren een stap voor te blijven.

Fraudebestrijdingsplan

Wacht niet tot er een incident gebeurt om te beslissen wat je moet doen. Maak proactief een plan dat de volgende stappen bevat:

1. Beperk verdere schade: Bevries gecompromitteerde bankrekeningen, trek actieve gebruikerssessies in, stel inloggegevens voor online bankieren opnieuw in en roteer API-sleutels. Plaats noodblokkades voor ACH-afschrijvingen en 'positive pay'-filters op de getroffen rekeningen om openstaande of geplande uitgaande transacties te stoppen.

2. Stel het fraude- of treasurymanagementteam van je bank op de hoogte: Neem onmiddellijk contact op met de speciale fraudedesk of treasuryrelatiebeheerder van je bank. Geef de transactiegegevens door, vraag om een onmiddellijke ACH-tracering en vraag de bank om een ongeautoriseerd retourverzoek of annulering te initiëren bij de ontvangende instelling.

3. Voer interne rapportage- en onderzoeksprotocollen uit: Documenteer de volledige tijdlijn van het incident en bewaar de logboeken. Informeer interne belanghebbenden, juridisch adviseurs en complianceteams om rapportagevereisten onder toepasselijke landelijke en federale wetgeving voor gegevensbescherming te beoordelen.

4. Dien rapporten in bij wethandhavers en regelgevende instanties: Meld het incident bij lokale wethandhavers en dien een online klacht in bij het Internet Crime Complaint Center van de FBI. Als de persoonlijk identificeerbare informatie of financiële gegevens van een klant zijn blootgesteld, stel dan binnen de vereiste termijnen de bevoegde procureurs-generaal en regelgevende instanties van de staat op de hoogte.

ACH-fraudepreventie

ACH-fraude vormt een aanzienlijke bedreiging voor ondernemingen, waaronder verloren geld en reputatieschade.

Zo versterk je je verdediging en voorkom je ACH-fraudepogingen:

• MFA: Dwing MFA af voor alle aanmeldingen en financiële transacties. Vereis een extra verificatiestap naast alleen een gebruikersnaam en wachtwoord. Dit verkleint het risico op ongeautoriseerde toegang, zelfs als inloggegevens zijn gecompromitteerd.

• Vooraf geautoriseerde betalingen: Met dit verificatiesysteem voor ACH-afschrijvingen kunnen ondernemingen legitieme ontvangers en bedragen vooraf autoriseren voor ACH-afschrijvingen. Eventuele afwijkingen activeren waarschuwingen om te controleren voorafgaand aan het verwerken, waardoor frauduleuze opnames worden voorkomen.

• Training van medewerkers: Train personeel om phishingpogingen, social engineering-tactieken en waarschuwingssignalen die verband houden met ACH-fraude te herkennen. Leer ze de juiste procedures voor het afhandelen van ACH-transacties en het melden van verdachte activiteiten.

• Scheiding van taken: Implementeer een systeem waarin verschillende werknemers taken afhandelen, zoals het initiëren van betalingen, het goedkeuren van transacties en reconciliatie van accounts. Dit verkleint het risico dat één werknemer het systeem manipuleert voor frauduleuze doeleinden.

• Realtime monitoring: Gebruik realtime tools voor transactiemonitoring om afwijkingen en verdachte activiteiten te identificeren en deze te stoppen voordat ze worden verwerkt.

• Reconciliatieprocedures: Stel grondige procedures voor reconciliatie in om verwachte betalingen te vergelijken met feitelijke afschrijvingen en bijschrijvingen. Controleer bankafschriften regelmatig en identificeer eventuele verschillen die kunnen wijzen op frauduleuze activiteiten.

• Gegevensencryptie: Zorg ervoor dat alle gevoelige gegevens, inclusief accountgegevens en financiële gegevens, in rust en tijdens overdracht zijn voorzien van encryptie. Dit maakt het voor frauduleuze actoren veel moeilijker om waardevolle informatie te stelen, zelfs als ze je systemen binnendringen.

• Toegangscontroles: Implementeer strikte toegangscontroles voor financiële gegevens en ACH-verwerkingssystemen. Verleen alleen toegang op een 'need-to-know'-basis en gebruik een sterk wachtwoordbeleid waarbij wachtwoorden regelmatig worden gewijzigd.

• Fraudepreventiediensten: Overweeg samen te werken met specialisten in fraudepreventie die geavanceerde informatie over dreigingen en monitoringdiensten aanbieden. Deze diensten kunnen extra beveiligingslagen en expertise bieden bij het detecteren van geavanceerde fraudepogingen.

• Deelname aan het ACH-netwerk: Neem deel aan initiatieven voor risicobeperking van het ACH-netwerk. Deze initiatieven bieden middelen en tools om opkomende bedreigingen en best practices voor het bestrijden van ACH-fraude te identificeren.

Hoe Stripe Radar kan helpen

Stripe Radar helpt fraude te detecteren en groei te ontgrendelen, met behulp van AI die is getraind met gegevens van het wereldwijde netwerk van Stripe. Radar helpt je onderneming te beschermen tegen fraude gedurende de hele levenscyclus van de klant, voordat dit je winst beïnvloedt, en helpt je tegelijkertijd meer legitieme klanten en betalingen goed te keuren.

Radar kan je onderneming helpen met:

• Voorkom fraudeverliezen: De AI van Radar leert van meer dan $ 1,9 biljoen aan jaarlijkse transacties binnen het wereldwijde netwerk van Stripe, waardoor het fraudepatronen kan identificeren en blokkeren die individuele ondernemingen misschien zelf niet zouden opmerken.

• Bundel bescherming tegen evoluerende fraudeaanvallen: Radar brengt bescherming tegen transactiefraude, accountfraude en misbruik door klanten samen in één oplossing, zodat je gebundelde bescherming krijgt tegen de belangrijkste soorten fraude.

• Pas je aan naarmate fraude evolueert: Radar past zich continu aan veranderende fraudepatronen aan, van 'first-party' misbruik tot 'agentic' transacties, en helpt je onderneming te beschermen tegen opkomende bedreigingen.

• Werk met je bestaande technologiebundel: Gebruik Radar met Stripe-betalingen zonder dat er integratie nodig is, of krijg toegang tot de intelligentie van Radar via programmeerbare API's, of je nu betalingen via Stripe verwerkt of niet.

Lees meer over Stripe Radar of ga vandaag nog aan de slag.