ACH-betalingen zijn elektronische betalingen die worden gedaan via het Automated Clearing House (ACH)-netwerk, een in de VS gevestigd financieel transactiesysteem. Dit systeem verwerkt een groot aantal transacties, waaronder directe stortingen van werkgevers, betalingen aan aannemers en leveranciers, consumententransacties zoals energierekeningen en verzekeringspremies, en betalingen tussen personen.

ACH-betalingen worden in batches verwerkt en duren meestal één tot drie werkdagen. Ze zijn een voordelige manier voor bedrijven om geld over te maken zonder cheques, overschrijvingen of creditcardnetwerken te gebruiken. Eerst start de betaler een betaling, waarna zijn financiële instelling deze in batches verwerkt via het ACH-netwerk naar de bankrekening van de ontvanger.

Dit soort betalingen heeft echter wel risico's. In een enquête uit 2022 gaf 30% van de bedrijven aan te maken te hebben gehad met fraude via ACH-afschrijvingen en ACH-crediteringen. Hieronder leggen we uit hoe je veelvoorkomende ACH-risico's kunt herkennen, deze risico's kunt beperken en ACH-risicobeperking kunt aanpakken met Stripe.

Wat staat er in dit artikel?

• Hoe werken ACH-betalingen?
  
• ACH-betalingsfraude
  
• Hoe je veelvoorkomende ACH-risico's kunt herkennen
  
• Hoe je ACH-risico's kunt verminderen
  
• Naleving van regelgeving en ACH-risicobeheer
  
• Hoe je ACH-risico's kunt verminderen met Stripe
  

Hoe werken ACH-betalingen?

ACH-betalingen worden elektronisch overgemaakt tussen banken via het Automated Clearing House-netwerk. ACH-betalingen zijn betrouwbaar en voordelig, met lagere kosten dan overschrijvingen of creditcardbetalingen, en ze zijn vooral handig voor terugkerende transacties. Hieronder wordt uitgelegd hoe het proces doorgaans werkt.

• Autorisatie: De betaler moet eerst toestemming krijgen van de ontvanger om een ACH-afschrijving of -storting te doen. De ontvanger kan dit goedkeuren via een ondertekend formulier, een online betalingsovereenkomst of een mondelinge afspraak.

• Betalingen starten: Zodra de toestemming is gegeven, voert de betaler (dat kan een bedrijf, overheidsinstantie of persoon zijn) de betalingsgegevens in zijn banksysteem in. Dit omvat het bedrag van de transactie, de bankgegevens van de ontvanger en de datum waarop de overboeking moet plaatsvinden.

• Batching: De bank van de opdrachtgever voegt alle uitgaande ACH-transacties samen in batches op vooraf bepaalde tijdstippen gedurende de dag. Vervolgens stuurt zij deze batches naar een van de ACH-operators (de Federal Reserve of The Clearing House).

• Clearing: De ACH-operators sorteren de transacties en sturen ze door naar de bank van de ontvanger, waarbij ze de gegevens controleren op juistheid en ervoor zorgen dat de rekening van de begunstigde geldig is voor het ontvangen van het geld.

• Afwikkeling: Het geld wordt overgemaakt van de bankrekening van de opdrachtgever naar de bankrekening van de ontvanger.

• Bevestiging: Zowel de betaler als de ontvanger krijgen een bevestiging dat de transactie is gedaan. Bedrijven passen hun crediteuren- of debiteurenadministratie hierop aan.

ACH-betalingsfraude

Hoewel ACH-betalingen meestal veilig en handig zijn, zijn ze, net als de meeste andere elektronische betaalmethoden, gevoelig voor bepaalde soorten fraude. Hier zijn een paar veelvoorkomende manieren waarop fraude bij ACH-betalingen gebeurt:

• Ongeautoriseerde transacties: Een fraudeur doet ACH-betalingen vanaf de rekening van een slachtoffer zonder dat die daar toestemming voor heeft gegeven. De bankrekening- en routingnummers van het slachtoffer kunnen worden verkregen via phishing, datalekken of malware.

• Account-overnamefraude: Een frauduleuze persoon krijgt toegang tot de online bankgegevens van het slachtoffer en verandert vervolgens de accountgegevens om ACH-betalingen naar zijn eigen account om te leiden.

• Business email compromise (BEC): Fraudeurs doen zich voor als een betrouwbare partij, zoals een leverancier of bedrijfsleider, en halen medewerkers over om ongeoorloofde ACH-betalingen naar hun rekening te doen.

• Zich voordoen als leverancier: Net als bij BEC doen oplichters zich voor als echte leveranciers en sturen ze valse facturen, in de hoop bedrijven te misleiden om ACH-betalingen naar de verkeerde rekening te doen.

• Frauduleuze chargebacks: Een klant kan een legitieme aankoop doen met ACH, maar vervolgens ten onrechte beweren dat de transactie niet geautoriseerd was en een chargeback aanvragen, wat resulteert in financieel verlies voor de verkoper.

• Fraude door medewerkers: medewerkers die toegang hebben tot de financiële systemen van een bedrijf kunnen ongeautoriseerde ACH-betalingen doen voor persoonlijk gewin.

Hoe je veelvoorkomende ACH-risico's kunt herkennen

Door op de volgende tekenen van mogelijke fraude te letten, kun je fraude voorkomen voordat het gebeurt:

Leveranciersfraude en identiteitsfraude

• Onverwachte wijzigingen in leveranciersgegevens: Wees voorzichtig als een leverancier plotseling zijn bankgegevens of contactgegevens wijzigt. Controleer deze wijzigingen altijd via een apart, vertrouwd communicatiekanaal voordat je betalingen uitvoert.

• Ongevraagde factuurmails: Pas op voor mails van onbekende leveranciers of met rare e-mailadressen. Controleer of de factuur echt is door rechtstreeks contact op te nemen met de leverancier via de contactgegevens die je eerder hebt gekregen.

• Verschillen in facturen: Let op dingen die niet kloppen in facturen, zoals bedragen die niet kloppen, andere logo's of rare betalingsvoorwaarden. Controleer deze details nog eens met eerdere facturen of contracten.

Bedrijfsfraude en interne bedreigingen

• Ongewoon gedrag van medewerkers: Let op plotselinge veranderingen in de levensstijl van een medewerker, financiële problemen of geheimzinnig gedrag, vooral bij mensen die toegang hebben tot financiële systemen.

• Ongeautoriseerde transacties: Controleer regelmatig de ACH-transactielogboeken op betalingen die niet correct lijken, zoals grote bedragen die naar onbekende rekeningen worden verzonden of transacties die buiten de normale kantooruren plaatsvinden.

Phishing en social engineering-aanvallen

• Verdachte e-mails: Pas op voor e-mails die een gevoel van urgentie geven, je onder druk zetten om meteen iets te doen of grammaticale fouten en typefouten hebben. Controleer altijd wie de afzender is voordat je op links klikt of bijlagen downloadt.

• Onbekende verzoeken: Als je een onverwacht verzoek krijgt om gevoelige informatie, zoals bankgegevens of inloggegevens, reageer dan niet direct. Neem via een ander kanaal contact op met de vermeende afzender om te controleren of het verzoek legitiem is.

Hoe je ACH-risico's kunt verminderen

Door de volgende beveiligingsmaatregelen te nemen, kun je ACH-risico's verminderen en fraude voorkomen voordat het gebeurt.

Controles vóór de transactie

• Transactiefiltering en -blokkering: Stel filters in die ACH-transacties beperken op basis van parameters zoals dollarbedrag, transactietype of geografische locatie. Bedrijven kunnen ook ACH-blokkeringsservices instellen om te voorkomen dat ongeautoriseerde ACH-afschrijvingen op rekeningen worden geboekt.

• Dubbele goedkeuringsprocessen: Zorg voor een systeem waarbij meerdere goedkeuringen nodig zijn om transacties te starten en af te ronden. Dit moet aparte rollen omvatten voor het invoeren, controleren en autoriseren van transacties.

Authenticatie en toegangsbeheer

• Multifactorauthenticatie (MFA): Zorg dat MFA nodig is om toegang te krijgen tot financiële systemen en transacties uit te voeren. Dit vermindert het risico op account-overname door gehackte inloggegevens.

• Speciale financiële infrastructuur: Gebruik speciale computers voor financiële transacties die niet worden gebruikt voor e-mail of surfen op het web om het risico op phishing en malware te minimaliseren.

Systemen voor fraudedetectie en -monitoring

• Continu monitoren: Gebruik geavanceerde monitoringtools die transactiepatronen in realtime analyseren om ongebruikelijke activiteiten te identificeren en te markeren voor verdere beoordeling.

• Algoritmen voor het opsporen van afwijkingen: Gebruik machine learning of op regels gebaseerde algoritmen die afwijkingen van normale transactiepatronen kunnen vinden, wat een vroege aanwijzing voor fraude kan zijn.

Maatregelen voor gegevensbeveiliging

• Versleuteling: Versleutel alle gegevens die te maken hebben met ACH-transacties, zowel in rust als tijdens het verzenden. Dit zorgt ervoor dat de impact van mogelijke datalekken zo klein mogelijk is.

• Regelmatige beveiligingsaudits: Controleer regelmatig je IT-systemen en bedrijfsprocessen om zwakke plekken te vinden en te verhelpen.

Beheer van leveranciers en derde partijen

• Risicobeoordelingen van derden: Controleer regelmatig de beveiligings- en complianceprotocollen van externe leveranciers die toegang hebben tot je financiële systemen of gevoelige gegevens verwerken.

• Serviceovereenkomsten en naleving: Zorg ervoor dat alle overeenkomsten met leveranciers clausules bevatten die hen aan specifieke beveiligings- en gegevensverwerkingsnormen houden. Controleer hun compliance door middel van audits of beoordelingen.

Training en bewustwording van medewerkers

• Regelmatige training: Geef medewerkers regelmatig training over de nieuwste fraudetrends, phishingtactieken en best practices voor beveiliging.

• Phishing-simulaties: Doe regelmatig phishing-aanvalssimulaties om medewerkers te helpen kwaadaardige e-mails te herkennen en er goed op te reageren.

Beleid ontwikkelen en naleven

• Duidelijk beleid voor transacties: Zorg voor duidelijk beleid voor ACH-transacties, inclusief procedures voor het starten, goedkeuren en afstemmen ervan.

• Naleving van regelgeving: Blijf op de hoogte en zorg ervoor dat je voldoet aan de relevante financiële regelgeving en normen die van toepassing zijn op ACH-transacties, zoals die zijn vastgesteld door Nacha.

Reactie en herstel

• Incidentresponsplan: Maak een gedetailleerd plan voor wat je moet doen bij fraude met ACH-betalingen. Dit plan moet procedures bevatten voor het informeren van relevante partijen, het beperken van de schade en het terugkrijgen van verloren geld.

• Cyberverzekering: Denk erover na om een cyberverzekering te nemen om de financiële verliezen en herstelkosten te dekken die komen kijken bij een cyberaanval of fraude.

• Communicatie: Als er fraude is, praat dan open met klanten, medewerkers en andere belanghebbenden. Pak zorgen proactief aan en laat zien dat je veiligheid belangrijk vindt.

Naleving van regelgeving en ACH-risicobeheer

Er zijn bepaalde regels en normen voor ACH-betalingen. Door je hieraan te houden, kun je ACH-risico's beter beheersen en de integriteit van elektronische betalingssystemen behouden. Hier zijn de belangrijkste richtlijnen van de Amerikaanse Federal Reserve die van toepassing zijn op ACH-betalingen.

• Nacha-werkingsregels: Nacha beheert het ACH-netwerk en de werking ervan. De werkingsregels van Nacha vormen het kader voor het uitwisselen en verrekenen van ACH-betalingen. Naleving van deze regels is verplicht voor alle deelnemende financiële instellingen en bedrijven.

• Bank Secrecy Act (BSA): De BSA heeft regels voor rapportage en administratie die helpen bij het opsporen en voorkomen van witwaspraktijken. Bedrijven moeten goede antiwitwasprocedures (AML) hebben, zoals het monitoren, opsporen en melden van verdachte activiteiten.

• USA PATRIOT Act: De USA PATRIOT Act bouwt voort op de BSA-vereisten door strengere regels op te leggen aan financiële transacties om terrorismefinanciering tegen te gaan. Deze wet bevat vereisten voor identiteitsverificatie en strengere due diligence.

• Richtlijnen van de Federal Financial Institutions Examination Council (FFIEC): De FFIEC geeft advies over risicobeheer binnen financiële instellingen, ook over elektronische betalingen en ACH-transacties.

• Regels van het Consumer Financial Protection Bureau (CFPB): Het CFPB houdt toezicht op consumentenbescherming onder de Electronic Fund Transfer Act (EFTA), die de rechten, aansprakelijkheden en verantwoordelijkheden regelt van partijen die betrokken zijn bij elektronische overboekingen.

Hoe je ACH-risico's kunt beperken met Stripe

Als je Stripe gebruikt voor ACH-betalingen, zijn er een paar tools die je kunt gebruiken en best practices die je kunt toepassen om ACH-risico's te verminderen.

Gebruik de ingebouwde risicobeheertools van Stripe

• Stripe Radar: Deze tool om fraude te voorkomen gebruikt machine learning om het risico van elke ACH-betaling te beoordelen. Het blokkeert automatisch risicovolle transacties en markeert verdachte activiteiten voor handmatige controle. Pas de regels van Stripe Radar aan je specifieke zakelijke behoeften aan door de drempels voor transactiebedragen, snelheid en andere factoren aan te passen.

• ACH-debetautorisatie: Vraag klanten om ACH-debiteringen te autoriseren via microstortingen of directe bankverificatie, zodat je zeker weet dat ze de rekening hebben en het risico op ongeautoriseerde transacties kleiner wordt.

Verbeter de klantonderzoek (CDD)

• Identiteitscontrole: Verzamel en controleer klantgegevens zoals naam, adres en geboortedatum met de identiteitscontroletools van Stripe of externe providers.

• Bedrijfsverificatie: Voor bedrijven: verzamel en controleer relevante documenten, zoals bedrijfsvergunningen, belastingnummers en statuten.

• Risicogebaseerde authenticatie: Zorg voor strengere authenticatiemaatregelen voor risicovolle klanten of transacties, zoals extra verificatiestappen of beperkingen op transactiebedragen.

Transactiegegevens monitoren en analyseren

• Stripe Dashboard: Controleer regelmatig het Stripe Dashboard om inzicht te krijgen in transactiepatronen, chargebackpercentages en fraude-indicatoren.

• Aangepaste rapportage: Maak aangepaste rapporten om specifieke gegevenspunten te analyseren, zoals transactietypen, klantsegmenten of geografische locaties, en identificeer mogelijke risicogebieden.

• Tools van derden: Denk erover na om Stripe te koppelen aan fraudedetectie- en preventieplatforms van derden voor betere monitoring- en analysemogelijkheden.

Optimaliseer geschillenbeheer

• Geschillenbeslechting: Zorg voor een proces om ACH-geschillen op te lossen, zoals reageren op vragen van klanten, bewijs verzamelen en je zaak voorleggen aan Stripe of de betreffende financiële instelling.

• Geschillen voorkomen: Pak mogelijke problemen proactief aan door met klanten te communiceren via de automatische e-mailherinneringen van Stripe Invoicing.

Blijf op de hoogte en pas je aan

• Stripe-updates: Blijf op de hoogte van de nieuwste productreleases, beveiligingsverbeteringen en best practices voor risicobeheer van Stripe.

• Stripe Sigma: Als je veel ACH-transacties hebt of complexe risicobeheerbehoeften, Controleer dan Stripe Sigma voor geavanceerde gegevensanalyse en aangepaste rapportagemogelijkheden.

• Stripe-ondersteuning: Gebruik de ondersteuningsbronnen van Stripe voor hulp bij het implementeren van best practices en het oplossen van eventuele problemen.