O que é fraude de ACH e como sua empresa pode evitá-la?

Em 2023, os golpes e as fraudes bancárias representaram perdas de US$ 485,6 bilhões em todo o mundo. Nas Américas, as empresas e os consumidores perderam um total de US$ 151,1 bilhões, com a fraude de pagamentos contribuindo com US$ 102,6 bilhões (68%). De acordo com o Federal Bureau of Investigation, o phishing ou spoofing foi a fraude mais comum, seguida pela violação de dados pessoais. Essas tendências demonstram como os crimes cibernéticos estão ficando mais caros (e sofisticados) para as empresas, especialmente em um setor de serviços financeiros cada vez mais digitalizado.

As transações financeiras fluem rapidamente como rios nos serviços bancários on-line e no comércio eletrônico. No entanto, se não forem bem monitoradas, elas podem se tornar obscuras. Em particular, o fluxo constante de transações por meio da rede ACH (Automated Clearing House, Câmara de Compensação Automatizada) é o principal alvo de fraudes, pois a maioria das instituições financeiras e cooperativas de crédito utiliza muito essa forma de pagamento para fazer depósitos e débitos diretos diários.

Neste guia, discutiremos a fraude ACH em detalhes, incluindo:

• O que é fraude ACH
• Como isso afeta as empresas
• 3 golpes comuns
• Como as empresas podem implementar prevenção, detecção e proteção contra fraudes

O que é fraude de ACH?

A fraude de ACH envolve a realização de transações não autorizadas, como depósitos e pagamentos, por meio da aquisição ilegal de duas informações financeiras: um número de conta bancária e um número de roteamento. Infelizmente, embora a ACH tenha simplificado os pagamentos, ela também simplificou a atividade fraudulenta. Com mais empresas migrando para operações on-line, o volume de transações e comunicações digitais aumentou, dando aos criminosos cibernéticos mais oportunidades de obter dados financeiros por meio de violações de rede, roubo de identidade e phishing.

Um tipo específico de phishing, o Business Email Compromise (BEC), está se tornando mais comum. Um exemplo de BEC é quando um fraudador imita a marca oficial do e-mail do seu fornecedor (incluindo logotipos e links de sites) para enviar uma "fatura atualizada" com uma nova conta bancária. De acordo com uma pesquisa da Association for Financial Professionals de 2024, os pagamentos de crédito ACH foram os mais vulneráveis a fraudes de BEC em 2023 (47%), seguidos por transferências eletrônicas (39%) e débito ACH (20%).

Como a fraude de ACH afeta as empresas?

Os eventos de fraude de ACH são caros. Por um lado, as instituições financeiras são sempre responsáveis por esse tipo de fraude e devem indenizar os titulares das contas. Os clientes não são responsáveis por transferências não autorizadas, desde que informem o incidente ao banco no prazo de 60 dias após a liberação do extrato bancário, de acordo com o Regulamento E do Federal Reserve e com as Regras Operacionais do órgão regulador da rede ACH, a National Automated Clearinghouse Association (Nacha). O banco pode reembolsar o cliente ou devolver a transação à instituição financeira depositária de origem (ODFI).

Enquanto isso, as empresas não estão cobertas pelas proteções do Regulamento E e têm apenas 24 horas para informar. Após esse prazo, elas serão responsabilizadas, e não o banco. Além do impacto financeiro imediato, uma empresa pode sofrer danos à reputação se os criminosos cibernéticos invadirem sua rede e obtiverem informações financeiras dos clientes do banco. As consequências também podem levar a graves interrupções operacionais, incluindo a participação em extensas investigações, o gerenciamento de processos judiciais de clientes e altas taxas legais/multas e prêmios de seguro.

3 exemplos de golpes de pagamento ACH

Os golpes de ACH têm como alvo as vulnerabilidades no fluxo de transações de uma empresa. Três dos golpes mais comuns a serem observados estão listados abaixo. Observe como sua empresa pode lidar com eles por meio de táticas e ferramentas de prevenção de fraudes.

1. Phishing

O que é isso?

Os golpes de phishing usam engenharia social complexa. Os hackers se fazem passar por fornecedores, agências governamentais ou qualquer empresa respeitável para enganar os alvos e fazê-los confirmar seus dados bancários ou fazer pagamentos ACH por meio de links maliciosos incorporados em e-mails e mensagens de texto. Uma vez clicado, o malware é instalado e os dados confidenciais são expostos ao fraudador.

Como vencer o golpe

Para evitar esses golpes, as empresas devem implementar programas abrangentes de treinamento de funcionários para identificar táticas, como identificar imagens ou links editados. A autenticação multifatorial (MFA) e os gateways de e-mail seguros também podem filtrar automaticamente os e-mails de phishing. Além disso, muitos bancos oferecem o serviço de pagamento positivo ACH, que permite que as empresas enviem uma lista de fornecedores autorizados. Essa lista é liberada para receber pagamentos automáticos e pode incluir filtros como valores máximos de transação.

2. Fraude do CEO/CFO

O que é isso?

Uma forma de roubo de identidade, esse golpe envolve fraudadores que se fazem passar pelo CEO/CFO para enviar uma solicitação por e-mail ou correio de voz de quantias excepcionalmente grandes de EFTs. Esse tipo de fraude tem se tornado cada vez mais possível graças à inteligência artificial (IA) generativa. Uma versão mais sofisticada desse golpe é a personificação de vídeo deepfake. Em fevereiro de 2024, um profissional de finanças de Hong Kong ganhou as manchetes quando pagou incríveis US$ 25 milhões a golpistas que usaram o deepfake para se passar por CFO e colegas do funcionário durante uma chamada de videoconferência.

Como vencer o golpe 

Como medida de prevenção, as empresas podem estabelecer um protocolo de verificação para todas as solicitações financeiras, como a exigência de um código tokenizado para transações acima de um valor específico. Outra estratégia é exigir duas pessoas para a verificação - uma para autorizar o pagamento e outra para liberá-lo.

3. Kiting de ACH

O que é isso?

Esse golpe envolve a exploração do atraso nas transferências ACH para movimentar fundos entre diferentes contas e bancos para sacar o dinheiro que ainda está em trânsito. Esse tipo de fraude geralmente é feito por um funcionário que retira fundos da empresa no final do ano. O funcionário então registra o dinheiro retirado como em trânsito e depois registra uma redução no ano seguinte para supostamente "refletir" essa movimentação de fundos.

Como vencer o golpe

Para resolver isso, as empresas podem implementar análises em tempo real para monitorar padrões de transações incomuns. Além disso, a configuração de alertas automatizados para movimentações rápidas de fundos entre contas pode sinalizar atividades de kiting antes que elas se tornem uma bola de neve. Por exemplo, a solução de mitigação de riscos da Trustly usa modelos de aprendizado de máquina (ML) para identificar atividades suspeitas em sua rede de comerciantes e no ecossistema de dados do consumidor em tempo real.

Como a Nacha e os bancos estão implementando a prevenção contra fraudes de ACH?

Devido à crescente sofisticação desses golpes (e aos danos financeiros), o Nacha e suas instituições membros têm implementado as seguintes estratégias:

• Sistemas de detecção aprimorados. Os bancos estão explorando sistemas avançados de detecção de anomalias que usam ML e análise comportamental para detecção de fraudes em tempo real.
• Protocolos de autenticação mais fortes. A adoção de segurança cibernética de próximo nível para iniciar transações ACH, como autenticação de conta tokenizada (usando códigos criptografados), MFA e biometria, aumentou significativamente a proteção contra fraudes, tornando a verificação de identidade mais difícil de ser falsificada.
• Programas de educação e conscientização. Os bancos e a Nacha estão educando ativamente seus funcionários, clientes e membros sobre as mais recentes táticas de fraude (especialmente métodos de engenharia social) e reunindo recursos para as melhores práticas de prevenção de fraudes, como a configuração de senhas fortes e protocolos de segurança cibernética.
• Regras aprimoradas para a rede ACH. Em resposta à crescente fraude relacionada ao BEC, os membros do Nacha aprovaram um novo conjunto de regras em março de 2024. As regras permitem que a ODFI solicite a devolução do pagamento assim que a fraude for detectada. Enquanto isso, a instituição financeira depositária receptora (RDFI) pode atrasar a disponibilidade de fundos para investigar mais e devolver proativamente as transferências sinalizadas, mesmo sem uma solicitação ou reclamação do cliente.

Trustly Facilita a prevenção de fraudes ACH

Os incidentes de fraude de ACH estão aumentando, e as empresas devem ser vigilantes e proativas, estabelecendo estratégias robustas de prevenção. À medida que as EFTs se tornam o método de pagamento preferido, você precisa de um sistema que proteja as transações financeiras em todas as etapas do processo. O Trustly pode ajudar sua empresa a ficar à frente dos fraudadores por meio de nosso mecanismo de risco orientado por IA que monitora continuamente as transações (e aprende com elas). Além disso, o Trustly Pay pode se integrar perfeitamente aos pagamentos ACH para maximizar as taxas de aprovação e reduzir os riscos sem sacrificar a segurança dos dados.

Agende uma reunião com um especialista para saber como nossas soluções podem lhe dar tranquilidade ao fazer transações bancárias.

‍