Nacha は、金融機関が ACH 取引をどのように監視しなければならないかについて、大幅なアップデートを実施しています。Nacha の 2024 年理事会承認ルール改正は 2026 年 3 月 20 日に発効し、虚偽の名目で行われた支払いを ACH 不正の定義に含めるよう拡大するとともに、一部の回収責任を受取金融機関側へと移転しました。FBI の IC3 2024 年報告書によると、サイバー関連不正による被害額は 166 億ドルに上り、その 38％は決済手段として ACH または電信送金が関与しています。
初めて、送金側と受取側の両方の金融機関が、虚偽の名目で承認された取引を検知する責任を負うことになります。
ビジネスメール詐欺、給与なりすまし、ベンダー詐欺のような手口では、多くの場合、被害者自身が支払いを承認してしまいます。これらのケースは従来、Nacha の不正対策の枠組みの対象外とされており、資金回収やモニタリングの手段が限られていました。新しい規則では、こうした誘導型の詐欺を明確に対象に含め、ACH の取引フロー全体にわたって責任の所在を定めています。
対象となる金融機関は、不正アクセスだけでなく、欺瞞そのものを検知できるリスクベースの管理策を整備する必要があります。Nacha のコンプライアンス要件を満たすには、行動の異常、ソーシャルエンジニアリングのパターン、そしてなりすましなどの誤った身元表示を監視することが求められます。
この記事では、新しいルール変更の内容と、それに備えてリスク管理チームが取るべき対応について解説します。
新しいNacha規則がACH参加者に求めること
Nacha は、ACH 取引の発信と受信の両方に適用される新たなモニタリング要件を導入しています。これらのルールは、なりすましやソーシャルエンジニアリングなどによる詐欺のように、虚偽の名目で承認された支払いも対象に含めることで、要件と対応能力の範囲を拡大するものです。
Nachaの規則は、ACH取引量に基づいて段階的に適用されます。
効果的 | 適用対象 | 主な要件 |
2025年4月1日 | RDFIs | ODFI からの返却依頼に対して、10 営業日以内に通知／ステータスを提供しなければならない |
2026年3月20日 | ODFIs、非消費者オリジネーター、TPSP、TSP（6百万以上） | 2023年の送金取扱件数が600万件以上の非消費者オリジネーター、TPSP、およびTSPには、不正監視（フェーズ1）が必要 |
RDFI（1,000万以上） | 2023年の受領件数が1,000万件を超える受取金融機関（RDFI）に対するACHクレジット監視が必要（フェーズ1） | |
すべてのACH参加者 | 新しい会社エントリー区分「PAYROLL」と「PURCHASE」の導入について | |
2026年6月19日* | すべての非消費者向けオリジネーター、TPSP、TSP | その他のすべての非消費者オリジネーター、TPSP、および TSP については、不正監視（フェーズ2）が必要です |
すべてのRDFI | すべてのRDFIに求められるACHクレジットのモニタリング |
これらの変更により、すべての ACH 参加者は取引ライフサイクル全体を通じて不正リスクを検知できなければならない、という期待が明文化されます。これには、支払い自体は顧客によって開始されたものの、誤った・虚偽の情報に基づいて行われたケースも含まれます。このような状況は、現在では Nacha による「false pretenses（虚偽の口実）」の定義の下で明示的に対象とされています。
新しいNachaガイドラインにおける「虚偽の口実」の意味
Nachaは「虚偽の口実」を次のように定義しています：「(a) 自身の身元、(b) 他者との関係性またはその者を代理して行動する権限、(c) 入金されるべき口座の所有権について、人物が事実と異なる説明をすることによって支払いを誘導する行為。」
この定義には、次のような一般的な詐欺の事例が含まれます。
- ビジネスメール詐欺（BEC）
- ベンダーなりすまし
- 給与詐欺
- アカウント乗っ取り
重要: この定義には、偽物や存在しない商品・サービス、または品質の低い商品・サービスに関わる詐欺は含まれません。
運用面では、この新しい文言により、リスクチームは不正対策プログラムをNachaの運用規則およびガイドラインに適合させ、承認されてはいるものの、過去の行動履歴、受取人プロファイル、既知の信頼関係と一致しない取引を検知しなければならないことを意味します。
ACH不正監視に現在求められていること
新しい規則では、ACH 取引における各機関の役割に基づき、明確な不正検知の責任が割り当てられます。Nacha はすべての取引をリアルタイムでスクリーニングすることを義務づけてはいませんが、不正なエントリーや虚偽の名目で行われる支払いを合理的に検知することを目的とした、体系的でリスクベースのモニタリング手順を各機関が導入することを求めています。
ODFI、オリジネーター、TPSP、およびTPS向けの新しいNacha規則
ACHエントリーの発信に関与する参加者は、次の事項を遵守しなければなりません。
- リスクに基づくプロセスおよび手順を策定し、実施する 取引の承認または送信における自らの役割に関連して
- それらの手続きが設計される際には、不正なもの、または虚偽の名目で承認されたと疑われる取引を特定できるようにすること
- 進化するリスクに対応するため、これらのプロセスを少なくとも年に一度は見直し、更新してください
金融機関は、すべての取引を個別に、またはリアルタイムでスクリーニングすることを必ずしも求められてはいません。規則では、個々の取引ごとの判断だけでなく、第三者によるプロセスや事前のデューデリジェンスも考慮に入れた、多層的な管理体制を認めています。
たとえば、ODFI のプログラムは、送金依頼人による KYC（顧客確認）手続き、取引メタデータに基づくリスクスコアリング、そして過去の不正事案を踏まえて設定されたアラート閾値に依拠する場合があります。
ACHの返品およびRDFIモニタリングに関する新しいNacha規則
受取預託金融機関（RDFI）は、ACH クレジットの受領に対しても同様の基準を適用しなければなりません。
- 不正なもの、または虚偽の名目で承認されたと疑われる入金を特定することを合理的に意図した、リスクベースの手続きを策定し実施すること
- 不正の手口が変化していく中でも有効性を維持できるよう、少なくとも年に一度はモニタリング管理策を見直し、更新すること。
これらの手順では、すべての入金を個別またはリアルタイムでスクリーニングすることは求められていません。RDFI は、行動分析、ベロシティチェック、アラートベースのワークフローなどを用いて、記帳後に取引を評価してもかまいませんが、そのシステムは不正リスクを適切に検知し、対応できるよう合理的に設計されている必要があります。
新しいNacha不正監視ルールにおけるベストプラクティス
Nacha の要件を満たすためには、不正対策プログラムを、事後的なコントロールから、無断取引とソーシャルエンジニアリングによる支払いの両方に対応できる、体系的でリスクベースのモニタリング体制へと進化させる必要があります。
ここでは、不正対策および決済業務チームがNachaの要件を満たすための5つのベストプラクティスを紹介します。
1. 顧客ライフサイクル全体を監視する
取引そのものを監視するだけでは不十分です。給与の振り替え詐欺や取引先なりすまし詐欺のような多くの詐欺は、送金時点では問題がないように見えても、その前の段階で警告サインが現れます。支払いが実行される前に、名義や送金先の不一致を検知できるよう、オンボーディング時のデータ、行動の変化、口座メタデータなどを活用して監視しましょう。
たとえば、オンボーディング時に登録された口座と、給与ファイルで使用されている口座が異なる場合、不正者による振込先のすり替えを示している可能性があります。ライフサイクル全体を通じたモニタリングにより、こうした変化を早期に検知することができます。
2. 不正の早期兆候を捉えるために、デバイス情報と行動シグナルを活用する
デバイスおよび行動シグナルは、ACH フロー全体における不正の最も早期かつ効果的な指標です。これらのシグナルによって、取引レベルの異常が現れるはるか前にリスクを把握することができます。
これらのシグナルは、次のような検知において極めて重要です。
- 不正な送金（アカウント乗っ取りなど、ユーザーが新しいデバイスからログインしている場合や、リモートアクセスソフトを使用している場合、または行動認証チェックに失敗している場合など）
- ソーシャルエンジニアリング詐欺では、顧客が虚偽の理由で支払いを開始するよう巧みに誘導されるものであり、多くの場合、タイピングのリズムや画面の操作パターンの変化、支払い設定時のためらいなどによって兆候が表れます
- 不審な取引相手。たとえば、スクリプトによる操作の兆候があるセッションの後に入金を受け取るマネーミュール口座や、なりすましデバイス、本人不一致が疑われる口座などです。デバイス情報と行動シグナルを組み合わせて活用することで、取引が送信される瞬間だけでなく、ログイン時やプロフィール更新時、ファイルアップロード時などにもリスクを特定できます。
2. 役割ごとに特化した不正対策手順を策定・維持する
Nacha は、各機関が ACH のフローにおける自らの役割に合わせて、不正監視手順を実施することを求めています。つまり、あなたの機関が資金を発信する側なのか受け取る側なのかによって、導入すべき管理策、シグナル、エスカレーション経路は異なるべきだということです。
ODFIとオリジネーター | 受取金融機関（RDFI） |
特に給与やベンダー支払いにおいて、受取人情報の不正や不自然な点がないか、送信するACHファイルをスクリーニングすること 取引件数の急増、ファイル構成の変更、通常と異なる時間帯での取引などを含め、オリジネーターの行動に対してリスクモデルを適用すること 特に高額または高頻度の送金を行う法人などの非消費者クライアントについて、オリジネーターが申告どおりの本人であることを確認するため、クライアントのオンボーディングおよび認証ワークフローを見直すこと | マネーミュール口座に見られるような入金パターンを監視すること。例えば、高頻度で入金が行われた直後に、急速な出金や振替が続くようなケースなどが該当します。 見慣れない、または高リスクと判断される送金元から、突然ACH入金を受け取り始めた受取人をフラグ付けすること。 クレジット入金が行われる前に、デバイス情報、IPアドレス、ログイン履歴を用いてセッションの異常を検知すること。 |
両方の役割において、金融機関は、アラートがどのように生成されるか、案件がどのようにエスカレーションされるか、そして誰が返金の承認や資金の保留を行う権限を持つのかを明確に示した文書化された手順を整備しておく必要があります。Nacha の規則では、これらの手順は年に一度見直しと更新を行えばよいとされていますが、高リスクな環境にあるチームでは、日次・週次・月次といった頻度で継続的に見直す必要がある場合もあります。
3. フラグが付いた取引の対応にACHツールを活用する
取引が不正または不審であると思われる場合、Nacha は RDFI と ODFI が対応措置を取れるようにする任意のツールを提供しています。
- 虚偽の名目で発信された疑いのある取引についての免除規定を利用し、資金の利用可能時期を遅らせます。これにより、取引内容を調査し、受取口座に関連するリスクを評価するための時間を確保できます。
- Nacha のリスク管理ポータルを通じて ACH コンタクトレジストリを参照し、ODFI を特定して連絡を取ってください。これにより、今後の対応方針を決定する前の事実確認に役立ちます。
- RDFI がその取引が無権限である、または虚偽の申し立てによって行われたと判断した場合は、理由コード R17 と記述子「QUESTIONABLE」を用いて当該取引を返却してください。これは標準的な返却期限内に行う必要があります。
これらのオプションは任意ですが、取引が不審に見えるものの、まだ顧客から正式に異議申し立てが行われていない場合に、RDFI が対応するための手段を提供します。
4. 不正対策チームと決済オペレーションチームの連携
これらのルールに基づく不正検知は、フロントラインでの検知とバックオフィスでの対応の両方にまたがります。不正対策チームが不正の兆候を捉えることはできますが、支払いオペレーションは、処理のタイミングや返品対応、相手方との連絡などを担うことが多くあります。情報共有と連携が不十分だと、重要なアクションが見落とされたり遅れたりするおそれがあります。
不正検知チームとオペレーションチームの間で、フラグが立った取引のレビュー、返金・返品条件の確認、共有手順の更新を行うための恒常的なワークフローを構築してください。部門横断のコミュニケーションを、不正対応の運用における日常的なプロセスとして組み込みましょう。
5. コンプライアンスチームを下流への影響に備えさせる
従来、RDFI は OFAC チェックを実施するために送金元銀行に依存し、決済後のスクリーニングは AML システムを通じて行ってきました。各機関が受取 ACH クレジットに対してリスクベースのモニタリングを導入し始めると、これまで可視化されていなかったリスクが明らかになる可能性があります。
これにより、対応すべきアラートの件数や誤検知（フォルス・ポジティブ）の発生可能性が増加し、全体としてのコンプライアンス業務の負荷が高まるおそれがあります。これらのAMLアラートが一度発報されると、コンプライアンス担当チームは、それらが適切に精査され、判断・処理されていることを確実にしなければなりません。
業務を効率的に維持するために、各機関は検知フレームワークやケース管理プロセスの強化を検討すべきです。AI駆動型スクリーニングと自動化を活用することで、アラート件数の増加に対応し、誤検知を減らし、支払いを遅らせることなくコンプライアンス基準を維持することができます。
Sardine が ACH 不正を検知して阻止する方法
Sardine は、ACH 取引が送信または決済される前の早い段階でリスクを検知することで、金融機関が Nacha の不正監視要件を満たせるよう支援します。私たちはデバイスインテリジェンスと行動バイオメトリクスを組み合わせ、ログイン時や口座情報の変更時、支払い設定時に、アカウント乗っ取りやソーシャルエンジニアリング、不正送金に利用される口座（いわゆるミュール口座）の兆候を特定します。
当社は、さまざまな種類のACH不正を検知できるよう綿密にチューニングされた機械学習モデルを提供しています。R05、R07、R10、R11、R29といった未承認取引のリターンコードや、R01、R09などの残高不足によるリターンを含め、リターンが発生する可能性を予測することを支援します。これらのモデルは不正な支払いも特定し、損失が発生する前に早期の警告を提供します。
返金リスクスコアリングに加えて、ACH フロー全体に異常検知を適用し、新たに発生しつつある不正攻撃をいち早く検知します。これには、取引速度の急増、通常とは異なる送金パターン、取引相手の行動からの逸脱などが含まれます。これらのツールを組み合わせることで、不正対策チームやオペレーションチームはコンプライアンスを維持しつつ、損失を削減し、新たな脅威にもより迅速に対応できるようになります。
サーディンにお問い合わせください 当社のプラットフォームが、Nacha の新しい要件への準拠にどのように役立つかご確認ください。
よくある質問
新しいNachaの規則は何ですか？
Nachaの2024年に理事会承認された規則改正では、ACH不正の定義が拡大され、虚偽の名目による支払いが含まれるようになり、一部の返金・回収責任が送金側金融機関から受取側金融機関へと移管されます。また、初回利用時のクレジット入金については口座認証が義務付けられます。これらの規則は2026年3月20日から施行されます。
2026年3月20日のNachaの締め切りは何ですか？
2026年3月20日から、拡張されたACH不正監視ルールが発効します。受取金融機関は、入金クレジットに対する不正監視を実施しなければなりません。送金金融機関には、新たな開示義務と回収協力要件が課されます。
新しいNacha規則における「虚偽の名目」とはどういう意味ですか？
虚偽の口実にもとづいて行われた支払いとは、送金者がだまされて送金を承認してしまったケースを指します（ビジネスメール詐欺、ロマンス詐欺、なりすまし詐欺、請求書詐欺など）。新しいルールでは、これらの支払いは正当な承認にもとづく引き落としではなく、ACH 不正取引として扱われます。
新しい規則の下では、ACH 不正利用の補償責任は誰が負うのですか？
送金元と受取側の両方の金融機関が責任を負います。受取側の金融機関は、入金に対する不正監視を実施し、資金回収に協力しなければなりません。送金元の金融機関は、新しい開示義務および紛争処理手続きに従う必要があります。
地域金融機関はどのような検知ツールを優先的に導入すべきですか？
コミュニティバンクは、リアルタイムのACH不正監視、初回入金時の口座認証、送金発信元セッションにおけるデバイスインテリジェンス、行動バイオメトリクス、そしてカウンターパーティリスクに関するコンソーシアム型の共有シグナルを優先的に導入すべきです。Sardineは、これらの機能を単一のインテグレーションで提供し、銀行が手作業による審査を増やすことなく、不正検知を強化できるよう支援します。