A Nacha está implementando uma grande atualização em como as instituições financeiras devem monitorar transações ACH. As mudanças nas regras aprovadas pelo conselho da Nacha em 2024 entraram em vigor em 20 de março de 2026, ampliando a definição de fraude em ACH para incluir pagamentos feitos sob falsos pretextos e transferindo parte da responsabilidade de recuperação para a instituição recebedora. O relatório FBI IC3 2024 aponta 16,6 bilhões de dólares em fraudes habilitadas por meios cibernéticos, com 38 por cento das perdas envolvendo ACH ou transferência bancária como trilho de liquidação.
Pela primeira vez, tanto as instituições originadoras quanto as recebedoras serão responsáveis por detectar transações autorizadas sob falsos pretextos.
Golpes como comprometimento de e-mail comercial, falsificação de folha de pagamento e fraude de fornecedores muitas vezes envolvem a vítima aprovando o pagamento. Esses cenários tradicionalmente ficaram fora do arcabouço de combate a fraudes da Nacha, limitando as opções de recuperação e monitoramento. As novas regras passam a incluir explicitamente esses golpes baseados em indução e atribuem responsabilidade em toda a cadeia do ACH.
As instituições abrangidas precisarão de controles baseados em risco que detectem enganação, não apenas acesso não autorizado. Atender aos requisitos de conformidade da Nacha significa monitorar anomalias de comportamento, padrões de engenharia social e identidades deturpadas.
Neste artigo, vamos explorar as novas mudanças nas regras e o que as equipes de risco precisam fazer para se preparar.
O que as novas regras da Nacha exigem dos participantes da ACH
A Nacha está introduzindo novos requisitos de monitoramento que se aplicam tanto à originação quanto ao recebimento de transações ACH. Essas regras ampliam as exigências e capacidades para incluir pagamentos autorizados sob falsos pretextos, como golpes envolvendo personificação ou engenharia social.
As regras da Nacha são aplicadas em fases com base no volume de transações ACH:
Eficaz | Aplica-se a | Requisitos principais |
1 de abr. de 2025 | RDFIs | Deve fornecer notificação/status à solicitação de devolução do ODFI dentro de 10 dias úteis bancários |
20 de mar. de 2026 | ODFIs, Originadores não consumidores, TPSPs, TSPs (≥6M) | Monitoramento de fraude obrigatório (Fase 1) para originadores, TPSPs e TSPs não consumidores com volume de originação em 2023 ≥ 6 milhões |
RDFIs (≥10M) | Monitoramento de créditos ACH obrigatório (Fase 1) para RDFIs com volume de recebimentos em 2023 superior a 10 milhões | |
Todos os participantes ACH | Introdução de novas descrições de lançamentos da empresa: FOLHA DE PAGAMENTO e COMPRA | |
19 de junho de 2026* | Todos os Originadores não consumidores, TPSPs, TSPs | Monitoramento de fraude obrigatório (Fase 2) para todos os demais Originadores, TPSPs e TSPs não consumidores |
Todos os RDFIs | Monitoramento de créditos ACH exigido por todas as RDFIs |
Essas mudanças formalizam a expectativa de que todos os participantes da rede ACH sejam capazes de detectar riscos de fraude em todo o ciclo de vida da transação. Isso inclui casos em que o pagamento foi iniciado pelo cliente, mas com base em informações deturpadas. Esse cenário agora está explicitamente contemplado na definição de falsas pretensões da Nacha.
O que “falsas pretensões” significa segundo as novas diretrizes da Nacha
A Nacha define falsas alegações como “o induzimento de um pagamento por uma pessoa que deturpa (a) a identidade dessa Pessoa, (b) a associação dessa Pessoa com outra Pessoa ou a autoridade para agir em nome de outra Pessoa, ou (c) a titularidade de uma conta a ser creditada.”
Esta definição abrange cenários comuns de fraude, tais como:
- Comprometimento de E-mail Comercial (BEC)
- Impersonação de fornecedor
- Impersonação de folha de pagamento
- Tomadas de conta
Importante: esta definição não abrange golpes envolvendo bens e serviços falsos, inexistentes ou de baixa qualidade.
Na prática, essa nova linguagem significa que as equipes de risco devem adaptar os programas de prevenção a fraudes para atender às regras operacionais e diretrizes da Nacha, detectando transações que são autorizadas, mas inconsistentes com o histórico de comportamento, perfis dos destinatários ou relações de confiança conhecidas.
O que a monitoração de fraudes em ACH agora exige
As novas regras atribuem responsabilidades explícitas de detecção de fraude com base no papel da instituição na transação ACH. A Nacha não exige a análise em tempo real de todas as transações, mas espera que as instituições implementem procedimentos estruturados de monitoramento baseados em risco, razoavelmente destinados a detectar lançamentos não autorizados e pagamentos induzidos sob falsos pretextos.
Novas regras da Nacha para ODFIs, Originadores, TPSPs e TPSs
Os participantes envolvidos na originação de lançamentos ACH devem:
- Estabelecer e implementar processos e procedimentos baseados em riscorelevantes para o seu papel na autorização ou transmissão de lançamentos
- Garantir que esses procedimentos sejam elaborados para identificar lançamentos suspeitos de serem não autorizados ou autorizados sob falsos pretextos
- Revise e atualize esses processos pelo menos anualmente para levar em conta os riscos em evolução
As instituições não são obrigadas a analisar cada transação individualmente ou em tempo real. As regras permitem controles em camadas que levam em conta processos de terceiros e a devida diligência prévia, não apenas decisões caso a caso em cada lançamento.
Por exemplo, o programa de um ODFI pode basear-se nas práticas de KYC do originador, na pontuação de risco com base nos metadados das transações e em limites de alerta definidos a partir de eventos históricos de fraude.
Novas regras da Nacha para devoluções de ACH e monitoramento de RDFI
As Instituições Financeiras Depositárias Recebedoras (RDFIs) devem aplicar padrões semelhantes ao recebimento de créditos ACH:
- Estabelecer e implementar procedimentos baseados em risco que sejam razoavelmente destinados a identificar créditos suspeitos de serem não autorizados ou autorizados sob falsos pretextos
- Revisar e atualizar os controles de monitoramento pelo menos anualmente para garantir que permaneçam eficazes à medida que os padrões de fraude evoluem
Esses procedimentos não exigem a análise de cada crédito individualmente ou em tempo real. As RDFIs podem avaliar os lançamentos após a sua contabilização utilizando análises comportamentais, verificações de velocidade ou fluxos de trabalho baseados em alertas, desde que o sistema seja razoavelmente projetado para identificar e responder ao risco de fraude.
Melhores práticas para as novas regras de monitoramento de fraude da Nacha
Para atender às expectativas da Nacha, os programas de prevenção a fraudes devem evoluir de controles reativos para uma estrutura de monitoramento baseada em risco, que aborde tanto pagamentos não autorizados quanto aqueles resultantes de engenharia social.
Aqui estão cinco melhores práticas para ajudar suas equipes de fraude e operações de pagamentos a atender aos requisitos da Nacha.
1. Monitore em todo o ciclo de vida do cliente
Monitorar apenas a transação não é suficiente. Muitos golpes, como desvio de folha de pagamento ou falsificação de fornecedores, parecem legítimos no momento da transferência, mas apresentam sinais de alerta antes disso. Use dados de onboarding, mudanças de comportamento e metadados da conta para detectar inconsistências na titularidade ou no destino antes que o pagamento seja enviado.
Por exemplo, se a conta fornecida durante o onboarding for diferente da conta usada em um arquivo de folha de pagamento, isso pode indicar redirecionamento por um fraudador. O monitoramento ao longo do ciclo de vida ajuda você a detectar essas mudanças com antecedência.
2. Use sinais de dispositivo e comportamentais para detectar precocemente indícios de fraude
Os sinais de dispositivo e de comportamento são os indicadores mais precoces e eficazes de fraude em fluxos ACH. Eles ajudam a identificar riscos muito antes que surjam anomalias no nível das transações.
Esses sinais são fundamentais para detectar:
- Transferências não autorizadas, como sequestros de conta, em que o usuário está acessando de um novo dispositivo, usando software de acesso remoto ou falhando em verificações de autenticação comportamental
- Golpes de engenharia social, em que um cliente é manipulado a iniciar um pagamento sob falsos pretextos, muitas vezes caracterizados por mudanças na cadência de digitação, nos padrões de navegação ou por hesitação durante a configuração do pagamento
- Contrapartes suspeitas, como contas laranja que recebem fundos após uma sessão que apresenta sinais de comportamento automatizado, dispositivos falsificados ou inconsistência de identidade. Usados em conjunto, os sinais de dispositivo e de comportamento ajudam a identificar riscos durante o login, atualizações de perfil ou upload de arquivos, não apenas no momento em que uma transação é enviada.
2. Estabeleça e mantenha procedimentos de fraude específicos por função
A Nacha exige que as instituições implementem procedimentos de monitoramento de fraude adaptados ao seu papel no fluxo ACH. Isso significa que seus controles, sinais e caminhos de escalonamento devem ser diferentes dependendo se a sua instituição está originando ou recebendo recursos.
ODFIs e Originadores | RDFIs |
Analisar arquivos ACH de saída para identificar irregularidades nas informações do beneficiário, especialmente em folhas de pagamento ou pagamentos a fornecedores Aplicar modelos de risco ao comportamento do originador, incluindo aumentos súbitos de volume, mudanças na estrutura dos arquivos ou atividade em horários atípicos Revisar os fluxos de onboarding e autenticação de clientes para confirmar se o originador é realmente quem afirma ser, especialmente no caso de clientes não consumidores que enviam pagamentos de alto valor ou alto volume | Monitorar padrões de créditos recebidos consistentes com contas laranja, como recebimento em alta velocidade seguido de saques ou transferências rápidas Sinalizar beneficiários que de repente passam a receber créditos ACH de originadores desconhecidos ou de alto risco Usar histórico de dispositivo, IP e login para detectar anomalias de sessão antes do recebimento do crédito |
Em ambas as funções, as instituições devem manter procedimentos documentados que descrevam como os alertas são gerados, como os casos são escalados e quem tem autoridade para aprovar devoluções ou reter fundos. Embora as regras da Nacha exijam apenas que esses procedimentos sejam revisados e atualizados anualmente, as equipes em ambientes de alto risco podem precisar iterar diariamente, semanalmente ou mensalmente.
3. Aproveite as ferramentas ACH para lidar com lançamentos sinalizados
Se uma transação parecer fraudulenta ou suspeita, a Nacha oferece ferramentas opcionais que permitem que RDFIs e ODFIs tomem providências:
- Atrasar a disponibilidade dos fundos utilizando a isenção para lançamentos suspeitos de terem sido originados sob falsos pretextos. Isso proporciona tempo para investigar a transação e avaliar o risco associado à conta recebedora.
- Consulte o Registro de Contatos ACH por meio do Portal de Gerenciamento de Riscos da Nacha para identificar e contatar o ODFI. Isso pode ajudar na coleta de informações antes de decidir como proceder.
- Devolva o lançamento usando o Código de Motivo R17 com o descritor “QUESTIONABLE” se o RDFI acreditar que o lançamento é não autorizado ou foi obtido sob falsas pretensões. Isso deve ser feito dentro do prazo padrão de devolução.
Essas opções são voluntárias, mas fornecem às RDFIs ferramentas para agir quando uma transação parece suspeita, mas ainda não foi formalmente contestada pelo cliente.
4. Coordenar as equipes de fraude e de operações de pagamentos
A detecção de fraude sob essas regras abrange tanto a detecção na linha de frente quanto a resposta de backoffice. Sua equipe de fraude pode identificar o sinal, mas a equipe de operações de pagamentos geralmente cuida de prazos, estornos e comunicação com a contraparte. Sem visibilidade compartilhada e coordenação, ações importantes podem ser perdidas ou atrasadas.
Crie fluxos de trabalho permanentes entre as equipes de fraude e operações para revisar lançamentos sinalizados, confirmar critérios de devolução e atualizar procedimentos compartilhados. Torne a comunicação entre equipes uma parte regular da forma como a fraude é gerenciada.
5. Prepare sua equipe de compliance para as implicações a jusante
Tradicionalmente, as RDFIs têm confiado nos bancos originadores para realizar verificações de OFAC e têm tratado da triagem pós‑liquidação por meio de sistemas de AML. À medida que as instituições começam a implementar monitoramento baseado em risco para créditos ACH recebidos, elas podem identificar riscos que antes não eram visíveis.
Isso pode levar a um aumento no número de alertas a serem gerenciados e ao potencial de falsos positivos, o que aumentará a carga geral de trabalho de conformidade. Uma vez que esses alertas de AML forem acionados, as equipes de compliance precisarão garantir que sejam devidamente analisados e tenham o encaminhamento adequado.
Para manter a eficiência, as instituições devem considerar o aprimoramento dos frameworks de detecção e dos processos de gestão de casos. O uso de triagem baseada em IA e de automação pode ajudar a lidar com volumes mais altos de alertas, reduzir falsos positivos e manter os padrões de conformidade sem desacelerar os pagamentos.
Como a Sardine ajuda você a detectar e impedir fraudes em ACH
A Sardine ajuda instituições financeiras a atender aos requisitos de monitoramento de fraude da Nacha, detectando o risco antecipadamente, antes que uma transação ACH seja enviada ou liquidada. Combinamos inteligência de dispositivo e biometria comportamental para identificar sinais de tomada de controle de conta, engenharia social ou atividade de laranjas durante o login, alterações de conta e configuração de pagamentos.
Oferecemos modelos de machine learning ajustados para detectar várias formas de fraude em ACH. Ajudamos você a prever a probabilidade de uma devolução, incluindo códigos de devolução não autorizados como R05, R07, R10, R11 e R29, bem como devoluções por fundos insuficientes, como R01 e R09. Esses modelos também identificam pagamentos fraudulentos, oferecendo um alerta antecipado antes que a perda ocorra.
Além da pontuação de risco de devoluções, aplicamos detecção de anomalias em seus fluxos de ACH para sinalizar novos ataques de fraude. Isso inclui picos na velocidade das transações, padrões incomuns de originação ou desvios do comportamento normal das contrapartes. Juntas, essas ferramentas ajudam suas equipes de fraude e operações a manter a conformidade, reduzir perdas e responder mais rapidamente a novas ameaças.
Entre em contato com a Sardine para descobrir como nossa plataforma pode ajudar você a cumprir os novos requisitos da Nacha.
Perguntas frequentes
Quais são as novas regras da Nacha?
As alterações de regras aprovadas pelo conselho da Nacha em 2024 ampliam a definição de fraude ACH para incluir pagamentos sob falsos pretextos, transferem parte da responsabilidade de recuperação da instituição originadora para a instituição recebedora e exigem a validação de contas em lançamentos de crédito na primeira utilização. Essas regras entram em vigor em 20 de março de 2026.
Qual é o prazo da Nacha em 20 de março de 2026?
20 de março de 2026 é a data de vigência das regras ampliadas de monitoramento de fraude em ACH. As instituições recebedoras devem implementar monitoramento de fraude sobre créditos recebidos. As instituições originadoras passam a ter novas exigências de divulgação e de cooperação na recuperação.
O que significa falsas pretensões segundo as novas regras da Nacha?
Um pagamento feito sob falsos pretextos é aquele em que o originador foi enganado a autorizar a transferência (comprometimento de e-mail comercial, golpe romântico, fraude por impostor, fraude de fatura). As novas regras tratam esses pagamentos como fraude ACH, em vez de débitos autorizados.
Quem é responsável pela recuperação de fraudes ACH segundo as novas regras?
Tanto a instituição de origem quanto a instituição recebedora compartilham a responsabilidade. A instituição recebedora deve implementar monitoramento de fraude sobre os créditos recebidos e cooperar na recuperação. A instituição de origem deve seguir os novos procedimentos de divulgação e de contestação.
Quais ferramentas de detecção os bancos comunitários devem priorizar?
Os bancos comunitários devem priorizar o monitoramento em tempo real de fraudes em ACH, a validação de contas para créditos de primeira utilização, a inteligência de dispositivos nas sessões dos originadores, biometria comportamental e sinais compartilhados de consórcios para risco de contraparte. A Sardine oferece esses recursos por meio de uma única integração, ajudando os bancos a fortalecer a detecção de fraudes sem aumentar a revisão manual.