Detección y prevención de fraudes ACH en 2026

Última actualización: octubre de 2026

La detección de fraude ACH es la forma en que los bancos, cooperativas de crédito, fintechs y empresas de pagos identifican pagos fraudulentos en la red Automated Clearing House (ACH), y la prevención de fraude ACH es cómo detienen esos pagos antes de que el dinero se mueva. Esta guía cubre las seis formas en que se presenta el fraude ACH, las cifras más recientes, las normas de monitorización de fraude de Nacha, dónde termina la detección y comienza la prevención, y quién asume las pérdidas.

Resumen rápido

• El fraude ACH abarca seis problemas distintos: débitos no autorizados, apropiación de cuentas (account takeover), compromiso de correo electrónico corporativo (BEC), fraude de transferencias (credit-push) a cuentas mula, fraude interno o abuso de primer titular (first-party abuse) y emisión de cheques ficticios o float abuse con ACH (ACH kiting). Cada uno es detectado primero por una parte diferente y requiere su propia respuesta.

• La detección identifica una transacción ilícita una vez que ya existe. La prevención actúa antes: en la apertura de la cuenta, al cambiar de beneficiario, en las primeras operaciones originadas y mediante retenciones en fondos entrantes.

• Ambas fases de las normas de monitorización de fraude de Nacha ya están en vigor. Exigen procesos basados en riesgo, revisados al menos una vez al año, y no imponen ningún método o producto en particular.

• Quién asume el coste depende de quién autorizó el pago y de si la cuenta pertenece a un particular o a una empresa.

¿Qué es el fraude ACH y cómo se detecta?

El fraude ACH es un pago a través de la red ACH que el titular de la cuenta no autorizó, que alguien indujo mintiendo sobre su identidad o sobre a quién representa, o que un titular de cuenta utiliza para quedarse con dinero que no le corresponde. La detección de fraude ACH identifica esas transacciones a medida que se originan o se reciben, utilizando señales del pago, de la cuenta y de la sesión.

Nacha, que regula la red, define el segundo tipo como un pago realizado bajo engaño o falsos pretextos (False Pretenses) y lo gestiona de forma independiente a una operación no autorizada. La prevención de fraude ACH adelanta el control: se enfoca en la apertura de cuentas, la modificación de beneficiarios y las retenciones en fondos entrantes. Diferenciar cada tipología es la parte más compleja de la detección de fraude ACH, ya que varían según quién inició el pago, quién fue engañado y qué banco lo detecta primero, exigiendo cada caso una respuesta distinta.

Cómo mueve el dinero ACH y dónde queda expuesto

Cinco partes intervienen en cada pago ACH: el originador, el banco del originador (ODFI), el operador de ACH, el banco receptor (RDFI) y el receptor.

Un débito ACH extrae dinero de la cuenta del receptor, y un crédito ACH lo ingresa. En un débito fraudulento, el receptor suele notar que falta dinero y avisa a su banco (RDFI). En un crédito fraudulento, los fondos ya han salido de la cuenta del emisor, y el banco receptor es el último punto donde se pueden frenar.

Los pagos ACH estándar se liquidan en un día hábil posterior; los pagos Same Day ACH se liquidan el mismo día de su emisión. La OCC señala que la originación de débitos implica un mayor riesgo para los bancos emisores porque las devoluciones pueden procesarse hasta 60 días después según las normas de Nacha, un margen que aprovechan el abuso de fondos flotantes (float abuse) y las reclamaciones falsas de débitos no autorizados. El volumen de ACH entre empresas (B2B) alcanzó los 8.100 millones de pagos en 2025, un 9,9% más que en 2024 según Nacha, lo que amplía las opciones de pagos redirigidos a falsos proveedores. A diferencia de una transferencia cablegráfica (wire), un crédito ACH se procesa en lote y se liquida más tarde, pero una vez que los fondos están disponibles suele ser igual de difícil recuperarlos.

Los seis tipos de fraude ACH y cómo diferenciarlos

Los seis tipos de fraude ACH se distinguen por quién inicia el pago y quién sufre el engaño. La columna de pérdidas a continuación muestra solo el resultado habitual; el apartado sobre responsabilidad legal detalla la normativa aplicable.

Débitos no autorizados

Un débito no autorizado extrae dinero de una cuenta sin el permiso del titular, normalmente con datos bancarios robados, y el banco receptor suele enterarse primero a través de un cliente que detecta la falta de fondos. Un responsable de riesgo de fraude bancario describió una alerta de este tipo en la parte receptora: un nuevo beneficiario a nombre de un tercero cobrando fondos, una llamada al cliente para confirmar si lo autorizó y el plazo extendido para devolver un débito particular no autorizado. En la parte originadora, Nacha exige que los débitos WEB, autorizados por particulares online, se evalúen con un sistema de detección de fraude comercialmente razonable que, como mínimo, valide la cuenta la primera vez que se utiliza y cada vez que cambie; la validación solo confirma que la cuenta está activa, no quién es su titular.

Originación por apropiación de cuenta (ATO)

En la apropiación de cuenta, el estafador entra en la banca electrónica del cliente y envía pagos ACH desde la cuenta real; aquí el banco originador es quien está en posición de detectarlo. El FBI señala que en 2025 su Recovery Asset Team observó un aumento en casos de apropiación de cuenta, que pueden implicar 50 o más transferencias ACH simultáneas hacia cuentas en múltiples bancos. Un vicepresidente y oficial de cumplimiento de un banco señaló que la banca online para empresas, donde los clientes emiten transferencias cablegráficas y ACH, sumada a estafas de suplantación bancaria, es su mayor reto de fraude, sobre todo por el esfuerzo que requiere detectarlas. Según las reglas de Nacha, esto constituye una transacción no autorizada y no un caso de False Pretenses, ya que el titular nunca consintió el envío.

Compromiso de correo electrónico corporativo (BEC) y desvío de nóminas o proveedores

En el compromiso de correo electrónico corporativo, el titular emite el pago él mismo hacia una cuenta provista por un delincuente que se hace pasar por un proveedor, un empleado o un directivo; el método habitual consiste en modificar el número de cuenta en una factura o desviar una nómina (payroll diversion fraud). Desde el 1 de octubre de 2024, Nacha clasifica esto como un pago bajo False Pretenses: inducido por alguien que falsifica su identidad, su autorización para actuar en nombre de un tercero o la titularidad de la cuenta de destino. Un vicepresidente sénior de operaciones de depósito en un banco afirmó que el fraude BEC representa la mayor parte de los incidentes que no pueden frenar, porque los clientes solo avisan cuando el dinero ya ha salido. Desde el 20 de marzo de 2026, los abonos salariales deben incluir la descripción PAYROLL (Company Entry Description), lo que facilita al banco receptor detectar abonos de nómina nuevos o múltiples en una sola cuenta.

Fraude credit-push a cuentas mula

El fraude de transferencias inducidas (credit-push) es la otra cara del BEC y de las estafas ACH: fondos robados o transferidos mediante engaño llegan a cuentas abiertas o alquiladas para mover el dinero deprisa. Nacha solicita a las entidades receptoras (RDFI) que supervisen los créditos entrantes según criterios de riesgo, sin que sea obligatorio hacerlo antes del apunte contable; no obstante, desde el 18 de septiembre de 2026, los fondos de créditos ACH que no sean Same Day deben estar disponibles a las 9:00 a.m. (hora local de la RDFI) en la fecha de liquidación, lo que reduce el margen para revisarlos. Un vicepresidente sénior y responsable de operaciones de depósito bancario señaló que la mayor parte de su fraude procede de cuentas abiertas por internet y de su operativa de fondeo, siendo las mulas bancarias el patrón individual más frecuente.

Abuso de primer titular (First-party abuse)

En el abuso de primer titular, el estafador es el propio titular: autoriza un débito, gasta el importe y luego alega fraude, o fondea una cuenta nueva mediante cobro ACH y la vacía antes de que el débito sea devuelto. Nacha sitúa la tasa media de devoluciones por débitos no autorizados en la red ACH en el 0,05% —un dato de devoluciones, no de fraude directo— y aconseja a las RDFI investigar si sus cifras superan claramente este promedio. Nacha creó un grupo de trabajo específico sobre fraude de primer titular en octubre de 2025.

Al no haber un titular inocente al que proteger, la estrategia cambia. El responsable de riesgo de fraude bancario antes citado indicó que el equipo puede «bloquear por completo a un cliente, sobre todo si es fraude de primer titular. Se corta el acceso en todos los frentes».

ACH kiting

El ACH kiting traslada a las operaciones ACH el clásico fraude de fondos flotantes (float abuse) conocido en los cheques. La OCC define el libramiento en descubierto de cheques (check kiting) como la práctica en la que un cliente presenta cheques en dos o más entidades financieras y utiliza los fondos aún no compensados mientras las partidas se liquidan, obteniendo en la práctica un crédito no autorizado y sin intereses. En el ACH kiting, el dinero se mueve mediante transferencias ACH entre cuentas de distintas entidades, o hacia una aplicación, y se gasta antes de que los apuntes se liquiden o se devuelvan.

Un director sénior de operaciones en una fintech para particulares lo definió como «similar al fraude con cheques, pero en versión digital instantánea», donde los fondos pasan por diferentes cuentas bancarias hasta concentrarse en una. Un director de operaciones de una plataforma de trading fintech describió el mismo problema desde la perspectiva del fondeo: usuarios fraudulentos cargan saldo mediante adeudo ACH y retiran los fondos justo en el instante en que termina el periodo de retención.

Estadísticas del fraude ACH: qué reflejan los últimos datos

No existe un registro público que cuantifique las pérdidas totales por fraude ACH en toda la red, por lo que estas cifras sirven de referencia para contrastar las tasas de devolución, reclamaciones y pérdidas de cada entidad, y no representan una tasa de fraude oficial para ACH.

• Tamaño de la red: en 2025, la red ACH procesó 35.200 millones de pagos por un valor de 93 billones de dólares, un incremento del 4,9% en volumen y del 7,9% en valor respecto a 2024, según Nacha.

• Frecuencia de incidentes en empresas: el 76% de las organizaciones estadounidenses sufrieron intentos o fraudes consumados en pagos durante 2025, según la Encuesta sobre Fraude y Control de Pagos de la AFP de 2026.

• Métodos de pago más atacados: en ese mismo informe de la AFP, los cheques en papel fueron el método más atacado en 2025 (58% de las empresas), seguidos de los débitos ACH (30%) y las transferencias cablegráficas (25%).

• Compromiso de correo electrónico corporativo (BEC): el Centro de Quejas de Delitos en Internet del FBI (IC3) recibió 24.768 denuncias por BEC en 2025, con pérdidas declaradas de 3.050 millones de dólares, situándose como la segunda mayor categoría de fraude tras las estafas de inversión. El IC3 contabiliza juntos las transferencias ACH y los envíos cablegráficos, por lo que no es un dato exclusivo de ACH.

• Fraude a consumidores: los particulares declararon pérdidas por fraude de 15.900 millones de dólares en 2025 entre todos los métodos de pago, frente a algo más de 12.000 millones el año anterior, según la FTC. Los pagos bancarios concentraron el mayor volumen de pérdidas declaradas; la FTC los sitúa en primer lugar pero no detalla el importe exacto.

• Devoluciones por falta de autorización: Nacha sitúa la tasa media de devolución de débitos no autorizados en la red ACH en el 0,05%, frente al umbral reglamentario del 0,5% fijado para un originador individual. Esta cifra representa una tasa de devolución, no de fraude general.

Qué exigen las normas de monitorización de fraude de Nacha

Ambas fases de las normas de monitorización de fraude de Nacha ya están operativas: la Fase 1 desde el 20 de marzo de 2026 para cualquier ODFI con independencia de su tamaño, para originadores corporativos, proveedores de servicios externos y terceros emisores (Third-Party Senders) que originaron 6 millones o más de apuntes ACH en 2023, y para RDFIs que recibieron 10 millones o más en 2023; la Fase 2 desde el 19 de junio de 2026 (el 22 de junio en la práctica, por ser el 19 festivo federal), que eliminó estos umbrales para el resto del mercado. Cada participante debe disponer de «procesos y procedimientos basados en el riesgo», adaptados a su función, «diseñados razonablemente para identificar transacciones sospechosas de no haber sido autorizadas o de haberse autorizado bajo engaño (False Pretenses)», debiendo revisarlos al menos una vez al año. La normativa no exige revisar las operaciones antes de procesarlas ni impone productos o tecnologías concretas; las normas de monitorización de fraude de Nacha de 2026 se analizan al detalle en nuestra guía. Las medidas que debe aplicar cada entidad según su función se detallan en nuestra guía de preparación para las normas de fraude de Nacha de 2026.

Cómo funciona la detección de fraude ACH

La detección de fraude ACH aplica varios controles en capas, ya que cada uno detecta ciertos patrones e ignora otros. Los métodos principales son:

• Validación de cuentas y comprobación de nombres: ¿la cuenta existe y pertenece a la persona indicada?

• Anomalías de volumen, frecuencia e importe: ¿se desvía este pago de la operativa habitual del cliente?

• Verificación de cambios de beneficiario o destino: ¿se ha modificado recientemente el beneficiario o su cuenta bancaria?

• Señales del dispositivo y de la sesión al originar: ¿quién ha iniciado sesión y desde qué dispositivo?

• Monitorización de devoluciones y créditos entrantes: ¿aumentan las devoluciones de un originador? ¿tienen sentido los créditos entrantes según el perfil de la cuenta receptora?

Aplicar estos controles mediante reglas, modelos o ambos enfoques requiere una decisión técnica independiente. Dado que el riesgo de un mismo cliente suele evaluarse de manera global, conviene saber cómo evaluar la puntuación de riesgo de fraude en tarjetas, ACH y transferencias cablegráficas. El funcionamiento de cada técnica, sus fortalezas y limitaciones se analizan en detalle en nuestra guía sobre métodos de detección de fraude ACH.

Detección frente a prevención de fraude ACH

La detección de fraude ACH encuentra una transacción sospechosa cuando ya se ha creado; la prevención actúa antes de que se genere o antes de que el dinero empiece a circular. El vicepresidente y oficial de cumplimiento mencionado anteriormente lo resumía en actuar de forma anticipada: «atajarlo antes de que se produzca la operación; el impacto real es la transacción».

Una vicepresidenta de gobernanza y operaciones de fraude en una cooperativa de crédito describió su enfoque preventivo: «mi estrategia consiste en adelantarme al máximo en el ciclo de vida del socio y frenar el fraude en ese punto».

Una detección tardía sigue siendo útil para la investigación posterior, pero no evita la salida del dinero. Un responsable de prevención de blanqueo de capitales (BSA/AML) y fraude en una entidad financiera comentó que, al analizar la causa raíz de incidentes, sus alertas de blanqueo solían saltar cuando el equipo ya había detectado el problema por otros medios: «La alerta salta, sí, pero llega demasiado tarde».

Las reglas de Nacha no obligan a monitorizar antes del procesamiento, aunque la entidad reconoce que intervenir antes «ofrece las mayores garantías para detectar y evitar posibles fraudes», dejando esa decisión en manos de cada institución. El responsable de riesgo de fraude bancario citado antes explicó que sus alertas ACH se activan antes de la liquidación, lo que da margen de maniobra al equipo. Las empresas pueden incorporar defensas adicionales mediante sus bancos, como el bloqueo de débitos ACH (debit blocks) y la conciliación positiva (positive pay), que impiden cobros imprevistos en sus cuentas.

Cómo prevenir el fraude ACH sin bloquear cobros y pagos legítimos

Los controles rígidos evitan el fraude a costa de frenar también la operativa normal. Un director de estrategia de riesgo de fraude en un gran banco explicó que limitar el fondeo por ACH en cuentas nuevas frena el riesgo, pero rechaza ingresos legítimos de mayor cuantía, obligando al banco a buscar controles más precisos para poder flexibilizar el límite.

La solución óptima es la precisión: ajustar la respuesta al tipo de fraude concreto, facilitando el paso de pagos legítimos y añadiendo validaciones solo donde exista riesgo real. En la práctica, esto implica pedir verificaciones adicionales si cambian los datos bancarios del beneficiario, retener abonos atípicos para el historial de la cuenta o llamar al cliente antes de emitir un primer débito elevado, en lugar de imponer topes fijos para todos. Asimismo, exige simular cada regla con datos históricos antes de implementarla. Un vicepresidente sénior de operaciones en una caja de ahorros señaló que la tecnología es lo sencillo; lo complejo es coordinar al equipo de operaciones de depósito (los primeros en ver la transacción) con el equipo de cumplimiento y prevención de blanqueo (que la examina después).

Errores que bloquean pagos válidos o permiten el fraude

• Tratar el fraude ACH como un problema homogéneo: un conjunto único de reglas pasará por alto los patrones para los que no fue diseñado y bloqueará pagos legítimos parecidos.

• Fiarse de las devoluciones para descubrir el fraude: la devolución llega después de la liquidación, cuando el dinero suele haber desaparecido.

• Omitir controles ante cambios menores de beneficiarios: los fraudes BEC suelen comenzar con peticiones aparentemente normales para actualizar datos bancarios.

¿Quién responde ante el fraude ACH?

La responsabilidad legal depende de quién autorizó el pago y de si la cuenta es de un particular o de una empresa. Por norma general, un débito no autorizado revierte en el originador y su banco, mientras que un pago autorizado bajo engaño por el propio titular suele ser asumido por este, a menos que el dinero pueda recuperarse.

Garantía del banco originador. Conforme a las normas operativas de Nacha, la entidad originadora (ODFI) garantiza que toda orden enviada cuenta con autorización. El banco receptor puede iniciar una reclamación de garantía por débito no autorizado en un plazo de un año tras la liquidación para cuentas de empresa, o de dos años para cuentas de particulares.

Cuentas de particulares. Los débitos y créditos ACH en cuentas de particulares se consideran transferencias electrónicas de fondos protegidas por la Regulation E. Si un consumidor denuncia un débito ACH no autorizado dentro de los 60 días posteriores al envío del extracto bancario donde figure, generalmente no asume ningún coste; los límites de 50 y 500 dólares de la Regulation E solo se aplican si intervino la pérdida o robo de un dispositivo de acceso, como una tarjeta de débito. El banco receptor puede tramitar la devolución mediante un plazo ampliado, de modo que llegue al banco originador a primera hora del día hábil posterior al día natural 60 tras la liquidación, adjuntando la declaración escrita de débito no autorizado del consumidor.

Cuentas de empresas. Cuando una empresa declara que un débito ACH no fue autorizado (código R29), la devolución debe llegar al banco originador antes del inicio de la actividad del segundo día hábil posterior a la liquidación, motivo por el cual las empresas suelen asumir estas pérdidas con frecuencia. En transferencias de crédito corporativas rige el Artículo 4A del UCC (siempre que la operación no quede bajo la Electronic Fund Transfer Act). Si el banco y la empresa acordaron un procedimiento de seguridad razonable y la entidad lo cumplió de buena fe, la orden de pago puede considerarse vinculante para la empresa aunque no la haya emitido ella misma.

False Pretenses. Un banco receptor puede devolver un apunte que considere originado mediante engaño o suplantación con el código de retorno R17 y la descripción QUESTIONABLE, dentro del plazo ordinario de dos días hábiles. El uso del código R17 es voluntario y no dispone de plazo de devolución ampliado.

En algunas entidades, la tramitación de incidencias por fraude ACH sigue siendo manual. Un responsable de reclamaciones y soporte DDA en un banco describía las dudas habituales de cada expediente: «¿de qué son responsables y de qué no?». Este mismo profesional indicaba que cada caso exige conciliar tanto la normativa de Nacha como la Regulation E.

El significado de cada código de retorno y cuáles computan para los límites de devolución de Nacha se detallan en nuestra guía de códigos de devolución ACH. Las condiciones contractuales de la cuenta y la legislación estatal también influyen en la resolución, por lo que ante un quebranto concreto conviene contar con asesoramiento legal especializado.

Cómo elegir una herramienta de detección de fraude ACH

El procesamiento ACH exige requisitos específicos a cualquier solución tecnológica: debe tener visibilidad tanto en la emisión como en la recepción, intervenir antes de liberar los fondos y permitir al equipo de fraude ajustar y probar sus propias reglas con agilidad. Si busca una plataforma para gestionar estos controles, nuestra guía sobre el mejor software de detección de fraude ACH analiza los criterios clave de comparación.

El papel de Oscilar

Oscilar desarrolla soluciones en este ámbito, por lo que conviene tener presente ese contexto al leer este apartado. Oscilar ofrece una plataforma integrada: infraestructura de datos en tiempo real, inteligencia de comportamiento y dispositivos, motor de reglas y gestión de casos en una única suite. El sistema está optimizado para emitir respuestas en menos de 100 milisegundos. Nacha ha distinguido a Oscilar como Preferred Partner para validación de cuentas, monitorización de fraude y prevención de riesgos.

Dos entidades han hecho públicos sus resultados: SoFi redujo a la mitad el tiempo necesario para implementar nuevas políticas de riesgo gracias a la interfaz sin código de Oscilar, mientras que Fluz integró la plataforma y logró elevar un 20% sus tasas de aprobación en ACH.

Para saber cómo traslada Oscilar estas capacidades a ACH y otros canales, consulte la sección sobre protección frente al fraude transaccional de Oscilar.

Preguntas frecuentes sobre el fraude ACH

¿Qué es el ACH kiting?

El ACH kiting es una operativa fraudulenta con fondos flotantes mediante transferencias ACH: el dinero se desplaza entre cuentas de distintas entidades, o hacia una app, y se dispone de él antes de que los apuntes se liquiden o devuelvan. Funciona de manera similar al uso indebido de cheques en descubierto (check kiting), definido por la OCC como la presentación de cheques en varias entidades para usar fondos no cobrados durante el periodo de compensación.

¿Quién asume el coste del fraude ACH: el banco o el cliente?

Depende de quién autorizó la orden y de la naturaleza de la cuenta. Bajo la Regulation E, un particular que denuncie un débito no autorizado dentro de los 60 días posteriores a su extracto bancario queda por lo general exento de costes; las empresas, en cambio, disponen solo de dos días hábiles para tramitar la devolución. Cuando es el titular quien autoriza un pago víctima de un engaño, la pérdida suele recaer en él, salvo que el banco consiga recuperar el dinero.

¿Qué entiende Nacha por False Pretenses?

Desde el 1 de octubre de 2024, Nacha tipifica como False Pretenses los pagos inducidos por quien falsea su identidad, sus facultades de representación sobre un tercero o la legítima titularidad de la cuenta de abono. Engloba el fraude BEC y la suplantación de identidad de beneficiarios, pero excluye las reclamaciones por artículos defectuosos o no recibidos y la apropiación indebida de cuentas (ATO), que se cataloga como operación no autorizada.

¿Cómo afecta el Same Day ACH al riesgo de fraude?

El Same Day ACH liquida las transferencias en la misma jornada en que se emiten, reduciendo la ventana temporal para detectar operaciones sospechosas antes de que los fondos cambien de manos. Nacha contabilizó 1.400 millones de transacciones Same Day ACH en 2025 (por valor de 3,9 billones de dólares), lo que supone una subida del 16,7% en volumen respecto a 2024; además, el importe máximo por operación pasará de 1 a 10 millones de dólares el 17 de septiembre de 2027.

¿Qué datos y flujos de trabajo son clave para la detección de fraude ACH?

La detección eficaz requiere evaluar de forma combinada datos del pago, la cuenta, el beneficiario y la sesión, junto al historial previo de devoluciones y reclamaciones del cliente, ya que cada señal aislada aporta poca certeza. Esta valoración conjunta activa retenciones de apuntes o fondos sospechosos, verificaciones reforzadas en cambios de destinatario o primeras emisiones, y la apertura de investigaciones manuales.

¿Cómo reducir falsos positivos en ACH sin incrementar el fraude?

La forma más eficaz consiste en analizar cada operación frente al histórico específico del usuario y modular la respuesta al vector de riesgo concreto, en lugar de imponer filtros o límites homogéneos. Probar cada regla con datos históricos antes de activarla ayuda a validar si reduce alertas innecesarias sin dejar pasar transferencias fraudulentas.

¿Cómo contribuye la IA a detectar fraude ACH conforme a la normativa de Nacha?

Las directrices de Nacha exigen protocolos y procesos fundamentados en el análisis del riesgo, sin imponer IA ni tecnologías concretas. Los modelos de aprendizaje automático permiten priorizar las operaciones de mayor riesgo en paralelo a las reglas habituales, canalizando la revisión hacia los casos críticos. En cualquier caso, documentar el funcionamiento de estos controles resulta indispensable para justificar la revisión anual obligatoria.