Deteção e Prevenção de Fraude ACH em 2026

Última atualização: outubro de 2026

A deteção de fraudes de ACH é a forma como bancos, cooperativas de crédito, fintechs e empresas de pagamentos identificam pagamentos fraudulentos na rede Automated Clearing House (ACH), e a prevenção de fraudes de ACH é a forma como travam esses pagamentos antes do dinheiro ser movimentado. Este guia aborda os seis tipos de fraude de ACH, os dados mais recentes, as regras de monitorização de fraudes da Nacha, onde a deteção termina e a prevenção começa, e quem assume as perdas.

Resumo

• A fraude de ACH abrange seis problemas distintos: débitos não autorizados, apropriação indevida de contas (takeover), comprometimento de e-mail corporativo (BEC), fraudes de envio de crédito (credit-push) para contas de "mulas", abusos em nome próprio e kiting de ACH. Cada um é identificado primeiro por uma parte diferente e exige a sua própria resposta.

• A deteção encontra um registo incorreto depois de este já existir. A prevenção atua mais cedo: na abertura de contas, em alterações de beneficiários, nas primeiras originações e na retenção preventiva de fundos recebidos.

• Ambas as fases das regras de monitorização de fraudes da Nacha estão em vigor. Exigem processos baseados no risco, revistos pelo menos uma vez por ano, e não impõem qualquer método ou produto específico.

• Quem paga depende de quem autorizou o pagamento e se a conta pertence a um consumidor particular ou a uma empresa.

O que é a fraude de ACH e como é detetada?

A fraude de ACH é um pagamento através da rede ACH que o titular da conta não autorizou, que alguém induziu mentindo sobre a sua identidade ou sobre quem representa, ou que um titular de conta utiliza para retirar dinheiro que não lhe é devido. A deteção de fraudes de ACH identifica esses registos no momento da originação ou da receção, recorrendo a sinais do pagamento, da conta e da sessão.

A Nacha, que define as regras da rede, designa o segundo tipo como um pagamento feito sob "Falsos Pretextos" (False Pretenses) e trata-o separadamente de um registo não autorizado. A prevenção de fraudes de ACH antecipa o controlo para a abertura da conta, alterações de beneficiários e retenções de fundos recebidos. Distinguir os tipos é a parte mais complexa da deteção de fraudes de ACH, porque variam quanto a quem iniciou o pagamento, quem foi enganado e que banco o deteta primeiro, exigindo cada um uma resposta diferente.

Como o ACH movimenta dinheiro e onde fica exposto

Cinco partes participam em cada pagamento de ACH: o Originador, o banco do Originador (instituição financeira de depósito de originação, ou ODFI), o operador de ACH, o banco destinatário (instituição financeira de depósito recetora, ou RDFI) e o Recetor.

Um débito ACH retira dinheiro da conta do Recetor, e um crédito ACH deposita dinheiro nela. Num débito fraudulento, o Recetor costuma notar a falta de dinheiro e informa a RDFI. Num crédito fraudulento, o dinheiro já saiu da conta de quem o enviou, e o banco destinatário é o último local onde pode ser travado.

Os pagamentos ACH padrão são liquidados num dia útil seguinte; os pagamentos de ACH no próprio dia (Same Day ACH), no próprio dia em que são enviados. O OCC observa que as originações de débito acarretam maior risco para os bancos emissores, pois as devoluções podem chegar até 60 dias depois, segundo as regras da Nacha, janela essa que é explorada pelo abuso de float e falsas alegações de débitos não autorizados. O ACH entre empresas (B2B) atingiu 8,1 mil milhões de pagamentos em 2025, um aumento de 9,9% face a 2024, de acordo com a Nacha, o que amplia a margem para pagamentos redirecionados a fornecedores. Ao contrário de uma transferência bancária (wire), um crédito ACH movimenta-se em lotes e é liquidado mais tarde, mas, assim que os fundos ficam disponíveis, costuma ser igualmente difícil recuperá-los.

Os seis tipos de fraude de ACH e como distingui-los

Os seis tipos de fraude de ACH diferem consoante quem inicia o pagamento e quem é enganado. A coluna de perdas abaixo indica apenas o resultado mais comum; a secção de responsabilidades detalha as regras aplicáveis.

Débitos não autorizados

Um débito não autorizado retira dinheiro de uma conta sem a autorização do seu titular, geralmente com recurso a dados de conta roubados, e o banco destinatário é normalmente o primeiro a ser informado por um cliente que dá pela falta do dinheiro. Um gestor de risco de fraude de um banco descreveu um alerta deste género do lado do destinatário: um novo beneficiário com outro nome a retirar fundos, uma chamada para o cliente a perguntar se autorizou a operação e o prazo mais alargado para devolver um débito não autorizado de um particular. Do lado da originação, a Nacha exige que os débitos WEB, autorizados online por particulares, sejam verificados por um sistema de deteção de fraude comercialmente razoável que valide, no mínimo, a conta na primeira utilização e sempre que for alterada; a validação apenas confirma que a conta está ativa, não quem é o seu titular.

Originação por apropriação de conta

Na apropriação de conta (account takeover), um fraudador acede ao homebanking do cliente e envia pagamentos ACH da conta real, pelo que o banco de originação é quem está melhor posicionado para detetar. O FBI relata que, em 2025, a sua Recovery Asset Team observou mais casos de apropriação de conta, que podem envolver 50 ou mais transações ACH simultâneas para contas em vários bancos. Um vice-presidente e responsável de conformidade de um banco apontou o homebanking empresarial — onde as empresas originam transferências e ACH —, combinado com fraudes de personificação bancária, como o seu problema de fraude mais premente, sobretudo pelo esforço necessário para o detetar. Segundo as regras da Nacha, trata-se de um registo não autorizado e não de Falsos Pretextos, uma vez que o titular nunca concordou em enviá-lo.

Comprometimento de e-mail corporativo e desvio de pagamentos ou salários

No comprometimento de e-mail corporativo (BEC), o titular da conta envia ele próprio o pagamento para uma conta indicada por um fraudador que se faz passar por um fornecedor, funcionário ou executivo; uma conta bancária alterada numa fatura ou o desvio de transferências de vencimento são os pontos de entrada habituais. Desde 1 de outubro de 2024, a Nacha classifica isto como um pagamento feito sob Falsos Pretextos: induzido por alguém que falsifica a sua identidade, a sua autorização para agir em nome de outra pessoa ou a titularidade da conta a creditar. Um vice-presidente sénior de operações de depósito de um banco afirmou que o BEC representa a maior parte da fraude que o banco não consegue travar, pois os clientes só a comunicam depois do pagamento sair. Desde 20 de março de 2026, os créditos de salários e ordenados devem conter a descrição de entrada PAYROLL, o que ajuda o banco destinatário a detetar créditos salariais novos ou múltiplos numa única conta.

Fraude de envio de crédito para contas de "mulas"

A fraude de envio de crédito (credit-push) é o lado recetor do BEC e de outras burlas de ACH: créditos roubados ou induzidos entram em contas criadas ou alugadas para transferir o dinheiro. A Nacha exige que as RDFIs monitorizem os créditos recebidos com base no risco, não sendo obrigatório fazê-lo antes do lançamento a crédito; contudo, desde 18 de setembro de 2026, os fundos de créditos ACH não realizados no próprio dia devem estar disponíveis até às 09:00 (hora local da RDFI) na Data de Liquidação, o que reduz a margem temporal de análise. Um vice-presidente sénior de operações de depósito de um banco indicou que a maior parte das fraudes surge através de contas abertas online e da forma como são financiadas, sendo as "mulas" o principal tipo individual de fraude que observam.

Abuso em nome próprio

No abuso em nome próprio (first-party abuse), o titular da conta é o próprio fraudador: autoriza um débito, gasta o montante e alega que este não foi autorizado, ou financia uma nova conta por débito ACH e esvazia-a antes de o débito ser devolvido. A Nacha estima a taxa média de devolução por débito não autorizado na rede ACH em 0,05% — uma taxa de devolução e não de fraude — e sugere que as RDFIs investiguem caso a sua taxa se situe muito acima deste valor. Em outubro de 2025, a Nacha criou um grupo de trabalho temporário dedicado à fraude em nome próprio.

Sem um titular inocente para proteger, a resposta muda. O gestor de risco de fraude acima mencionado referiu que a equipa pode "bloquear totalmente o cliente, em especial se for fraude em nome próprio. Cortar o acesso de forma generalizada."

Kiting de ACH

O kiting de ACH é o abuso de float já conhecido dos cheques, mas executado com transações ACH. O OCC define o kiting de cheques como o ato de apresentar cheques em duas ou mais instituições e usar os fundos ainda não cobrados durante o período de liquidação, obtendo na prática um empréstimo sem juros e não autorizado. No kiting de ACH, o dinheiro move-se por ACH entre contas de instituições diferentes, ou para uma aplicação, e é gasto antes de as transações liquidarem ou serem devolvidas.

Um diretor sénior de operações de uma fintech para consumidores descreveu o que vê como "semelhante ao kiting de cheques, mas em versão digital instantânea", em que o dinheiro circula por várias contas até terminar numa só. Um diretor de operações de uma plataforma de investimento fintech descreveu o mesmo comportamento do ponto de vista do financiamento: os infratores carregam a conta por débito ACH e gastam o saldo no instante em que o período de compensação termina.

Estatísticas de fraude de ACH: o que revelam os dados mais recentes

Não existem fontes públicas que contabilizem as perdas globais por fraude de ACH na rede; estes números sobre tendências servem apenas de referência para as instituições avaliarem as suas próprias devoluções, reclamações e perdas, não constituindo uma taxa de fraude exata de ACH.

• Dimensão da rede: Em 2025, a rede ACH processou 35,2 mil milhões de pagamentos no valor de 93 biliões de dólares, um aumento de 4,9% em volume e 7,9% em valor face a 2024, de acordo com a Nacha.

• Frequência dos ataques: 76% das organizações nos EUA sofreram tentativas ou fraudes consumadas em pagamentos em 2025, segundo o inquérito AFP Payments Fraud and Control Survey de 2026.

• Métodos de pagamento mais visados: No mesmo inquérito da AFP, os cheques em papel foram o método mais visado em 2025 (58% das organizações), seguidos pelos débitos ACH (30%) e pelas transferências bancárias (25%).

• Comprometimento de e-mail corporativo: O Internet Crime Complaint Center (IC3) do FBI recebeu 24 768 queixas de BEC com perdas declaradas de 3,05 mil milhões de dólares em 2025, a segunda maior categoria de perdas logo a seguir à fraude em investimentos. Como o IC3 agrega transferências e ACH, este valor não reflete apenas ACH.

• Fraude contra consumidores particulares: Os consumidores reportaram perdas de 15,9 mil milhões de dólares com fraudes em 2025 somando todos os métodos de pagamento, face a pouco mais de 12 mil milhões no ano anterior, de acordo com a FTC. Os pagamentos bancários foram a via com maiores perdas reportadas, embora a FTC apenas ordene as categorias sem detalhar o montante exato de cada uma.

• Devoluções não autorizadas: A Nacha indica que a taxa média de devolução de débitos não autorizados na rede ACH é de 0,05%, para um limite regulamentar de 0,5% por Originador individual. Trata-se de uma taxa de devolução, não de uma taxa de fraude.

O que exigem as regras de monitorização de fraudes da Nacha

Ambas as fases das regras de monitorização de fraudes da Nacha já estão em vigor: a Fase 1 desde 20 de março de 2026, para todas as ODFIs independentemente da dimensão, para Originadores não particulares, prestadores de serviços terceiros e remetentes terceiros com 6 milhões ou mais de transações ACH originadas em 2023, e para RDFIs que tenham recebido 10 milhões ou mais em 2023; a Fase 2 desde 19 de junho de 2026 (22 de junho na prática, por ser feriado federal), que eliminou esses limites para as restantes entidades. Cada entidade deve dispor de "processos e procedimentos baseados no risco", ajustados à sua função, "destinados de forma razoável a identificar Entradas suspeitas de serem não autorizadas ou autorizadas sob Falsos Pretextos", devendo revê-los anualmente. As regras não exigem a monitorização antes do processamento nem impõem produtos ou métodos; as regras de monitorização de fraude da Nacha de 2026 são explicadas em detalhe no nosso guia. As obrigações específicas de cada interveniente podem ser consultadas no nosso guia de preparação para as regras de fraude da Nacha de 2026.

Como funciona a deteção de fraudes de ACH

A deteção de fraudes de ACH conjuga várias verificações complementares, já que nenhuma identifica todos os tipos de fraude isoladamente. Os principais métodos incluem:

• Validação de contas e correspondência de nomes: a conta existe e pertence à pessoa indicada?

• Anomalias de frequência e de montantes: o pagamento foge ao histórico habitual do cliente?

• Verificações de alteração de beneficiário e destino: o beneficiário ou os seus dados bancários foram alterados recentemente?

• Sinais do dispositivo e da sessão na originação: quem está ligado e a partir de que dispositivo?

• Monitorização de devoluções e créditos recebidos: as devoluções de um Originador estão a subir? Os créditos recebidos são coerentes com o perfil da conta?

A opção por aplicar estas verificações via regras, modelos ou ambos é uma decisão à parte. Uma vez que o risco do cliente costuma cruzar cartões, ACH e transferências, é essencial saber como avaliar a pontuação de fraude em cartões, ACH e transferências. O funcionamento de cada método, o que deteta e as suas limitações são abordados detalhadamente no nosso guia sobre métodos de deteção de fraudes de ACH.

Deteção vs. prevenção de fraudes de ACH

A deteção de fraudes de ACH encontra uma transação suspeita depois de criada; a prevenção atua antes de ela existir ou antes que os fundos saiam. O vice-presidente de conformidade acima referido resumiu o objetivo como intervir preventivamente: "travar a operação antes que ela aconteça; o impacto é a transação em si."

Uma vice-presidente de operações e governação de fraude numa cooperativa de crédito explicou a abordagem preventiva: "a minha estratégia consiste em intervir o mais a montante possível no ciclo de vida do cliente e travar a fraude logo aí."

A deteção tardia continua a ser útil para investigar, mas já não impede a saída do dinheiro. Um responsável de prevenção de fraude e AML/BSA de uma instituição referiu que as análises de causa-raiz mostravam frequentemente que a monitorização de branqueamento de capitais só sinalizava o alerta após a equipa já o ter identificado por outros meios: "Ou seja, sinaliza, mas já demasiado tarde."

As regras da Nacha não obrigam a monitorizar antes do processamento, embora a organização refira que fazê-lo "oferece a melhor oportunidade para detetar e prevenir potenciais fraudes", ficando a decisão ao critério de cada entidade. O gestor de risco de fraude de um banco explicou que os seus alertas disparam antes da liquidação, dando tempo à equipa para intervir. As empresas podem ainda adotar medidas próprias junto do seu banco, como bloqueios de débitos ACH e serviços de conciliação prévia (positive pay), evitando débitos inesperados nas suas contas.

Como prevenir a fraude de ACH sem bloquear pagamentos legítimos

Controlos rígidos travam a fraude, mas também bloqueiam pagamentos válidos. Um responsável de estratégia de fraude de um grande banco indicou que um limite rígido de financiamento por ACH para novas contas contém o risco, mas rejeita depósitos legítimos de valor mais elevado, salientando a necessidade de controlos mais inteligentes para poder aumentar esse limite.

A melhor abordagem é a precisão: ajustar a resposta ao tipo de fraude para que pagamentos legítimos passem e apenas os suspeitos sofram atrito. Na prática, isto traduz-se em autenticação reforçada quando os dados de um beneficiário mudam, retenção em créditos anómalos para o perfil da conta ou um contacto com o cliente antes de um primeiro débito elevado, em vez de um limite cego igual para todos, testando cada nova regra em dados históricos antes de a lançar. Um vice-presidente sénior de operações de um banco salientou que a tecnologia é a parte mais simples; o verdadeiro desafio é alinhar a equipa de depósitos, que vê as operações primeiro, com a equipa de conformidade, que as analisa a posteriori.

Erros que bloqueiam bons pagamentos ou deixam passar fraude

• Tratar a fraude de ACH como um problema único: um conjunto genérico de regras falha tipos para os quais não foi concebido e bloqueia pagamentos normais semelhantes.

• Depender apenas de devoluções para encontrar fraude: a devolução surge após a liquidação, quando os fundos podem já ter desaparecido.

• Ignorar verificações em pequenas alterações de beneficiários: esquemas de BEC começam frequentemente com um pedido simples e discreto de mudança de dados bancários.

Quem é responsável pela fraude de ACH?

A responsabilidade pela fraude de ACH depende de quem autorizou a operação e de a conta ser de um consumidor particular ou de uma empresa. Por norma, um débito não autorizado é imputado ao Originador e ao seu banco, ao passo que um pagamento que o titular autorizou sob falsos pretextos costuma ser assumido pelo próprio titular, caso os fundos não possam ser reavidos.

Garantia do banco de originação. Sob as regras operacionais da Nacha, a ODFI garante que todos os lançamentos que envia estão devidamente autorizados. Um banco destinatário pode apresentar uma reclamação de garantia por débito não autorizado no prazo de um ano a contar da liquidação para contas de empresas, ou de dois anos para contas particulares.

Contas particulares. Os débitos e créditos ACH em contas de particulares são transferências eletrónicas de fundos sujeitas ao Regulamento E. O consumidor que reporte um débito ACH não autorizado no prazo de 60 dias após o envio do extrato bancário não é, em regra, responsabilizado pelas perdas; os limites de 50 e 500 dólares do Regulamento E só se aplicam quando há perda ou roubo de um dispositivo de acesso (como um cartão de débito). O banco destinatário pode devolver o débito num prazo alargado, fazendo-o chegar ao banco de originação até ao início do dia útil seguinte ao 60.º dia de calendário após a liquidação, acompanhado da declaração escrita do cliente.

Contas de empresas. Se uma empresa declarar que um débito ACH não foi autorizado (código R29), a devolução deve chegar ao banco de originação até à abertura do segundo dia útil após a liquidação — motivo pelo qual as perdas empresariais costumam recair sobre a própria empresa. Para transferências a crédito empresariais aplica-se o Artigo 4A do UCC, desde que nenhuma parte da operação caia sob a alçada da lei de transferências eletrónicas de fundos. Caso o banco e a empresa tenham acordado um procedimento de segurança razoável e o banco o tenha cumprido de boa-fé, a ordem de pagamento pode ser atribuída à empresa, mesmo que esta não a tenha emitido.

Falsos Pretextos. O banco destinatário pode devolver um lançamento que considere ter sido originado sob Falsos Pretextos usando o código R17 com o descritivo QUESTIONABLE, dentro do prazo habitual de dois dias úteis. A utilização do código R17 é facultativa e não beneficia de prazo alargado de devolução.

Em algumas instituições, as disputas de fraude de ACH ainda são analisadas manualmente. Um gestor de disputas bancárias de ACH resumiu as questões fundamentais de cada caso: "qual é a responsabilidade de cada parte?", notando que o processo tem de respeitar simultaneamente as regras da Nacha e o Regulamento E.

O significado de cada código de devolução e os que contam para os limites da Nacha podem ser consultados no nosso guia sobre códigos de devolução de ACH. O contrato de abertura de conta e a legislação local também influenciam o desfecho, sendo recomendável apoio jurídico para litígios específicos.

Como escolher uma ferramenta de deteção de fraudes de ACH

O ACH impõe requisitos específicos: a ferramenta tem de monitorizar a originação e a receção, atuar antes da libertação dos fundos e permitir que a equipa de fraude ajuste e teste as suas próprias regras. Se procura uma solução para este efeito, o nosso guia sobre o melhor software de deteção de fraudes de ACH detalha os critérios de avaliação.

Onde a Oscilar se enquadra

A Oscilar disponibiliza software nesta área; considere este contexto ao ler este ponto. A Oscilar oferece uma plataforma unificada: malha de dados em tempo real, inteligência de dispositivos e de comportamento, motor de regras e gestão de casos num só ambiente. A plataforma foi desenhada para tomar decisões em menos de 100 milissegundos. A Nacha nomeou a Oscilar como Parceiro Preferencial em Validação de Contas, Monitorização de Fraude e Prevenção de Risco e Fraude.

Dois clientes divulgaram dados concretos: a SoFi reduziu o tempo de lançamento de novas políticas de risco em 50% com a interface sem código da Oscilar; a Fluz adotou a plataforma e obteve um aumento de 20% nas taxas de aprovação de ACH.

Para saber como a Oscilar aplica esta abordagem ao ACH e a outros métodos, consulte a nossa página de proteção contra fraudes em transações.

Perguntas frequentes sobre fraudes de ACH

O que é o kiting de ACH?

O kiting de ACH é a exploração abusiva do período de liquidação (float) através de transferências ACH: o dinheiro circula entre contas de entidades diferentes, ou numa aplicação, e é gasto antes de as transações liquidarem ou serem devolvidas. Funciona como o kiting com cheques, que o OCC descreve como a apresentação de cheques em várias instituições para utilizar fundos não cobrados durante a compensação.

Quem assume a responsabilidade pela fraude de ACH: o banco ou o cliente?

Depende de quem autorizou o pagamento e do tipo de conta. Pelo Regulamento E, um consumidor particular que reporte um débito ACH não autorizado no prazo de 60 dias após o extrato não assume normalmente perdas; já uma empresa dispõe apenas de dois dias úteis para fazer a devolução. Um pagamento que o cliente tenha autorizado por ter sido vítima de uma burla costuma ficar a cargo do titular, a menos que o dinheiro seja recuperado.

O que entende a Nacha por Falsos Pretextos?

Desde 1 de outubro de 2024, a Nacha define Falsos Pretextos como a indução de um pagamento por alguém que mente sobre a sua identidade, a sua relação ou autoridade para agir em nome de terceiros, ou a titularidade da conta creditada. Abrange BEC e falsificação de identidade de beneficiários, mas exclui disputas sobre produtos com defeito ou não entregues, bem como a apropriação de conta (esta última classificada como registo não autorizado).

Como o ACH no próprio dia altera o risco de fraude?

O ACH no próprio dia (Same Day ACH) liquida as operações no dia em que são enviadas, deixando menos tempo para travar transações ilegítimas antes da transferência dos fundos. A Nacha registou 1,4 mil milhões de pagamentos no próprio dia em 2025 (3,9 biliões de dólares), uma subida de 16,7% face a 2024; o limite por transação passará de 1 milhão para 10 milhões de dólares a 17 de setembro de 2027.

Que dados e processos são necessários para a deteção de fraudes de ACH?

A deteção de fraudes de ACH exige dados sobre o pagamento, a conta, o beneficiário e a sessão, além do histórico de devoluções e reclamações do cliente, analisados em conjunto. Essas pontuações orientam a retenção de operações e fundos suspeitos, verificações reforçadas em novos beneficiários ou primeiras originações, e a revisão de casos.

Como reduzir falsos positivos em ACH sem aumentar as perdas por fraude?

As equipas reduzem falsos positivos avaliando cada pagamento em função do perfil histórico do próprio cliente e adaptando a resposta ao tipo de fraude, em vez de recorrerem a limites universais. Testar alterações de regras com dados de pagamentos passados antes da sua entrada em produção permite confirmar se os alertas diminuem sem deixar escapar fraude.

Como pode a IA apoiar a deteção de fraude de ACH no cumprimento das normas da Nacha?

As normas da Nacha exigem processos e procedimentos baseados no risco, não impondo o uso de IA ou de métodos específicos. Modelos de machine learning podem classificar as transações por nível de risco em paralelo com regras, concentrando a revisão humana nos casos mais críticos. Qualquer que seja a abordagem, manter um registo do trabalho de monitorização é essencial para fundamentar a revisão anual que cada entidade é obrigada a realizar.