Métodos de Deteção de Fraudes ACH e Boas Práticas

Última atualização: Outubro de 2026

Os métodos de detecção de fraude ACH testam, cada um, um aspeto do pagamento: se a conta existe, se o nome coincide, se o valor é habitual, se os dados bancários do beneficiário mudaram recentemente, quem iniciou sessão, qual foi o resultado e para onde vai o dinheiro a seguir. Nenhum teste isolado cobre todos estes aspetos. Este guia analisa sete métodos e define o que cada um detecta, o que lhe escapa e a que função e tipo de registo se adequa, para que um ODFI, um RDFI, um Originador ou um Remetente Externo possam construir a combinação ideal para cobrir a sua própria exposição.

Resumo Prático

• Nenhum método isolado cobre a fraude em pagamentos ACH. Cada um dos sete métodos aqui apresentados detecta um padrão de falha e deixa escapar outros.

• Escolha os métodos de acordo com a função e o tipo de registo. Os Originadores e os ODFIs executam a maioria das verificações de originação; os RDFIs realizam a validação de nomes e a monitorização de créditos recebidos.

• A validação de conta comprova que uma conta está ativa e pode receber lançamentos. Não comprova quem é o titular real da conta.

• Verifique todas as alterações nos dados bancários de um beneficiário antes do pagamento seguinte, independentemente do valor. O comprometimento de e-mail empresarial e a usurpação de identidade de fornecedores ocorrem quando este passo é ignorado.

• Execute cada verificação o mais cedo que o registo permitir e mantenha um histórico do que foi feito. As devoluções chegam após a liquidação e as regras da Nacha não especificam nenhum método ou produto.

Como é detectada a fraude ACH? Resposta rápida

A fraude ACH é detectada através da sobreposição de vários métodos, cada um adequado à função que a instituição desempenha e ao tipo de registo que processa: validação de conta, verificação de nome, anomalias de frequência e valor, verificações de alterações de beneficiário e destino, sinais de dispositivo e sessão na originação, análise de taxas e códigos de devolução, e monitorização de créditos recebidos. Cada método detecta um padrão de falha e deixa escapar outros. A melhor prática é a combinação dos mesmos, executada o mais cedo possível no ciclo de vida do registo, mantendo um registo de cada validação realizada.

Cada método é executado num momento diferente do pagamento:

• Antes do primeiro pagamento: validação de conta e verificações de alterações de beneficiário e destino.

• Quando o registo é criado: sinais de dispositivo e sessão, além de regras de frequência e valor.

• Quando o registo é recebido: validação de nome e monitorização de créditos recebidos.

• Após a liquidação: análise de taxas e códigos de devolução.

Este guia assume conhecimentos básicos; para saber o que é a fraude ACH e que formas assume, consulte a nossa visão geral sobre detecção e prevenção de fraudes ACH.

Qual o método ideal para cada função e registo

A fraude de débito ACH e a fraude de crédito ACH exigem verificações diferentes, pelo que a tabela mapeia cada método em relação ao que detecta, o que lhe escapa, a função que normalmente o executa e os registos aos quais se aplica. Leia a linha para conhecer os limites de um método e a coluna Função para saber os métodos aplicáveis à sua instituição.

A maioria das falhas de um método é detetada por outro, pelo que os métodos foram concebidos para funcionar em conjunto.

Ambas as fases das regras de monitorização de fraude da Nacha estão em vigor: a Fase 1 desde 20 de março de 2026 para todos os ODFIs e para os maiores Originadores não Consumidores, Prestadores de Serviços Externos, Remetentes Externos e RDFIs por volume de 2023; e a Fase 2 desde 19 de junho de 2026 (na prática, 22 de junho), que eliminou os limiares de volume. Cada entidade originadora deve implementar processos e procedimentos baseados em risco, relevantes para a sua função, "razoavelmente concebidos para identificar Registos suspeitos de não estarem autorizados ou de terem sido autorizados sob Falsos Pretextos", os RDFIs devem fazer o mesmo para os créditos que recebem, e todas as partes devem rever os seus processos pelo menos uma vez por ano. As regras não especificam nenhum método ou produto, e a monitorização de créditos recebidos por parte de um RDFI não tem de ocorrer antes do lançamento ou registo a registo; o nosso artigo explicativo sobre as regras de monitorização de fraude da Nacha de 2026 detalha quem está abrangido e o que mudou. O que cada função precisa de implementar ao abrigo destas regras está definido no nosso guia de preparação para as regras de fraude da Nacha de 2026.

Validação de conta

O que é. A validação de conta confirma que uma conta está ativa e pode receber registos ACH antes de o dinheiro ser movimentado. As instituições realizam a validação através de uma pré-notificação (prenote), Micro-Entries (créditos ACH inferiores a $1 usados para verificar a conta de um Destinatário) ou através de um serviço de validação de conta.

O que detecta. A validação de conta bloqueia pagamentos para contas encerradas, inválidas ou digitadas incorretamente na primeira vez que são utilizadas. Para débitos WEB, este é também o patamar mínimo definido pela regra de validação de conta da Nacha: desde 19 de março de 2021, o sistema de detecção de fraude de um Originador para débitos WEB deve, no mínimo, validar a conta na primeira vez que um número de conta é utilizado e sempre que este seja alterado. O requisito mínimo da Nacha é que a conta esteja ativa e possa aceitar lançamentos; a regra não exige a confirmação do titular da conta, deixando o método ao critério do Originador.

O que lhe escapa. A validação de conta comprova que uma conta existe e, com alguns serviços, a quem está registada, mas não quem a está a controlar. Um gestor de produto de serviços de validação de contas de tesouraria de um grande banco descreveu a lacuna: "eles passaram na validação de conta. Se tivéssemos feito uma verificação de identidade? Ele teria sido sinalizado de imediato."