¿Qué sucede cuando entran en vigencia las reglas de monitoreo de fraude de Nacha?

Cuando se engaña a los clientes de instituciones financieras para enviar pagos, las víctimas a menudo tienen poco recurso. A medida que el fraude basado en crédito se vuelve cada vez más común (a través de la expansión de tecnologías complejas), la industria de servicios financieros debe fortalecer su protección.

Es por eso que Nacha ha desarrollado un marco para las reglas de gestión de fraude que entrarán en vigencia el próximo año. En un podcast reciente de Paymentsjournal, Devon Marsh, director gerente de las reglas de la red ACH y la gestión de riesgos en Nacha y Elisa Tavilla, director de pago de débito en Javelin Strategy & Research, analizó los requisitos de las nuevas reglas, y los pasos pueden tomar las instituciones financieras para hacer malabarismos y proteger mejor a los clientes.

Atacando tendencias emergentes de fraude

Muchos actores malos han escapado de ataques como hacerse cargo, ya que las instituciones financieras han implementado defensas de fraude más fuertes.

Como resultado, la ruta con la resistencia más pequeña ahora se extiende a través del usuario final, como lo demuestra el aumento del fraude de pago de promoción automática (APP). Estos ataques de ingeniería social se están volviendo cada vez más convincentes, y los cibercriminales aprovechan la inteligencia artificial y las herramientas de servicio cibernético y de cibercrimen.

La complejidad de estos intentos también dificulta que los buenos usuarios distinguen las estafas de las comunicaciones legítimas.

“Recientemente, desde la experiencia personal, he obtenido más comunicación de las instituciones financieras que hago negocios, lo que me ha traído un recordatorio de los diversos tipos nuevos de estafas a tener en cuenta, muchos de ellos parecen involucrar pagos o pagos autorizados”.

“Eso incluye imitar a los bancos o enviar SMS con enlaces para expresar situaciones de emergencia a menudo”, dijo. “La semana pasada, tuve muchas personas diciendo que le debo peajes por los estados que nunca he visitado”.

Como uno de los métodos de pago más importantes en los Estados Unidos, las transacciones ACH son un objetivo común para los delincuentes. Nacha es consciente de esta amenaza y comienza a desarrollar sus reglas de monitoreo y gestión de riesgos de fraude en 2022.

“Hemos adoptado un enfoque para desarrollar un marco de gestión de riesgos para atacar las tendencias emergentes de fraude en el fraude basado en crédito”, dijo Marsh. “El marco de gestión de riesgos ha sido ampliamente aceptado; hemos propuesto algunas reglas que la industria ha aprobado y ahí es donde estamos hoy. Tenemos algunas reglas que se han implementado y luego algunas se implementan en 2026 para abordar el fraude basado en el crédito”.

Procesos y procedimientos basados ​​en el riesgo

Las reglas que entrarán en vigencia el próximo año están relacionadas con el monitoreo de las transacciones y hacen requisitos para los promotores, remitentes de terceros e instituciones financieras de depósitos originales (ODFI).

Este marco requiere monitoreo de fraude de todas las transacciones, incluido el ACh tradicional y el mismo día. Según el marco, todos los débitos y créditos deben ser monitoreados para el código de entrada estándar ACH. No se requiere que este monitoreo se complete antes de procesar los pagos. Si bien el monitoreo antes del procesamiento es ideal, las reglas no lo requieren.

“Es ideal si se hace antes, pero las reglas requieren procesos y procedimientos basados ​​en el riesgo para detectar pagos iniciados por fraude”, dijo Marsh. “Hay una regla separada, muy similar, pero requiere que las instituciones financieras reciban depósitos para monitorear el crédito de ingresos que reciben”.

Uno de los aspectos más importantes de las nuevas regulaciones es que requieren que todas las instituciones financieras desarrollen procesos y procedimientos, no soluciones técnicas.

“Sería genial si una organización quiera implementar tecnología, pero la regla ciertamente permitirá procesos manuales y procesos existentes (siempre que adopten un enfoque basado en el riesgo, estarán documentados y efectivos en la tolerancia al riesgo de la organización”, dijo Marsh.

Evaluación y análisis

El primer paso para muchas compañías de servicios financieros es realizar una evaluación de riesgos y determinar su apetito de riesgo.

“Cada organización hoy tiene algo, incluso detrás de sus mentes o intuición, podría ser posible decir que esto parece incorrecto”, dijo Marsh. “¿Estas cosas son cosas que no parecen correctas hoy? ¡Comprensión formal de las cosas que no son del todo correctas y hacen que esa parte de su proceso y programa que lo hace así”.

Las banderas rojas pueden ser un código de entrada estándar ACH que no es adecuado para recibir cuentas, o un volumen de dólar inusual para una cuenta que generalmente tiene un umbral más bajo. Por ejemplo, si una cuenta de consumo que generalmente solo recibe un salario porque su depósito más grande de repente recibe $ 50,000 en una transacción de la empresa, debe marcarse como una actividad sospechosa.

Muchas organizaciones ya tienen soluciones que pueden identificar estas banderas rojas hasta cierto punto. Sin embargo, después de revisar los requisitos de las nuevas reglas de NACHA, deberán realizar un análisis de brecha para determinar dónde se comparan los procesos existentes con el nuevo paradigma. A partir de ahí, pueden comenzar a cerrar estos huecos.

Con este fin, muchas organizaciones recurrirán a proveedores externos. Aunque este puede ser un modelo efectivo, las instituciones financieras deben garantizar que todas las partes tengan una comprensión clara de sus roles y responsabilidades bajo el nuevo marco.

Es probable que el proceso de revisión e implementación para este proveedor sea intensivo, especialmente cuando se acerca la fecha de vigencia de la regla.

“Existen proveedores de tecnología que ofrecen soluciones automatizadas u otras herramientas que requieren más recursos e implementación”, dijo Tavira. “Será un buen momento para comenzar a explorar los socios y soluciones apropiados, listos para que las nuevas regulaciones entren en vigencia el próximo año”.

Cuando ocurre una transacción fraudulenta

Aunque estas reglas fortalecen los procedimientos de monitoreo de fraude, su alcance no termina con la detección de fraude.

Si la institución financiera de depósito recibida detecta una transacción fraudulenta, la regulación determina las acciones específicas que la institución debe incorporar a sus procedimientos.

Por ejemplo, después de que RDFI resuelve una transacción (devolviendo el pago al patrocinador o fondos de congelación en la cuenta del receptor), el destinatario debe evaluarse completamente.

“¿Es este un hombre miserable?” dijo el pantano. “¿Es este un buen cliente que podría ser engañado de pagos y se le indique que lo envíe a los estafadores en otro lugar? O el RDFI realmente está siendo una estafa? En este caso, la respuesta será muy diferente. Es posible que necesiten hablar con el equipo de AML porque la mula de dinero está realmente involucrada en el lavado de dinero”.

Además de evaluar las cuentas relevantes, Nacha también proporciona una lista de acciones que las víctimas de fraude pueden aprovechar en sus esfuerzos de recuperación.

Por ejemplo, la guía puede ser un patrocinador de los pagos fraudulentos que se defraudan durante el proceso de contactar a una institución financiera y notificando los detalles de la transacción. La lista también puede guiarlos para contactar a RDFI y pedirles que congelen o reembolsen los fondos.

También hay un aspecto de la autopsia en la lista que guía a las víctimas de fraude evaluando sus estafas y lo que podrían haber perdido para ayudar a prevenir futuros ataques.

“Técnicamente hablando, la mejor herramienta para las comunicaciones bancarias a banco que tenemos es a través del portal de gestión de riesgos de Nacha”, dijo Marsh. “Las instituciones originales pueden recibir llamadas de sus patrocinadores, reconociendo que tienen que contactar a RDFI, y pueden usar nuestro registro de contacto para encontrar quién necesita hablar con con quién deben hablar en el departamento de fraude de ACH de otra institución financiera”.

Además de la lista, Nacha también proporciona herramientas para intercambiar documentos. RDFI puede responder que tienen fondos congelados y pueden reembolsarlos, pero primero requieren una carta de compensación (LOI). ODFI puede usar la función de intercambio seguro en el portal de gestión de riesgos NACHA para enviar el LOI a la agencia receptora.

No hacer nada no es una elección

El aumento de la comunicación entre las instituciones financieras es un componente clave de los esfuerzos cooperativos necesarios para combatir la amenaza de fraude.

Esta colaboración consistente no solo es una parte importante de acelerar las nuevas reglas de Nazha en toda la industria, sino también crucial para su implementación efectiva.

“La forma en que Nacha finalmente hará esto indirectamente, necesitamos requisitos para las auditorías de cumplimiento de las reglas de NACHA, por lo que le preguntamos a la industria que desafiamos para comprender quién completó la auditoría y si cumple con las reglas”, dijo Marsh.

“Aparte de eso, un enfoque más específico es que cualquier parte interesada en la industria puede presentar un cargo de incumplimiento de las reglas a través del sistema fino nacional de Nacha”, dijo. “Si ven las deficiencias en la organización basadas en las transacciones con las que están tratando, entonces pueden violar las reglas si cree que alguien no cumple con esas reglas”.

Además, NACHA ha establecido un Centro de recursos de monitoreo de fraude crediticio que proporciona orientación y herramientas personalizadas para ayudar a cumplir con las nuevas reglas.

Aunque muchas instituciones financieras ya son proactivas para combatir el fraude, aún deben aprovechar esta oportunidad para garantizar que sus sistemas estén completamente optimizados.

“Sobre el comercio, hemos logrado este punto muchas veces en la capacitación y las actividades de habla”. La organización dijo que hicimos una evaluación de riesgos que no fue satisfactoria y que no consideramos ningún riesgo de actividades comerciales, por lo que no la monitorearíamos. “Esto es inaceptable”.