Fraude no cartão: como identificar e prevenir sem bloquear bons clientes

Fraude no cartão raramente começa com uma compra “obviamente criminosa”. Em operações digitais, ela pode chegar disfarçada de cliente novo, compra recorrente, pedido de alto valor, sequência de tentativas pequenas ou conta antiga que acabou de ser comprometida. O desafio do e-commerce é que muitos sinais usados por fraudadores também aparecem em consumidores legítimos. Um IP diferente, um aparelho novo, um endereço divergente ou uma compra fora do padrão não são, sozinhos, prova de fraude.

Por isso, prevenção eficiente não é o mesmo que bloquear mais. Uma política agressiva pode reduzir perdas fraudulentas e, ao mesmo tempo, destruir receita ao recusar bons clientes. A estratégia madura procura maximizar aprovação legítima com risco sustentável, combinando dados, comportamento, autenticação, tokenização, regras de velocidade, histórico do cliente, análise de dispositivo e monitoramento pós-compra.

Neste guia, vamos explicar os principais tipos de fraude em cartão, como os ataques aparecem na prática, quais indicadores observar e como estruturar uma defesa em camadas. Também veremos por que chargeback é apenas uma parte do problema e por que o trabalho de risco precisa ser integrado a produto, atendimento, tecnologia e financeiro.

Fraude no cartão não é um único problema

O termo “fraude” reúne fenômenos muito diferentes. Uma compra pode usar credencial roubada. Uma conta legítima pode ter sido invadida. Um fraudador pode testar milhares de cartões em valores baixos. Um consumidor real pode contestar uma compra que efetivamente realizou. Uma operação pode ainda ser tecnicamente válida, mas violar regras comerciais ou de risco do estabelecimento.

Cada cenário deixa rastros diferentes e exige resposta específica. Um motor que trata tudo com a mesma regra tende a falhar nos dois lados: deixa passar ataques sofisticados e recusa clientes legítimos. O primeiro passo, portanto, é classificar os eventos.

Na prática, a empresa deve criar uma taxonomia própria: fraude confirmada por credencial comprometida, account takeover, card testing, primeira-parte/friendly fraud, abuso promocional, identidade sintética, triangulação, bot, fraude em reembolso, entre outras categorias relevantes ao seu negócio. O objetivo não é produzir um glossário acadêmico, mas permitir que cada perda gere aprendizado operacional.

Fraude com cartão roubado ou credencial comprometida

Esse é o cenário clássico de fraude card-not-present. O criminoso obtém número do cartão, validade e outros dados e tenta realizar compras sem presença física do portador. As credenciais podem vir de vazamentos, phishing, malware, engenharia social ou mercados ilegais.

O fraudador normalmente busca mercadorias fáceis de revender, serviços digitais, gift cards, recargas ou produtos de alta liquidez. Mas não existe uma categoria imune. Uma operação com ticket baixo pode ser interessante para testar cartões antes de ataques maiores.

Os sinais mais úteis costumam surgir em combinação: dispositivo sem histórico, identidade nova, divergência entre geografia e cadastro, velocidade elevada de tentativas, múltiplos cartões no mesmo dispositivo, diversos usuários no mesmo IP, padrão incomum de endereço ou comportamento de navegação. Nenhum desses elementos deveria ser usado isoladamente como sentença definitiva.

Card testing: quando seu checkout vira laboratório do fraudador

Card testing acontece quando criminosos usam um site para descobrir se credenciais roubadas ainda estão válidas. Em vez de tentar uma compra cara, disparam muitas transações pequenas, frequentemente automatizadas. Se o e-commerce possui ticket baixo e checkout simples, pode ser usado como infraestrutura involuntária de validação.

O efeito vai além do valor das tentativas. Ataques de card testing consomem capacidade, aumentam custos de autorização, pressionam taxa de aprovação, podem acionar programas de monitoramento e gerar bloqueios de infraestrutura. Uma empresa pode achar que “houve só R$ 2 mil de fraude”, quando o impacto operacional foi muito maior.

Controles de velocidade são essenciais: tentativas por cartão, dispositivo, conta, IP, faixa de BIN, fingerprint e combinação de atributos. Rate limiting no nível da API também ajuda. Desafios adicionais podem ser acionados quando um padrão de automação aparece. O importante é bloquear o comportamento, não apenas um endereço IP que o atacante pode trocar em segundos.

Account takeover: quando a conta legítima é comprometida

No account takeover, o fraudador não começa necessariamente com o cartão. Ele toma controle de uma conta de cliente já existente por senha reutilizada, phishing, credential stuffing ou engenharia social. A conta comprometida pode ter cartões salvos, saldo, pontos, histórico e reputação interna — exatamente os sinais que costumavam indicar baixo risco.

Isso torna o ataque perigoso. Um motor que confia demais em “cliente antigo” pode aprovar operações anômalas. Mudança repentina de senha, dispositivo, endereço de entrega, e-mail, telefone e padrão de compra em uma mesma sessão é um sinal importante. Também merece atenção uma compra de alto valor logo após alteração de dados sensíveis.

A prevenção precisa envolver segurança de conta: MFA quando adequado, detecção de login anômalo, proteção contra credential stuffing, limitação de tentativas, notificação de alterações críticas e políticas de step-up authentication. Antifraude de pagamento e segurança de identidade não deveriam viver em silos.

Friendly fraud e first-party misuse

Nem toda contestação surge de um criminoso externo. Friendly fraud, também chamada de first-party misuse em determinados contextos, ocorre quando o próprio titular ou alguém próximo realiza a compra e depois a contesta. Às vezes há má-fé; em outras, o cliente não reconhece o nome que apareceu na fatura, esqueceu uma assinatura ou não associou a cobrança à marca utilizada.

A Visa destaca soluções de compartilhamento de detalhes de compra como forma de reduzir disputas causadas por desconhecimento da transação. A lógica é simples: quanto mais informação o emissor e o consumidor têm sobre o pedido, maior a chance de reconhecer a compra antes que ela vire chargeback.

Por isso, prevenção começa também no pós-venda. Descriptor claro, e-mail de confirmação, comprovante detalhado, política de cancelamento acessível, suporte responsivo e histórico de pedido podem reduzir disputas. A operação de risco não termina quando a autorização foi aprovada.

Triangulação e fraude com lojas intermediárias

Na fraude de triangulação, o criminoso cria uma falsa loja ou anúncio, recebe um pedido de um cliente legítimo e usa cartão roubado para comprar o produto em um terceiro e-commerce, enviando-o diretamente à vítima. O lojista real vê uma compra aparentemente comum, com endereço de entrega verdadeiro, mas o pagamento veio de credencial comprometida.

Esse tipo de fraude é difícil porque muitos elementos parecem coerentes. O endereço pode existir, o destinatário é real e o produto é efetivamente entregue. Sinais podem surgir em padrões repetidos: várias compras com cartões diferentes para endereços relacionados, contas recém-criadas, e-mails descartáveis ou concentração em SKUs de alta revenda.

A defesa depende de análise relacional. Avaliar apenas cada transação individualmente perde a visão de rede. Ferramentas que conectam cartões, endereços, dispositivos, contas e IPs ajudam a identificar clusters suspeitos.

Identidade sintética e dados parcialmente verdadeiros

Fraudadores podem combinar dados reais e fictícios para criar identidades que passam em verificações básicas. Isso é especialmente relevante em negócios que oferecem crédito, parcelamento próprio, contas ou limites, mas também pode aparecer em e-commerce quando cadastros são usados para construir histórico antes do ataque.

A resposta exige validações proporcionais ao risco. Não faz sentido exigir processo pesado de KYC para toda compra de varejo, mas determinados produtos e modelos precisam de verificações mais robustas. A política deve considerar valor, recorrência, tipo de serviço, possibilidade de revenda e exposição financeira.

É importante evitar a crença de que “documento válido” significa “identidade legítima”. Fraude moderna explora justamente combinações de dados verdadeiros. O comportamento ao longo do tempo costuma ser tão relevante quanto a validação inicial.

Sinais de risco: o valor está na combinação

Nenhum sinal isolado é perfeito. IP de outro estado pode ser fraude ou rede móvel. Endereço de entrega diferente do titular pode ser presente. Compra de madrugada pode ser ataque ou hábito do consumidor. Ticket alto pode ser suspeito ou simplesmente um cliente premium.

O valor vem da combinação. Um dispositivo novo + conta recém-criada + cinco cartões tentados + endereço reutilizado + velocidade elevada cria um contexto diferente de um único sinal. Motores modernos transformam dezenas ou centenas de atributos em uma decisão de risco.

Também é preciso considerar sinais positivos. Cliente antigo, token utilizado com histórico saudável, autenticação bem-sucedida, dispositivo reconhecido e comportamento consistente reduzem incerteza. Um bom antifraude não procura apenas “motivos para negar”; procura evidência para confiar.

Velocity rules: simples, poderosas e perigosas

Regras de velocidade contam quantas vezes determinada entidade aparece em uma janela. Exemplos: número de tentativas por cartão em dez minutos, cartões distintos por dispositivo, contas por IP, pedidos por endereço ou falhas de CVV por sessão.

Elas são excelentes contra automação e card testing. O problema é definir limiar sem contexto. Uma empresa pode ter clientes corporativos que fazem dezenas de compras, residências compartilhadas, hotéis, universidades ou redes NAT que concentram muitos usuários no mesmo IP.

Por isso, velocity deve considerar múltiplas dimensões e exceções justificáveis. Uma regra pode elevar risco em vez de bloquear imediatamente, permitindo que outros sinais completem a decisão.

Device intelligence e fingerprint

Informações do dispositivo ajudam a reconhecer padrões além do cadastro declarado. Navegador, sistema operacional, características de hardware, timezone, comportamento de sessão e outros sinais podem formar um identificador probabilístico ou determinístico, conforme a tecnologia e as permissões aplicáveis.

O objetivo não é “espionar” o usuário, mas distinguir, por exemplo, uma conta antiga acessada do dispositivo habitual de uma sequência de novas contas criadas no mesmo ambiente automatizado. Essas informações devem ser tratadas com governança de privacidade, LGPD e finalidade legítima.

Fraudadores sofisticados tentam mascarar fingerprints. Por isso, device intelligence também não deve ser uma camada única. Ela é mais útil quando combinada com comportamento, identidade e histórico de pagamento.

3D Secure como camada de autenticação

EMV 3-D Secure permite autenticação adicional em transações online e troca de dados entre participantes para avaliação de risco. Em cenários de maior confiança, o fluxo pode ser frictionless; em outros, o emissor pode solicitar desafio adicional.

A vantagem é adicionar um sinal forte de autenticação sem obrigar todos os clientes a passar pelo mesmo atrito. A desvantagem surge quando a implementação é ruim: redirecionamentos quebrados, desafios excessivos ou falta de tratamento para falhas podem reduzir conversão.

O melhor desenho mede três resultados ao mesmo tempo: taxa de autenticação, taxa de autorização depois da autenticação e impacto em fraude/chargeback. 3DS não deve ser avaliado apenas por “quantas pessoas completaram a tela”.

Tokenização: menos exposição, mais contexto

Tokenização substitui dados sensíveis do cartão por uma representação que pode ser usada em condições específicas. Isso reduz exposição da credencial e pode simplificar a experiência de recompra. Network tokens, emitidos dentro da rede da bandeira, adicionam recursos de ciclo de vida e contexto.

A Visa informa que tokenização de rede pode contribuir para redução de fraude e melhoria de autorização em determinados cenários globais. O efeito varia por carteira, mas a direção estratégica é clara: diminuir circulação desnecessária de PAN estático é bom para segurança.

Para o e-commerce, tokenização deve ser vista como parte da arquitetura, não apenas como recurso do checkout. Quem controla o token? Ele é portátil? Pode ser usado em múltiplas rotas? Como ocorre atualização de credencial? Essas perguntas impactam risco e dependência de fornecedor.

PCI DSS: segurança de dados é parte da prevenção

O PCI DSS estabelece requisitos técnicos e operacionais para proteger dados de contas de pagamento. Cumprir o padrão não elimina fraude de transação, mas reduz risco de comprometimento de credenciais dentro do ambiente que armazena, processa ou transmite dados de cartão.

Isso é fundamental porque uma empresa não deve combater fraude ao mesmo tempo em que amplia desnecessariamente sua superfície de exposição. Quanto menos sistemas internos manipularem PAN e dados sensíveis, menor tende a ser o escopo e o risco operacional, dependendo da arquitetura.

O PCI SSC mantém a versão 4.0.1 como referência atual do padrão. Empresas devem avaliar escopo e obrigações com especialistas qualificados conforme seu modelo, sem tratar conformidade como um selo genérico.

Machine learning versus regras

Modelos de machine learning conseguem detectar padrões complexos em grandes volumes, mas regras continuam úteis. Uma regra explícita é auditável e rápida para bloquear um ataque emergente. Um modelo encontra relações que o analista talvez não previsse.

A arquitetura mais robusta costuma combinar ambos. Regras para políticas claras e ataques conhecidos; modelos para score contextual; listas positivas e negativas controladas; revisão manual para casos relevantes; feedback de chargebacks e confirmações de fraude para aprendizado.

O risco é criar uma máquina opaca. Se ninguém entende por que um segmento passou de 90% para 70% de aprovação, o sistema não está governado. Explicabilidade operacional importa, mesmo quando o modelo estatístico é complexo.

Falsos positivos: o custo invisível

Falso positivo é uma compra legítima bloqueada como fraude. O custo não é apenas a margem perdida daquela venda. O cliente pode abandonar a marca, abrir chamado, publicar reclamação ou migrar para concorrente. Em recorrência, o falso positivo pode gerar churn.

Por isso, medir “fraude evitada” sem medir “boa receita recusada” é perigoso. Uma operação deve acompanhar aprovação do antifraude, aprovação do emissor, chargeback posterior, margem, ticket e recuperação por outro meio.

O objetivo é encontrar a fronteira de decisão que maximize resultado econômico. Em alguns produtos de alta margem, pode ser racional tolerar um pouco mais de risco. Em outros, uma única fraude gera perda enorme. A política deve refletir unit economics.

Revisão manual: quando faz sentido

Revisão manual pode ser útil em pedidos de alto valor ou casos cinzentos onde há tempo antes da entrega. Um analista consegue considerar contexto não capturado pelo modelo, consultar histórico e entrar em contato com o cliente quando adequado.

Mas revisão manual não escala para todas as compras. Filas longas destroem experiência. A empresa deve reservar intervenção humana para a zona de incerteza com alto valor econômico.

Também é necessário medir qualidade dos analistas. Se cada pessoa decide de forma diferente, a operação gera inconsistência. Procedimentos, evidências, amostragem e feedback são fundamentais.

Pós-compra: prevenção continua depois da aprovação

Uma transação aprovada pode se tornar fraude confirmada ou chargeback semanas depois. Por isso, o feedback pós-compra precisa retornar ao motor de risco. Cartões contestados, contas comprometidas, endereços associados e dispositivos recorrentes devem alimentar listas e modelos dentro de limites legais e de privacidade.

Atendimento também é fonte de sinal. Muitos clientes reportando “não reconheço esta cobrança” podem indicar descriptor ruim, fraude real ou falha de comunicação. Logística pode mostrar endereços com concentração anormal de pedidos. Financeiro identifica padrões de estorno.

Fraude é um problema transversal. Concentrá-la em uma única equipe reduz capacidade de aprender.

Como responder a um ataque em andamento

Primeiro, confirme que há anomalia: aumento de tentativas, queda de aprovação, explosão de cartões distintos, concentração em determinado produto ou endpoint. Segundo, preserve dados e crie um recorte temporal. Terceiro, aplique contenções reversíveis: rate limits, regras temporárias, step-up authentication ou bloqueio de padrões específicos.

Evite desligar completamente o checkout sem necessidade. Ataques procuram causar indisponibilidade tanto quanto fraude. Medidas granulares preservam clientes legítimos.

Depois da contenção, faça análise post-mortem: como entrou, quais sinais existiam, por que não foram detectados, qual foi o custo e que controle permanente será criado. Ataque sem aprendizado vira recorrência.

Chargeback como indicador atrasado

Chargeback é importante, mas é um sinal tardio. Quando a disputa chega, produto já foi enviado ou serviço consumido. Se a empresa espera chargeback para descobrir fraude, reage semanas depois do ataque.

Indicadores antecipados incluem tentativas por minuto, cartões únicos, falha de CVV, aprovação por BIN, novos dispositivos, contas criadas, cancelamentos, contato no suporte e alterações cadastrais. O painel de risco deve unir leading e lagging indicators.

Ainda assim, chargeback é feedback valioso. Ele ajuda a validar quais transações realmente causaram perda e ajustar regras.

Como montar uma estratégia antifraude em camadas

Camada 1: segurança de conta e API. Camada 2: validação de dados e rate limiting. Camada 3: device intelligence e comportamento. Camada 4: motor de risco com regras e score. Camada 5: autenticação adicional quando necessária. Camada 6: decisão do emissor. Camada 7: monitoramento pós-compra e disputas.

Cada camada deve ter métricas. Quantos ataques foram barrados? Quantos clientes legítimos foram afetados? Qual latência foi adicionada? Que tipo de fraude escapou? Sem números, a defesa vira acúmulo de ferramentas.

Também é importante ter planos distintos por seller ou vertical em plataformas. Um marketplace de eletrônicos não tem o mesmo perfil de uma escola online. Políticas idênticas para todos podem ser ineficientes.

Conclusão

Fraude no cartão é uma disputa por contexto. O criminoso tenta parecer cliente legítimo; o sistema tenta identificar inconsistências sem punir quem realmente quer comprar. Não existe um único sinal ou produto que resolva o problema.

A estratégia mais forte combina segurança de dados, identidade, device intelligence, velocidade, histórico, autenticação, tokenização, modelos de risco, revisão seletiva e pós-venda. Ao mesmo tempo, mede falsos positivos e impacto na aprovação.

Para empresas em crescimento, prevenção de fraude deixa de ser um filtro antes do pagamento e passa a ser uma disciplina de produto. O resultado ideal não é “bloquear o máximo possível”, mas aceitar o máximo de boas transações dentro de uma exposição de risco que o negócio consiga sustentar.

FAQ

O que é fraude no cartão?

É o uso indevido de uma credencial ou de uma relação de pagamento, incluindo cartão roubado, conta comprometida, card testing e outros cenários em que a transação não representa uma compra legítima autorizada pelo responsável.

O que é card testing?

É o uso de muitas tentativas, geralmente de baixo valor, para verificar quais cartões roubados ainda funcionam. Pode ser automatizado e gerar grande volume em poucos minutos.

Antifraude reduz conversão?

Pode reduzir se estiver mal calibrado. O objetivo correto é bloquear transações arriscadas minimizando falsos positivos. Por isso, aprovação e fraude devem ser medidas juntas.

3D Secure elimina fraude?

Não. Ele adiciona uma camada de autenticação e pode reduzir certos tipos de fraude, mas não substitui outros controles de risco.

Tokenização evita chargeback?

Não elimina disputas, mas reduz exposição de credenciais e pode melhorar a segurança e a gestão de cartões armazenados.

O que é friendly fraud?

É uma disputa iniciada pelo próprio titular ou alguém próximo em uma compra que pode ter sido legitimamente realizada, seja por confusão ou má-fé.

Qual o melhor indicador de fraude?

Não existe um único. A combinação de chargeback, fraude confirmada, aprovação, falso positivo, tentativas, device signals e comportamento é mais útil.

Como a IOPAY pode ajudar

Fraude não precisa ser tratada como escolha entre segurança e conversão. A IOPAY ajuda empresas a estruturar pagamentos com dados, integração e camadas de risco adequadas ao crescimento. Converse com nosso time sobre uma arquitetura que proteja receita sem bloquear bons clientes.

Referências

• Visa Acceptance Solutions — Fraud management: https://corporate.visa.com/en/solutions/acceptance/manage-fraud-risk/payment-fraud.html
• Visa Acceptance Solutions — Order Insight: https://corporate.visa.com/en/products/order-insight.html
• Visa Acceptance Solutions — Resolve: https://www.visa.com/en-us/products/resolve
• Visa Acceptance Solutions — Tokenization: https://corporate.visa.com/en/solutions/acceptance/process-payments/manage-tokenization.html
• Mastercard — Rules and compliance programs / Chargeback Guide: https://www.mastercard.com/us/en/business/support/rules.html
• PCI Security Standards Council — Document Library / PCI DSS: https://www.pcisecuritystandards.org/document_library/