13. Fraude em pagamentos e e-commerce

A venda que deu certo duas vezes

Em 9 de junho de 2026, uma terça-feira, a Polícia Civil de São Paulo expediu oito mandados de prisão, dos quais cinco foram cumpridos, e fez quinze buscas numa investigação que recebeu o nome de Operação Chargeback. A apuração foi conduzida pela terceira delegacia de crimes cibernéticos do Deic, e as buscas alcançaram endereços na capital, em Guarulhos e em São Caetano do Sul. O nome da operação já diz o mecanismo. Segundo a cobertura da imprensa, o prejuízo apontado ficou acima de R$ 263 mil, e a vítima era o Mercado Livre, que teria percebido sinais de atividade fraudulenta e levado o caso à polícia.

O desenho descrito pelos jornais é simples de contar e difícil de enxergar de dentro. Os investigados teriam gerado cobranças dentro do ecossistema da plataforma, ou criado anúncios de produtos que não existiam, e compradores ligados ao esquema pagavam com cartão de crédito. A plataforma repassava o dinheiro ao vendedor, que era parte do arranjo. Em seguida, os compradores contestavam as compras junto às administradoras dos cartões, pediam o estorno e o recebiam. Do ponto de vista de quem olha o painel de vendas, cada transação aprovada foi uma venda que deu certo. Do ponto de vista do caixa, a mesma venda deu certo duas vezes para os mesmos bolsos: uma quando o dinheiro entrou na conta do vendedor, outra quando voltou para o comprador. A diferença entre as duas pontas ficou como prejuízo de quem estava no meio.

Meses depois, em 28 de outubro de 2026, a Polícia Civil da Bahia deflagrou uma operação com o mesmo nome e, segundo a nota oficial e a imprensa, prendeu em Salvador um homem de 33 anos suspeito de liderar um esquema de fraudes eletrônicas com documentos e cartões falsos, que teria causado prejuízo de cerca de R$ 290 mil a uma empresa de pagamentos. As reportagens divergem sobre se a vítima era uma plataforma de comércio eletrônico ou uma fintech, e é prudente tratar os dois casos como episódios separados que apenas compartilham o nome. Nos dois, até onde se sabe, não há condenação. São investigados, e a presunção de inocência vale para todos.

O que esses casos têm de útil para um capítulo sobre fraude em pagamentos é a lição de método. A fraude moderna de pagamento raramente se anuncia como roubo. Ela se apresenta como cliente, como vendedor, como cadastro novo, como cupom usado e como devolução. O dano aparece semanas ou meses depois, numa planilha de contestações, quando o produto já foi entregue ou revendido e o dinheiro já circulou. Este capítulo trata dessa face do problema: a de quem recebe pagamentos, vende pela internet ou opera uma conta digital, e precisa decidir todos os dias entre aprovar uma operação que talvez seja fraude e recusar uma que talvez seja um cliente de verdade.

O que você vai levar deste capítulo

Fraude de pagamento é um problema de decisão sob incerteza, e as duas faltas custam dinheiro. Aprovar um pedido fraudulento custa a mercadoria, o frete, a tarifa e a reputação diante da bandeira. Recusar um cliente legítimo custa a margem da venda e, muitas vezes, o cliente para sempre.

O chargeback chega tarde. A venda é feita hoje, a contestação aparece depois, e qualquer indicador que dependa dela mede o passado. Quem gerencia fraude olhando só a taxa de chargeback dirige olhando o retrovisor.

Nem toda disputa é fraude de terceiro. A fraude amiga, a tomada de conta, o cadastro falso, o abuso de cupom e o abuso de devolução têm donos diferentes e defesas diferentes, e tratá-los como um único problema leva a controles que atrapalham o cliente bom e não param o mau.

A defesa que funciona é em camadas, proporcional ao risco e medida em dinheiro: o que a regra evitou de perda contra o que ela custou em venda legítima recusada. O capítulo traz um cenário com contas que fecham para mostrar que o ponto ótimo quase nunca está no extremo.

O mapa da fraude em pagamentos

Quem paga a conta em cada meio

Para entender onde a fraude dói, é preciso saber para onde o risco vai em cada meio de pagamento. O capítulo 6 tratou do Pix, de sua irreversibilidade e do Mecanismo Especial de Devolução, e o leitor que precisa dessa base deve voltar a ele. Aqui interessa o contraste do ponto de vista de quem vende. No Pix, o recebimento é definitivo, e o risco do lojista é outro: receber de uma conta que depois se mostra de golpe e ver o valor bloqueado, ou ser usado como conta de passagem. No boleto, o pagamento só se confirma depois da compensação, e a fraude típica é de outro tipo, como a adulteração do documento. No cartão de crédito, o sistema foi desenhado para que o consumidor possa contestar, e é aí que o risco volta para o lojista.

O raciocínio de fundo é o mesmo que o capítulo 6 apresentou do lado do consumidor. Cada meio de pagamento distribui o risco de fraude entre pagador, recebedor, emissor, credenciadora e bandeira de uma forma diferente. No cartão sem a presença física, que é o caso do comércio eletrônico, a regra de mercado é que o estabelecimento carrega o risco da transação não reconhecida, a menos que tenha usado um mecanismo de autenticação que desloque a responsabilidade para o emissor. O lojista paga a facilidade do cartão com a possibilidade de estorno. É um preço conhecido, e a maior parte dos problemas começa quando ele é ignorado.

Seis famílias de problema

Para organizar o resto do capítulo, vale separar seis famílias que costumam ser misturadas na conversa do dia a dia.

A primeira é a fraude com cartão de terceiro. Alguém usa dados de cartão que não são seus para comprar. O titular real não reconhece a compra e contesta. É a forma clássica do chargeback.

A segunda é a fraude amiga, termo traduzido do inglês friendly fraud. O próprio titular faz a compra, recebe o produto e depois contesta a cobrança dizendo que não reconhece o lançamento. Nem sempre há má-fé, e esse é o ponto mais incômodo do assunto.

A terceira é a tomada de conta. O criminoso assume o controle de uma conta que já existe, com histórico, cartões salvos, saldo, pontos ou crédito, e usa esse ativo. Como o histórico é de uma pessoa real, a conta parece confiável.

A quarta é a fraude de cadastro: contas criadas com identidade falsa, roubada ou emprestada para abrir crédito, receber dinheiro, aproveitar bônus ou servir de passagem. É o problema central de fintechs e bancos digitais, e também atinge marketplaces que cadastram vendedores.

A quinta é o abuso de incentivo: cupom, cashback, frete grátis, pontos de fidelidade. O incentivo existe para atrair cliente, e por isso mesmo atrai quem o consome sem ser cliente.

A sexta é o abuso de devolução e de garantia: pedir reembolso de algo que não foi devolvido, devolver outro objeto, alegar que a caixa chegou vazia, ou usar a política de troca como serviço de empréstimo. Essa família se parece menos com crime e mais com disputa comercial, e a fronteira entre as duas é o assunto de uma seção própria.

Essas famílias se cruzam. O criminoso que assume uma conta pode usar um cupom, comprar com o cartão salvo e pedir devolução do que nunca devolverá. A divisão é útil porque os sinais, as defesas e as consequências jurídicas de cada uma são diferentes.

O que se sabe dos números, e o que não se sabe

Números de fraude em pagamentos têm os mesmos problemas dos de outras fraudes: definições diferentes, fontes interessadas e subnotificação. O leitor deve tratar com desconfiança qualquer cifra isolada, inclusive as deste capítulo.

No Brasil, a Abecs, associação do setor de cartões, divulga um indicador de fraude por tipo de transação. Segundo a cobertura de seus relatórios, o indicador das compras pela internet teria caído de 54,4 para 34,5 pontos-base entre o terceiro trimestre de 2022 e o mesmo período de 2025, e a associação atribui a melhora principalmente à autenticação reforçada. Ponto-base é a centésima parte de um por cento, de modo que 34,5 pontos-base correspondem a 0,345% do valor transacionado. A mesma cobertura registra que a tentativa de fraude continua crescendo e que a maior concentração continua nas transações sem cartão presente. Essas informações vêm de reportagens sobre os relatórios, e não de uma leitura direta do documento da associação, o que merece o cuidado de sempre.

Nos Estados Unidos, o relatório anual do IC3, o centro de queixas de crimes na internet do FBI, registrou em 2025 mais de 18 mil queixas na categoria de fraude com cartão de crédito e cheque, com perdas ajustadas acima de US$ 282 milhões. Esse número mede o que vítimas e empresas se deram ao trabalho de relatar a um órgão federal, e é muito menor do que a perda real do sistema.

Para o custo total para o lojista, uma referência frequentemente citada é o estudo True Cost of Fraud, da LexisNexis Risk Solutions. Na edição de 2025, segundo a imprensa especializada que a repercutiu, o comerciante americano pagava em média US$ 4,61 para cada dólar de fraude, somando o valor da mercadoria, as tarifas, os custos de investigação e os custos indiretos. A mesma cobertura cita uma edição mais recente com valor maior, que não pude confirmar. O número é uma média de pesquisa com executivos, feita em outro país, e deve ser lido como ordem de grandeza: a perda direta da fraude é a menor parte da conta.

Chargeback por dentro

O que o chargeback é

Chargeback é o estorno de uma compra no cartão iniciado pelo emissor, a pedido do titular, depois que a transação foi liquidada. A regra do jogo é definida pelas bandeiras e pelas credenciadoras, e tem um desenho em etapas. O titular contesta junto ao banco emissor. O emissor classifica o motivo, que pode ser fraude, mercadoria não recebida, produto diferente do anunciado, cobrança duplicada, entre outros. A credenciadora comunica o lojista, que pode aceitar a perda ou apresentar a sua defesa, com a comprovação de entrega, o registro da conversa, os dados da autenticação. Quem decide, em última instância, é a bandeira.

Para o lojista, três características pesam. A primeira é o tempo: a contestação pode chegar semanas ou meses depois da venda, o que significa que a mercadoria já foi entregue, o estoque já foi baixado e o dinheiro já foi gasto. A segunda é o custo: perde-se o valor da venda, e ainda se paga a tarifa da disputa e o tempo da equipe que monta a defesa. A terceira é o monitoramento. As bandeiras mantêm programas que observam a proporção de disputas de cada estabelecimento. Guias de mercado descrevem que o programa de comerciantes com chargeback excessivo da Mastercard considera uma razão de 1,5% de chargebacks sobre as transações, combinada com um mínimo de 100 chargebacks no mês, e que a Visa reformulou seu programa de monitoramento em 2025 e 2026, com limiares que variam por região e por período. Essas descrições vêm de guias de terceiros, e não das regras originais das bandeiras, e os números mudam. O que o leitor deve guardar é o princípio. Passar de um certo patamar de disputas coloca o estabelecimento sob monitoramento, pode gerar multas repassadas pela credenciadora e, no limite, a perda da capacidade de aceitar cartão. O contrato com a sua credenciadora diz os números que valem para você.

Há também uma discussão regulatória em curso. O Banco Central submeteu a consulta pública, em 2024, mudanças nas regras de contestação de cobranças em cartão, e a imprensa especializada registrou que, em novembro de 2025, uma resolução do BCB alterou normas de 2021 sobre gestão de risco em arranjos de pagamento, com efeito sobre a responsabilidade das bandeiras e sobre prazos de chargeback em situações extraordinárias. Não verifiquei o texto oficial, e o assunto muda, de modo que a recomendação prática é consultar a credenciadora e o regulamento vigente da bandeira.

O caso: Operação Chargeback

O episódio de junho de 2026 descrito na abertura é um caso de chargeback instrumentalizado: a contestação deixou de ser um risco acidental do negócio e virou o meio de extração do dinheiro. Vale insistir no estado do caso. A polícia cumpriu mandados e a imprensa noticiou os números e o método segundo a investigação. Houve divergências entre as reportagens sobre quantos alvos tinham sido presos no dia e sobre a localização de dois dos apontados como líderes, que algumas fontes descreveram como foragidos. O caso está em apuração, e nada do que está dito aqui é condenação.

O que a cobertura permite afirmar sem exagero é o desenho geral. Um vendedor que faz parte do arranjo recebe pagamentos de compradores que também fazem parte dele, o dinheiro sai da plataforma e a contestação devolve o valor ao cartão, com a plataforma absorvendo a diferença. A plataforma fez o que muitos lojistas deveriam fazer e raramente fazem: observou um padrão nas contestações e levou o assunto à polícia com material organizado.

A anatomia

Em nível de princípio, o chargeback como fraude organizada explora três lacunas.

A primeira é a defasagem entre o pagamento e a contestação. O dinheiro entra imediatamente e a reversão demora, o que dá ao fraudador uma janela para retirar o valor do sistema antes que o estorno apareça. Plataformas que pagam ao vendedor muito rápido, sobretudo vendedores novos, oferecem uma janela maior.

A segunda é a confusão de papéis. Quando comprador e vendedor são o mesmo grupo, o fluxo de dinheiro dá voltas que, vistas por transação, parecem normais. A fraude só aparece quando se olha o conjunto: vendedores de pouca história com vendas concentradas em poucos compradores, compradores que contestam com frequência anormal, dispositivos, endereços de entrega ou meios de contato repetidos entre contas que deveriam ser independentes.

A terceira é a assimetria de prova. Para o chargeback por fraude, quem precisa provar que a compra foi legítima é o estabelecimento, e a prova de que o titular fez a compra é difícil de produzir quando o titular realmente não a fez. Um esquema que usa cartões de pessoas que não participam dele depende dessa assimetria. Um que usa cartões de participantes depende da disposição da plataforma de aceitar a contestação sem exigir muito.

Não vou detalhar como cada passo é montado, porque isso seria ensinar a fazer. O que o analista precisa saber é onde olhar.

A defesa

A defesa começa antes do chargeback e termina depois dele, e tem quatro frentes.

Primeiro, a liberação do dinheiro. Quem opera plataforma, marketplace ou subadquirência deve calibrar o prazo de repasse ao risco do vendedor. Vendedor novo, categoria arriscada, volume muito acima do normal para a idade da conta: tudo isso justifica retenção maior. O custo é a reclamação legítima de vendedores honestos, que querem receber logo, e esse custo precisa ser pesado contra a perda.

Segundo, a análise de rede. Fraude organizada raramente cabe numa única transação. Vale olhar relações entre vendedores e compradores, repetição de dados cadastrais, de endereços, de telefones, de dispositivos, e concentração de vendas. É um trabalho de analista, e o que se aprende dele alimenta regras.

Terceiro, a documentação para a defesa. O lojista que vende pela internet deve guardar, para cada pedido, a prova que a bandeira aceita: registro de autenticação do portador, comprovante de entrega com data e assinatura ou foto, registro de contato com o cliente, dados da sessão de compra. Muitos chargebacks são perdidos porque a prova existia e ninguém a organizou a tempo. O prazo para responder é curto, e a equipe que descobre isso na hora perde a disputa.

Quarto, o acompanhamento por motivo. Classificar as contestações por causa, e não apenas contá-las, separa fraude de terceiro de problema de entrega e de erro de descrição do produto. Muita taxa de chargeback alta é, na verdade, um problema logístico ou de atendimento, e a solução está na operação, não no antifraude.

Fraude amiga e abuso de devolução

O caso que ninguém quer encarar

A fraude amiga é o tema em que o setor de pagamentos mais gosta de discursar e menos gosta de medir. O motivo é que ela mistura quatro situações muito diferentes sob o mesmo rótulo, e só uma delas é fraude no sentido jurídico.

A primeira é a contestação de má-fé: o titular fez a compra, recebeu o produto e, sabendo disso, pede o estorno para ficar com os dois. Isso é uma conduta que pode configurar estelionato, e o banco e o lojista têm razão em tratá-la como tal.

A segunda é o esquecimento honesto. A cobrança chega na fatura com um nome que o titular não reconhece, porque o nome que aparece é o da credenciadora ou de uma razão social diferente da marca da loja, e ele contesta achando que é fraude. Muitas "fraudes amigas" são, na verdade, uma falha de comunicação do lojista, e a solução está em descritores de fatura claros e em e-mails de confirmação que lembrem o cliente da compra.

A terceira é a compra feita por outra pessoa da casa: um filho, um cônjuge, um funcionário com o cartão, alguém que usou o aplicativo no celular compartilhado. O titular, de boa-fé, não fez a compra e contesta. Do ponto de vista do lojista, é indistinguível da fraude de terceiro, e do ponto de vista do titular, é um erro de família.

A quarta é o descontentamento disfarçado. O cliente não gostou do produto, não conseguiu falar com o atendimento, a política de troca é ruim, e contesta como "não reconhecida" porque é o caminho que funciona. O chargeback vira ferramenta de reclamação.

Cada uma dessas situações pede resposta diferente, e tratá-las como um bloco gera dois erros opostos. Um é acusar clientes honestos de fraude e bloqueá-los, o que machuca a marca. O outro é aceitar passivamente a perda, o que ensina o mau cliente que o caminho é livre.

Abuso de devolução

O abuso de devolução tem a mesma ambiguidade. A lei brasileira, no Código de Defesa do Consumidor, dá ao consumidor que compra fora do estabelecimento o direito de desistir em sete dias, sem precisar de motivo, e esse direito existe porque o comprador não pôde ver nem tocar o produto. É uma proteção importante e legítima, e boa parte da conversa sobre abuso de devolução esquece de dizer isso. O lojista que trata o arrependimento como fraude está tratando um direito como crime.

O abuso começa em outro lugar: quando o direito é usado como serviço. Devolver o produto depois de usá-lo para um evento, devolver um item diferente do recebido, alegar que a caixa veio vazia, pedir reembolso e ficar com a mercadoria, ou repetir o padrão com muitas compras. Há também a variante organizada, em que o objeto devolvido é falsificado, ou a devolução é registrada como feita e nunca chega.

A defesa aqui é de processo. Fotografar e pesar o item na saída, registrar o número de série quando existe, conferir o item na chegada e registrar a conferência, manter um histórico de devoluções por cliente, e tratar de forma diferente o cliente com histórico de dezenas de devoluções. Cuidado com a calibragem: limitar devoluções de quem devolve muito sem olhar o motivo pune quem compra roupa em vários tamanhos para ficar com um, e isso é um uso normal do varejo de moda.

Na dúvida sobre a conduta, o caminho é a evidência. Uma decisão do lojista baseada em histórico documentado e comunicada ao cliente com clareza tem muito mais chance de se sustentar diante do Procon ou de um juizado do que uma recusa genérica.

Tomada de conta

A anatomia

A tomada de conta, em inglês account takeover, é a fraude em que o criminoso passa a controlar uma conta legítima. Ela é um dos problemas que mais crescem para lojas, aplicativos e fintechs, por uma razão econômica: as credenciais vazadas de outros serviços são abundantes e baratas, e muita gente reaproveita a mesma senha em vários lugares. O criminoso não precisa vencer a segurança do seu sistema. Basta testar, em escala, combinações de e-mail e senha que já vazaram em outro lugar, e esperar que alguma funcione.

O valor da conta tomada está no que ela guarda. Cartões salvos, saldo de carteira digital, crédito de loja, pontos de programa de fidelidade, endereço de entrega já cadastrado e histórico de compras que dá confiança ao antifraude. Por isso a tomada de conta alimenta outras fraudes: o cartão salvo permite comprar sem digitar dados, o histórico limpo derruba a desconfiança, e a conta pode servir para lavar o valor de outra fraude.

O IC3 trata a tomada de conta como tendência própria em seu relatório de 2025, o que dá uma ideia de quanto o fenômeno deixou de ser marginal. Para a vítima, o custo inclui a perda, o trabalho de recuperar a conta e a desconfiança diante do serviço que não a protegeu.

A defesa

A defesa tem uma camada técnica e uma de produto. Na técnica, a medida de maior impacto é a autenticação em mais de um fator, oferecida e incentivada, e idealmente exigida em operações sensíveis. Em segundo lugar vem a detecção de tentativas em escala: muitos acessos falhos a partir de uma mesma origem, muitas contas testadas com a mesma lista de senhas, picos de login que não correspondem a campanha de venda. Em terceiro, a verificação de credenciais contra bases de senhas já vazadas, que permite avisar o usuário antes de o criminoso usar.

Na camada de produto, o ponto crítico são as mudanças de dados sensíveis logo após um acesso novo. Troca de e-mail, de telefone, de endereço ou de forma de pagamento, seguida de compra de valor alto, é um padrão que merece fricção extra: confirmação por um canal já cadastrado, atraso na liberação do pedido, aviso ao titular no e-mail antigo. Essa fricção incomoda o cliente que mudou de telefone de verdade, e por isso deve ser reservada para a combinação de sinais, não aplicada a cada login.

Um cuidado de política: quando a conta de um cliente é tomada, o lojista deve ter um procedimento claro de recuperação e de ressarcimento. Cliente que perde saldo e ouve do atendimento que a culpa foi dele aprende a não reportar, e o lojista deixa de saber o tamanho do problema.

Contas laranja e cadastro falso: o lado do lojista e da fintech

O que muda quando você é o destino

O capítulo 6 descreveu a conta laranja do ponto de vista da vítima de um golpe com Pix, como o elo que recebe e repassa o dinheiro. Aqui o ângulo é o de quem abre a conta. Para um banco digital, uma fintech de pagamentos, uma subadquirente ou um marketplace que cadastra vendedores, a conta laranja não é uma consequência do crime: é um cliente que a própria empresa aprovou.

O mecanismo, em nível de princípio, é conhecido. A identidade usada no cadastro pode ser roubada, comprada, emprestada ou fabricada, e a conta, uma vez aberta, serve a vários fins: receber dinheiro de golpe, passar valores de uma ponta a outra, aproveitar bônus de cadastro, abrir crédito que não será pago, ou, no caso de um marketplace, cadastrar um vendedor que não vende nada e só recebe. O que une todos os casos é que a conta é barata para o criminoso e cara para a empresa que a aprovou.

A fraude de cadastro tem um componente de escala. O criminoso organizado abre dezenas ou centenas de contas, e o valor do esquema está justamente em ter muitos cadastros descartáveis para diluir a exposição. Isso inverte a lógica do controle: a decisão sobre uma conta isolada pode parecer razoável, e o padrão só aparece olhando o conjunto.

O caso do ponto de vista da regulação

No Brasil, o dever de conhecer o cliente decorre da regulação de prevenção à lavagem de dinheiro, com base na Lei 9.613, de 1998, e das normas do Banco Central para instituições autorizadas. O ponto prático é que a empresa que abre conta tem obrigação de identificar o cliente e de monitorar o que ele faz, e que a omissão pode gerar sanção administrativa e, em situações graves, responsabilização por parte de quem agiu com dolo ou com omissão relevante. A Lei Geral de Proteção de Dados reconhece a prevenção à fraude como hipótese que autoriza o tratamento de dados nos processos de identificação e de autenticação de cadastro em sistemas eletrônicos, o que dá base para o antifraude coletar e cruzar dados sem consentimento específico, desde que respeitados os demais princípios da lei.

A defesa

A defesa do cadastro tem três camadas. A primeira é a verificação do documento e da pessoa: conferir se o documento é válido, se os dados batem com bases confiáveis e se quem está do outro lado é a pessoa do documento. A segunda é a análise de relações: o mesmo dispositivo, o mesmo telefone, o mesmo endereço ou o mesmo padrão de preenchimento em contas que deveriam ser sem ligação. A terceira, e a mais negligenciada, é o monitoramento posterior ao cadastro. Uma conta recém-aberta que recebe muitos valores de origens diferentes e os repassa em seguida merece atenção independentemente de ter passado no cadastro.

Aqui o custo do falso positivo é especialmente alto. Recusar um cadastro é perder um cliente, e quem foi recusado por engano raramente volta. Uma política razoável combina verificação proporcional ao risco do produto: conta que só recebe e paga pequenos valores pede menos do que conta que concede crédito ou movimenta quantias altas. Limites iniciais baixos, que crescem com o tempo de uso, protegem a empresa sem barrar a entrada.

Para marketplaces, o equivalente é o cadastro de vendedor. A verificação do CNPJ, a conferência de que o responsável é quem diz ser, o prazo de repasse proporcional ao histórico e o monitoramento de concentração de vendas em poucos compradores são o núcleo. O caso da Operação Chargeback mostra o que acontece quando um vendedor com pouca história e muitos compradores amigos recebe dinheiro rápido demais.

Cupom, cashback e programa de fidelidade

Incentivo é dinheiro

Cupom, cashback, frete grátis, pontos e indicação de amigos são moedas. O departamento de marketing os trata como despesa de aquisição, e o criminoso os trata como dinheiro com liquidez. A diferença de ponto de vista explica por que esses programas são alvo.

Os padrões de abuso são conhecidos em termos gerais. Criação de muitas contas para receber o bônus de primeira compra repetidamente. Uso de indicação entre contas do mesmo dono, para receber a recompensa de quem indica e de quem é indicado. Acúmulo de pontos por meio de compras que depois são devolvidas, de modo que o ponto fica e a compra desaparece. Revenda de cupons ou de saldos. E a conta tomada, que serve para esvaziar os pontos de alguém e transferi-los.

O Brasil conhece bem os programas de pontos e de milhas, e a tomada de conta de programas de fidelidade é um caso à parte: a vítima só percebe quando vai usar o saldo, e a empresa é acionada depois. Quando o assunto chega a juizado, a discussão costuma girar em torno de quem deveria ter protegido o acesso e de quão rápido a empresa reagiu.

A defesa

A defesa de incentivos começa com uma pergunta de desenho: o que impede alguém de ganhar o bônus mil vezes? Bônus de primeira compra ligado a um meio de pagamento, a um telefone verificado ou a um endereço único é mais caro de repetir. Bônus que só é liberado depois do prazo de devolução, e não na hora da compra, evita o ciclo de pontos por compras que somem. Limite de resgate por período e por conta, com revisão de resgates grandes, reduz o dano da conta tomada. E a regra de que a recompensa de indicação exige que o indicado faça uma compra real e permaneça sem devolver corta o incentivo de fabricar indicados.

Como em tudo neste capítulo, cada medida tem custo. Exigir telefone verificado reduz cadastros falsos e também a conversão de visitantes legítimos. A decisão sobre onde pôr a fricção depende de quanto custa um bônus abusado, comparado com quanto custa um cliente a menos.

As métricas: o que medir e como ler

Taxa de chargeback

A taxa de chargeback é a razão entre as contestações recebidas e o número de transações, ou, em outras formulações, entre o valor contestado e o valor vendido. É a métrica que as bandeiras olham, e por isso é a que o lojista é obrigado a conhecer. Mas ela tem três vícios.

O primeiro é o atraso. As contestações de um mês de vendas continuam chegando nos meses seguintes, de modo que a taxa que você vê hoje reflete a qualidade das vendas de dois ou três meses atrás. Uma mudança de política que corta a fraude hoje só aparecerá na taxa mais tarde, e uma onda de fraude que começou ontem só aparecerá depois de a mercadoria ter saído.

O segundo é a mistura de causas. A taxa total soma fraude de terceiro, fraude amiga, problema logístico e erro de descrição. Quando ela sobe, a primeira pergunta deve ser qual motivo cresceu.

O terceiro é a dependência do denominador. Uma loja que cresce rápido dilui a taxa, e uma loja que encolhe a infla. Comparar mês a mês sem olhar o volume engana.

Taxa de aprovação e falso positivo

Do outro lado está a taxa de aprovação: a fração de pedidos que o sistema deixa passar. Uma taxa de aprovação muito alta pode significar boa experiência ou pouco controle. Uma muito baixa pode significar bom controle ou clientes legítimos expulsos. O número isolado não diz.

O falso positivo é o pedido legítimo recusado ou retido por engano. É difícil de medir porque o cliente recusado vai embora e não deixa rastro. Há formas indiretas: acompanhar, entre os recusados, quantos tentam de novo com outro meio de pagamento e conseguem; revisar uma amostra dos recusados por analistas; comparar a conversão entre faixas de risco; e perguntar, quando possível, a quem foi barrado. A mensagem de recusa também importa, porque uma recusa sem explicação perde mais clientes do que uma que oferece alternativa, como pagar de outra forma ou confirmar por outro canal.

Há ainda um custo menos visível: o atrito com o cliente fiel. Clientes recorrentes que são barrados por um modelo que não os reconhece ficam irritados de forma desproporcional, porque esperavam ser reconhecidos. Uma lista de clientes confiáveis, com histórico limpo, que passa por um caminho mais leve, é um dos investimentos de melhor retorno do antifraude.

Cenário ilustrativo: o preço de aprovar e o preço de recusar

Cenário ilustrativo: os números a seguir são inventados para mostrar o raciocínio e não descrevem nenhuma loja real.

Uma loja de eletrônicos e acessórios recebe 8.000 tentativas de compra por mês, todas no cartão, com ticket médio de R$ 150. Dessas, 7.920 são de clientes legítimos e 80 são fraudes, ou seja, 1% do total. A loja conhece a própria estrutura de custos: a mercadoria custa R$ 105 por pedido, o frete R$ 20 e a tarifa do meio de pagamento já está descontada, de modo que cada pedido legítimo deixa uma contribuição de R$ 25 depois dos custos variáveis. Quando um pedido fraudulento vira chargeback, a loja devolve os R$ 150, já tinha gasto R$ 105 de mercadoria e R$ 20 de frete, e ainda paga R$ 25 de tarifa de disputa. Em comparação com não ter vendido, a perda é a soma dos custos que não voltam: 105 mais 20 mais 25, ou R$ 150 por pedido fraudulento.

Primeira política: aprovar quase tudo, com um filtro mínimo. A fraude chega a 80 pedidos e a perda é de 80 vezes R$ 150, ou R$ 12.000 por mês. Nenhum cliente legítimo é recusado, de modo que o custo de falsos positivos é zero. O custo total é de R$ 12.000. A taxa de chargeback, quando todos os pedidos fraudulentos viram contestação, fica em 80 sobre 8.000, ou 1,0%.

Segunda política: um antifraude moderado, com regras e revisão manual dos casos duvidosos. Ele reduz a fraude que passa de 80 para 16 pedidos, uma queda de 64 pedidos fraudulentos, o que evita 64 vezes R$ 150, ou R$ 9.600 de perda. Em compensação, o filtro barra por engano 2,5% dos pedidos legítimos, que são 198 de 7.920. Cada um deles custa a contribuição de R$ 25 que a loja deixou de ganhar, num total de R$ 4.950. O custo total é a fraude restante, 16 vezes R$ 150, que dá R$ 2.400, mais R$ 4.950, ou R$ 7.350. A taxa de chargeback cai para 16 sobre 8.000, ou 0,2%.

Terceira política: um antifraude agressivo, que recusa tudo o que cheira a risco. A fraude restante cai para 8 pedidos, mais 8 pedidos evitados em relação à segunda política, o que economiza 8 vezes R$ 150, ou R$ 1.200. Mas o filtro agora barra 10% dos clientes legítimos, que são 792 pedidos. Em relação à segunda política, são 594 recusas a mais, e cada uma custa R$ 25, o que dá R$ 14.850. O custo total passa a ser 8 vezes R$ 150, que dá R$ 1.200, mais 792 vezes R$ 25, que dá R$ 19.800, ou R$ 21.000.

A tabela abaixo resume as três políticas.

Política	Fraude que passa	Perda com fraude	Falsos positivos	Perda com recusas	Custo total
Aprovar quase tudo	80	R$ 12.000	0	R$ 0	R$ 12.000
Antifraude moderado	16	R$ 2.400	198	R$ 4.950	R$ 7.350
Antifraude agressivo	8	R$ 1.200	792	R$ 19.800	R$ 21.000

O resultado desagrada tanto quem quer aprovar tudo quanto quem quer recusar tudo. A política agressiva tem o menor chargeback do trio e o maior custo, e a política que parece negligente custa menos do que a agressiva. O ponto ótimo está no meio. E o cenário ainda é favorável à agressiva, porque ignora o valor do cliente que foi recusado e nunca voltou: se cada cliente perdido valesse, além da contribuição da compra, mais algumas compras futuras, o custo da terceira política seria bem maior. Por outro lado, o cenário também ignora custos que pesam contra a primeira: se a fraude atingisse o patamar em que a bandeira abre um programa de monitoramento, o preço de ficar acima dele seria muito mais do que a perda direta. A moral é que a decisão não é de princípio. É uma conta, e ela precisa ser refeita quando o ticket, a margem e a taxa de fraude mudam.

A defesa em camadas

Princípios que valem para qualquer porte

A defesa contra fraude de pagamento não é um produto que se compra. É uma arquitetura de decisões, e os princípios abaixo valem para uma loja pequena e para uma fintech.

Primeiro, proporcionalidade. O controle deve ser mais forte onde o risco é maior: pedido de valor alto, produto fácil de revender, entrega em endereço novo, conta recém-criada, mudança de dados sensíveis. Em baixo risco, a experiência deve ser leve.

Segundo, camadas independentes. Nenhum sinal sozinho é confiável. A combinação de verificação de identidade, análise do dispositivo e do comportamento, histórico do cliente e regras de negócio dá resultado melhor do que qualquer uma isolada, e cada camada cobre a falha das outras.

Terceiro, autenticação do portador onde ela existe. A autenticação reforçada no cartão, que a Abecs aponta como a principal razão da queda do indicador de fraude online, desloca a responsabilidade da transação autenticada para o emissor em muitos casos e reduz a fraude por cartão de terceiro. Seu custo é atrito na compra, e a decisão de aplicá-la a todos os pedidos ou só aos de maior risco depende da conta, como no cenário.

Quarto, atraso como defesa. Em operações em que o dano é irreversível depois da entrega ou do saque, segurar por algumas horas o que está fora do padrão dá tempo à revisão. Esse atraso funciona porque a pressa é aliada do fraudador, como o capítulo 6 mostrou para o Pix.

Quinto, revisão humana onde o volume permite. Analistas treinados desfazem erros do modelo e geram os rótulos que o melhoram. A revisão manual não escala para tudo, e por isso deve ser reservada para a faixa do meio.

Sexto, ciclo de aprendizado. O que o chargeback ensina deve voltar para as regras. Um motivo de contestação que se repete, um tipo de produto que concentra perda, um horário ou região com pico, tudo isso é informação para ajustar.

O que um lojista pequeno pode fazer sem equipe de risco

Uma loja que não tem analista de fraude ainda pode fazer muito. Escolher uma credenciadora ou gateway que ofereça antifraude e autenticação reforçada, e entender o que cada configuração faz. Guardar a prova de entrega e a trilha de comunicação de todo pedido. Usar um nome de fatura reconhecível. Olhar semanalmente a lista de pedidos de maior valor e de entrega em endereço novo antes de despachar. Desconfiar de pedido grande de cliente novo com urgência na entrega. E acompanhar as contestações por motivo, para saber se o problema é fraude, entrega ou atendimento.

Em contrapartida, o pequeno lojista deve evitar a tentação de montar regras caseiras do tipo "bloquear pedidos de determinada cidade" ou "recusar cartões de certo banco". Regras assim discriminam clientes legítimos, e podem violar o Código de Defesa do Consumidor e a LGPD, além de não pararem quem sabe o que está fazendo.

O que uma fintech ou um marketplace precisa

Uma empresa que opera contas ou cadastra vendedores precisa de mais: verificação de identidade com prova de vida proporcional ao risco, análise de rede entre contas, monitoramento de transações posterior ao cadastro, limites que crescem com o tempo, retenção de repasse para vendedores de risco, canal para denúncias e uma área que consiga agir rápido para bloquear e comunicar. Também precisa de um fluxo de cooperação com a polícia e com as instituições que recebem os valores, porque a velocidade com que se aciona o destino do dinheiro decide quanto dele pode ser recuperado. A operação de junho de 2026 em São Paulo nasceu, segundo a imprensa, de uma comunicação feita pela própria plataforma.

O que a lei diz

Para quem vende

O comércio eletrônico no Brasil é regulado pelo Código de Defesa do Consumidor, e algumas regras interessam diretamente ao tema. O direito de arrependimento em sete dias para compras fora do estabelecimento, previsto no artigo 49, impede que o lojista trate toda devolução como suspeita. Os deveres de informação clara sobre o produto, o preço, o prazo e a identificação do fornecedor, que decorrem de vários artigos do código, ajudam a reduzir as contestações por desacordo comercial. E a responsabilidade do fornecedor por defeito e por vício do serviço significa que a empresa não se livra de suas obrigações por ter sido enganada por um terceiro, embora possa buscar o ressarcimento de quem a enganou.

Para quem decide por algoritmo

Para dados pessoais sensíveis, o artigo 11, inciso II, alínea g, da LGPD admite o tratamento indispensável à prevenção à fraude e à segurança do titular em processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardadas as condições previstas na lei. O artigo 20 garante ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e a empresa deve fornecer informações claras sobre os critérios usados, respeitados os segredos comercial e industrial. O dispositivo dá direito de solicitar revisão, mas não exige que ela seja feita por uma pessoa. Um canal de revisão ainda pode ajudar a identificar erros do modelo e melhorar o antifraude.

Para quem pratica a fraude

O Código Penal tipifica o estelionato no artigo 171, e a Lei 14.155, de 2021, acrescentou ao artigo o parágrafo 2º-A, que trata da fraude eletrônica, com pena de reclusão de quatro a oito anos, multa, e agravantes para certos casos. O uso de cartão ou de dados alheios para comprar pela internet, a abertura de contas com documentos falsos e a obtenção de estorno de compra que se realizou podem, conforme as circunstâncias, ser enquadrados nesses dispositivos, sem prejuízo de outros, como os de falsidade documental. A invasão de conta ou de dispositivo para a tomada de conta é tratada pela Lei 12.737, de 2012, que criou o artigo 154-A do Código Penal. O valor sob disputa nem sempre justifica um processo longo, e muita fraude de pequeno valor não chega à Justiça, o que a torna lucrativa em escala. O estelionato voltou, em regra, a ser crime de ação pública incondicionada com a Lei 15.397, de 2026, segundo o texto compilado do Planalto, o que facilita a atuação da polícia sem depender de representação da vítima, e nada se afirma aqui sobre a aplicação a fatos anteriores.

E o banco?

A Súmula 479 do STJ, que responsabiliza as instituições financeiras pelos danos de fraudes de terceiros em operações bancárias, protege o consumidor diante do banco. Não protege o lojista diante da bandeira, e esse é um erro comum de quem lê a súmula como regra geral. A relação entre lojista, credenciadora, bandeira e emissor é contratual e regida pelas regras do arranjo de pagamento. O que o lojista pode fazer é conhecer o contrato, guardar as provas e negociar com a credenciadora.

Verdades desconfortáveis

A primeira é que o chargeback é, em parte, um preço que o lojista paga por vender no cartão. Quem quer vender sem esse risco precisa abrir mão da conveniência do meio ou investir para reduzir o risco, e as duas escolhas custam dinheiro. A conversa sobre fraude fica mais honesta quando começa por aí.

A segunda é que boa parte do que se chama de fraude é falha do próprio vendedor: descritor de fatura confuso, atendimento que não responde, entrega que atrasa, política de troca opaca. O cliente que não consegue falar com a loja contesta no banco, e o banco o atende em minutos. Antes de comprar um sistema antifraude, vale olhar o SAC.

A terceira é que o antifraude trata mal os clientes novos, os pobres e os que mudam de endereço. Modelos aprendem com o passado, e o passado tem menos dados sobre quem tem pouca história financeira. A recusa disfarçada de técnica atinge de forma desigual quem já tem menos acesso. É uma razão ética e uma razão comercial para manter um canal de revisão humana.

A quarta é que as plataformas e as fintechs lucram com o volume, e o controle de cadastro e de vendedor concorre com o crescimento. Uma empresa que paga bônus pelo número de contas abertas e cobra do time de risco a queda da fraude cria um conflito interno que o criminoso explora. Onde o incentivo comercial manda mais do que o de risco, a fraude entra pela porta da frente.

A quinta é que a maior parte das fraudes de pagamento de pequeno valor nunca será punida. A polícia investiga o esquema grande, como a operação de junho de 2026, e deixa de fora o prejuízo individual de algumas centenas de reais. O lojista que espera que a Justiça resolva o seu chargeback vai esperar muito. A defesa está em não deixar a fraude passar.

A sexta é que o rótulo de fraude amiga serve a quem quer culpar o cliente. Parte do que se chama assim é uma contestação legítima de quem foi cobrado sem entender, e parte é um sintoma de que o negócio falhou na comunicação. O lojista que classifica todo cliente reclamante como fraudador tem uma explicação confortável e uma operação que não melhora.

Protocolo de defesa

Para o lojista de e-commerce:

• Use um nome de fatura que o cliente reconheça e envie e-mail de confirmação com o mesmo nome.
• Ative a autenticação reforçada do cartão nas faixas de maior risco, e meça o efeito sobre a conversão antes de generalizar.
• Guarde, por pedido, os registros que a bandeira aceita como prova: autenticação, entrega com data e comprovante, comunicação com o cliente.
• Revise manualmente os pedidos de valor alto, de cliente novo e de entrega em endereço novo antes de despachar.
• Classifique cada contestação por motivo e acompanhe a evolução de cada motivo, não só da taxa total.
• Tenha um procedimento de resposta a chargeback com prazo e responsável definidos.
• Trate arrependimento dentro do prazo legal como direito, e abuso de devolução como exceção documentada.

Para quem opera conta, carteira ou marketplace:

• Verifique identidade com rigor proporcional ao produto e comece com limites baixos que crescem com o uso.
• Monitore as contas depois do cadastro: entrada de muitos valores de origens diferentes seguida de saída rápida merece revisão.
• Ajuste o prazo de repasse ao risco do vendedor e retenha mais em contas novas e em categorias arriscadas.
• Faça análise de relações entre contas, vendedores e compradores, e investigue concentrações.
• Exija mais confirmação em mudanças de dados sensíveis seguidas de operação de valor alto.
• Mantenha canal de revisão humana para decisões automatizadas e registre os resultados para treinar o modelo.
• Tenha contato direto com a polícia e com as instituições destinatárias dos valores, e procedimento para bloqueio rápido.

Para quem cria programas de incentivo:

• Pergunte, antes de lançar, quem pode ganhar o bônus mil vezes e o que o impede.
• Libere recompensas depois do prazo de devolução, não na hora da compra.
• Limite o resgate por período e revise resgates grandes.

Sinais de alerta

• Aumento súbito de vendas de um vendedor novo, concentradas em poucos compradores.
• Contas diferentes que compartilham telefone, endereço de entrega, dispositivo ou forma de preenchimento.
• Pedido de valor alto, cliente novo, urgência na entrega e endereço sem relação com o cadastro.
• Mudança de e-mail, telefone ou forma de pagamento seguida de compra grande.
• Muitos acessos falhos a contas diferentes a partir de uma mesma origem.
• Cliente que repete devoluções com alegações parecidas, ou que devolve sistematicamente após eventos.
• Contas novas que recebem muitos valores e repassam rapidamente.
• Uso repetido de bônus de primeira compra com dados parcialmente diferentes.
• Taxa de chargeback subindo em um único motivo, ou concentrada em uma categoria de produto.
• Contestações de uma mesma região ou de um mesmo emissor com alegações idênticas.

Exercícios

1. Pegue as últimas 30 contestações de cartão de uma loja, real ou fictícia, e classifique cada uma por motivo: fraude de terceiro, fraude amiga, problema de entrega, desacordo comercial. Entrega: uma tabela com a proporção de cada motivo e uma recomendação para cada um, indicando se a solução está no antifraude, na logística ou no atendimento.

2. Refaça o cenário do capítulo com os números do seu negócio: ticket, custo da mercadoria, frete, contribuição por pedido, taxa de fraude estimada e taxa de falso positivo de cada política. Entrega: a tabela de três políticas com os seus números e a política que minimiza o custo total.

3. Escolha um programa de cupom, cashback ou indicação que você conheça e escreva três maneiras pelas quais ele poderia ser abusado, em nível de princípio, sem instruções. Entrega: as três hipóteses e, para cada uma, uma mudança de desenho que a tornaria mais cara.

4. Escreva um procedimento de uma página para o atendimento lidar com um cliente que diz não reconhecer uma compra: o que perguntar, que provas levantar, quando acionar a credenciadora e o que dizer ao cliente. Entrega: o procedimento, com um ponto em que o caso passa a uma pessoa de risco.

5. Pesquise no site da sua credenciadora ou do seu gateway as regras vigentes de contestação, os prazos de resposta e os limites do programa de monitoramento de chargeback. Entrega: um resumo de meia página com os números que se aplicam ao seu contrato, a fonte consultada e a data.

Prompt de estudo

Vou descrever, sem dados pessoais nem nomes, um conjunto de pedidos suspeitos de uma loja online e as regras de antifraude que ela usa hoje. Quero que você me ajude a analisar como um perito: quais tipos de fraude podem estar em jogo, que sinais eu deveria medir, onde a regra atual provavelmente gera falsos positivos e que dados eu precisaria para estimar o custo de cada tipo de erro. Não escreva regras para burlar o antifraude de ninguém, não invente limites de bandeiras e, se não souber um número, diga que preciso conferir com a minha credenciadora.

Faça-me dez perguntas curtas sobre este capítulo: o que é chargeback e por que ele chega tarde, o que distingue a fraude amiga da fraude de terceiro, como funciona a tomada de conta, por que a conta laranja é um problema de quem abre a conta e o que o cenário das três políticas mostra sobre aprovar demais e recusar demais. Depois de cada resposta minha, diga se acertei e explique o que faltou.

Fontes e leituras

• Polícia Civil de São Paulo, Operação Chargeback (9 de junho de 2026), segundo cobertura de Jornal de Brasília, TecMundo, A Tarde, TNH1 e Economic News Brasil. Os veículos divergem sobre detalhes de prisões e de localização dos líderes; o texto os trata como investigados.
• Polícia Civil da Bahia e Secretaria da Segurança Pública da Bahia, nota sobre a Operação Chargeback em Salvador (28 de outubro de 2026), em ba.gov.br/ssp, e cobertura de Correio e Bahia Notícias.
• FBI, Internet Crime Complaint Center, Internet Crime Report 2025, em ic3.gov: categorias de fraude com cartão e cheque, tomada de conta e número total de queixas.
• Abecs, Monitor de Fraudes, segundo reportagens de 2025 e 2026 (letsmoney.com.br e outras); o documento original não foi aberto.
• LexisNexis Risk Solutions, True Cost of Fraud Study, edição de comércio eletrônico e varejo de 2025, segundo a cobertura de Crowdfund Insider e E-Commerce Times.
• Guias de terceiros sobre os programas de monitoramento da Mastercard e da Visa (JPMorgan, Chargebacks911, Chargeback Gurus, Chargeflow, entre outros), usados apenas como ordem de grandeza; as regras vigentes são as da sua credenciadora e da bandeira.
• Banco Central do Brasil, Resolução BCB nº 522, de 10 de novembro de 2025, que altera a Resolução BCB nº 150/2021 e estabelece regras de gerenciamento centralizado de riscos nos arranjos de pagamento.
• Lei 13.709, de 2018 (LGPD), artigo 11, inciso II, alínea g, e artigo 20, conforme o texto legal e a orientação da ANPD sobre direitos dos titulares; Código de Defesa do Consumidor, artigo 49; Código Penal, artigos 154-A, 171 e parágrafo 2º-A; Lei 12.737, de 2012; Lei 14.155, de 2021; Lei 9.613, de 1998; Lei 15.397, de 2026; Súmula 479 do STJ, em planalto.gov.br e stj.jus.br.
• Capítulo 6 deste livro, para o Pix e o Mecanismo Especial de Devolução, e capítulo 11, para a fraude do presidente e a engenharia social contra empresas.