A fraude no e-commerce está se tornando uma ameaça maior em todo o mundo. Um dos principais impulsionadores é a natureza das compras online de cartão não presente (CNP), o que cria uma enorme superfície de ataque para quem estiver disposto a abusar dela. Espera-se que o valor da fraude global no e-commerce cresça de cerca de US$ 56 bilhões em 2025 para $131 bilhões até 2030. Para lidar com essa ameaça, a prevenção eficaz a fraudes no e-commerce combina controles sobrepostos que capturam o que os outros deixam passar.

Abaixo, exploraremos os tipos comuns de fraude que afetam varejistas online, como a detecção em tempo real funciona no nível da transação e como criar uma estratégia de prevenção em camadas que pode capturar fraudadores sem afastar clientes legítimos.

Principais conclusões

• A fraude no e-commerce abrange vários tipos, incluindo fraude de CNP, fraude amigável e invasão de conta. Cada uma requer controles diferentes para detecção e prevenção.

• A detecção de fraude em tempo real atribui uma pontuação de risco com base em sinais de dispositivos, dados comportamentais e características do pedido. Essa pontuação determina se o sistema automatizado aprova, bloqueia ou revisa uma transação.

• Uma estratégia de prevenção em camadas combina modelos de machine learning com regras personalizadas e controles de verificação de checkout para permitir a cobertura mais ampla com o mínimo de atrito para clientes legítimos.

O que é fraude em e-commerce?

A fraude no e-commerce é qualquer tentativa de concluir uma transação online usando informações roubadas, falsas ou manipuladas para obter bens, serviços ou dinheiro sem autorização legítima. Ao contrário das fraudes presenciais, não há cartão para roubar fisicamente nem rosto para identificar; isso torna o canal online mais atraente para fraudadores.

Quais são os tipos comuns de fraude de e-commerce?

Estes são alguns tipos comuns de fraude de e-commerce:

• Fraude de CNP: Alguém usa credenciais de cartão roubadas para fazer um pedido. O titular do cartão costuma contestar a cobrança com o banco, e a empresa perde os produtos, a receita e, geralmente, ainda paga uma tarifa de estorno.

• Fraude amigável: Um cliente legítimo faz uma compra, recebe o item e, mesmo assim, contesta a cobrança. Ele alega que a compra não foi autorizada, que o item nunca chegou ou que não correspondia à descrição. Sem comprovantes sólidos, como confirmação de entrega, registros de protocolo de internet (IP) e impressões digitais do dispositivo, as empresas podem perder essas contestações.

• Invasão de conta: Um fraudador obtém acesso à conta de um cliente existente (geralmente por preenchimento de credenciais usando pares de nome de usuário e senha vazados), altera o endereço de entrega e faz pedidos usando a forma de pagamento armazenada. Como a conta tem um histórico de compras legítimo, esses pedidos costumam passar por verificações básicas de fraude sem levantar nenhum sinal de alerta.

• Abuso de devoluções: Clientes exploram políticas de devolução brandas para obter reembolsos por itens que já usaram ou para devolver produtos danificados ou diferentes. A fraude de reembolso afeta as margens de lucro da mesma forma que outros tipos de fraude, mas costuma ser tratada como um problema operacional.

• Abuso de promoções e cupons: Fraudadores criam várias contas para resgatar repetidamente descontos para novos clientes, bônus de indicação ou códigos promocionais. Isso é especialmente comum com produtos digitais ou de assinatura, nos quais não há limite físico para o número de vezes que o abuso pode se repetir.

Quais práticas recomendadas de prevenção a fraudes no e-commerce os varejistas online devem seguir?

Programas eficazes de prevenção a fraudes combinam sinais de detecção, salvaguardas de checkout e políticas internas. O monitoramento de transações deve observar os seguintes sinais que, tomados em conjunto, indicam a probabilidade de fraude:

• Padrões incomuns: Vários pedidos do mesmo endereço IP, número de cartão ou dispositivo em um curto intervalo de tempo muitas vezes indicam fraude automatizada ou ataques de teste de cartão (ou seja, fraudadores testam números de cartões roubados com pequenas transações antes de realizarem as maiores).

• Incompatibilidades de envio e faturamento: Um pedido em que os endereços de faturamento e envio estão em países diferentes, ou onde o e-mail não corresponde ao que está registrado para esse cartão, aumenta a probabilidade de fraude.

• Sinais de dispositivo e navegador: A identificação de dispositivo captura atributos como configuração do navegador, resolução de tela e fontes instaladas. Um dispositivo previamente associado a um pedido fraudulento é um forte indicador de risco, não importa qual cartão esteja sendo usado agora.

• Características do pedido: Pedidos de alto valor feitos imediatamente após a criação da conta, várias unidades do mesmo item de alta revenda e envio expresso para um destino em que não faz sentido logisticamente são todos cenários que justificam uma inspeção mais rigorosa.

No checkout, verificações adicionais podem dar a você uma melhor compreensão de quem está concluindo a transação. Elas incluem o seguinte:

• Serviço de verificação de endereço (AVS): Ele verifica se o endereço de faturamento que um cliente insere corresponde ao que está registrado no emissor do cartão. Uma correspondência total não garante legitimidade, mas uma incompatibilidade pode ser um importante sinal de risco.

• Verificação do código de segurança do cartão (CVV): Isso confirma que a pessoa que faz o pedido tem acesso físico ao cartão, e não apenas ao número do cartão. Exigir o CVV no checkout é uma prática padrão.

• 3D Secure (3DS): Adiciona uma etapa de autenticação em que o titular do cartão verifica sua identidade diretamente com o emissor do cartão, geralmente por meio de um código de uso único ou solicitação biométrica. Quando a autenticação 3DS é bem-sucedida, a responsabilidade pelo estorno geralmente muda da empresa para o emissor do cartão.

As regras automatizadas permitem que você defina limites rígidos para o comportamento da transação: é possível bloquear todos os pedidos enviados a uma região específica de alto risco, exigir revisão manual acima de um determinado valor do pedido ou recusar o pagamento de qualquer transação na qual o AVS falha e o pedido excede um limite definido. O desafio é que as regras são estáticas por padrão. As táticas de fraude mudam, e as regras que funcionavam de forma eficaz há seis meses podem gerar pagamentos recusados falsos hoje. As taxas de bloqueio e as taxas de falsos positivos precisam de revisão regular.

Como pedidos fraudulentos são detectados em tempo real?

Quando um cliente faz um pedido, o processo de detecção de fraude começa antes mesmo de a solicitação de autorização de pagamento chegar à bandeira do cartão. Veja como funciona:

• Captura de dados: O sistema de checkout coleta sinais de dispositivos, endereço IP e comportamento de sessão (por exemplo, tempo na página, cadência de digitação e como os campos do formulário foram preenchidos) junto com os próprios detalhes do pedido.

• Avaliação de regras: O pedido é verificado em relação a quaisquer bloqueios baseados em regras, como limites de velocidade de transação, países bloqueados e restrições de cartão com base no Número de Identificação Bancária (BIN). Os pedidos que sofrem um bloqueio rigoroso param aqui.

• Pontuação de risco: Um modelo avalia o conjunto completo de sinais e produz uma pontuação ponderando diferentes sinais, com base em quais combinações precederam historicamente estornos e contestações.

• Decisão: Com base na pontuação e nos limites configurados, o pedido é aprovado automaticamente, sinalizado para revisão humana ou tem o pagamento recusado. Uma Equipe Antifraude trabalha na fila de revisão para avaliar manualmente casos isolados.

• Ciclo de feedback: Quando um pedido sinalizado é revisado manualmente e aprovado ou tem o pagamento recusado, esse resultado alimenta o modelo e melhora a precisão de pontuações futuras.

Qual é a diferença entre técnicas e ferramentas de prevenção a fraudes no e-commerce?

As técnicas de prevenção a fraudes no e-commerce são as abordagens analíticas usadas para identificar fraudes. Softwares relacionados podem implementar essas técnicas em escala.

Veja algumas técnicas comuns:

• Verificações de velocidade: Sinalizam frequência incomum de transação em um intervalo de tempo. Isso é útil para capturar ataques de teste de cartão, nos quais fraudadores testam lotes de números de cartão roubados em rápida sucessão.

• Biometria comportamental: Analisa como um usuário interage com um formulário (por exemplo, movimento do mouse, tempo de digitação, padrões de preenchimento automático) para distinguir humanos de bots que estão tentando automatizar o checkout.

• Modelos de machine learning: Treinam com base em dados de transações históricas para identificar padrões que precedem a fraude, incluindo padrões que são sutis demais para as regras capturarem. Quanto mais dados de transações um modelo de machine learning usar para treinar, melhor ele será em distinguir casos isolados genuínos de fraudes.

• Análise de rede: Identifica sinais compartilhados entre contas (por exemplo, mesmo dispositivo, mesmo IP e mesmo domínio de e-mail) para detectar quadrilhas de fraude que estão operando em várias contas simultaneamente.

O Stripe Radar aplica modelos de machine learning treinados em dados de transação de toda a rede da Stripe. Como o Radar vê padrões em milhões de empresas, ele pode identificar sinais de risco que nenhuma empresa individual teria dados suficientes para detectar sozinha. Um número de cartão que apareceu em uma transação fraudulenta em outro lugar da rede é um sinal valioso, mesmo que seja a primeira vez que você o veja.

Como criar uma estratégia em camadas de prevenção a fraudes no e-commerce?

Uma estratégia em camadas significa que nenhum ponto único de falha deixa a fraude passar. Cada camada captura o que as outras deixam passar.

Veja o que uma estratégia em camadas deve incluir:

• Verificação de conta e identidade: Antes que qualquer pessoa possa fazer um pedido, confirme se ela é quem diz ser. A verificação de e-mail na criação da conta, requisitos de senha forte e autenticação 3DS adicionam controles de identidade básicos que reduzem o risco de invasão de conta.

• Sinais no nível do checkout: Verificações de CVV, AVS e identificação de dispositivo podem capturar grande parte das tentativas de fraude de cartão não presente antes de serem concluídas. Processar transações sem esses controles deixa lacunas óbvias.

• Pontuação de risco: A pontuação em tempo real avalia todo o contexto do pedido. É aqui que uma ferramenta como o Stripe Radar agrega mais valor, porque o modelo se baseia em sinais de toda a rede que a verificação no nível do checkout sozinha não consegue ver.

• Regras personalizadas: As regras específicas da empresa ajustam o modelo básico para o seu contexto. Uma empresa de bens digitais enfrenta padrões de fraude diferentes de um varejista de bens físicos, e as regras permitem que você codifique esse conhecimento diretamente em sua tomada de decisão.

• Monitoramento pós-transação: Taxas de estorno, padrões de contestação e anomalias de execução também são sinais. Monitorar as métricas de acompanhamento captura a fraude que passou pelas camadas anteriores e orienta ajustes em regras e limites ao longo do tempo.

• Controles de política e devolução: As empresas que frequentemente sofrem fraudes de devolução podem mitigar abusos exigindo fotos de itens devolvidos, emitindo crédito na loja em vez de reembolsos para contas sinalizadas ou implementando janelas de devolução proporcionais ao valor do pedido. E podem fazer isso sem prejudicar significativamente a experiência de clientes honestos.

Como o Stripe Radar pode ajudar

O Stripe Radar usa modelos de IA para detectar e prevenir fraudes, treinados em dados da rede global da Stripe. Ele atualiza continuamente esses modelos com base nas últimas tendências de fraude, para que sua empresa fique protegida à medida que as fraudes evoluem.

A Stripe também disponibiliza o Radar for Fraud Teams, que permite aos usuários adicionar regras personalizadas voltadas a cenários de fraude específicos aos seus negócios e acessar informações avançadas de fraude.

O Radar pode ajudar sua empresa a:

• Evite perdas por fraude: A Stripe processa mais de US$ 1 trilhão em pagamentos anualmente. Essa escala permite exclusivamente que o Radar detecte e evite fraudes com precisão, economizando seu dinheiro.

• Aumente a receita: Os modelos de IA do Radar são treinados com dados reais de contestação, informações de clientes, dados de navegação e muito mais. Isso permite que o Radar identifique transações arriscadas e reduza falsos positivos, o que aumenta sua receita.

• Economize tempo: O Radar é integrado à Stripe e exige zero linhas de código para ser configurado. Você também pode monitorar seu desempenho contra fraudes, escrever regras e muito mais em uma única plataforma, o que aumenta a eficiência.

Saiba mais sobre o Stripe Radar, ou comece hoje mesmo.