Guias
Prevenção de fraude em pagamentos para comerciantes online: tipos, ferramentas e métricas
Prevenir a fraude em pagamentos é travar o card testing, as compras com cartões roubados, a apropriação de contas e a friendly fraud sem recusar bons clientes. Faz-se em camadas: controlos de conta e de velocidade, impressão digital do dispositivo e pontuação de risco, 3D Secure para encomendas arriscadas, verificações de CVV e morada e provas depois. Acompanhe fraude, disputas e falsas recusas.
Em resumo
| Fraude em pagamentos no EEE, 2024 | 4,2 mil milhões de euros, face a 3,5 mil milhões em 2023 (EBA e BCE, dezembro de 2025) |
|---|---|
| Fraude com cartões fora do EEE | 17 vezes superior quando o beneficiário está fora do EEE, onde a SCA muitas vezes não é aplicada |
| Limiar do Visa VAMP para comerciantes, Europa | Denúncias de fraude mais disputas a 1,5 % das transações com cartão não presente liquidadas desde abril de 2026, a partir de 1500 eventos por mês |
| Mastercard Excessive Chargeback Merchant | Rácio de chargebacks de 1,5 % e pelo menos 100 chargebacks num mês |
| Taxas de fraude de referência da TRA na PSD2 | 0,13 % até 100 €, 0,06 % até 250 € e 0,01 % até 500 € para pagamentos com cartão à distância |
| Reembolso de fraude APP no Reino Unido | Reembolso obrigatório até 85 000 £ por reclamação desde 7 de outubro de 2024 |
Que tipos de fraude em pagamentos afetam os comerciantes online?
A fraude segue o dinheiro e o controlo mais fraco. A EBA e o BCE contabilizaram 4,2 mil milhões de euros de fraude em pagamentos no EEE em 2024, com a fraude com cartões concentrada em pagamentos com cartão não presente e em pagamentos a comerciantes fora do EEE. Os comerciantes suportam o custo da maior parte da fraude com cartões através de chargebacks, comissões e mercadoria perdida.
Cada tipo abaixo deixa sinais diferentes e exige uma defesa diferente, razão pela qual um único conjunto de regras ou uma única ferramenta raramente cobre todos.
| Tipo de fraude | Como funciona | Sinal típico | Defesa principal |
|---|---|---|---|
| Card testing | Robôs experimentam números de cartões roubados com pagamentos pequenos | Muitas tentativas de baixo valor, taxa de recusa elevada | Limites de velocidade, deteção de robôs, CAPTCHA |
| Fraude com cartão roubado (CNP) | Um fraudador compra com dados reais de um cartão | Novo dispositivo, país ou morada que não coincidem | Pontuação de risco, 3D Secure |
| Apropriação de contas | Credenciais roubadas usadas para encomendar ou alterar dados de pagamento | Novo dispositivo, redefinição de palavra-passe, morada alterada | Verificações de risco no login, autenticação adicional |
| Friendly fraud | O verdadeiro titular do cartão contesta uma compra que fez | Cliente recorrente, encomenda entregue, disputa posterior | Descritivos claros, prova de entrega, provas |
| Fraude por triangulação | Uma loja falsa revende os seus produtos pagos com cartões roubados | Morada de entrega diferente do titular do cartão, padrões de revendedor | Associação de moradas e dispositivos, revisão |
| Fraude MOTO | Cartões roubados usados em encomendas por telefone ou correio | Entrega urgente, valor elevado, sem SCA | Contacto de confirmação, verificações de CVV e morada |
| Burlas APP e de reembolso | Clientes ou funcionários enganados para enviar dinheiro | Dados bancários alterados, pedidos urgentes | Verificação do beneficiário, controlos de pagamentos |
O que é friendly fraud e a fraude de chargeback é ilegal?
A friendly fraud, também chamada fraude de chargeback ou fraude de primeira parte, ocorre quando o titular do cartão que fez uma compra a contesta junto do banco como não autorizada ou não recebida. Alguns casos são confusão genuína com um descritivo desconhecido ou com a compra de um familiar; outros são deliberados. Apresentar conscientemente um chargeback falso para ficar com a mercadoria e o dinheiro é uma forma de fraude e pode ser processado, mas na prática os comerciantes combatem-no através do processo de disputa.
O 3D Secure não impede a friendly fraud, porque o verdadeiro titular pode autenticar-se. O que ajuda é um descritivo no extrato que os compradores reconheçam, e-mails de confirmação de encomenda, prova de entrega e uma via de reembolso fácil. Nas disputas da Visa, o Compelling Evidence 3.0 permite responder a uma alegação de fraude com duas transações anteriores não contestadas, entre 120 e 365 dias antes, feitas com o mesmo cartão e com dados de dispositivo ou de IP coincidentes.
Que ferramentas de prevenção de fraude deve usar um comerciante online?
Nenhuma ferramenta cobre todos os tipos de fraude, e cada uma acrescenta custo ou fricção. A pergunta útil é o que cada ferramenta vê e quando atua: antes da encomenda, antes da autorização, durante a autenticação ou depois da venda.
As pontuações de machine learning combinam muitos sinais fracos, enquanto as regras codificam o que já sabe sobre o seu negócio. A maioria dos comerciantes precisa de ambas: regras para limites rígidos e bloqueios explicáveis, pontuação para a zona cinzenta intermédia.
- Regras: bloquear ou rever por país, montante, produto, método de envio ou e-mail, cartão e dispositivo em lista negra
- Verificações de velocidade: limitar tentativas por cartão, dispositivo, endereço IP, e-mail e conta em minutos e dias
- Impressão digital do dispositivo: reconhecer dispositivos recorrentes, emuladores, proxies e muitas contas no mesmo dispositivo
- Pontuação de risco com machine learning: uma pontuação por pagamento a partir do comportamento, do histórico e de dados de rede
- 3D Secure 2: autenticação pelo emissor, com transferência de responsabilidade por fraude para os pagamentos autenticados
- Verificação de CVV e de morada (AVS): verificações do emissor na autorização; o AVS está sobretudo disponível para cartões do Reino Unido, dos EUA e do Canadá
- Revisão manual e retenção de expedição: para encomendas de valor elevado ou ambíguas, antes de a mercadoria sair do armazém
Que métricas de fraude deve acompanhar?
A taxa de fraude, por si só, premeia recusar toda a gente. Acompanhe-a junto do rácio de disputas que as redes de cartões monitorizam e das falsas recusas que causa, porque um bom cliente recusado custa toda a margem e muitas vezes também as encomendas seguintes.
O Acquirer Monitoring Program da Visa conta em conjunto denúncias de fraude e disputas, e o seu limiar para comerciantes na Europa desceu para 1,5 % em abril de 2026. Ultrapassar os limiares das redes leva a multas, a comissões mais altas do adquirente e, no limite, à perda da aceitação de cartões.
| Métrica | Como calcular | Valor de referência |
|---|---|---|
| Taxa de fraude em valor | Volume fraudulento dividido pelo volume total de cartões | Escalões TRA da PSD2 de 0,13 %, 0,06 % e 0,01 % para os PSP |
| Rácio Visa VAMP | Denúncias de fraude mais disputas divididas pelas transações CNP liquidadas | Limiar de 1,5 % para comerciantes na Europa desde abril de 2026 |
| Rácio de chargebacks da Mastercard | Chargebacks divididos pelas transações do mês anterior | 1,5 % e 100 chargebacks para Excessive Chargeback Merchant |
| Taxa de falsas recusas | Boas encomendas recusadas ou canceladas divididas por todas as boas encomendas | Defina a sua própria base; reveja amostras todos os meses |
| Taxa de desafios 3DS | Autenticações com desafio divididas por todas as autenticações | Compare por país do emissor e escalão de montante |
| Taxa de revisão manual | Encomendas enviadas para revisão divididas por todas as encomendas | Suficientemente baixa para rever dentro do limite de expedição |
Como é uma abordagem de prevenção de fraude em camadas?
As camadas apanham o que a anterior deixou passar e permitem guardar a fricção para as encomendas que a justificam. Os pagamentos de baixo risco passam depressa, os de risco médio recebem autenticação e os de risco elevado são bloqueados ou revistos.
Coloque cada controlo o mais cedo possível: bloquear um robô de card testing no registo é mais barato do que pagar comissões de autorização por milhares de tentativas recusadas.
| Camada | Quando atua | Controlos | Fricção para o comprador |
|---|---|---|---|
| 1. Conta | Registo e login | Deteção de robôs, risco no login, autenticação adicional em novos dispositivos | Nenhuma para a maioria dos utilizadores |
| 2. Checkout | Antes do pagamento | Limites de velocidade, impressão digital do dispositivo, listas negras | Nenhuma |
| 3. Pontuação de risco | Antes da autorização | Regras mais pontuação de machine learning | Nenhuma |
| 4. Autenticação | Risco médio e elevado | Desafio 3D Secure 2 ou isenção | Desafio para uma parte das encomendas |
| 5. Autorização | No emissor | CVV, AVS, modelos de risco do emissor | Apenas recusa |
| 6. Depois da venda | Expedição e disputas | Retenções, prova de entrega, provas, reembolsos | Atraso nas encomendas revistas |
Como se liga a pontuação de risco ao encaminhamento de pagamentos?
Uma pontuação de risco é mais útil quando altera o que acontece ao pagamento, e não apenas se é bloqueado. Pontuações baixas podem seguir com um pedido de isenção TRA para manter o checkout sem fricção, as médias passam pelo 3D Secure e as altas são bloqueadas ou retidas para revisão. Com vários adquirentes, a pontuação pode também decidir que ligação trata um pagamento, por exemplo enviando cestos de alto risco para a conta com a melhor configuração de autenticação.
O encaminhamento também cria risco de fraude. Repetir um pagamento recusado num segundo prestador ajuda nas recusas técnicas e suaves, mas repetir recusas definitivas ou suspeitas de card testing espalha o ataque pelas suas contas e aumenta os rácios de disputas em todo o lado. As regras de nova tentativa devem verificar primeiro o motivo da recusa e a pontuação de risco.
Como pode adicionar controlos de fraude através da OrsunPay?
A OrsunPay é um prestador de serviços técnicos sobre as contas de PSP do próprio comerciante, pelo que as ferramentas de fraude e as regras de responsabilidade de cada contrato com um PSP continuam a aplicar-se. Os relatórios reúnem os resultados de pagamento dos prestadores ligados; o encaminhamento inteligente baseado no risco e uma integração com a RiskCogs para pontuação de dispositivos e transações estão previstos e não estão disponíveis hoje.
Como montar uma prevenção de fraude em pagamentos em camadas
- Medir a sua base de partida Exporte três meses de pagamentos, disputas e recusas e calcule a taxa de fraude, o rácio de disputas e a taxa de aprovação por país, método e escalão de montante.
- Travar primeiro os ataques automatizados Adicione deteção de robôs e limites de velocidade por cartão, dispositivo, endereço IP e e-mail para bloquear o card testing antes de chegar à autorização.
- Pontuar cada pagamento Use o motor de risco do seu PSP ou uma ferramenta de pontuação separada e escreva regras para os limites rígidos que já conhece.
- Associar pontuações a ações Defina escalões para passar com isenção, autenticar com 3D Secure, rever e bloquear, e teste os limiares em encomendas passadas.
- Preparar as disputas Corrija o descritivo do extrato, guarde a prova de entrega e os dados do dispositivo e reembolse os erros evidentes antes de se tornarem chargebacks.
- Rever todos os meses Verifique em conjunto fraude, disputas e falsas recusas e ajuste as regras, porque os padrões de fraude mudam depois de cada alteração que fizer.
Perguntas frequentes
O que é friendly fraud?
A friendly fraud é um chargeback apresentado pelo verdadeiro titular do cartão por uma compra que fez ou autorizou, alegando que não foi autorizada ou não foi recebida. Representa uma grande parte das disputas por fraude porque o 3D Secure e as pontuações de fraude não conseguem travar o verdadeiro titular.
A fraude de chargeback é ilegal?
Contestar conscientemente uma compra legítima para recuperar o dinheiro e ficar com a mercadoria é fraude e pode ser processado. Os comerciantes costumam responder através do processo de disputa da rede, com provas, e podem recusar futuras encomendas desse cliente.
O que é fraude MOTO?
A fraude MOTO usa dados de cartões roubados em pagamentos por correspondência ou por telefone. Estes pagamentos estão fora da autenticação forte do cliente, pelo que os comerciantes recorrem a contactos de confirmação, verificações de CVV e de morada e revisão cuidadosa de encomendas urgentes ou de valor elevado.
Como travar a fraude no ecommerce sem perder bons clientes?
Use fricção baseada no risco: deixe passar os pagamentos de baixo risco, autentique os de risco médio com 3D Secure e bloqueie ou reveja apenas as encomendas de alto risco. Meça as falsas recusas junto da fraude, para que apertar as regras não custe em silêncio mais receita do que a fraude que evita.
Qual é uma boa taxa de fraude para uma loja online?
Mantenha a fraude e os rácios de disputas bem abaixo dos limiares de 1,5 % da Visa e da Mastercard. Os comerciantes que querem que os adquirentes peçam isenções TRA precisam de uma carteira muito mais baixa, já que a PSD2 fixa taxas de referência entre 0,01 % e 0,13 % para os PSP.
O que é card testing?
O card testing é quando fraudadores usam robôs para verificar números de cartões roubados com pagamentos pequenos num site. Causa comissões de autorização, taxas de recusa mais altas e disputas de fraude posteriores, e trava-se com limites de velocidade, deteção de robôs e CAPTCHA no checkout.