Como evitar fraudes em e-commerce?
Fraude no e-commerce parou de ser um problema só do lojista. Para bancos, fintechs e meios de pagamento, cada venda online aprovada indevidamente é passivo direto: prejuízo financeiro, chargeback e, pela Súmula 479 do STJ, responsabilidade objetiva.
Instituições financeiras respondem por fraudes de terceiros nas operações que oferecem, porque assumem o risco do próprio negócio digital. Não dá para terceirizar essa responsabilidade para o lojista ou para o cliente lesado.
O problema também está crescendo. Segundo a PYMNTS Intelligence, fintechs nos EUA tiveram perdas por fraude crescendo 65% em um ano, uma em cada três relatou fraude recente, e três em cada quatro tentativas de fraude aconteceram em canais digitais.
O Merchant Risk Council, em pesquisa com mais de 1.200 lojistas em 37 países, encontrou 64% relatando aumento de fraude amigável em 2025. São números que qualquer instituição que processa pagamentos online precisa levar a sério.
Os tipos de fraude que mais pesam agora
Quatro frentes concentram a maior parte do risco:
Account takeover (ATO). Fraudadores assumem contas legítimas usando credenciais vazadas ou engenharia social. É uma das fraudes mais caras de resolver, porque o dano acontece dentro de uma sessão “autenticada”.
Identidade sintética. Documentos e dados reais combinados com informações fabricadas para criar uma identidade que não existe. O Federal Reserve Bank of Boston já aponta esse tipo como a maior ameaça de fraude para 2026, justamente porque escapa das checagens tradicionais de “o CPF existe?”.
Fraude amigável e chargeback abusivo. Segundo o 2026 Chargeback Field Report da Chargebacks911, mais de 83% dos grandes lojistas relatam aumento desse tipo de fraude nos últimos três anos. O cliente compra, recebe e contesta a cobrança alegando não reconhecer a compra.
Fraude de dispositivo. Emuladores e “cloud phones” permitem automatizar ataques em escala industrial, simulando centenas de dispositivos diferentes a partir de uma única infraestrutura. É o tipo de fraude que uma análise só de CPF e cartão nunca vai enxergar.
Como prevenir, na prática
Não existe solução única. As instituições que reduzem fraude sem travar conversão combinam várias camadas:
KYC robusto no onboarding. Validar documento, dado cadastral e listas restritivas antes de qualquer análise manual, cruzando múltiplas fontes para gerar um score de risco dinâmico em vez de uma resposta binária de aprovação ou reprovação.
Biometria facial com liveness de verdade. Confirmar que existe uma pessoa real e viva por trás da câmera, e que a imagem realmente veio do hardware do dispositivo, não foi injetada por software via emulador ou câmera virtual.
A maioria das soluções do mercado ainda pergunta só “existe um rosto?” e deixa passar quem responde “essa imagem veio mesmo da câmera?”. O LegitFace, da Legitimuz, reúne hoje um dos conjuntos mais completos de certificações do mercado para isso: iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3, e BixeLab IAD.
Em produção, mantém 0% de fraude aprovada com menos de 1,33% de reprovação de usuários legítimos. Segurança máxima sem sacrificar conversão.
Documentoscopia forense. Analisar a integridade física e digital do documento apresentado, identificando fabricação, adulteração ou uma “foto de foto” que passaria despercebida numa checagem visual simples, e que reconheça os diferentes padrões documentais emitidos no Brasil, sem reprovar por padrão desconhecido.
Inteligência de dispositivo. Cruzar impressão digital do hardware, geolocalização, versão de sistema operacional e padrões de comportamento. Se o cliente que sempre acessa de São Paulo tenta logar de outro país num emulador, o risco precisa ser sinalizado em tempo real, antes que o dano aconteça.
Compartilhamento de dados entre instituições. A Resolução Conjunta nº 6 do Banco Central criou um sistema eletrônico único para que instituições financeiras, de pagamento e demais autorizadas pelo BCB registrem e consultem entre si indícios de fraude. Quem fica de fora dessa troca de dados enxerga menos risco do que devia.
O erro de superestimar a fricção
O objetivo não é rejeitar mais. Um KYC excessivamente rigoroso também tem custo: cliente legítimo barrado desiste da compra e vai para o concorrente.
Segundo estudo da Javelin Strategy & Research, falsos positivos atingem clientes legítimos a uma taxa três vezes maior que a fraude real, e 42% deles abandonam o lojista depois de uma recusa indevida. Prevenção de fraude que não equilibra segurança com experiência do usuário troca um prejuízo por outro.
Verificação isolada não resolve mais
CPF sozinho, cartão sozinho ou e-mail sozinho já não bastam. A fraude de hoje é orquestrada, usa IA, automatiza dispositivos e explora as lacunas entre sistemas que não conversam entre si. A resposta precisa ser igualmente orquestrada: identidade, documento, biometria, dispositivo e dado regulatório compartilhado, funcionando juntos e em tempo real.
Quer entender como estruturar essa camada de proteção de ponta a ponta, do onboarding à recorrência, com o que a regulação brasileira já exige e o que vem por aí?
