GitHub

A primeira fraude relevante quase nunca chega quando você espera. Ela aparece logo depois do primeiro pico de vendas, quando a operação começa a parecer real. Um lote de pedidos com cartões diferentes, mesmo endereço de entrega, valores altos e pressa para enviar. Na semana seguinte vêm os chargebacks, e com eles a conta da imaturidade.

Para uma startup de e-commerce, fraude é um daqueles temas que parecem distantes até virarem urgentes. E quando viram, costumam vir acompanhados de uma decisão difícil: travar tudo e perder vendas legítimas, ou liberar tudo e absorver prejuízo. Quase sempre a empresa escolhe mal porque nunca tratou antifraude como parte do produto.

Este texto é um passo a passo pensado para quem ainda não tem uma estrutura madura, mas já vende o suficiente para ser alvo. A ideia não é assustar, é dar ordem de prioridade.

Antifraude é uma decisão de negócio, não só de segurança

Existe uma tentação de tratar fraude como um problema puramente técnico, resolvido com a ferramenta certa. Não é. A pergunta central é de negócio: quanto de perda por fraude você está disposto a aceitar para manter a conversão alta?

Bloquear 100% das fraudes é trivial, basta recusar todos os pedidos. O custo disso é não vender. O trabalho real é encontrar o ponto em que você recusa o máximo de fraude com o mínimo de impacto sobre clientes legítimos. Esse ponto muda conforme sua margem, seu ticket médio e seu apetite a risco.

Por isso a primeira decisão não é qual antifraude contratar, e sim qual taxa de fraude e qual taxa de recusa indevida sua operação suporta. Sem esse alvo, qualquer ferramenta vira chute.

Passo 1: entenda onde a fraude entra

Antes de comprar solução, mapeie os vetores. Em e-commerce, os mais comuns são fraude de pagamento (cartão clonado ou roubado), tomada de conta (alguém entra na conta de um cliente legítimo) e abuso de promoções (contas falsas para capturar cupons e cashback).

Esses três problemas têm respostas diferentes. Fraude de pagamento se combate na aprovação do pedido. Tomada de conta se combate na autenticação e no login. Abuso de promoção se combate no cadastro e nas regras de campanha. Tratar tudo como "fraude" e jogar uma ferramenta genérica em cima é desperdício.

Uma startup que vende eletrônicos com ticket alto tem perfil de risco diferente de uma que vende assinatura de baixo valor. A primeira sofre com cartão clonado; a segunda, com contas falsas em massa. Comece pelo vetor que dói mais no seu caixa.

Passo 2: instrumente antes de automatizar

O erro mais comum de quem está começando é querer regras inteligentes sem ter dados. Você não consegue detectar padrão se não registra comportamento.

Antes de qualquer modelo, garanta que você captura sinais básicos em cada pedido: dispositivo, geolocalização aproximada do IP, histórico do cliente, divergência entre endereço de cobrança e entrega, velocidade entre cadastro e primeira compra. Esses sinais são a matéria-prima de qualquer decisão futura, manual ou automática.

Um detalhe que parece menor e não é: registre também os pedidos que você aprovou e que viraram chargeback. Esse rótulo, "isso era fraude", é o que permite calibrar regras e, mais tarde, treinar modelos. Quem não guarda o desfecho fica cego.

Passo 3: comece com regras, evolua para escore

No início, regras explícitas resolvem boa parte do problema e são fáceis de auditar. Pedido acima de determinado valor com primeira compra e entrega divergente vai para revisão manual. Múltiplos cartões no mesmo dispositivo em poucos minutos é bloqueio. São regras simples, transparentes e suficientes para o estágio inicial.

Conforme o volume cresce, regra manual não escala, você passa a recusar gente demais ou de menos. É aí que entra um escore de risco, seja de um provedor especializado, seja de um modelo próprio. O escore não substitui o julgamento; ele prioriza. Pedidos de baixo risco passam direto, os de alto risco são bloqueados, e a faixa cinzenta vai para análise humana.

Sobre fornecedores: o mercado brasileiro tem players de antifraude integrados aos meios de pagamento, e isso costuma ser o caminho mais rápido para uma startup. Não construa modelo próprio antes de ter volume e equipe para mantê-lo. Reinventar antifraude cedo demais é uma das formas mais caras de procrastinar o crescimento.

Passo 4: trate atrito como recurso escasso

Cada camada de verificação custa conversão. Pedir documento, confirmar por SMS, segurar o pedido para análise, tudo isso afasta uma fração de clientes legítimos. O atrito é uma ferramenta poderosa, mas só deve ser usado onde o risco justifica.

A lógica correta é graduar a fricção pelo risco. O cliente recorrente, com histórico limpo, comprando o de sempre, não deveria sentir nada. O pedido suspeito, de conta nova, com sinais estranhos, é onde vale pedir uma verificação extra. Aplicar a mesma barreira para todos é punir os bons clientes pelos fraudadores.

No checkout, isso se traduz numa regra de ouro: invisível para quem é legítimo, intransponível para quem não é. Você nunca acerta isso 100%, mas perseguir esse equilíbrio é o trabalho.

Reflexão crítica: os erros que custam caro

Há armadilhas previsíveis. A primeira é confundir aprovação do banco com segurança: o emissor pode aprovar a transação e o chargeback vir depois, a responsabilidade, em muitos casos, é sua. A segunda é otimizar só pela taxa de fraude e ignorar a recusa indevida, que silenciosamente mata o crescimento sem aparecer em nenhum dashboard de segurança.

A terceira, mais sutil, é cultural. Antifraude bem-feito exige que produto, financeiro, atendimento e tecnologia conversem. Quando a fraude é "problema do time de risco" e ninguém mais olha, as decisões saem desconectadas do negócio. E há a dimensão de dados: você vai coletar e cruzar informações sensíveis de comportamento e pagamento, o que traz responsabilidade direta sob a LGPD. Minimize o que coleta, proteja o que guarda e tenha clareza sobre a finalidade.

Por fim, lembre que fraude é adversarial. Diferente de um bug, do outro lado existe alguém ativamente tentando contornar suas defesas. Qualquer sistema antifraude é uma fotografia que envelhece. Ele precisa ser revisado, não instalado e esquecido.

O ponto que fica

Antifraude maduro não é o que recusa mais pedidos. É o que protege a margem sem estrangular o crescimento, e que sabe, em número, quanto risco está aceitando. Para uma startup, o objetivo não é eliminar fraude, é mantê-la dentro de um custo previsível enquanto você escala.

Comece pelo vetor que mais dói, instrumente antes de automatizar, gradue o atrito pelo risco e trate a decisão como de negócio. O resto é refinamento.

Se a sua operação está chegando no estágio em que a fraude deixou de ser hipótese e virou linha no caixa, vale conversar e revisar a estrutura com calma antes do próximo pico. Há outros textos no blog sobre segurança, pagamentos e produto digital que complementam este.

Antifraude em e-commerce: o passo a passo que toda startup precisa antes de escalar