Cartão de terceiro e teste de cartão

4.1O que interessa à loja: o pedido

Os dados do cartão saíram de algum lugar: um vazamento, um site falso, um golpe por mensagem. Essa parte é assunto de polícia e de banco. Para quem vende, o recorte útil começa quando o fraudador tenta transformar os dados em mercadoria: o que para o pedido é olhar o pedido.

Nessa compra, quem digita os números quer parecer o titular. Ele aposta em três coisas: que o dono do cartão nunca comprou na sua loja, que aquele cartão nunca passou por ali e que o valor não chama atenção. Se as três apostas dão certo, a autorização vem, a mercadoria sai e, semanas depois, o titular vê a cobrança na fatura e contesta. O capítulo 3 mostra como esse valor volta para a loja.

A loja não pode delegar essa análise inteira porque cada participante vê só um pedaço do quadro. O emissor conhece o cartão e os gastos do titular, mas não sabe o que foi comprado nem para quem vai. A loja conhece o pedido, o cadastro e os outros pedidos da semana, mas não vê se aquele cartão foi usado ontem em dez sites. A aprovação do emissor responde à parte dele; a parte da loja continua com a loja.

4.2Onde o disfarce costuma falhar

Nome, CPF e endereço de cobrança do titular costumam vir junto com o número do cartão, por isso conferir se “o nome bate” resolve pouco. O ponto fraco do fraudador está nas duas coisas que ele precisa controlar para a compra dar certo.

• O contato. Ele precisa receber a confirmação do pedido e, se a loja ligar, atender. Por isso o e‑mail e o telefone do pedido costumam ser dele, não do titular. O e‑mail sem relação com o nome, criado há pouco, ou o telefone que atende alguém que não sabe direito o que comprou são as falhas mais comuns.
• A entrega. A mercadoria tem que chegar a ele, e não à casa do titular. Daí a entrega em endereço diferente da cobrança, em ponto que recebe pedidos de vários nomes, ou o pedido de troca de endereço depois da aprovação.

Dois sinais desta família só a loja consegue ver, porque dependem do histórico dela. O primeiro: o mesmo cartão já apareceu em outro cadastro, com outro nome ou outro endereço. O segundo: o titular do cartão já é cliente da loja, com outra conta, outro e‑mail e outro endereço de entrega, e agora surge um cadastro novo usando o cartão dele. Nos dois casos, a loja tem algo raro: um contato do titular verdadeiro, que veio antes deste pedido.

Nenhum desses sinais prova nada sozinho. A lista de sinais com a explicação inocente de cada um está no capítulo 10, e a forma de ler vários dados juntos, no capítulo 2.

4.3O que se compra com cartão de terceiro

Quem frauda quer o dinheiro do produto, por isso prefere o que se revende rápido, sem perder muito valor e sem precisar de nota: celular, notebook, eletrônico de marca, ferramenta elétrica profissional, perfume importado, vale‑presente. A loja que vende esses itens recebe mais tentativas, e a que vende um produto de nicho, sob medida ou de baixo valor de revenda recebe menos.

O item mais caro da vitrine, em quantidade, chama atenção. Mas um carrinho com o “kit natural” do setor (o notebook com mouse e mochila, as camisas do time em tamanhos diferentes) também pode vir de cartão de terceiro. Carrinho coerente não prova nada, para o bem ou para o mal.

4.4Coerência perfeita não garante nada

Muitos pedidos fraudulentos são cheios de contradições, mas não todos. Os dados do cartão costumam circular junto com nome, endereço e e‑mail do titular, e o resultado pode ser um pedido em que tudo combina.

Isso não torna suspeito todo pedido coerente: só quer dizer que coerência confirma pouco quando os dados podem ter sido comprados juntos. O que confirma muito é o que o fraudador não consegue comprar: histórico na sua loja, um contato que já existia antes deste pedido, uma autenticação feita pelo titular no aplicativo do banco. Por isso a pergunta útil não é “os dados combinam?”, e sim “o que neste pedido só o titular verdadeiro teria?”.

4.5Teste de cartão: o checkout usado como balcão de conferência

Antes da compra grande, muitos fraudadores precisam saber quais cartões da lista ainda funcionam, e tentam pagamentos em lojas reais, em quantidade, em geral com um robô. A loja não perde mercadoria nesse momento, mas cada tentativa pode ter custo pelo contrato, polui os indicadores de recusa e, se uma cobrança pequena é aprovada, pode virar contestação depois. A bandeira Visa, em sua orientação pública a lojistas, trata o teste em massa como precursor de fraude e lista as defesas que a loja deve ter no checkout.

A compra suspeita isolada e o volume anormal de tentativas pedem respostas diferentes, de pessoas diferentes. A primeira é um pedido para analisar (seção 4.7). O segundo é um incidente no checkout, e quem costuma vê‑lo primeiro é o financeiro: rajada de recusas em pouco tempo, muitas vezes de madrugada; autorizações pequenas aprovadas, do item mais barato, em série; muitos titulares diferentes em pouco tempo. A plataforma e o meio de pagamento veem o resto: vários cartões no mesmo cadastro, sessão ou aparelho, e cadastros criados em sequência só para pagar.

1. Avisar no mesmo dia

   Financeiro

   Quem percebe o pico avisa o responsável pela operação (o dono ou quem ele indicar), sem esperar o fechamento do mês.

2. Acionar plataforma e provedor de pagamento

   Responsável pela operação

   Abre chamado com os dois, por escrito, informando o período (data e horário de início e, se já parou, de fim) e os totais vistos no painel: tentativas, recusadas, aprovadas e pedidos criados nesse intervalo. Pede as defesas do quadro abaixo e o relatório do ataque. Enquanto eles não agem, pode ativar pelo painel a verificação anti‑robô, exigir e‑mail confirmado para pagar com cartão e tirar do ar o item usado no teste.

3. Tratar os pedidos aprovados

   Análise de pedidos e financeiro

   Os pedidos aprovados no meio da rajada ficam retidos. Os que vieram do ataque são cancelados: autorização cancelada, se ainda não capturada, ou estorno na própria transação. Devolva também as cobranças pequenas que passaram: o titular vai contestá‑las ao ver a fatura, e a orientação da Visa recomenda devolver pagamentos fraudulentos para evitar a disputa.

4. Acompanhar a normalização

   Responsável pela operação

   Confere, dia a dia, se as recusas voltaram ao nível habitual e se o relatório da plataforma fecha com os totais da loja. O chamado só se encerra quando os números se mantêm normais por alguns dias.

5. Conferir se o cliente bom voltou a pagar

   Atendimento e financeiro

   Bloqueio de ataque também barra comprador legítimo. Olhe a taxa de aprovação dos pedidos comuns e as reclamações de “não consigo pagar”; desfaça as medidas temporárias quando o ataque parar e registre no chamado o que foi feito e quando.

Se a loja aceita doação ou tem um campo em que o cliente escolhe o valor, esse campo é dos preferidos para teste, porque permite cobranças mínimas. Um valor mínimo razoável já reduz o interesse.

4.6Regra fixa vira gabarito

Uma regra que nunca muda acaba conhecida por quem tenta passar por ela. Três cuidados reduzem esse efeito. Não depender de um único limiar de valor, combinando valor com outros sinais (primeira compra, item da lista dos 5, entrega para terceiro). Não contar ao cliente qual detalhe levou o pedido à análise, como o capítulo 10 explica. E olhar, de tempos em tempos, os pedidos logo abaixo das suas regras: se eles se acumulam ali, a regra precisa de revisão.

4.7Liberar, verificar ou não liberar

Num pedido com cartão que chamou atenção, as três saídas do livro ficam assim:

Na verificação, o canal pesa mais do que a resposta. Confirmar pelo telefone ou e‑mail que veio só neste pedido mostra que alguém recebe a mensagem, não que esse alguém é o titular. O contato que a loja já conhecia vale muito mais; quando ele não existe, a resposta pelo contato do pedido esclarece detalhes da entrega, mas precisa de apoio em outra informação. A conversa e o fluxo completo estão no capítulo 10.

Verificar tem duas consequências a prever. A nota: com o pedido “em análise”, NF‑e e etiqueta esperam a liberação. Se a nota já saiu e o pedido não for liberado, cancele a NF‑e no prazo da legislação do seu estado, em geral curto (confirme com a sua contabilidade); fora dele, o retorno se faz com nota de entrada orientada pela contabilidade. E o prazo de entrega: escreva na política que ele conta a partir da confirmação do pagamento e da conferência de segurança, mostre o status “em análise” ao cliente e, se a verificação passar do prazo prometido, cancele com devolução integral em vez de atrasar sem aviso. A oferta divulgada obriga a loja (Código de Defesa do Consumidor, arts. 30 e 35); se o cliente reclamar no Procon ou no consumidor.gov.br, responda lá com os fatos e as provas do pedido, sem expor dados dele.

4.8Um presente para outra cidade

Caso composto, montado a partir de situações recorrentes no comércio eletrônico. Nomes, valores e lugares são ilustrativos.

O que mudou a decisão foi a autenticação. Sem ela, o pedido teria três sinais somados e nenhum contato anterior, e a resposta pelo e‑mail do pedido valeria pouco: quem fez a compra, legítimo ou não, recebe as mensagens daquele endereço e sabe contar uma boa história de aniversário. Com a autenticação, a dúvida sobre o pagamento saiu da mesa, e o e‑mail serviu para confirmar destinatário e data.

Sem 3DS, o caminho seria segurar e oferecer uma alternativa que só o titular cumpre, como pagar por Pix de conta em nome dele (veja o capítulo 10). E a autenticação cobre a contestação por fraude, nos termos do contrato, não a de “não recebi”, e “entregue” no rastreio não é comprovante. Por isso a loja guardou, junto do registro, a chave da NF‑e (emitida em nome de Felipe, com o endereço de entrega de Dona Cecília), o código de rastreio e o comprovante de entrega assinado por quem recebeu.

4.9Lista de verificação do capítulo

• A equipe sabe que procura, no pedido, o que só o titular teria: histórico, contato antigo, autenticação.
• A loja tem a lista dos seus 5 itens mais revendáveis e do kit natural de cada um.
• O financeiro olha as recusas e as autorizações pequenas todo dia e sabe a quem avisar num pico; o responsável aciona plataforma e provedor com período e totais, acompanha a normalização e confere se os clientes bons voltaram a pagar.
• A plataforma tem limite de tentativas, limite de cartões por cadastro e verificação anti‑robô nas telas de pagamento, cadastro e “salvar cartão”, confirmados por escrito.
• Pedidos ligados a um teste de cartão são cancelados: autorização cancelada se não capturada, estorno na própria transação se capturada.
• A NF‑e só é emitida depois da liberação, a política de entrega prevê o prazo da análise e a loja sabe o que o contrato com o meio de pagamento cobre.
• Nenhuma regra da loja depende de um único limiar de valor, e alguém confere os pedidos logo abaixo das regras.
• A loja confere no painel o resultado do 3DS antes de decidir um pedido duvidoso.
• Confirmação pelo contato do próprio pedido nunca é tratada, sozinha, como prova de que o comprador é o titular.

Este capítulo traz informação sobre a lei, não orientação jurídica. Para a política de entrega e os contratos da loja, consulte quem cuida do jurídico dela.

FontesFontes e referências

• Saporta, Gilit; Maraney, Shoshana. Practical Fraud Prevention. O'Reilly Media, 2022. Caps. 1 (teste de cartão; identidade montada em volta do cartão roubado), 3 (produto revendável e carrinho de profissional), 5 (o adversário que aprende com as regras), 6 (fraude com cartão roubado: recorte, modo de agir, pacotes de dados compatíveis, demora do titular em perceber) e 9 (compras pequenas e vários cartões no mesmo cadastro ou aparelho).
• Visa. Enumeration Mitigation and Considerations for Merchants, v1.3, junho de 2026 (teste em massa como precursor de fraude; verificação anti‑robô em toda tela que valida cartão; limites de velocidade por aparelho, e‑mail e conexão; limite de cartões por conta e sessão; alerta de picos de recusa; código de segurança obrigatório; 3DS; devolução de pagamentos fraudulentos para evitar disputa; valor mínimo em campos de valor livre). Consulta em 12/11/2026.
• Visa. “3D Secure: your guide to safer transactions” (autenticação do titular em transações autenticadas). Consulta em 12/11/2026. Detalhes e limites no capítulo 3.
• Brasil. Lei nº 8.078, de 11 de setembro de 1990 (Código de Defesa do Consumidor), art. 30 (a oferta obriga o fornecedor) e art. 35 (recusa de cumprimento da oferta). Consulta em 12/11/2026.

Revisado em novembro de 2026.