Invasão de conta e abuso de promoção

6.1De onde vêm as senhas

Quase nunca a senha do cliente vaza da sua loja. Ela vaza de outro lugar: um site que teve a base de usuários exposta, um e‑mail falso que imitava um banco ou uma transportadora, uma página que copiava a tela de login de uma loja conhecida. Listas de e‑mail e senha circulam a preço baixo, e quem as compra testa esses pares em muitas lojas ao mesmo tempo.

O que faz o vazamento alheio abrir a conta na sua loja é a repetição. O cliente que usa a mesma senha no fórum de receitas, no e‑mail e na loja entregou as três quando o fórum vazou. A cartilha de segurança do CERT.br resume o risco assim: basta o atacante descobrir a senha de uma conta para conseguir acessar as demais.

Consequência prática: login com senha correta prova só que alguém tinha a senha. A proteção da conta precisa olhar o que acontece depois que a pessoa entra.

As rajadas de tentativas de login, de cadastro ou de “esqueci a senha” com e‑mails diferentes, que costumam anteceder as invasões, aparecem para a plataforma, não para a equipe. Cabe à loja perguntar se ela limita tentativas e avisa quando o volume foge do normal. Se a plataforma confirmar acessos indevidos em várias contas de clientes, trate como incidente de segurança: o capítulo 12 mostra quando a lei pede comunicação à ANPD e aos clientes atingidos.

6.2O rastro que a invasão deixa na conta

A compra raramente acontece no minuto em que a senha funcionou. Entre o acesso e o pedido, a conta costuma registrar logins sem compra, às vezes de aparelho ou lugar que ela nunca usou, e uma alteração de cadastro: e‑mail, telefone ou endereço novo. Sem essa troca de contato, quem invadiu não recebe a mercadoria nem os avisos, e o dono fica sabendo. Por isso ela é o sinal mais útil de todos, e é nela que a loja concentra a confirmação (seção 6.4).

Às vezes não há compra nova: com um pedido legítimo a caminho, só o telefone é trocado, para receber o rastreio e tentar pegar a encomenda na porta ou no balcão. A análise de pedido não vê nada; o sinal está na conta. Com contato trocado há pouco, retirada por terceiro só depois de confirmar pelo contato antigo, e, se o link de rastreio permite mudar o endereço ou o ponto de retirada, peça à transportadora para desativar a opção nesse pedido ou envie o link só ao contato antigo. O capítulo 8 trata da entrega e da retirada.

6.3O que o invasor procura numa conta

Uma conta antiga traz junto o que a loja já confia: o cartão salvo (compra sem digitar os dados, às vezes sem o código de segurança), pontos, saldo e vale (dinheiro que não passa pela análise de pagamento), o histórico que mostra o que imitar e a tolerância da loja a cliente antigo. Por isso a compra de cliente antigo para um endereço novo não herda sozinha a confiança “de casa”: a confiança vem do conjunto (conta antiga, aparelho, endereço e contato de sempre), não só da idade da conta.

6.4As alterações que pedem confirmação

Pedir código em cada passo cansa o cliente bom. O caminho é pedir confirmação nas ações que o invasor precisa fazer e que o cliente comum faz raramente. São poucas.

Toda alteração dessa lista gera, além disso, um aviso automático para o contato antigo: o e‑mail ou o telefone que estavam no cadastro antes da troca. O aviso diz o que mudou, quando, e traz uma saída clara para quem não reconhece a alteração.

E‑mail para o endereço antigoOlá, [nome]. O telefone da sua conta na [loja] foi alterado hoje, às [hora]. Se foi você, não precisa fazer nada. Se não foi, clique em “Não fui eu”: a alteração será desfeita, a sua senha será bloqueada e nosso atendimento entrará em contato.

O “não fui eu” precisa levar a algum lugar. Combine com a plataforma o que acontece no clique (desfazer a alteração, encerrar as sessões abertas, segurar pedidos em andamento) e com o atendimento quem retorna ao cliente e em quanto tempo. O caminho inverso também vale: sinal de invasão num pedido pede proteger a conta, não só segurar o pedido (capítulo 2).

Quando o cliente perdeu o acesso

O cliente liga dizendo que não consegue entrar, ou clica em “não fui eu”. A recuperação tem quatro passos, e o caso só se encerra no último.

1. Devolver o acesso ao dono

   Atendimento

   Confirme quem é pelo contato que estava no cadastro antes da troca e por dados que só o dono conhece (pedidos antigos, endereço de sempre), nunca pelo contato novo. Encerre as sessões abertas e gere nova senha. Se precisar conferir documento, vale a regra do capítulo 12: a imagem serve à conferência e é apagada em seguida; fica anotado o resultado.

2. Revisar contatos, endereços e dados de reembolso

   Atendimento, com o cliente

   Restaure o e‑mail e o telefone do dono, apague os endereços que ele não reconhece e confira os dados de reembolso e o cartão salvo.

3. Identificar os pedidos afetados

   Análise de pedidos e financeiro

   Todos os pedidos desde a primeira alteração. Os não enviados ficam parados e, se o dono não os reconhece, são cancelados com estorno pela transação original; os já enviados seguem para a transportadora (capítulo 8). Pontos, saldo ou vale usados pelo invasor voltam à conta.

4. Confirmar que os avisos voltaram ao titular

   Atendimento

   Envie um aviso ao contato restaurado e peça ao cliente que confirme o recebimento. Só então registre o caso como encerrado: data, o que mudou, pedidos afetados e quem atendeu.

A loja responde pelos defeitos do serviço que presta (Código de Defesa do Consumidor, art. 14) e deve proteger os dados pessoais de acessos não autorizados (Lei Geral de Proteção de Dados, art. 46); negar a restituição à vítima costuma virar reclamação pública e, muitas vezes, condenação (confirme com o jurídico).

6.5Segundo fator: obrigatório para a equipe, oferecido ao cliente

O segundo fator, também chamado de verificação em duas etapas (um código além da senha), reduz muito a invasão de conta, mas tem custo de atrito, que pesa diferente para a equipe e para o cliente.

• No painel da loja, é obrigatório. Quem entra no painel pode alterar preço, cadastro de cliente, dados de pagamento e status de pedido. Uma senha de funcionário vazada vale mais que cem contas de cliente. O capítulo 12 trata da segurança do painel e dos acessos da equipe.
• Para o cliente, é oferecido. Exigir de todo comprador afasta parte dos clientes bons. Oferecer, e lembrar a quem tem cartão salvo, pontos ou saldo, protege quem mais tem a perder. As ações da seção anterior continuam pedindo confirmação mesmo para quem não ativou.

Nem todo segundo fator é igual. O código por SMS é o mais conhecido e o mais fraco: o número pode ser transferido para outro chip por meio de golpe na operadora, e o código pode ser obtido do próprio cliente por telefone, com uma história bem contada. A cartilha do CERT.br recomenda usar SMS apenas quando não houver outra opção, e a norma de autenticação do instituto de padrões dos EUA (NIST) classifica o SMS como meio de uso restrito, e recomenda considerar sinais como troca de chip ou portabilidade do número antes de usá‑lo. Aplicativo gerador de código e chaves de acesso (passkeys) resistem melhor. E o e‑mail como segundo fator falha quando a senha do e‑mail é a mesma da loja: os dois caíram juntos. Na prática: no painel, aplicativo ou chave de acesso; para o cliente, o que a plataforma suportar, com SMS como último recurso.

6.6Cliente antigo, aparelho novo

Cliente troca de celular o tempo todo. Aparelho novo é motivo para olhar o resto com mais atenção, nunca para bloquear. O caso mostra o que confirma o dono e o que não confirma.

Caso composto, montado a partir de situações recorrentes no e‑commerce. Nomes, valores e lugares são ilustrativos.

O que decidiu foi a ausência de troca de contato. Se o mesmo login de aparelho novo viesse com o telefone trocado na véspera e entrega num endereço que a conta nunca usou, o pedido iria para análise e a confirmação seria feita pelo e‑mail que estava no cadastro desde 2021. Uma resposta pelo telefone novo, por mais convincente, não confirmaria nada: ele pode ser do invasor.

6.7Abuso de promoção: um critério operacional da loja

Nem todo uso indevido de cupom é fraude, e nem todo abuso é inofensivo. A loja precisa de um critério que diga quem decide e o que fazer, e o mais útil olha para duas perguntas: a regra estava publicada? Os dados e o pagamento são de quem compra?

Muitas vezes a loja tolera um pouco de abuso de propósito: vem de clientes que compram, cabe no custo da campanha, e endurecer demais afasta o público que a promoção queria atrair. Quem analisa pedidos leva números para essa decisão: quanto o abuso custou em cada campanha (cupons usados por contas ligadas entre si, pelo mesmo endereço, telefone ou aparelho, multiplicados pelo desconto), a partir de quantas repetições vira hábito (uma família com duas contas é diferente de um endereço com 15 contas novas a cada campanha) e em que ponto a promoção passa a dar prejuízo.

Há um limite legal. Na compra a distância, devolver em 7 dias do recebimento é direito de arrependimento (Código de Defesa do Consumidor, art. 49), mesmo que se repita, e não entra na política de abuso. O que a loja pode limitar são as vantagens que ela criou além da lei: prazo estendido de troca, frete grátis na troca, cupom de primeira compra reaproveitado.

O abuso também mascara fraude. Uma leva de contas novas usando o mesmo cupom pode ser um esperto com vários e‑mails ou alguém com uma lista de cartões roubados. A distinção vem do pagamento: cartões do mesmo titular, ou do próprio cliente, apontam para abuso; cartões de titulares diferentes em contas ligadas apontam para fraude, e aí o caso volta para a análise.

6.8Antes de lançar uma promoção

Uma campanha muda tudo o que a análise de pedidos usa como referência: volume, valor médio, produtos mais vendidos, gente comprando para presentear. Se quem analisa não sabe que a promoção começou, os alertas disparam em clientes bons, ou a equipe se acostuma a liberar tudo naquela semana. A lista cabe na reunião em que a campanha é aprovada.

• Marketing avisa quem analisa os pedidos, com alguns dias de antecedência: datas, produtos, desconto e volume esperado.
• Limite por CPF e por endereço completo, com complemento, para não juntar vizinhos de prédio, no cupom de primeira compra e no bônus de indicação. Limite de unidades por cliente informado na própria oferta, junto do preço: o CDC veda limitar quantidade sem justa causa (art. 39, I), e limite anunciado antes é regra da promoção, enquanto limite aplicado depois parece recusa de venda. Limite só por e‑mail não segura nada.
• Regras escritas e visíveis antes do lançamento: quem pode usar, quantas vezes, até quando, em quais produtos. Pelo Código de Defesa do Consumidor, a oferta divulgada obriga a loja (art. 30) e a informação ao consumidor precisa ser clara (art. 31). Regra que não foi publicada é difícil de aplicar depois.
• O que fazer com quem abusa, decidido antes: cancelar o cupom no pedido seguinte, limitar a conta, ou só anotar e aceitar o custo. Quem decide é o dono; quem executa é a equipe, sem improvisar caso a caso. Antes de cancelar pedidos já pagos por esse motivo, consulte quem cuida do jurídico da loja.
• Vigilância de conta reforçada no pico. Ver a seguir.

6.9Lista de verificação do capítulo

• As seis alterações da seção 6.4 pedem confirmação pelo contato que já estava no cadastro.
• Toda alteração de contato avisa o contato antigo, com “não fui eu”, e alguém sabe o que fazer quando ele é clicado; invasão confirmada devolve ao dono pontos, saldo ou vale.
• As telas de login, cadastro e recuperação de senha não revelam se um e‑mail tem conta.
• Com contato alterado há pouco, retirada por terceiro só depois de confirmar pelo contato antigo.
• O segundo fator é obrigatório para todos que acessam o painel da loja, e oferecido ao cliente, com SMS como último recurso.
• Aparelho novo, sozinho, não segura pedido de cliente antigo.
• A equipe sabe separar campanha mal configurada, regra descumprida e uso de identidade alheia, e leva ao dono o custo de cada campanha.
• Cliente que perdeu o acesso tem a conta recuperada em quatro passos, e o caso só fecha quando os avisos voltam ao titular.
• Nenhuma promoção vai ao ar sem aviso a quem analisa pedidos, limite por CPF e endereço e regras publicadas.

Este capítulo traz informação sobre a lei, não orientação jurídica. Para a política da sua loja, consulte quem cuida do jurídico dela.

FontesFontes e referências

• Saporta, Gilit; Maraney, Shoshana. Practical Fraud Prevention. O'Reilly Media, 2022. Caps. 1 e 3 (abuso e fraude; conta e transação; credenciais guardadas para o pico), 4 (relação com marketing), 7 e 8 (desvio de pedido legítimo na entrega e na retirada), 10 (abuso de promoção e indicação), 12 (cadastro usado para testar e‑mail; contas em massa) e 13 (origem das senhas, etapas da invasão, o que o invasor procura, confirmação proporcional, segundo fator, acesso confiável).
• CERT.br (NIC.br). Cartilha de Segurança para Internet, fascículo “Autenticação” (repetição de senhas; SMS apenas sem outra opção). Consultado em 11/11/2026.
• National Institute of Standards and Technology (EUA). SP 800‑63B‑4, Digital Identity Guidelines: Authentication and Authenticator Management, seções 3.1.3.3 (autenticação pela rede telefônica, uso restrito) e 3.2.9 (autenticadores restritos). Norma técnica americana, citada como referência técnica. Consultado em 11/11/2026.
• Brasil. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), art. 46. Consultado em 11/11/2026.
• Brasil. Lei nº 8.078, de 11 de setembro de 1990 (Código de Defesa do Consumidor), arts. 14, 30, 31, 39 (inciso I) e 49. Consultado em 11/11/2026.

Revisado em novembro de 2026.