Se você administra uma loja online, a prevenção de fraude em e-commerce não é um único controle na etapa de pagamento. É um conjunto de defesas espalhadas por toda a jornada do cliente: a página de login, o formulário de cadastro, o checkout, o processo de disputa posterior e os scripts que rodam nas suas páginas o tempo todo. Os fraudadores sondam cada um desses pontos, quase sempre com automação, e uma stack projetada apenas para pontuar transações fica cega nas partes onde o ataque realmente começa.
Este guia percorre os cinco tipos de fraude que mais custam aos varejistas online, como prevenir cada um, e como montá-los em uma defesa em camadas em vez de um monte de ferramentas desconexas. Se você procura produtos específicos em vez de um modelo, o guia complementar de software de prevenção de fraude em e-commerce classifica dez fornecedores; este trata das tarefas a cumprir.
O que conta como fraude em e-commerce
Fraude em e-commerce é qualquer atividade que usa sua loja para levar dinheiro, mercadorias, dados ou acesso a contas que não pertencem ao ator. A forma útil de pensar nela é por onde ela acontece na jornada:
- No login: apropriação de conta.
- No cadastro: abuso de contas novas e promoções.
- No checkout: card testing e fraude de pagamento.
- Após a venda: chargebacks e fraude amigável.
- Ao longo de toda a vida da página: Magecart e skimming do lado do cliente.
Dois fatos moldam toda a defesa. Primeiro, a maior parte disso é automatizada, então o sinal confiável mais precoce é como uma sessão se comporta e de qual dispositivo ela chega, não a transação que ela acaba disparando. Segundo, boa parte da superfície de ataque vive no navegador, onde as ferramentas do servidor e do processador de pagamento não conseguem ver. Esses dois fatos são a razão pela qual o device intelligence e a visibilidade do lado do cliente ficam por baixo de tudo o mais.
Apropriação de conta (ATO)
A apropriação de conta é um fraudador acessando a conta de um cliente legítimo, geralmente com credenciais vazadas em uma violação e reutilizadas em escala (credential stuffing). Uma vez dentro, ele esgota o saldo armazenado, rouba cartões salvos, muda o endereço de entrega ou revende a conta. A Javelin Strategy & Research estimou as perdas com apropriação de conta nos EUA em 13,5 bilhões de dólares em 2025, alta de 18% ano a ano, o que a torna uma das categorias mais caras desta lista.
Como preveni-la. Só senhas não resolverão, porque o atacante já tem uma válida. O sinal duradouro é o dispositivo e o comportamento da sessão por trás do login:
- O device fingerprinting detecta um login de um dispositivo que seu cliente nunca usou e vincula muitas tentativas fracassadas a uma única máquina, mesmo com cookies limpos e IPs rotativos.
- A detecção de sessões automatizadas e bots sinaliza as ferramentas sobre as quais o credential stuffing roda (Playwright, Puppeteer, Selenium e navegadores agênticos) antes que o formulário de login seja enviado em escala.
- A detecção de VPN e proxy eleva o risco em logins ocultos atrás de conexões anonimizadoras, incluindo os proxies residenciais que driblam as listas de reputação de IP.
- A autenticação reforçada (um código de uso único, uma nova verificação) aplicada apenas às sessões de risco mantém o atrito longe dos seus clientes reais.
O ponto é pontuar a sessão antes da checagem de credenciais, não depois. Uma análise completa está no caso de uso de apropriação de conta.
Abuso de contas novas e promoções
Nem toda fraude precisa de uma conta roubada; algumas só precisam de muitas falsas. Os atacantes criam contas duplicadas ou sintéticas para colher créditos de cadastro, bônus de indicação, testes gratuitos e descontos de primeiro pedido, ou para preparar uma fraude posterior. Raramente gera um chargeback, então se esconde nas suas métricas de crescimento como "novos usuários" enquanto drena silenciosamente o orçamento de promoções.
Como preveni-lo. O indício é que muitas contas "diferentes" compartilham uma mesma origem:
- A correlação de dispositivos vincula contas criadas do mesmo dispositivo mesmo que e-mail, nome e método de pagamento difiram, o sinal mais eficaz contra o farming de promoções.
- A detecção de janela anônima e navegadores anti-detecção capta as configurações privadas e reforçadas usadas para parecer um visitante novo a cada vez.
- As regras de velocidade por dispositivo, e não só por IP ou e-mail, captam rajadas de cadastros que uma visão apenas de rede perde.
Veja o caso de uso de fraude de contas novas para o detalhe da detecção.
Card testing
O card testing é como os criminosos validam números de cartão roubados antes de usá-los em outro lugar. Eles disparam grandes volumes de pequenas autorizações ou pedidos de baixo valor contra o seu checkout, ficam com os cartões que passam e descartam o resto. Mesmo quando as cobranças de teste são minúsculas, você paga taxas de autorização, arrisca penalidades do gateway por uma alta taxa de recusa e muitas vezes absorve os chargebacks quando o titular real percebe.
Como preveni-lo. O card testing é quase totalmente automatizado e de alta velocidade, o que o torna detectável na camada de sessão:
- A detecção de bots e automação identifica as tentativas de checkout com script que impulsionam o volume.
- O device fingerprinting amarra uma rajada de tentativas a um único dispositivo mesmo quando os números de cartão e os IPs mudam.
- Os limites de velocidade nas tentativas de pagamento por dispositivo e por sessão freiam o laço de teste.
- CAPTCHA ou autenticação reforçada apenas em sessões de risco quebra a automação sem punir os compradores legítimos.
O caso de uso de card testing cobre o conjunto de sinais em profundidade.
Chargebacks e fraude amigável
Um chargeback é um cliente contestando uma cobrança junto ao seu banco. Alguns são fraude real (um cartão roubado), mas uma parcela crescente é fraude amigável: um cliente real contesta uma compra legítima, seja por confusão genuína ou de propósito para obter a mercadoria de graça. De qualquer forma, você perde a receita, a mercadoria e uma taxa de disputa, e chargebacks demais ameaçam seu contrato de processamento.
Como preveni-los. Dois movimentos, nesta ordem:
- Previna as transações que viram chargebacks. Deter a apropriação de conta e o card testing a montante elimina grande parte das disputas antes que existam.
- Vença as que você contestar com evidências. Na fraude amigável em especial, o banco quer prova de que o pedido veio do dispositivo do cliente. A evidência no nível do dispositivo vinculada ao pedido (o fingerprint, o status de VPN ou proxy e o veredito de sessão automatizada) é o que inclina uma disputa a seu favor.
A cside exporta evidências de chargeback vinculadas ao mesmo ID de device fingerprint, empacotadas para o processo de representação, para que você não tenha de reconstruir o que aconteceu a partir dos logs depois.
Magecart e skimming do lado do cliente
As outras categorias tratam de quem está transacionando. Esta trata de o que roda na sua página. Ataques do tipo Magecart injetam um script malicioso no seu checkout, muitas vezes por meio de uma dependência de terceiros comprometida (uma tag de analytics, uma ferramenta de teste A/B, um widget de chat), e roubam os dados de cartão à medida que o cliente os digita. Seu servidor nunca vê o roubo, seu processador de pagamento nunca o vê e o cliente conclui uma compra de aparência normal.
Como preveni-lo. Você não consegue pontuar para sair de um skimmer; você tem de ver os scripts:
- O inventário de scripts e o monitoramento de integridade dizem qual script roda nas suas páginas de pagamento e alertam quando um muda ou um novo aparece.
- O monitoramento de dependências de terceiros capta a rota da cadeia de suprimentos, na qual o atacante compromete um fornecedor de confiança em vez do seu próprio código.
- Os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.1 tornam obrigatórios o inventário de scripts e o monitoramento de mudanças nas páginas de pagamento, e são auditados na sua página, não na do seu processador.
Essa é uma disciplina diferente da pontuação de fraude, e a cside a cobre com o monitoramento de scripts da segurança do lado do cliente.
Um modelo de defesa em camadas
Nenhum produto isolado detém os cinco. Uma prevenção de fraude em e-commerce eficaz combina três coisas:
- Uma fonte de sinais no nível do navegador. Ela vê o dispositivo, o comportamento da sessão, a automação, a conexão de VPN ou proxy e os scripts da página, antes de a transação disparar. É a camada que falta na maioria das stacks.
- Um motor de decisão ou de regras. Ele consome os sinais mais os seus dados de transação e decide permitir, desafiar ou bloquear. Pode ser uma plataforma de fraude dedicada ou as suas próprias regras.
- Evidências e conformidade. É o que você usa depois: pacotes de representação de chargeback e registros de monitoramento de scripts do PCI DSS para o seu QSA.
A falha comum é comprar a camada dois e pular a camada um, e depois se perguntar por que a plataforma de pontuação continua deixando passar ataques automatizados e logins de dispositivos novos. O motor de pontuação é tão bom quanto os sinais que o alimentam, e os sinais mais ricos vivem no navegador.
Onde a cside se encaixa
A cside é um único script JavaScript próprio (first-party) que fornece a camada no nível do navegador que falta para os cinco tipos de fraude acima. Como o script carrega da sua própria origem, não há domínio coletor de terceiros que uma lista de filtros ou um atacante possam bloquear, então você mantém sinal sobre os visitantes preocupados com privacidade.
- Device intelligence. Um device fingerprint estável construído a partir de mais de 250 sinais de navegador, dispositivo e rede por sessão, que mantém a precisão em janela anônima, com VPN e ao limpar cookies. Ele retorna junto com um veredito em tempo real: agentes de IA e sessões automatizadas (OpenAI Operator, Claude for Chrome, Playwright, Puppeteer, Selenium), conexões de VPN e proxy incluindo os proxies residenciais, e modo anônimo. Essa é a entrada da qual cada tipo de fraude acima depende.
- Segurança do lado do cliente. Inventário de scripts e monitoramento de integridade para as suas páginas de pagamento, o que os requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.1 pedem e o que capta o skimming do tipo Magecart. Isto é monitoramento de scripts, uma disciplina distinta da contagem de sinais de dispositivo acima.
- Evidências de chargeback. Prova no nível do dispositivo vinculada ao mesmo ID de fingerprint, empacotada para a representação.
Os sinais vêm de uma só integração e um só contrato, e alimentam a plataforma de decisão que você já usa, em vez de substituí-la. A cobertura de dispositivos é web hoje, com SDKs nativos de iOS e Android em beta (acesso antecipado) rodando o mesmo motor do cliente web.
Quais controles você deve priorizar?
- Você perde contas por credential stuffing: comece com device fingerprinting mais detecção de sessões automatizadas no login.
- O orçamento de promoções e indicações some em usuários falsos: correlação de dispositivos no cadastro.
- Um pico de pequenos pedidos recusados: detecção de bots e limites de velocidade por dispositivo no checkout.
- Os chargebacks corroem a margem: prevenção a montante primeiro, depois evidência no nível do dispositivo para a representação.
- Escopo de PCI no seu checkout: inventário de scripts e monitoramento de mudanças, que a pontuação de fraude nunca vê.
Ajuste o controle à perda que você realmente está sofrendo, coloque uma fonte de sinais no nível do navegador sob a sua plataforma de decisão e valide com tráfego real antes de se comprometer. Para uma comparação fornecedor por fornecedor, veja o guia de software de prevenção de fraude em e-commerce.
