Golpes no e-commerce: o checklist completo para proteger sua loja e contestar chargebacks

Uma venda aprovada pode virar prejuízo semanas depois. O produto sai do estoque, o frete é pago, o cliente recebe — e então aparece uma contestação no cartão. Em outros casos, o pedido nem chegou a ser pago: o golpista enviou um comprovante Pix falso, pressionou o atendimento e conseguiu que a loja despachasse antes de conferir o extrato.

Este guia foi escrito para o lojista brasileiro que precisa de um processo simples: como identificar um pedido de risco sem acusar cliente legítimo, o que conferir antes de enviar, quais provas guardar e o que fazer nas primeiras horas depois de descobrir o golpe.

O tamanho da fraude no e-commerce brasileiro

Os números variam porque cada empresa observa uma parte diferente do mercado. Por isso, não é correto somar bases nem tratar um levantamento privado como se cobrisse todo o comércio eletrônico brasileiro. Mesmo assim, a direção é clara: a fraude opera em grande escala e procura pedidos de valor acima da média.

Em 2025, a Serasa Experian classificou 2,3 milhões de pedidos como suspeita, fraude confirmada ou retorno de chargeback dentro das transações analisadas por suas soluções. O ticket médio das tentativas foi de R$ 1.057,87, quase o dobro dos R$ 538,79 das compras legítimas. Eletroeletrônicos tiveram taxa de risco de 3,2%, com ticket médio fraudulento de R$ 2.350,94. A metodologia inclui e-commerce, marketplace, venda direta e delivery — portanto, os dados representam a base monitorada, não a totalidade do país. Fonte: Serasa Experian, maio de 2026.

No primeiro trimestre de 2026, a mesma empresa registrou mais de 368 mil ocorrências no varejo digital analisado — quase uma tentativa em cada 100 transações, uma a cada 21 segundos. O ticket das tentativas ficou 62% acima do pedido legítimo. Celulares lideraram o risco proporcional, com 3,11%. Fonte: Serasa Experian, 1º trimestre de 2026.

Outra fotografia, da ClearSale, encontrou 2,8 milhões de tentativas e R$ 3 bilhões em valor em 212,1 milhões de pedidos analisados em 2024. Norte e Nordeste tiveram a maior proporção de tentativas, mas isso não autoriza recusar pedidos por região: localização isolada é um sinal fraco e pode gerar falso positivo. A decisão deve combinar comportamento, dispositivo, dados cadastrais, pagamento, histórico e logística. Fonte: Mapa da Fraude 2025, ClearSale.

A fraude é cara dos dois lados. Barrar pouco aumenta chargeback; barrar demais destrói conversão e expulsa cliente bom. O objetivo não é zerar risco — é controlar a perda sem transformar o checkout em interrogatório.

Os golpes que mais prejudicam o lojista

1. Cartão roubado ou dados de cartão vazados

O fraudador compra com dados de um terceiro e recebe o produto. Quando o titular percebe, contesta a cobrança. O emissor pode devolver o valor ao portador e o lojista precisa defender a venda por meio do intermediador. Aprovação da transação e código de autorização não significam que o titular reconheceu a compra.

2. Fraude de identidade e conta tomada

O criminoso usa CPF, telefone, e-mail ou conta de cliente legítimo para parecer confiável. Pode aproveitar histórico de compras, pontos e endereços já salvos. Mudança súbita de endereço, dispositivo novo, senha redefinida e pedido de alto valor formam um conjunto mais relevante do que qualquer sinal sozinho.

3. Chargeback indevido ou “fraude amigável”

O próprio comprador — ou alguém de sua família — recebe o pedido e depois alega não reconhecer a compra. Também pode contestar como “produto não entregue” ou “diferente do anunciado”. A loja não vence isso com indignação: vence, quando vence, com prova de autorização, descrição clara, política aceita e comprovante de entrega compatível com a alegação.

4. Comprovante Pix falso ou pagamento agendado

O golpista envia uma imagem adulterada, um e-mail falso imitando o banco ou um comprovante de agendamento. Às vezes pressiona: “o motoboy já está chegando”, “é presente”, “preciso embarcar hoje”. A regra é absoluta: print não é dinheiro. A confirmação vem do extrato ou do painel oficial, acessado pela loja sem clicar no link enviado pelo comprador.

5. Troca de endereço depois da aprovação

Após pagar, o comprador pede pelo WhatsApp para enviar a outro endereço, entregar a um motorista ou liberar a retirada por terceiro. Essa mudança rompe a trilha de evidências e pode retirar a venda de programas de proteção. Se a alteração for legítima, o caminho seguro é cancelar e refazer o pedido com os dados corretos — conforme as regras do intermediador usado.

6. Falso suporte e engenharia social contra a equipe

Alguém se passa pelo gateway, banco, marketplace ou cliente e pede código, senha, acesso remoto, troca de conta bancária ou confirmação por link. A loja também pode ser vítima fora do checkout. Nenhum funcionário deve compartilhar código de autenticação ou instalar ferramenta indicada por contato não verificado.

O protocolo antes de enviar qualquer pedido

Organize a operação em três portas. Um pedido só avança quando passa por todas.

Checklist 1 — confirmação do pagamento

• Acesse o painel digitando o endereço ou pelo favorito da empresa; não clique em link recebido no WhatsApp ou e-mail.
• Confirme valor, número do pedido, identificador da transação, meio de pagamento e situação atual.
• No cartão, diferencie autorizado, capturado, em análise, cancelado e estornado.
• No Pix, confira o crédito efetivo no extrato. Agendamento, print ou comprovante não substituem a entrada do dinheiro.
• Não devolva um Pix recebido usando uma nova transferência para chave indicada por mensagem. Use a função Devolver da própria transação, que retorna à conta de origem. Essa é a orientação do Banco Central.
• Nunca antecipe envio porque o comprador diz que “o sistema demora para atualizar”.

Checklist 2 — análise de risco sem preconceito

Um sinal isolado não prova fraude. Trate os itens abaixo como gatilhos para revisão, não como condenação automática:

• Ticket muito acima do padrão daquele cliente ou da loja;
• Grande quantidade do mesmo item, principalmente produto de fácil revenda;
• Várias tentativas de pagamento com cartões, nomes ou dados diferentes;
• Endereço de entrega distante do endereço informado no pagamento, quando esse dado estiver disponível;
• Conta recém-criada acompanhada de pedido caro, entrega urgente e alteração de endereço;
• Telefone, e-mail, CPF e nome com inconsistências relevantes;
• Pressão para ignorar o fluxo normal, enviar por motoboy particular ou entregar a terceiro;
• Pedido feito em dispositivo, IP ou padrão de comportamento incompatível com o histórico;
• Antifraude pediu revisão manual ou retornou dados insuficientes.

Para reduzir falso positivo, crie faixas: baixo risco segue automaticamente; risco intermediário recebe revisão; alto risco é recusado ou exige autenticação adicional. Ajuste as regras por categoria, ticket e histórico real de chargeback da loja. O próprio levantamento da Serasa mostra que comportamento, dispositivo, pagamento e histórico precisam ser analisados em conjunto.

Checklist 3 — validação adicional em pedido de risco

• Fale pelo telefone ou e-mail cadastrado no pedido, não apenas pelo contato que chegou depois.
• Faça perguntas sobre o pedido sem revelar todas as respostas esperadas.
• Se sua plataforma permitir, use autenticação 3D Secure para transferir ou reduzir responsabilidade conforme as regras da bandeira e do contrato. Confirme a configuração com o adquirente.
• Não peça foto completa do cartão, senha, código de segurança ou informação desnecessária. Além de perigoso, armazenar dado sensível amplia sua responsabilidade.
• Quando não conseguir validar com segurança, cancele antes do despacho e estorne pelo fluxo oficial. Perder uma venda é melhor do que perder produto, frete, taxa e receita.

Checklist 4 — endereço, retirada e entrega

• Envie somente para o endereço registrado no pedido e aceito pelo fluxo do intermediador.
• Não aceite troca de endereço por mensagem depois do pagamento sem refazer a transação.
• Use rastreio e guarde código, etiqueta, peso, data de postagem e transportadora.
• Para alto valor, prefira entrega com identificação e assinatura; confirme antes quais provas seu intermediador aceita.
• Em retirada na loja, defina procedimento: número do pedido, documento, nome de quem retirou, data, hora e recibo. Se terceiro retirar, exija autorização documentada compatível com sua política de privacidade.
• Não trate foto ou vídeo da embalagem como substituto do comprovante de entrega. Eles podem ajudar em disputa sobre conteúdo, mas não provam quem recebeu.

Quais provas guardar para uma futura contestação

A documentação deve nascer junto com o pedido, não depois do chargeback. Monte uma pasta digital por transação de risco — ou automatize o vínculo no ERP.

O produto já foi enviado: o que fazer nas primeiras horas

Velocidade muda a chance de recuperação. Siga esta ordem.

1. Tente interromper a entrega. Acione imediatamente a transportadora ou a suspensão de entrega dos Correios. Os Correios deixam claro que é uma tentativa, dependente da situação operacional do objeto — não uma garantia. Consulte a orientação oficial.
2. Preserve tudo. Não edite registros nem apague conversas. Salve pedido, transação, antifraude, etiqueta, rastreio, nota fiscal, contatos e horários.
3. Abra o caso no intermediador. Use o painel oficial e informe o ID da transação. Pergunte o motivo da contestação, prazo final, documentos aceitos, programa de proteção aplicável e se existe bloqueio ou crédito provisório.
4. Avise a logística sobre possível fraude. Peça retenção, devolução ao remetente ou bloqueio da retirada. Guarde o protocolo.
5. Registre boletim de ocorrência. Informe dados objetivos, sem acusar alguém além do que as provas sustentam. Anexe número do pedido, valor, meios de contato, destino e rastreio.
6. Contate o comprador por canal registrado. Em alguns casos há erro familiar ou confusão com o nome que aparece na fatura. Mantenha linguagem neutra e guarde a resposta. Não aceite pagamento “substituto” fora do fluxo sem orientação do intermediador.
7. Monte o dossiê conforme o motivo. Fraude/não reconhecimento pede prova de autorização e vínculo; não entrega pede rastreio e recebimento; produto diferente pede descrição, fotos, política e comunicação.
8. Envie antes do prazo e guarde o protocolo. Prazo perdido normalmente significa derrota automática.

Modelo de linha do tempo do incidente

Como tentar reaver o valor junto ao intermediador

O intermediador não decide sozinho na maioria dos chargebacks de cartão: ele recebe o caso, coleta sua documentação e a encaminha conforme as regras do emissor e da bandeira. Alguns oferecem proteção própria se a venda cumprir requisitos específicos. Não existe garantia universal de recuperação.

Mercado Pago: Programa de Proteção ao Vendedor

Segundo o Mercado Pago, podem ser cobertas vendas de produto físico, enviado dentro do Brasil, processadas pelas ferramentas da plataforma, com documentação completa e comprovante de entrega assinado. Ao receber a notificação, acompanhe o caso no aplicativo/painel e entregue o que foi solicitado dentro do prazo. Se a venda atender às condições, o programa informa que cobre o valor da contestação; se não atender, o valor pode ficar como débito na conta. Veja as regras atualizadas do Mercado Pago.

O que fazer: abra a contestação na atividade correspondente, confirme se a venda é elegível, envie nota fiscal e comprovante formal de entrega, acompanhe o status e responda qualquer pendência. Não presuma cobertura para produto digital, envio internacional, entrega sem assinatura ou endereço alterado.

Pagar.me: reapresentação do chargeback

A central do Pagar.me informa prazo de 10 dias corridos após a notificação para contestar. Para chargeback por fraude, lista dados cadastrais, nota fiscal completa, comprovante de entrega e tela do checkout entre os documentos principais. Se a documentação for aceita para reapresentação, pode haver crédito de confiança; se o banco emissor rejeitar a defesa, ocorre novo débito e não há outra reapresentação. Consulte a orientação do Pagar.me.

O que fazer: identifique a transação e o motivo, reúna os documentos exigidos para aquela categoria, envie no canal indicado e não confunda crédito provisório com vitória definitiva.

Stripe: contestação no Dashboard

A Stripe informa que o prazo costuma variar de 7 a 21 dias, conforme a rede do cartão. A resposta é enviada ao banco emissor e, normalmente, há uma única oportunidade de apresentar evidências. Para fraude, podem ajudar AVS, confirmação de CVC, IP, 3D Secure, histórico legítimo e prova de vínculo; para não entrega, dados objetivos da transportadora, datas e rastreio. A decisão pode levar até três meses. Veja a documentação de disputas da Stripe.

O que fazer: abra os detalhes da disputa, leia a alegação real, escolha aceitar ou contestar, preencha os campos relevantes, consolide evidências e revise tudo antes de enviar — a submissão não pode ser corrigida depois.

Outros gateways, adquirentes e marketplaces

O procedimento muda, mas as perguntas são as mesmas:

• Qual é o motivo/código da contestação?
• Qual é o prazo exato para resposta?
• Quais formatos e tamanhos de arquivo são aceitos?
• Quais provas são obrigatórias para esse motivo?
• A venda está coberta por proteção ao vendedor ou seguro antifraude?
• O crédito realizado é definitivo ou provisório?
• Quem decide no fim: intermediador, adquirente, bandeira ou banco emissor?

Abra chamado pelo canal oficial, registre protocolo e peça a política vigente. Não copie cegamente o dossiê de outra plataforma: prazos e critérios mudam.

Pix, cartão e boleto não têm o mesmo risco

O MED do Pix protege o lojista contra chargeback?

Não funciona como chargeback de cartão. O Banco Central explica que o Mecanismo Especial de Devolução é para casos de fraude, golpe ou coerção envolvendo Pix e pode ser solicitado pela vítima em até 80 dias. A devolução depende da análise e da existência de saldo; não é garantida. O MED não se aplica a desacordo comercial nem deve debitar um vendedor de boa-fé apenas porque o pagador não reconheceu a compra. Fonte: Banco Central — Segurança no Pix.

Para a loja, a lição prática é dupla: confira o crédito antes de enviar e mantenha documentação que demonstre a venda legítima caso a instituição peça esclarecimentos. Se você, lojista, foi vítima de um golpe em que transferiu dinheiro via Pix, acione o MED no aplicativo da sua instituição o mais rápido possível e registre boletim de ocorrência. Se apenas despachou mercadoria com base em comprovante falso, pode não haver uma transferência sua para recuperar pelo MED — a prioridade passa a ser interromper a entrega, registrar a ocorrência e identificar os responsáveis.

Política antifraude mínima para pequenas lojas

Você não precisa começar com um departamento de risco. Precisa de regras claras, responsáveis e registro.

1. Defina um dono do risco. Quem pode liberar, segurar e cancelar pedido?
2. Estabeleça faixas por valor e produto. Um cabo de R$ 40 não exige o mesmo controle de um celular.
3. Configure antifraude e 3DS quando fizer sentido. Meça aprovação, falso positivo e chargeback juntos.
4. Bloqueie atalhos operacionais. Atendimento não altera endereço nem libera pedido por pressão.
5. Padronize retirada e entrega. Documento, autorização, assinatura e rastreio conforme risco e LGPD.
6. Centralize evidências. Cada pedido precisa ser reconstruído sem depender da memória de um funcionário.
7. Monitore indicadores mensalmente. Taxa de aprovação, revisão manual, cancelamento, chargeback por motivo, valor perdido e taxa de recuperação.
8. Revise regras por resultado. Se a fraude cai, mas a aprovação despenca, a política pode estar destruindo venda boa.

Os cinco números que o lojista deveria acompanhar

Checklist final: pode despachar?

Fraude não é apenas um problema do gateway. Ela atravessa checkout, atendimento, estoque, logística e pós-venda. A loja que melhora somente a análise do cartão, mas permite troca de endereço pelo WhatsApp ou entrega sem identificação, continua vulnerável.

O melhor processo é o que a equipe consegue seguir em dia movimentado: poucas regras absolutas, revisão proporcional ao risco, documentação automática e resposta rápida. Isso protege margem sem transformar todo comprador em suspeito.

Nota: este conteúdo é educativo e operacional. Regras de proteção, prazos e documentos variam por intermediador, bandeira, contrato e motivo da contestação. Consulte sempre a política vigente da plataforma usada e orientação jurídica quando houver prejuízo relevante ou indício de crime.