Como proteger o e-commerce sem travar o checkout de clientes legítimos?
Existe uma tensão real no coração de qualquer sistema de antifraude de e-commerce: quanto mais proteção, mais fricção. Quanto menos fricção, mais risco.
Na maioria dos dias do ano, essa tensão é gerenciável. Na Black Friday, ela se intensifica dos dois lados ao mesmo tempo.
Do lado do risco: fraudadores sabem que o volume da Black Friday dificulta a análise individual de pedidos. A proporção de tentativas de fraude como percentual do total de transações tende a subir no evento, porque o ruído do volume é cobertura para o ataque.
Do lado da fricção: regras de antifraude calibradas para o tráfego normal do ano vão gerar mais falsos positivos quando o perfil do comprador muda.
Na Black Friday, muitos clientes compram em valor muito acima do seu ticket médio histórico, usam endereços de entrega diferentes do habitual (presentes), e acessam o site de dispositivos novos. Essas são exatamente as características que sistemas de regras fixas marcam como suspeitas.
O resultado de regras não recalibradas para o evento: clientes legítimos bloqueados, pedidos cancelados indevidamente, SAC sobrecarregado com reclamações de pagamento recusado, e reputação da loja afetada, tudo isso em paralelo com fraudes reais que passaram porque o sistema estava ocupado com os falsos positivos.
Os vetores de fraude mais comuns na Black Friday
Fraude de cartão (carding)
O mais clássico e ainda o mais frequente. Fraudador usa dados de cartão roubado ou comprado em mercados clandestinos para realizar compras.
Na Black Friday, o ambiente favorece essa prática por duas razões: volume alto dificulta análise manual, e muitas lojas relaxam protocolos de análise para não perder venda.
O padrão típico: compras de alto valor em produtos de alta liquidez (eletrônicos, itens de marca), endereço de entrega diferente do cadastro, múltiplas tentativas com cartões diferentes em curto intervalo de tempo.
Abuso de cupom e promoção
Cresceu significativamente nos últimos anos com a proliferação de grupos em redes sociais que compartilham vulnerabilidades de cupons. O modelo mais comum: criação em massa de contas para usar cupons de “novo cliente” múltiplas vezes, ou identificação de regras de cupom que podem ser combinadas de formas não previstas pelo operador.
Na Black Friday, com muitos cupons ativos simultaneamente e regras de elegibilidade mais complexas, as brechas são mais fáceis de explorar, e o volume maior camufla o abuso.
Fraude amigável
Compra realizada com dados legítimos do próprio titular do cartão, seguida de chargeback falso, o cliente afirma que não reconhece a compra para receber o produto e o reembolso simultaneamente.
É particularmente difícil de detectar preventivamente porque o perfil da compra é idêntico ao de uma compra legítima. A identificação acontece após o chargeback, quando o padrão histórico do cliente pode ser analisado.
Fraude de frete e endereço
Pedido feito com dados válidos mas com endereço de entrega manipulado após a aprovação do pagamento, tentativa de redirecionar a entrega para outro destino antes que o ERP processe.
Ou exploração de falhas em regras de frete subsidiado para obter frete gratuito em pedidos que não se qualificariam.
Por que sistemas de regras fixas falham na Black Friday
Um sistema de antifraude baseado em regras fixas opera com lógica do tipo: “se valor acima de R$ X, analisar manualmente”; “se CEP diferente do cadastro, bloquear”; “se mais de N tentativas de cartão em 1 hora, bloquear conta”.
Essas regras são razoáveis em condições normais. Na Black Friday, tornam-se problemáticas:
- Volume acima do limite dispara análise manual em massa. Se a regra marca para análise manual todo pedido acima de R$ 500, e o ticket médio da Black Friday é R$ 480, uma fração enorme dos pedidos vai para fila de análise. A fila não consegue processar. Os pedidos ficam retidos. Clientes legítimos esperam horas pela aprovação, ou desistem.
- Endereço diferente do cadastro é norma em compras de presente. Uma das características mais marcantes das compras de Black Friday é que muitas são presentes, com entrega em endereço diferente do comprador. Regra que bloqueia automaticamente pedido com endereço diferente do cadastro vai bloquear uma fração significativa dos pedidos legítimos de Black Friday.
- Comportamento de compra fora do padrão é esperado. O cliente que normalmente compra R$ 200 por mês compra R$ 800 em um único pedido de Black Friday. Sistema que marca como suspeito qualquer compra muito acima do histórico vai marcar uma boa parte dos pedidos do evento.
O resultado é inversamente proporcional ao objetivo: mais falsos positivos, mais custo operacional de análise, mais vendas perdidas, com proteção contra fraude que pode até ser menor, porque a equipe está sobrecarregada processando os falsos positivos.
Como agentes de IA abordam o problema de forma diferente
A diferença entre um sistema de regras fixas e um sistema baseado em aprendizado de máquina, ou em agente de IA com acesso a contexto, está na capacidade de avaliar combinações de sinais, não sinais isolados.
Um sistema baseado em contexto não pergunta “o CEP de entrega é diferente do cadastro?” como critério isolado.
Pergunta: “o CEP de entrega é diferente do cadastro, E esse é o primeiro pedido do cliente, E o valor está muito acima do histórico, E o produto é de alta liquidez, E a tentativa de pagamento falhou uma vez antes de ser aprovada?”
A combinação desses sinais é muito mais relevante do que qualquer um isolado.
Exemplos de avaliação contextual que muda o resultado:
- Caso 1: Pedido de R$ 800 para endereço diferente do cadastro, de cliente com 5 pedidos anteriores em 2 anos, todos pagos sem chargeback, acessando pelo mesmo dispositivo há 3 anos. Avaliação contextual: baixo risco. Sistema de regra fixa: pode bloquear pelo endereço diferente.
- Caso 2: Primeiro pedido de um cliente, R$ 1.200, produto de eletrônico de alta liquidez, duas tentativas de cartão antes de aprovar, endereço de entrega em cidade diferente da cidade do IP de acesso. Avaliação contextual: alto risco. Sistema de regra fixa: pode aprovar porque nenhuma regra individual foi violada.
A vantagem do sistema contextual é que ele escala sem degradar, processa volume alto de Black Friday com a mesma qualidade de análise do dia normal, porque a análise é automática e baseada em padrões, não em revisão humana de cada pedido acima de um threshold.
O design do checkout que reduz risco sem aumentar atrito
Além do sistema de análise, o design do checkout tem impacto direto tanto na taxa de fraude quanto na taxa de falsos positivos.
Autenticação em duas etapas proporcional ao risco
Em vez de solicitar autenticação adicional de todos os clientes, o que aumenta o atrito e reduz conversão, solicitar apenas para pedidos que o sistema marcou como risco médio.
Pedidos de baixo risco passam sem etapa adicional. Pedidos de risco médio recebem confirmação por SMS ou email. Pedidos de alto risco são retidos para análise.
Esse modelo reduz o atrito para a maioria dos clientes legítimos, mantém a barreira apenas onde ela é necessária, e não penaliza a experiência de quem já tem histórico positivo com a loja.
Limites de tentativa de pagamento com progressão
Duas tentativas com cartão diferente é comportamento normal. Oito tentativas em 3 minutos é padrão de carding.
O sistema deve ter limite progressivo de tentativas com aumento de fricção a cada tentativa adicional após um threshold, não bloqueio imediato na segunda tentativa, o que bloqueia clientes legítimos que erraram o número do cartão.
Revisão de regras de cupom antes do evento
Todo cupom ativo na Black Friday precisa ter regras de uso claramente definidas e implementadas: uso único por CPF, uso único por cartão, valor máximo de desconto, categorias elegíveis, combinabilidade com outros descontos.
Regras ambíguas ou não implementadas tecnicamente são brechas para abuso.
O que calibrar antes da Black Friday
Duas semanas antes do evento, a equipe de risco precisa revisar:
- Thresholds de análise manual. O valor acima do qual pedidos vão para fila de análise manual deve ser recalibrado com base no ticket médio esperado para a Black Friday, não no ticket médio do mês anterior. Se o ticket médio da BF historicamente é 2x o ticket normal, o threshold de análise manual deve ser recalibrado proporcionalmente.
- Regras de endereço de entrega. Regras que bloqueiam automaticamente por endereço diferente do cadastro devem ser flexibilizadas para o evento, substituídas por pontuação de risco que considera o endereço como um entre vários sinais, não como critério isolado.
- Capacidade de análise manual. Quantos pedidos por hora a equipe de risco consegue analisar manualmente? Esse número precisa ser comparado com a projeção de pedidos marcados para análise no volume esperado de Black Friday. Se há descompasso, a solução é ajustar os thresholds, não contratar analistas a uma semana do evento.
- Lista de produtos de alto risco. Eletrônicos caros, itens de marca de alta liquidez e produtos com mercado de revenda ativo merecem regras mais rigorosas do que produtos de baixo risco de fraude. Essa segmentação pode reduzir o volume de análise geral sem aumentar o risco de fraude nos produtos mais vulneráveis.
A Black Friday não exige escolher entre proteção e conversão. Exige calibrar a proteção corretamente para o contexto do evento.
Sistema de antifraude que não foi recalibrado para a Black Friday vai gerar mais falsos positivos, mais vendas perdidas, mais custo operacional, com proteção real não necessariamente maior.
A fraude que passou está escondida no volume. Os falsos positivos são visíveis no SAC.
A Dupla implementa soluções de análise de risco para e-commerces com avaliação contextual baseada em comportamento, integrada à infraestrutura existente.
Se quiser entender como está a sua configuração atual e o que ajustar antes do evento, fale com a gente.
