E-commerceArtigo
Antifraude que barra cliente bom: como calcular o custo do falso positivo antes da Black Friday
Em resumo
Quase 1 em cada 100 pedidos analisados pela Serasa Experian no 1º semestre de 2026 tinha indício de fraude — o que significa que os outros 99 eram, em tese, compras legítimas. Endurecer regras sem medir quantos bons clientes ficam pelo caminho pode custar mais que a fraude evitada.
O tamanho do risco, em números
A fraude no comércio eletrônico é real e cara. Entre janeiro e junho de 2026, a Serasa Experian identificou 743.638 tentativas na parcela do mercado que monitora — uma a cada 21 segundos —, com potencial de prejuízo de R$ 573,2 milhões, segundo o Mapa da Fraude divulgado pela empresa. Beleza liderou, com 67.782 ocorrências, seguida de calçados (56.193) e saúde (35.314). Em todo o ano de 2025, a mesma base registrou 2,3 milhões de tentativas, com tíquete médio de R$ 1.057,87 nas transações fraudulentas — quase o dobro dos R$ 538,79 das compras legítimas, de acordo com o balanço anual. A saúde subiu do 7º lugar, no 1º semestre de 2025, para o 3º em 2026, movimento que a Serasa Experian associa a compras urgentes ou de valor alto, como medicamentos para emagrecimento.
Há, porém, um número no mesmo relatório que costuma passar despercebido: quase 1 em cada 100 pedidos analisados apresentou indício de fraude. Invertida, a frase diz que a imensa maioria dos pedidos que passam pelo filtro é de gente que só quer comprar. Mesmo em eletrônicos, a categoria de maior risco no balanço de 2025, a taxa de tentativas de fraude foi de 3,2%, com 126,3 mil casos e tíquete médio de R$ 2.350,94; em moda, 1,2%, e em beleza e saúde, 1,3%. A mesma base estima em R$ 2,4 bilhões o prejuízo que a prevenção evitou em 2025 — o valor que justifica o filtro e que o falso positivo corrói.
O erro que não aparece no relatório
Todo sistema antifraude erra de dois jeitos. Pode aprovar um golpe — e a perda vira chargeback, visível na conciliação. Ou pode recusar um cliente legítimo — e a perda some, porque ninguém registra a venda que não aconteceu. Esse segundo erro é o falso positivo.
Chargeback, falso positivo e onde cada erro aparece
Chargeback é a contestação de uma compra com cartão feita pelo titular ao banco emissor. Quando a contestação é por fraude e procede, o valor volta ao titular; em compra on-line sem autenticação do emissor, o contrato com o adquirente costuma repassar o prejuízo à loja — cláusula que já foi contestada na Justiça. O falso positivo é o erro oposto, e a diferença entre os dois está em quem enxerga a perda:
| Erro | O que acontece | Onde aparece |
|---|---|---|
| Fraude aprovada | Chargeback: estorno ao titular e custo para a loja | Conciliação e relatório do adquirente |
| Cliente legítimo recusado | Venda perdida e cliente que talvez não volte | Em nenhum relatório padrão |
| Verificação excessiva | Desistência antes de pagar | Funil de checkout, onde o Baymard Institute mede abandono médio de 70,22% |
Ele é mais provável justamente nos pedidos que fogem do padrão: um tíquete bem acima do habitual, um aparelho novo, entrega em outro endereço. São comportamentos que também descrevem presentes, mudanças de casa e compras de fim de ano. Na Black Friday, que em 2026 cai em 27 de novembro, esse perfil se multiplica.
Fricção também é recusa
A venda perdida não vem só da transação negada. Cada etapa extra de verificação — código por SMS, cadastro obrigatório, nova autenticação — dá ao comprador um motivo para desistir. O Baymard Institute, que consolida 50 estudos e chega a uma taxa média de abandono de carrinho de 70,22%, lista entre os motivos declarados pelos consumidores: checkout longo ou complicado (17%), exigência de criar conta (18%), desconfiança em informar o cartão (19%) e cartão recusado (10%).
Os percentuais não somam nem se aplicam diretamente a uma loja brasileira, mas mostram que segurança e experiência competem pelo mesmo cliente. Uma barreira colocada para o fraudador é percorrida também por quem paga.
Como a análise de risco decide
O motor antifraude dá uma pontuação a cada pedido, com dados como endereço de entrega, dispositivo, histórico do CPF e padrão de navegação, e aplica regras: aprova, recusa ou manda para revisão. Do lado do banco, o padrão EMV 3-D Secure, mantido pela EMVCo, troca dados da transação e do aparelho entre loja e emissor para autenticar o comprador — na maior parte das vezes sem pedir nada a ele e, quando o risco é alto, com um desafio, como a confirmação no aplicativo do banco. A EMVCo recomenda a versão 2.2 ou superior.
A lei dá base para esse filtro e também limites. A LGPD (Lei nº 13.709/2018) admite tratar até dado sensível, como biometria, para prevenção à fraude na identificação e autenticação (art. 11, II, "g"), e o Decreto nº 7.962/2013 obriga a loja on-line a usar mecanismos de segurança eficazes para pagamento (art. 4º, VII). Do outro lado, a decisão tomada só por sistema automatizado pode ter revisão pedida pelo cliente (art. 20 da LGPD) — mais um motivo para manter uma pessoa olhando os casos de tíquete alto.
Como estimar o custo do falso positivo
Não há como saber com certeza quais recusas eram de clientes bons, mas dá para estimar com dados que a loja já tem:
- taxa de aprovação por regra — quantos pedidos cada regra do antifraude derruba; regras que recusam muito e raramente pegam fraude confirmada são as primeiras candidatas a revisão;
- nova tentativa — quantos clientes recusados tentam de novo com outro cartão ou outro meio e são aprovados; é um sinal forte de que eram legítimos;
- amostra de contato — ligar ou escrever para uma amostra de recusados e perguntar se a compra era deles;
- fraude confirmada — chargebacks por fraude no mesmo período, para comparar o que foi evitado com o que foi perdido.
Com isso, a conta básica fica assim: pedidos legítimos recusados vezes a margem de contribuição de cada um, somados ao valor das compras futuras que aquele cliente deixou de fazer. Um exemplo ilustrativo: se 300 recusas num mês eram de clientes legítimos e cada pedido deixaria R$ 60 de margem, a perda direta é de R$ 18 mil — antes de contar a recompra. Se a fraude efetivamente evitada pelas mesmas regras foi menor que isso, a proteção está saindo mais cara que o risco.
Ajustes que protegem sem expulsar
- verificação proporcional ao risco — autenticação extra só para pedidos com pontuação alta, em vez de aplicar a todos — é o que o 3-D Secure permite, com desafio só quando o emissor vê risco;
- revisão humana para tíquete alto — em vez de recusa automática, uma análise rápida pode salvar a venda de maior valor;
- alternativa de pagamento na tela de recusa — oferecer Pix quando o cartão não passa mantém o cliente na loja; o Pix não tem estorno de cartão (chargeback), embora conte com o Mecanismo Especial de Devolução do Banco Central para casos de fraude, criado pela Resolução BCB nº 103/2021 com efeitos desde 16 de novembro de 2021. O gerador de QR Code Pix ajuda em vendas por canais diretos;
- histórico de bons clientes — quem já comprou e pagou sem problema merece um caminho mais curto;
- revisão depois do pico — regras criadas às pressas durante uma data promocional devem ser reavaliadas quando ela passa.
Checklist para as próximas semanas
Antes de novembro, vale separar uma tarde para quatro tarefas: exportar a taxa de aprovação dos últimos três meses por regra; identificar as três regras que mais recusam; medir quantos recusados foram aprovados numa segunda tentativa; e combinar com o fornecedor de antifraude ou com o intermediador de pagamento qual será a política para pedidos de alto valor durante a Black Friday.
Automatizar essa leitura, com alertas quando a aprovação cai, é um dos usos em que a automação rende de verdade — como discute automação no e-commerce: onde gera eficiência. E o tamanho do mercado em jogo está em números do e-commerce brasileiro em 2026. Quando o chargeback chega, os prazos e os documentos da defesa estão em chargeback: como contestar.
Veja também: Antifraude com IA para loja pequena: como o score funciona, o que configurar e como contestar o chargeback
Comece por aqui Novo no assunto? Leia primeiro o que é e-commerce, o texto-base desta cobertura.
Fonte: Serasa Experian
Perguntas frequentes
O que é falso positivo no antifraude?
É quando o sistema recusa uma compra legítima por considerá-la suspeita. A venda perdida não aparece em nenhum relatório de fraude.
Quantas tentativas de fraude o e-commerce teve em 2026?
No 1º semestre de 2026, a Serasa Experian identificou 743.638 tentativas na base que monitora, quase 1 em cada 100 pedidos analisados.
Como estimar o custo do falso positivo?
Multiplique os pedidos legítimos recusados pela margem de contribuição de cada um e some a recompra perdida; sinais de legitimidade incluem clientes que tentam de novo com outro meio e são aprovados.
