Fraude com cartão não presente (card not present fraud)

Fraude com cartão não presente (fraude CNP) é o uso não autorizado de credenciais de cartão roubadas em uma transação na qual o cartão físico nunca é apresentado: on-line, dentro de aplicativos, por telefone ou por correspondência. Como nenhum chip é lido e nenhuma senha é digitada em um terminal, o pagamento é autorizado apenas com dados: número do cartão, data de validade, CVV e quaisquer sinais de contexto que o estabelecimento e o emissor consigam reunir.

Uma transação com cartão não presente não é suspeita por natureza. É o formato padrão do e-commerce, das cobranças recorrentes, do checkout BNPL e do desembolso no crédito digital. A fraude CNP é simplesmente o que acontece quando a credencial é legítima e quem a utiliza não é, e o canal de pagamento não tem como comprovar nem uma coisa nem outra.

O que diferencia cartão presente de cartão não presente

Em uma transação com cartão presente, o chip executa uma autenticação criptográfica no terminal. O cartão prova que é o cartão. Falsificar esse mecanismo é caro, e foi por isso que a migração para o EMV empurrou a fraude organizada para os canais remotos em vez de eliminá-la.

No caso do cartão não presente, essa prova desaparece. Resta ao emissor inferir a legitimidade a partir de dados estáticos que escapam constantemente por vazamentos de dados, phishing e revenda na dark web. Cada camada de autenticação adicionada desde então – AVS, verificação de CVV, 3D Secure, códigos de uso único – é uma tentativa de reconstruir com contexto a prova que falta, em vez de obtê-la por criptografia no ponto de venda.

Onde a fraude com cartão não presente começa

A transação é o último passo, não o primeiro. Conjuntos de credenciais roubadas costumam ser validados antes de serem gastos: o card testing dispara tentativas de baixo valor em estabelecimentos com controles frágeis, para confirmar quais números continuam ativos antes de usar ou revender os que funcionam. Quando a perda aparece, o cartão em geral já foi testado.

A segunda via é a própria autenticação. A engenharia social voltada à obtenção de códigos de uso único permite ao fraudador cadastrar os dados do cartão roubado em uma carteira digital ou superar diretamente um desafio de autenticação. Uma vez entregue o código, o pagamento chega autenticado ao emissor. A autenticação forte do cliente é considerada cumprida. A transação pode parecer mais limpa do que uma legítima feita a partir de um navegador desconhecido e, a essa altura, a decisão já está perdida.

Prevenção de fraude CNP: o que realmente funciona

A verificação de credenciais continua necessária, mas já não basta sozinha. A prevenção de fraude CNP depende de avaliar o ambiente de onde a transação se origina, não apenas os dados que a acompanham:

• Contexto de sessão e de dispositivo. Emuladores, máquinas virtuais, ferramentas de acesso remoto, configurações de navegador aleatorizadas e conexões rotativas podem ser observados antes da autorização. Um dispositivo sem histórico que acabou de solicitar o cadastro de um cartão em uma carteira digital não se parece em nada com um cliente recorrente.
• Correlação entre tentativas. Um dispositivo novo não é fraude. Já dezenas de tentativas com cartões diferentes a partir da mesma configuração de dispositivo, ou um mesmo cartão em dezenas de dispositivos, indicam uma rede de fraude. O card testing só é visível no nível agregado.
• Velocidade e comportamento, não apenas valor. A cadência de digitação, o copiar e colar em campos sensíveis e uma navegação linear demais para um humano podem ser medidos sem adicionar fricção para usuários legítimos.
• Autenticado não significa legítimo. Qualquer modelo de detecção de fraude CNP que trate um desafio 3D Secure superado como definitivo vai continuar aprovando transações obtidas por engenharia social. Sinais de dispositivo e de comportamento oferecem aos times de risco uma segunda leitura independente. Device intelligence sustenta essa camada sem depender de identificadores diretos do usuário, algo relevante em mercados regidos pela LGPD, pelo GDPR, pela Lei DPDP e por regimes equivalentes, e em carteiras de crédito nas quais a cobertura dos bureaus é desigual.

FAQ

O que é uma transação com cartão não presente?

Transação com cartão não presente é qualquer pagamento concluído sem que um terminal leia o cartão físico: checkouts on-line, compras dentro de aplicativos, pedidos por telefone e vendas por correspondência. O estabelecimento envia os dados do cartão em vez de um criptograma autenticado por chip, de modo que a autorização depende apenas de dados e contexto.

Qual é a diferença entre fraude com cartão presente e com cartão não presente?

A fraude com cartão presente exige a posse física de um cartão ou de uma cópia falsificada e é limitada pela geografia. A fraude com cartão não presente precisa apenas dos dados da credencial, escala sem restrições físicas e pode ser executada de qualquer lugar contra qualquer estabelecimento remoto.

O CVV é suficiente para prevenir a fraude com cartão não presente?

Não. O CVV confirma que o código digitado corresponde aos registros do emissor, mas bases vazadas ou obtidas por phishing costumam incluí-lo. O CVV filtra tentativas oportunistas e não faz nada contra credenciais já validadas, e é por isso que a detecção de fraude CNP em camadas é a prática padrão.

Como prevenir a fraude com cartão não presente?

Combinando a verificação de credenciais com avaliação no nível da sessão: sinais de dispositivo e de ambiente, anomalias de comportamento, análise de conexão e correlação entre tentativas. A prevenção funciona melhor antes da autorização, no login e no cadastro de cartões em carteiras, e não apenas na transação.