Fraude com cartões roubados na sua loja online: sinais e o que verificar antes de enviar

Encomenda de um cliente novo, montante elevado, envio urgente para uma morada que não é a de faturação. Paga com cartão, sem incidências. Prepara-a, sai, e passadas algumas semanas chega um estorno (chargeback): o titular do cartão não reconhece a compra. Perdeu o produto, o dinheiro, os portes e, ainda por cima, paga a comissão do estorno.

A fraude com cartões roubados não se vê no momento do pagamento, porque o pagamento funciona. Vê-se nos detalhes da encomenda, e é por isso que a verificação tem de ser feita antes de enviar, o último momento em que ainda pode não perder nada.

Como funciona esta fraude

• Dados roubados. Os números de cartão vêm de fugas de dados, de phishing ou de skimmers instalados no checkout de outras lojas, e são vendidos em lotes.
• Testes de cartões. Antes de os usar, o burlão verifica quais funcionam com pagamentos pequenos e repetidos em lojas pouco protegidas. Se vir dezenas de tentativas falhadas de montantes baixos em pouco tempo, estão a usá-lo como campo de testes.
• Compra de produtos fáceis de revender. Eletrónica, perfumes, cartões-oferta, peças caras, roupa de marca. Aquilo que se converte rapidamente em dinheiro.
• Envio para uma morada de passagem. Pontos de recolha, cacifos ou pessoas que reencaminham a encomenda.

O que o 3D Secure cobre e o que não cobre

Desde a diretiva europeia de serviços de pagamento (PSD2), os pagamentos com cartão na Europa exigem autenticação forte do titular, que nas lojas online é feita com 3D Secure: o banco do cliente pede-lhe que confirme na sua app ou com um código. Quando um pagamento foi autenticado desta forma, a responsabilidade por um estorno por fraude passa, em geral, para o banco emissor do cartão, e não para si.

Mas há nuances importantes:

• As isenções. O gateway pode pedir que um pagamento não passe pela autenticação (montantes baixos, análise de risco). É mais cómodo para o cliente, mas se esse pagamento se revelar fraudulento, a responsabilidade costuma voltar para si.
• Só cobre a fraude. Um estorno por «produto não recebido» ou «não corresponde à descrição» não se ganha com 3D Secure, mas com provas de entrega e do que vendeu.
• Não cobre o titular que mente. Se o próprio titular compra e depois diz que não foi ele, o 3D Secure é a sua melhor prova, mas terá de a apresentar.

Os sinais que denunciam uma encomenda fraudulenta

Nenhum sinal isolado prova nada: um cliente legítimo pode oferecer algo a alguém noutra cidade. O que conta é a acumulação.

A rotina antes de enviar

1. Defina um limiar. Acima de determinado montante, ou com dois ou mais sinais da tabela, a encomenda não sai sem que alguém a veja.
2. Veja o pagamento no painel do gateway: se existe, se o montante coincide e se foi autenticado com 3D Secure.
3. Procure o cliente nas suas encomendas anteriores por email, telefone e morada.
4. Ligue para o telefone da encomenda. Uma chamada breve para confirmar a entrega resolve muitas dúvidas: o cliente legítimo atende e agradece.
5. Se continuar com dúvidas, reembolse em vez de enviar. Um reembolso antes do envio custa-lhe pouco; um estorno depois do envio custa-lhe o produto, o dinheiro e a comissão.
6. Não altere a morada de uma encomenda suspeita depois do pagamento. Se o cliente insistir, cancele e peça-lhe que volte a comprar.

Quando o usam para testar cartões

Uma vaga de pequenos pagamentos falhados não lhe custa produto, mas custa-lhe comissões, pode levar o seu gateway a rever a sua conta e estraga as suas estatísticas. As medidas que funcionam são limitar as tentativas de pagamento por cliente e por ligação, ativar as regras antifraude que o seu gateway disponibilize e filtrar o tráfego automatizado antes de chegar ao checkout.

E a fraude que vem de dentro da sua loja

Há outra fraude que nada tem a ver com o cliente: alguém ter alterado o seu módulo de pagamento para receber na conta dele, ou ter metido um skimmer no seu checkout para roubar os cartões dos seus clientes. Ambas precisam de escrever no seu servidor, e a via de entrada mais comum são os módulos desatualizados e as palavras-passe de acesso roubadas. Manter o PrestaShop, o PHP e os módulos atualizados não é uma formalidade: é a diferença entre ser vítima da fraude ou a sua ferramenta.

Checklist

• Limiar de revisão manual por montante e por número de sinais.
• 3D Secure ativo, e isenções revistas para montantes elevados.
• Verificação no painel do gateway antes de enviar as encomendas assinaladas.
• Chamada de confirmação em caso de dúvida.
• Reembolso preventivo em vez de envio duvidoso.
• Limite de tentativas de pagamento e regras antifraude do gateway ativadas.

Como resolver isto no PrestaShop

Nenhum destes dois módulos pontua o risco de um cliente: isso fazem-no as regras do seu gateway e a sua rotina de verificação. O que fazem é cobrir a fraude que entra pela sua própria loja. O RKR Order Guard verifica o número de operação de cada encomenda conforme o gateway, avisa na ficha da encomenda —onde está quem a vai enviar— quando um pagamento não parece legítimo e vigia a impressão digital dos ficheiros dos seus módulos de pagamento; além disso, evita que uma notificação dupla lhe deixe duas encomendas e duas cobranças. O RKR Security Alert avisa-o por Telegram de acessos ao back office a partir de IP novos, de alterações nos gateways de pagamento e nos funcionários, e analisa os ficheiros à procura de skimmers e backdoors.