Para se proteger de fraude na Black Friday sem barrar clientes bons, a loja precisa trocar a regra única e apertada por camadas: bloquear o ataque automatizado na entrada, avaliar o risco do pedido com mais de um sinal e medir a taxa de aprovação por hora, para notar cedo quando o antifraude começa a recusar quem deveria comprar. A Black Friday de 2026 é em 27 de novembro; este guia mostra o que ajustar nas próximas semanas, com fontes públicas e o caso da Triya.
Dois erros, e os dois custam venda
Fraude de cartão e recusa indevida são o mesmo problema visto de lados opostos. Se a regra é frouxa, entram pedidos fraudulentos que viram chargeback e pioram a reputação da loja com os adquirentes. Se a regra é rígida, o pedido legítimo é recusado e o cliente não volta. Em dia de pico, quando a pressão por vender é maior, a tentação é apertar tudo. É o que mais prejudica a aprovação.
A régua de referência: segundo o Raio-X da Fraude 2024, estudo da Equifax/Boa Vista, a taxa média de tentativas de fraude no e-commerce brasileiro passou de 5,77% em 2022 para 4,09% em 2023 (Mercado & Consumo). Ou seja, a esmagadora maioria dos pedidos é de gente real, e uma regra que trata todos como suspeitos erra para o lado da perda de venda.
Os ataques que mais aparecem em campanha
Teste de cartão (validação)
O fraudador usa a loja como "máquina de teste": dispara muitos pedidos de baixo valor com números de cartão em sequência para descobrir quais funcionam. Mesmo sem aprovar nenhuma compra, o volume de recusas derruba o score da loja junto aos adquirentes e prejudica a aprovação de todos os clientes legítimos. Foi exatamente o que a Triya viveu, como conta o case mais abaixo.
Pedido com dados de terceiros
Compras com cartão roubado costumam vir com sinais de combinação estranha: muitos pedidos para o mesmo endereço, perfis criados minutos antes da compra, vários cartões no mesmo dispositivo. A Serasa Experian recomenda monitorar esses padrões anômalos e limitar a quantidade de compras por CPF ou CNPJ durante promoções, com janelas curtas de reserva de estoque (Serasa Experian, guia de fraude na Black Friday).
Mapa de proteção em camadas
A tabela mostra uma divisão que costuma funcionar. A coluna da direita é nossa recomendação de leitura, não uma regra do mercado.
| Camada | O que faz | Risco para o cliente bom |
|---|---|---|
| Entrada (bots e volume) | Limita requisições e bloqueia sequências de testes antes do pagamento | Baixo, se o limite for por comportamento e não por país ou faixa de IP inteira |
| Regras do pedido | Limite por CPF, endereço e dispositivo; revisão de pedidos de alto valor | Médio: regras largas barram presentes enviados a outro endereço |
| Autenticação do pagamento | Pede confirmação extra só nos pedidos de risco | Alto se aplicada a todos: adiciona atrito em quem é legítimo |
| Revisão manual | Equipe confere os casos duvidosos | Baixo, mas só escala com fila e prazo definidos |
Passo a passo para as próximas semanas
1. Meça a aprovação por hora antes de mexer em regra
Sem uma linha de base, não dá para saber se uma mudança ajudou. Registre a taxa de aprovação por hora nos dias normais de novembro e use como comparação na campanha. Se ela cair no pico sem mudança no mix de pagamento, revise os motivos de recusa. O checklist técnico de Black Friday para o checkout propõe um teste geral em 11/11 justamente para isso.
2. Ajuste as regras com o gateway e o antifraude
A Serasa recomenda ajustar as regras durante campanhas de alto volume e perguntar ao provedor de pagamento quais sinais de comportamento alimentam o score de risco. Faça essa conversa agora, não no dia. Pergunte também como a recusa é reportada: motivo da recusa e score por pedido permitem separar fraude de falso positivo.
3. Acompanhe os sinais que antecipam problema
No mesmo guia, a Serasa sugere acompanhar picos de boletos não pagos, chargebacks e disputas, e falhas de autenticação 3DS. Coloque os três no painel da campanha, com alerta por faixa horária.
4. Tire atrito dos clientes que você já conhece
Na nossa leitura, o cliente recorrente e reconhecido tende a ser o de menor risco, e deve ter o caminho mais curto até o pagamento. Reservar a fricção para quem mostra sinais de risco mantém a proteção sem punir o resto. Para entender os padrões de ataque, veja nosso artigo sobre ataques de fraude no e-commerce.
5. Defina quem decide na madrugada
Ataques acontecem fora do horário comercial. Deixe escrito quem pode alterar uma regra, qual evento justifica a mudança e como reverter. A mudança sem dono é a que mais derruba aprovação em campanha.
Sinais de que o antifraude está apertado demais
Recusa indevida não aparece em relatório de fraude, aparece em venda que não aconteceu. Fique de olho em quatro sintomas, todos observáveis no painel do gateway:
- A taxa de aprovação cai no pico, mas o mix de meios de pagamento não mudou.
- Os motivos de recusa por "suspeita de fraude" crescem sem que o número de chargebacks acompanhe.
- O mesmo cliente tenta pagar duas ou três vezes em minutos, sinal de que a primeira tentativa foi recusada sem explicação clara.
- O atendimento recebe mais reclamações de "cartão que funciona em outros sites".
Quando dois desses sinais aparecem juntos, volte a regra mais recente e investigue com o provedor antes de apertar de novo.
O caso da Triya: ataque barrado e conversão maior
Segundo o case publicado, a Triya sofreu ataques em que fraudadores "esquentavam" cartões na loja, gerando pedidos não pagos e prejudicando o score da marca com a adquirente. A Compra Rápida trabalhou com a equipe da Triya para criar uma camada adicional de proteção, que bloqueou as tentativas de validação e estabilizou o pagamento. No teste A/B, a conversão de pedidos pagos subiu 13,2%, e 5,7% dos usuários que já haviam comprado em outras lojas da rede finalizaram sem novo cadastro (leia o case). A lição é que proteção e conversão não precisam ser trocadas uma pela outra.
Perguntas frequentes
Como reduzir fraude na Black Friday sem perder vendas?
Use camadas: limite o volume suspeito na entrada, avalie o risco do pedido com vários sinais e peça confirmação extra só nos pedidos de risco. Compare a taxa de aprovação por hora com a média do mês para notar recusa indevida.
O que é ataque de validação de cartão?
É quando o fraudador testa números de cartão em sequência no checkout de uma loja. Os pedidos não são pagos, mas as recusas em massa prejudicam o score da loja com os adquirentes, como ocorreu no caso da Triya.
Qual é a taxa de tentativa de fraude no e-commerce brasileiro?
O Raio-X da Fraude 2024, da Equifax/Boa Vista, apontou 4,09% em 2023, ante 5,77% em 2022. É uma média anual do e-commerce, não um número específico de Black Friday.
Vale limitar compras por CPF na campanha?
A Serasa Experian recomenda limites por CPF ou CNPJ em promoções, com janelas curtas de reserva de estoque. Defina o limite pelo comportamento típico da sua base para não barrar compras legítimas em volume.
Trocar o checkout muda meu antifraude?
No caso da Compra Rápida, o checkout substitui só o checkout da plataforma, sem trocar gateway ou antifraude. As regras de risco continuam sob o controle da loja e do provedor de pagamento.
