Fraudes em pagamentos: prevenção para fintechs e lojas

A prevenção a fraudes em pagamentos exige uma combinação de identificação, controle de acesso, análise de transações e atendimento capaz de agir diante de uma ocorrência. A tecnologia participa desse processo, mas um sistema caro não compensa uma rotina que libera pedidos por um comprovante falso.

Para uma fintech, o desenho precisa seguir as regras aplicáveis à sua atividade e à sua participação no sistema de pagamentos. Para um pequeno comércio, a prioridade é conhecer o serviço contratado e confirmar que a operação comercial corresponde ao dinheiro efetivamente recebido.

Este guia apresenta as diferenças entre prevenção, resposta e devolução. Ele não trata fiscalização tributária como se fosse o mesmo assunto que segurança do Pix nem apresenta uma regra futura como se já estivesse em vigor.

Prevenção a fraudes em pagamentos: etapas diferentes

Prevenção reúne controles antes e durante a transação. Pode incluir autenticação, limites, conferência de dados e análise de comportamentos incompatíveis com o histórico do usuário. O objetivo é reduzir operações indevidas sem impedir desnecessariamente pagamentos legítimos.

Resposta é o conjunto de ações depois de uma suspeita: preservar registros, conter acessos, analisar evidências, atender as pessoas envolvidas e seguir o procedimento do serviço. Uma empresa precisa saber quem pode decidir e como o caso será acompanhado.

Devolução envolve regras próprias e não é garantida em qualquer situação. No Pix, o Banco Central descreve o Mecanismo Especial de Devolução, o MED, como um recurso voltado a casos de fraude. O acionamento precisa ocorrer pela instituição do usuário conforme o procedimento aplicável.

Não confunda devolução por fraude com cancelamento de uma compra. Um desacordo comercial não se torna automaticamente elegível ao MED. O canal adequado depende do problema e dos fatos apresentados.

Comece pela identificação e pelos acessos

Cadastros consistentes ajudam a reduzir erros e a investigar ocorrências. Identificação deve ser proporcional ao serviço e às obrigações aplicáveis, sem transformar a coleta de dados em uma lista ilimitada de informações pessoais.

Separe usuários administrativos, operadores e responsáveis por aprovações. Uma conta compartilhada dificulta descobrir quem alterou uma chave, aprovou um reembolso ou modificou um cadastro. Prefira permissões associadas à função.

Revise os acessos quando alguém sai da equipe ou muda de atividade. Remova permissões desnecessárias e confira integrações que continuam usando credenciais antigas. Essas rotinas são particularmente relevantes quando atendimento, vendas e financeiro usam sistemas diferentes.

Defina também como recuperar acesso. O procedimento não deve depender de uma pessoa sem substituto nem aceitar uma mudança de responsável baseada apenas em mensagem recebida por um canal informal.

Como confirmar um pagamento na empresa

A confirmação deve ocorrer no extrato, no aplicativo ou no painel oficial utilizado pela empresa. Uma imagem de comprovante enviada por mensagem não demonstra sozinha que o valor está disponível.

Concilie pedido, valor, identificação do pagamento e status no serviço. Verifique divergências antes de liberar mercadoria ou executar um reembolso. Um pagamento agendado, por exemplo, não deve ser interpretado como uma transferência já concluída.

Determine o que fazer se o cliente informar pagamento que não aparece. Receba os dados necessários, confira o canal e mantenha o atendimento claro. Não improvise uma cobrança duplicada nem altere a rotina porque alguém está pressionando a equipe.

No caixa, treine o operador para confirmar o crédito pelo fluxo previsto. O controle precisa continuar funcionando em períodos de movimento intenso. Se a única pessoa com acesso estiver ausente, estabeleça um substituto autorizado.

O que monitorar em uma fintech

Uma instituição pode analisar mudanças de dispositivo, alterações cadastrais, tentativas de acesso e padrões transacionais, respeitando finalidade, base legal e regras aplicáveis. Não existe um conjunto único de sinais que detecte toda fraude.

Defina o que acontece com um alerta. Ele pode exigir verificação adicional, análise humana ou outra medida prevista no serviço. Uma fila de alertas sem responsável e sem prioridade produz uma aparência de proteção que não se traduz em resposta.

Avalie também falsos positivos: operações legítimas interrompidas por um controle. Segurança e experiência precisam ser acompanhadas juntas. Reduzir fraude às custas de bloquear indiscriminadamente todos os usuários não é um processo bem calibrado.

Registre a razão das decisões e mantenha controles de revisão. Se um modelo automatizado muda de comportamento, a equipe precisa conseguir identificar o efeito e corrigir o processo. Não trate uma ferramenta de inteligência artificial como infalível.

Como organizar uma ocorrência de fraude

Reúna os fatos em ordem: data, canal, valor, identificadores, pessoas que atenderam e decisões tomadas. Preserve documentos e mensagens relevantes sem editar o material original. O registro deve permitir reconstruir a sequência.

Acione a instituição pelo canal oficial e guarde o protocolo. Em suspeita de comprometimento de acesso, siga também as orientações para bloqueio ou recuperação da conta. Providências adicionais, como registro policial, devem acompanhar as circunstâncias do caso.

Não peça ao usuário que publique documentos pessoais em comentários abertos. Use um canal adequado para receber evidências e limite o acesso da equipe ao necessário para análise e atendimento.

Dê ao cliente informações que você consegue confirmar: protocolo, etapa e procedimento. Não prometa recuperação integral nem um prazo inventado. A devolução pode depender da análise e da disponibilidade de valores nas contas envolvidas.

O papel do MED no Pix

O MED é específico do Pix e foi criado para facilitar a recuperação em situações de fraude. Ele não funciona como uma garantia geral de que toda transferência será revertida a pedido do pagador.

O Banco Central publica orientações e um guia de implementação dos procedimentos de devolução. Instituições participantes precisam conferir o documento vigente e as regras correspondentes, inclusive os cronogramas aplicáveis à sua operação.

Para quem sofreu um golpe, a medida prática é procurar rapidamente sua instituição e apresentar os fatos pelo canal oficial. Para quem recebeu um pagamento legítimo questionado, é importante manter evidências da venda e da entrega.

Um comércio deve guardar pedido, nota quando aplicável, comunicação relevante e comprovação de entrega. Esse conjunto ajuda a responder a uma contestação, mas não autoriza divulgar dados do cliente nem acusá-lo publicamente.

Proteção de dados e segurança

Dados de pagamento e cadastro precisam de armazenamento e acesso organizados. A ANPD publica um guia de segurança da informação destinado a agentes de tratamento de pequeno porte. Ele é um apoio para construir controles proporcionais à operação.

Mapeie onde os dados ficam: sistema de vendas, planilha, mensagens, plataforma de atendimento e integrações. Muitas empresas protegem o serviço principal, mas deixam documentos completos espalhados em contas pessoais.

Adote uma rotina de atualização, cópia de segurança e revisão de permissões. A recuperação deve ser testada, pois uma cópia que ninguém consegue restaurar não resolve uma interrupção real.

Defina responsáveis para incidentes envolvendo dados pessoais e avalie as obrigações aplicáveis. Não confunda comunicar um problema à instituição de pagamento com cumprir todas as exigências relacionadas a um incidente de segurança.

Um checklist para o pequeno comércio

Antes de aceitar pagamentos, escolha um canal oficial, identifique quem pode conferir o crédito e documente a liberação do pedido. Durante a operação, confira valor e status. Depois, reconcilie recebimentos e pedidos.

Para devoluções, estabeleça aprovação, conferência e registro. Se alguém afirma ter pago a mais, confirme no extrato e utilize o procedimento adequado do serviço. Não transfira valores para uma chave diferente apenas porque ela foi enviada em uma conversa.

Revise falhas recorrentes. Comprovantes não conferidos, chaves alteradas sem autorização e pedidos entregues sem registro indicam processos que precisam de ajuste. Treinamento deve incluir casos reais da operação, preservando dados pessoais.

Meça o custo das ocorrências, o tempo de resolução e a origem dos erros. Essas informações ajudam a priorizar controles. Não avalie o trabalho apenas pelo número de alertas ou pelo volume de documentos solicitados.

Exemplo de procedimento de conferência de pagamentos

Uma pequena loja recebe uma mensagem de cliente dizendo que já fez o Pix e envia uma imagem do comprovante. A equipe não deve liberar o pedido com base somente nesse arquivo, porque uma captura de tela não comprova que o valor foi creditado. O passo administrativo é conferir a entrada na conta ou no sistema oficial do serviço de pagamento, verificar o valor e associá-lo ao pedido correspondente.

Essa regra exige organização, não exposição de dados do cliente. Registre número interno do pedido, horário, quantia e status da transação. Não armazene dados financeiros desnecessários e limite acesso às pessoas responsáveis.

Como lidar com suspeita de fraude

Oriente a equipe a preservar registros relevantes, usar os canais oficiais da instituição financeira e comunicar o ocorrido ao responsável designado. Evite prometer devolução garantida. O MED possui condições específicas e não se aplica a simples desacordo comercial. A instituição participante orientará sobre os procedimentos pertinentes.

Checklist de controles sem complexidade excessiva

• Confirme crédito na fonte oficial antes de entregar mercadorias.
• Separe permissões de receber pedidos e autorizar devoluções quando viável.
• Use autenticação forte e evite credenciais compartilhadas.
• Registre ocorrências e revisões para entender causas recorrentes.
• Oriente clientes a consultar canais oficiais em caso de suspeita.

Veja nosso exemplo de conferência de comprovante de Pix antes de liberar uma venda, que complementa esta análise com uma rotina própria do comércio.

Organize também os pagamentos com uma rotina de fluxo de caixa semanal.

Perguntas frequentes

Inteligência artificial elimina as fraudes?

Não. Ela pode ajudar a identificar padrões, mas produz erros e depende da qualidade dos dados e do processo. Controles, atendimento e revisão continuam necessários.

Comprovante por WhatsApp é confirmação suficiente?

Não deve ser a única confirmação. Verifique o recebimento pelo canal oficial usado pela empresa e relacione a transação ao pedido. A aparência do documento não comprova disponibilidade do valor.

O MED resolve qualquer problema em uma compra?

Não. A finalidade e a elegibilidade dependem das regras do mecanismo. Um desacordo comercial exige atendimento pelo canal adequado e não equivale automaticamente a fraude.

Como acompanhar mudanças nas regras?

Consulte o Banco Central e a documentação do prestador. Registre versão, data e cronograma de implementação. Diferencie anúncio, publicação normativa e início de vigência.

Fontes e próximos passos

Consulte a FAQ do Banco Central sobre o MED, o guia de implementação dos procedimentos de devolução e o guia de segurança da ANPD para agentes de pequeno porte.

Para organizar o impacto financeiro das ocorrências, consulte também o planejamento de fluxo de caixa. Comece revisando quem confirma pagamentos e quem autoriza devoluções: são duas decisões distintas que precisam de registros claros.