Fraudes em compras online: entenda a responsabilidade dos fornecedores e seus deveres legais

Panorama das fraudes em compras online e a responsabilidade dos fornecedores

As fraudes em compras online cresceram com a expansão do comércio eletrônico, métodos de pagamento digitais e a massificação do mobile commerce. O fenômeno abrange desde o uso indevido de cartão de crédito e account takeover (invasão de contas) até phishing, social engineering, golpes com Pix, lojas falsas, dropshipping opaco, marketplaces com vendedores problemáticos e golpes híbridos envolvendo logística. Em todos esses cenários, a legislação de consumo brasileira — notadamente o Código de Defesa do Consumidor (CDC, Lei 8.078/1990) — impõe ao fornecedor o dever de segurança, informação, qualidade e adequação do serviço, com responsabilidade objetiva por defeitos do produto/serviço (arts. 12 a 14). No comércio eletrônico, o Decreto 7.962/2013 especifica obrigações de transparência, confirmação de compra e mecanismos simples de arrependimento. A LGPD (Lei 13.709/2018) exige bases legais e segurança no tratamento de dados — peça-chave para reduzir fraudes. Somam-se o Marco Civil da Internet (Lei 12.965/2014) e as regras de SAC (Decreto 11.034/2022), além das normas dos arranjos de pagamento e do Banco Central.

Do ponto de vista jurídico, a premissa é que fraudes fazem parte do risco do empreendimento. Assim, em hipóteses típicas de uso indevido de credenciais, golpes de boleto falso, clonagem, interceptação de entrega ou falhas de autenticação, a tendência de responsabilização recai sobre quem integra a cadeia de fornecimento e obtém benefício econômico direto da transação, incluindo lojas, marketplaces e intermediadores quando influenciam a oferta ou o fluxo transacional. Nas vendas com cartão, a dinâmica de chargeback (contestação) é regida também pelos arranjos de pagamento; porém, na relação com o consumidor final, não se transfere ao cliente a perda decorrente de fraude que ele não deu causa.

Tipos de fraude mais recorrentes e onde surge a responsabilidade

Fraude de pagamento (cartão de crédito, débito e carteiras)

• Card-not-present: uso indevido de dados de cartão em transação sem apresentação física. A loja responde perante o consumidor por cobranças indevidas e por entregas decorrentes de fraude, devendo estornar e reforçar controles (3-D Secure, autenticação forte, motor de risco).
• Chargeback amistoso (friendly fraud): o titular contesta compra legítima (esquecimento, uso por familiar). A plataforma pode provar a legitimidade com logs, biometria comportamental, IP, confirmação por e-mail/SMS e aceite de termos — mas o processo com o arranjo de pagamento corre em paralelo à obrigação de atender o consumidor com clareza.
• Boleto/QR fraudado: interceptação e troca por boleto/QR com conta diversa. A responsabilidade tende a recair sobre quem disponibilizou o boleto/QR e não implementou verificações (ex.: linha digitável conferível, exibição de favorecido e CNPJ, confirmação no ato).

Account takeover e engenharia social

• ATO: invasão da conta do cliente para compras, troca de endereço, resgate de cupons. O fornecedor deve adotar MFA, alertas de atividade, bloqueio por anomalia e reautenticação para operações sensíveis.
• Phishing/Smishing/Vishing: páginas e mensagens falsas que imitam a marca. Além de atuar repressivamente (takedown), o fornecedor tem dever de educar e comunicar riscos, publicar domínios oficiais e investir em brand protection.

Logística e entrega

• Roubo de carga, extravios, avarias e entrega indevida. O prazo e integridade da entrega integram a oferta; a responsabilidade perante o consumidor é objetiva, mesmo quando a falha é da transportadora. O cliente pode optar por reenvio ou estorno.
• Golpe do intermediário (marketplaces/redes sociais): leads captados por perfis clonados e pagamentos fora do ambiente seguro. A marca deve desestimular transações fora da plataforma, manter selos, autenticação de vendedores e canais de denúncia.

Marketplaces e dropshipping

• Marketplaces são cobrados a identificar o vendedor, informar contatos e mediar atendimento. Se influenciam a oferta, processam pagamentos ou lucram com a venda, podem responder solidariamente.
• Em dropshipping, o fornecedor nacional que capta o cliente responde perante o consumidor por prazos realistas, tributos informados, devoluções e qualidade — fraudes por vendedores ocultos não eximem sua responsabilidade.

Dever de informação, segurança e atendimento: como a lei estrutura a responsabilidade

Informação clara e ostensiva (CDC e Decreto 7.962/2013)

Antes da compra, a loja virtual deve expor CNPJ/CPF, endereço físico/eletrônico, características essenciais do produto/serviço, preço total com frete e taxas, prazos de entrega e políticas de troca/arrependimento. Após a compra, deve enviar resumo contratual (produto, preço, prazo, canais de suporte) e oferecer mecanismo de cancelamento simples. Promoções precisam evidenciar estoque e prazo.

Segurança e proteção de dados (LGPD)

O tratamento de dados deve se apoiar em bases legais adequadas (execução de contrato, consentimento para marketing, legítimo interesse com teste), com medidas técnicas e administrativas para prevenir acesso não autorizado, perda e alteração. Incidentes relevantes devem ser comunicados à autoridade e aos titulares. Sem governança de dados, a chance de ATO e vazamentos que alimentam fraudes cresce — e com ela a responsabilidade do fornecedor.

Atendimento e solução de conflitos (SAC)

O Decreto 11.034/2022 impõe atendimento gratuito, acessível, com protocolo, histórico, prazos razoáveis e canal de cancelamento claro. Diante de fraude, o tempo de resposta e a resolução ágil são tão importantes quanto a prevenção.

Direitos do consumidor em cenários específicos de fraude

Compra não reconhecida

• O consumidor comunica a loja/banco; a loja avalia logs, confirma dispositivo, localização e autenticação. Ausente prova robusta de culpa do consumidor, prevalece o estorno e a correção do cadastro comprometido.

Entrega em endereço alterado por invasor

• Se a alteração ocorreu na conta do cliente sem confirmação forte, a responsabilidade tende a recair sobre a plataforma. Controles: reautenticação para mudança de endereço, aviso por e-mail/SMS e bloqueio por risco.

Loja falsa usando marca legítima

• Em regra, a perda é do consumidor que pagou a terceiro estranho. Contudo, a marca verdadeira deve praticar brand protection (takedown, avisos, domínios oficiais). A omissão prolongada diante de fraudes repetidas pode aumentar sua exposição reputacional e, em hipóteses extremas, discussões sobre dever de informação/mitigação.

Marketplace com vendedor fraudulento

• Se o marketplace hospedou a oferta, processou pagamento e auferiu comissão, a jurisprudência costuma reconhecer solidariedade ou, no mínimo, dever de solução eficiente ao consumidor, com regresso contra o vendedor.

Arquitetura antifraude e governança: como reduzir risco e responsabilidade

Prevenção em camadas (pagamento e conta)

• MFA e 3-D Secure 2.x; biometria comportamental; listas positivas/negativas; revisão manual de casos limítrofes.
• Risk-based authentication (RBA): aumenta rigor quando risco sobe (IP anônimo, dispositivo novo, valor alto, CEP divergente).
• Tokenização e segmentação de dados; conformidade PCI-DSS quando aplicável.
• Política de senhas e rotação de tokens; expiração de sessão e rate limiting para login/checkout.

Transparência de jornada e “dark patterns”

• Evite interfaces que dificultem cancelamento e acesso à política de arrependimento. Padrões enganosos agravam a responsabilidade e elevam reclamações.

Parcerias e contratos

• Contratos com gateways, antifraude, transportadoras e seller centers com SLAs, indicadores, auditoria e cláusulas de regresso por falhas.

Métricas e mini-gráficos para gestão

• Taxa de fraude por método de pagamento (meta: < 0,5–1,0% conforme o setor).
• Chargeback ratio no cartão (meta: abaixo do limite do arranjo e tendência decrescente).
• Tempo de estorno ao consumidor (meta: ≤ 5 dias úteis após confirmação).
• Taxa de ATO por 10 mil logins (meta: queda contínua com MFA).
• % pedidos de alto risco revisados manualmente (meta: < 10% com bom modelo).

Casos práticos e lições

Assinaturas digitais com renovação automática

Risco: contestações por falta de clareza. Boa prática: destaque o valor, periodicidade e cancelamento imediato no painel do usuário; lembretes pré-renovação; double opt-in no início.

Live commerce e social selling

Risco: pagamentos por links improvisados e perfis falsos. Boa prática: somente checkout oficial, domínios verificados, selo de conta e QR dinâmico conferível.

Entrega com prova fotográfica

Risco: foto não comprova recepção correta. Boa prática: georreferenciamento, registro de horário e coleta de assinatura eletrônica quando sensível, além de opção de ponto de retirada.

Conclusão: segurança jurídica e confiança como estratégia de negócio

Fraudes em compras online são um desafio estrutural do ecossistema digital. A boa notícia é que as mesmas regras que protegem o consumidor também criam uma agenda clara para as empresas: informação ostensiva, segurança de dados, atendimento resolutivo e arquitetura antifraude em camadas. Quando a operação incorpora o CDC, o Decreto do E-commerce, a LGPD, o Marco Civil, as regras de SAC e de pagamentos, a experiência do usuário melhora, o custo de risco cai e a marca ganha reputação. Em síntese: prevenir, detectar, responder e aprender — quatro verbos que reduzem fraudes e consolidam a responsabilidade do fornecedor como diferencial competitivo, não como mero ônus regulatório.

Quem responde quando há compra não reconhecida no meu cartão?

Em regra, o fornecedor (loja virtual/marketplace e quem integra a cadeia de pagamento) responde objetivamente perante o consumidor por compras não reconhecidas realizadas no ambiente on-line. A obrigação típica é estornar a cobrança e corrigir cadastros/credenciais comprometidas, sem prejuízo de eventual regresso contra o verdadeiro causador (fraudador, parceiro negligente). O consumidor não pode ser penalizado por fraude fora do seu controle.

O marketplace pode dizer que a culpa é “do vendedor” e negar solução?

Não deve. Quando o marketplace hospeda a oferta, processa o pagamento e aufere comissão, a prática de consumo e decisões administrativas/judiciais tendem a reconhecer responsabilidade solidária ou, no mínimo, dever de solucionar de forma efetiva, com posterior repasse/regresso ao vendedor.

Fraude por boleto/QR falso: quem arca com o prejuízo?

Se o boleto/QR foi emitido ou encaminhado por canal do fornecedor e não havia mecanismos razoáveis de verificação (linha digitável conferível, nome/CNPJ do favorecido, confirmação no ato), há forte tendência de responsabilização do fornecedor. Se o pagamento foi realizado a terceiro estranho fora do fluxo oficial, a loja deve demonstrar que informou claramente os canais legítimos e atuou em brand protection (takedown, alertas).

Fui vítima de “account takeover” (minha conta foi invadida). A loja é responsável?

O fornecedor deve implementar medidas de segurança proporcionais ao risco (MFA, reautenticação para alterar endereço/telefone, alertas, bloqueio por anomalia). Sem esses controles, aumenta a probabilidade de ser responsabilizado por compras/alterações indevidas. Após a fraude, espera-se bloqueio da conta, estorno do pedido e troca de credenciais.

Qual é o prazo para reembolso em casos de fraude e de arrependimento?

Não há um prazo único fixado para fraude, mas a solução deve ser rápida e efetiva (padrões de SAC). Para arrependimento (art. 49 do CDC), a devolução é integral e o processo deve ser simples e destacado no site. Em boas práticas, reembolsos ocorrem em até 5 dias úteis após confirmação.

Como a LGPD impacta a responsabilidade do e-commerce por fraudes?

A LGPD exige base legal para o tratamento de dados (execução de contrato, consentimento para marketing etc.), segurança da informação e transparência. Vazamentos e falhas de segurança que favoreçam fraude elevam o risco de responsabilização e podem exigir comunicação de incidente à ANPD e aos titulares, além de sanções administrativas.

O que é chargeback e como deve ser tratado com o consumidor?

Chargeback é a contestação de uma transação pelo emissor do cartão. As regras dos arranjos de pagamento definem etapas e prazos, mas isso não afasta o dever do fornecedor de atender o consumidor, analisar os logs e, quando apropriado, promover estorno imediato. Registros de IP, dispositivo, 3-D Secure e aceite de termos ajudam a demonstrar legitimidade em casos de disputa.

Comprei em anúncio de rede social; depois descobri que era golpe. Tenho direito?

Se o anúncio redirecionou para canal oficial do fornecedor, este responde por falhas de segurança/entrega. Se o pagamento foi feito a terceiro estranho fora do fluxo, a solução depende de prova e contexto: quanto mais a marca tiver informado os canais legítimos, monitorado anúncios e combatido perfis falsos, menor a sua exposição; ainda assim, é recomendável acionar SAC, banco/emissor e plataformas para bloqueio/estorno.

Que provas ajudam o consumidor na solução do caso?

Protocolo de atendimento, prints do anúncio/checkout, e-mails de confirmação, linha digitável do boleto, extrato da cobrança, logs de acesso quando fornecidos, fotos do pacote e recibos de entrega. Guarde tudo em formato digital e numere os arquivos para facilitar a análise.