Chargebacks por Compra Não Autorizada no Shopify: O Que Verificar Antes de Enviar sua Contestação

Você pode perder antes de o emissor ler qualquer evidência

Chargebacks por compra não autorizada frequentemente mascaram falhas operacionais mais do que lacunas de evidência. O lojista que enviou um pedido de R$ 2.500 com AVS Y, correspondência de CVV e confirmação de entrega — e ainda assim perdeu — não perdeu porque as evidências estavam faltando. Perdeu porque as evidências não fecharam as lacunas que o emissor estava de fato avaliando.

Antes de abrir o formulário de contestação no Shopify Admin, acesse o pedido e verifique quatro coisas: os sinalizadores de análise de fraude, os resultados de AVS/CVV armazenados em Detalhes do Pagamento, o registro de fulfillment incluindo o endereço de entrega utilizado, e qualquer comunicação com o cliente registrada nas notas do pedido. Se algum desses itens estiver incompleto ou ausente, o pacote de evidências que você está prestes a enviar tem um problema estrutural que nenhuma carta de apresentação resolve. O status do Shopify Protect — PROTECTED, ACTIVE ou ausente — também deve ser confirmado antes de decidir entre contestar ou aceitar. Se o pedido estiver como PROTECTED, o Shopify absorve o prejuízo e nenhuma contestação é necessária da sua parte.

Visa 10.4 e Mastercard 4837: o que cada rede realmente exige

Ambos os códigos de motivo significam que o titular do cartão alega não ter autorizado a transação. As regras das redes divergem no que você precisa apresentar para refutá-los.

O código de motivo Visa 10.4 — Fraude em Cartão Não Presente — exige que você demonstre que a transação foi autorizada e que você seguiu os procedimentos de aceitação de cartão não presente da Visa. Na prática, as regras da Visa atribuem peso significativo à autenticação 3D Secure. Se você tiver um resultado 3DS totalmente autenticado (ECI 05 para Visa), a responsabilidade é transferida para o emissor e o chargeback não deveria sobreviver — as regras da Visa proíbem o emissor de registrar um 10.4 em uma transação totalmente autenticada. Se você tiver uma autenticação tentada (ECI 06), tem proteção parcial, mas o emissor ainda pode registrar o chargeback. Sem 3DS, você está argumentando apenas com base em evidências. A Visa também espera que você demonstre que o AVS foi verificado e que você agiu com base no resultado — enviar para um endereço que não correspondeu ao AVS sem documentação do motivo pelo qual você prosseguiu é uma responsabilidade, não um fato neutro.

O código de motivo Mastercard 4837 — Sem Autorização do Titular — funciona de forma semelhante, mas com expectativas de documentação diferentes. A Mastercard atribui peso mais explícito a se a transação foi processada com um código de autorização válido e se você consegue demonstrar que os dados do cartão foram inseridos por alguém com acesso à conta. Um resultado 3DS totalmente autenticado (ECI 02 para Mastercard) também transfere a responsabilidade. Sem 3DS, a Mastercard espera que você demonstre que os dados da transação correspondiam ao perfil do titular — endereço de cobrança, dispositivo, histórico comportamental — e que você tinha motivos razoáveis para acreditar que o titular autorizou a compra. As regras da Mastercard também permitem que os emissores registrem o 4837 mesmo quando o AVS correspondeu, portanto não trate AVS Y como uma defesa isolada no nível da rede.

A diferença prática: no Visa 10.4, sua defesa mais forte é um resultado 3DS totalmente autenticado. No Mastercard 4837, o critério é ligeiramente mais holístico — a Mastercard quer ver um conjunto de sinais de autorização, não uma bala de prata. Em ambos os casos, sem 3DS, você está construindo um argumento a partir de evidências circunstanciais em camadas, e cada lacuna nessa estrutura é um ponto que o emissor pode usar contra você.

A pilha de evidências de autorização: o que cada sinal prova e onde falha

Seis sinais aparecem com mais frequência nas contestações de compra não autorizada. Nenhum deles prova autorização sozinho. Veja o que cada um realmente estabelece — e o que não estabelece.

AVS (Serviço de Verificação de Endereço). AVS Y confirma que o endereço de cobrança fornecido pelo titular no checkout correspondeu ao endereço registrado no emissor. Não prova que o titular digitou esse endereço — um fraudador com acesso às informações de cobrança passa pelo AVS Y sem problemas. Use AVS Y como um sinal corroborante, não como defesa isolada. Uma divergência de AVS é pior do que neutro: se o AVS retornou correspondência parcial ou nenhuma correspondência e você enviou assim mesmo sem documentação, o emissor tratará isso como evidência de que você ignorou um sinal de fraude.

Correspondência de CVV/CVC. O CVV confirma que a pessoa no checkout tinha acesso físico ou digital ao código de segurança de três ou quatro dígitos. É um sinal relevante porque o CVV não é armazenado na tarja magnética e não deveria estar em vazamentos de dados — mas fraudes em cartão não presente envolvem cada vez mais phishing e comprometimento de contas, onde o fraudador tem o número completo do cartão, a validade e o CVV. A correspondência de CVV é útil como parte de uma pilha de evidências; sozinha, prova muito pouco para um emissor que sabe como dados de cartão são roubados.

Autenticação 3D Secure. Este é o sinal mais forte da pilha. Um resultado 3DS totalmente autenticado (ECI 05 Visa / ECI 02 Mastercard) transfere a responsabilidade para o emissor e bloqueia o chargeback no nível da rede. Uma autenticação tentada (ECI 06 Visa / ECI 01 Mastercard) oferece proteção parcial. Sem 3DS, você está argumentando com todo o resto. Se você não está usando 3DS em transações de ticket médio elevado, está absorvendo uma responsabilidade que a rede transferiria para o emissor.

Endereço IP. A correspondência de endereço IP sugere que a transação originou de um local associado ao titular. Os emissores descartam isso quando proxies ou VPNs são plausíveis — e eles sempre são plausíveis em fraudes de cartão não presente. O IP é útil como contexto de suporte quando é consistente com o comportamento de compras anteriores da mesma conta. Uma única correspondência de IP em um primeiro pedido não prova quase nada.

Impressão digital do dispositivo. A impressão digital do dispositivo captura navegador, sistema operacional, resolução de tela e outros atributos para criar um identificador consistente entre sessões. Se a transação contestada veio da mesma impressão digital de dispositivo que cinco pedidos anteriores na mesma conta, isso é evidência comportamental relevante. Se veio de uma impressão digital de dispositivo que nunca havia acessado a conta antes, isso é um sinal de alerta que deveria ter sido detectado antes do fulfillment. Os dados de impressão digital do dispositivo precisam ser capturados e armazenados no momento da transação — não estão disponíveis retroativamente no Shopify Admin.

Sinais comportamentais. Os sinais comportamentais incluem: tempo entre a criação da conta e a compra, número de itens adicionados e removidos do carrinho, cadência de digitação nos campos do checkout e se a sessão seguiu um caminho de navegação normal. Esses dados são tipicamente capturados por plataformas de fraude integradas ao Shopify (Signifyd, NoFraud, Kount) e não pelo Shopify nativamente. Se você tem uma plataforma de fraude gerando uma pontuação de transação e uma recomendação, inclua esse resultado no seu pacote de evidências — ele mostra ao emissor que você realizou uma avaliação de risco documentada antes de realizar o fulfillment.

O padrão: cada sinal prova algo adjacente à autorização. Empilhe-os para construir um quadro de um titular que estava presente, consistente e engajado — não apenas uma transação que passou nas verificações básicas.

O pedido de vestuário de R$ 2.500 que tinha tudo e ainda perdeu

Um lojista de vestuário com ticket médio de R$ 1.250 recebeu um pedido de R$ 2.500 em 5 de janeiro. O AVS retornou Y. O CVV correspondeu. O pedido foi enviado em 6 de janeiro. A confirmação de entrega chegou em 8 de janeiro. O cliente havia recebido um e-mail de confirmação do pedido. No papel, parecia uma transação limpa.

O chargeback chegou em 15 de janeiro — compra não autorizada. O lojista reuniu as evidências: resultado do AVS, correspondência de CVV, confirmação de entrega, o e-mail de confirmação do pedido. Contestação enviada em 20 de janeiro. A decisão da disputa chegou em 10 de fevereiro. O titular ganhou.

A perda não foi por falta de documentos. O lojista tinha documentos. O problema foi que nada no pacote de evidências provou que o titular autorizou a transação ou recebeu fisicamente os produtos. O e-mail de confirmação do pedido provou que o endereço de e-mail recebeu uma notificação — não que o titular da conta fez o pedido. A confirmação de entrega provou que o pacote chegou ao endereço — não que o titular estava lá. O AVS Y provou que o endereço de cobrança correspondeu — não que o titular usou o cartão.

A análise de fraude no Shopify Admin havia sinalizado o pedido como risco médio. O lojista enviou assim mesmo sem registrar uma decisão de revisão manual ou documentar por que os sinalizadores de risco eram aceitáveis. Essa lacuna — sem revisão manual documentada, sem explicação de por que um pedido de risco médio foi atendido sem verificação adicional — deixou o emissor sem motivo para contestar a alegação do titular.

Uma contestação mais robusta teria incluído: o resultado da análise de fraude com uma explicação escrita de por que os sinais de risco foram revisados e aceitos; comunicação documentada com o cliente além do e-mail de confirmação gerado automaticamente (uma resposta, uma interação de suporte, qualquer coisa mostrando que o titular da conta interagiu com o pedido); e evidência de comportamento de compra consistente desse cliente — pedidos anteriores, mesmo endereço de entrega, mesmo dispositivo. Nada disso estava no processo.

Lição de decisão: Um caso com AVS Y, correspondência de CVV e confirmação de entrega é contestável se você conseguir demonstrar que o titular interagiu com o pedido além da própria transação. Sem isso — um e-mail de resposta, um pedido anterior, um ticket de suporte — as evidências provam o fulfillment, não a autorização. Os emissores conhecem a diferença.

O pedido de acessório eletrônico de R$ 900 que ganhou apenas com evidências comportamentais

Um lojista de acessórios para eletrônicos de consumo — ticket médio de R$ 450 — recebeu um pedido de R$ 900 por dois itens. O AVS retornou correspondência parcial (CEP correspondeu, endereço não). O CVV correspondeu. Sem 3DS. A análise de fraude do Shopify sinalizou o pedido como alto risco. A plataforma de fraude do lojista (Signifyd) retornou uma garantia para o pedido, o que significa que o Signifyd avaliou os sinais comportamentais e aceitou a responsabilidade. O lojista enviou o pedido.

O chargeback chegou 22 dias depois — Mastercard 4837. A contestação do lojista incluiu: a carta de garantia do Signifyd com a pontuação da transação e os sinais comportamentais que embasaram a decisão de garantia (impressão digital do dispositivo consistente com três pedidos anteriores na mesma conta, comportamento da sessão consistente com um cliente recorrente, endereço de entrega usado em um pedido anterior seis semanas antes); o histórico de pedidos anteriores mostrando o mesmo endereço de entrega; uma troca de e-mails com o atendimento ao cliente de um pedido anterior onde o titular havia respondido do mesmo endereço de e-mail; e o resultado parcial do AVS com uma nota escrita explicando que a correspondência do CEP combinada com o histórico de pedidos anteriores foi a base para o fulfillment apesar da divergência no endereço.

Decisão da disputa: lojista ganhou. O emissor tinha uma avaliação de risco documentada, evidências comportamentais de um cliente recorrente e uma comunicação anterior mostrando que o titular da conta era real e estava engajado. O resultado parcial do AVS — que parecia uma responsabilidade — foi neutralizado pelo histórico de pedidos anteriores mostrando que o mesmo endereço havia sido usado com sucesso antes.

Lição de decisão: Uma garantia de plataforma de fraude não ganha disputas por si só, mas os dados comportamentais por trás da decisão de garantia sim. Se você usa Signifyd, NoFraud ou uma plataforma similar, a pontuação da transação e os sinais que a embasam são evidências — inclua-os. E o histórico de pedidos anteriores da mesma conta é um dos sinais mais fortes que você pode apresentar a um emissor em uma alegação de não autorização.

Fraude amigável versus fraude real: lendo o padrão de sinais

Nem toda alegação de compra não autorizada é um desconhecido usando um cartão roubado. Uma parcela significativa — as estimativas variam, mas dados do setor consistentemente apontam acima de 40% das alegações de não autorização — é fraude amigável: o titular autorizou a transação e agora está negando. O padrão de evidências é diferente, e a estratégia de resposta correta também é.

Sinais de fraude real: cliente de primeira vez sem histórico de conta anterior; endereço de entrega diferente do endereço de cobrança sem uso anterior desse endereço de entrega; impressão digital do dispositivo não associada anteriormente à conta; transação realizada em horário incomum sem histórico de navegação precedendo o checkout; múltiplos itens de alto valor em um único pedido; frete expresso selecionado. Quando você vê esse conjunto, a alegação do titular provavelmente é legítima. A questão é se seus controles pré-fulfillment deveriam ter detectado isso.

Sinais de fraude amigável: cliente estabelecido com múltiplos pedidos anteriores; endereço de entrega corresponde ao endereço de cobrança ou a um endereço usado anteriormente; impressão digital do dispositivo consistente com sessões anteriores; cliente contatou o suporte após o pedido (consulta de rastreamento, dúvida sobre entrega); pedido realizado em horário normal com uma sessão de navegação precedendo o checkout; item único no nível de gasto típico do cliente. Quando você vê esse conjunto, conteste a disputa. O padrão de comportamento do titular contradiz a alegação de não autorização.

O caso misto — um cliente recorrente cuja conta foi comprometida — é o mais difícil de avaliar. Um ataque de tomada de conta (ATO) mostrará o histórico de um cliente recorrente, mas uma nova impressão digital de dispositivo, um novo endereço de entrega e frequentemente um valor de pedido acima do típico. Se você vir um cliente recorrente com uma mudança repentina de dispositivo, endereço e nível de gasto, trate como provável ATO e considere se o pedido deveria ter sido retido para verificação. Se você já enviou, a disputa provavelmente é legítima — conceda e foque em fortalecer sua detecção de ATO.

Quando conceder em vez de contestar

Nem todo chargeback por compra não autorizada vale o tempo de resposta. Três situações em que conceder é a decisão certa:

Alegações de não autorização com ticket baixo e evidências fracas. Se o valor contestado é inferior a R$ 250 e você não tem autenticação 3DS ou histórico anterior do cliente, o custo de montar e enviar uma contestação frequentemente supera o valor de recuperação — especialmente quando a probabilidade de vitória é baixa. Estabeleça um limite: se o pedido está abaixo do seu limite de custo de contestação e a pilha de evidências é fraca, aceite o chargeback e siga em frente.

Disputas de clientes recorrentes com novo dispositivo e novo endereço. Este é o padrão de ATO. A conta do titular foi comprometida, um fraudador fez o pedido, e o titular real está contestando. Seu histórico de pedidos anteriores com esse cliente não ajuda aqui — ajuda o titular a provar que sua conta foi alvo. Conceda, sinalize a conta para revisão e verifique se outros pedidos recentes da mesma conta precisam ser reembolsados proativamente antes que mais chargebacks cheguem.

Pedidos onde a análise de fraude do Shopify sinalizou alto risco e você enviou sem documentação. Se a análise de fraude retornou alto risco, você atendeu assim mesmo e não tem uma decisão de revisão manual documentada explicando o motivo — você não tem uma narrativa credível para o emissor. Enviar uma contestação sem essa documentação frequentemente piora o caso, não melhora, porque chama atenção para a lacuna. Conceda, documente internamente a falha na decisão de fulfillment e corrija o processo de revisão pré-fulfillment.

A armadilha da janela de recuperação: dados que desaparecem antes de você precisar deles

As contestações de chargeback são montadas semanas ou meses após a transação. Várias categorias de evidências têm janelas de expiração que a maioria dos lojistas não considera até que os dados já tenham desaparecido.

Digitalizações de assinatura da transportadora são a vítima mais comum. Muitas transportadoras retêm imagens de assinatura de comprovante de entrega por 30 a 90 dias antes de arquivá-las ou excluí-las. Se o chargeback chegar no dia 45 e você solicitar a digitalização da assinatura no dia 60, ela pode não existir mais. Salve as digitalizações de assinatura da transportadora para qualquer pedido de ticket alto no momento da confirmação de entrega — não quando a disputa chegar.

Threads de mensagens do atendimento ao cliente são arquivadas ou excluídas quando as plataformas de suporte rotacionam o armazenamento. Se um cliente respondeu a uma confirmação de pedido, perguntou sobre rastreamento ou contatou o suporte sobre o pedido, essa comunicação é evidência de engajamento do titular da conta. Exporte e anexe ao registro do pedido no Shopify Admin ou no seu CRM no momento da interação, não retroativamente.

Pontuações de transação e dados comportamentais de plataformas de fraude às vezes são acessíveis apenas por uma janela limitada no painel da plataforma. Se você usa Signifyd, NoFraud ou Kount, verifique a política de retenção de dados e exporte os detalhes da transação para pedidos de ticket alto no momento do fulfillment.

Dados de sessão de impressão digital do dispositivo da sua plataforma de análise ou fraude podem ser removidos após 60 a 90 dias dependendo das suas configurações de retenção de dados. Se um chargeback chegar no dia 75, os dados de sessão que teriam mostrado comportamento consistente do dispositivo entre pedidos podem já ter desaparecido.

A solução é procedimental: para qualquer pedido acima do seu limite de contestação de chargeback, capture e armazene o pacote completo de evidências no fulfillment — confirmação da transportadora, comunicações com o cliente, resultado da plataforma de fraude, dados de dispositivo e sessão. Não espere uma disputa para iniciar o processo de coleta.

Controles pré-fulfillment que impedem a disputa de chegar

A melhor contestação de chargeback por compra não autorizada é aquela que você nunca precisa escrever. A maioria das lacunas de evidência que destroem contestações de disputas é criada no fulfillment, não na fase de resposta.

Ative o 3DS em transações de ticket alto. Se o seu processador de pagamento suporta 3DS2, configure-o para ser acionado em pedidos acima do seu limite médio de chargeback. Um resultado 3DS totalmente autenticado elimina a responsabilidade do Visa 10.4 e Mastercard 4837 no nível da rede. O custo de fricção para clientes legítimos é real, mas gerenciável; a transferência de responsabilidade é absoluta.

Crie uma etapa de revisão manual documentada para pedidos de risco médio e alto. Os sinalizadores de análise de fraude do Shopify são um ponto de partida, não uma decisão. Se um pedido for sinalizado como risco médio ou alto, a decisão de fulfillment deve ser registrada — quem revisou, quais sinais foram avaliados, por que o pedido foi aprovado ou retido. Esse registro é evidência em uma contestação de disputa. Sem ele, você não tem narrativa.

Verifique a correspondência entre endereços de entrega e cobrança antes do fulfillment em clientes de primeira vez. Uma divergência em um primeiro pedido sem histórico de conta anterior é um sinal de fraude relevante. Retenha o pedido para verificação ou documente por que você prosseguiu. Enviar para um endereço divergente sem documentação é uma responsabilidade que você está criando para si mesmo.

Exija verificação por telefone ou e-mail em primeiros pedidos de alto valor. Uma etapa de verificação — mesmo uma simples resposta de confirmação — cria um registro de comunicação mostrando que o titular da conta interagiu com o pedido. Esse registro vale mais em uma contestação de disputa do que AVS Y e CVV combinados.

Sinalize e retenha pedidos que mostram padrões de ATO: conta de cliente recorrente, nova impressão digital de dispositivo, novo endereço de entrega, valor de pedido acima do típico. Ataques de ATO em contas estabelecidas são mais difíceis de detectar do que fraudes em contas novas, mas o conjunto de sinais é reconhecível. Uma retenção de 24 horas com uma confirmação por e-mail para o endereço registrado da conta captura uma parcela significativa de tentativas de ATO antes do fulfillment.

A automação do DisputeDesk cuida da montagem de evidências, rastreamento de prazos e formatação de respostas — mas os controles acima determinam se você tem algo que vale a pena montar. Construa o processo pré-fulfillment primeiro; a contestação de disputa é o que você faz quando esse processo falha.

O que verificar antes de enviar

Percorra esta lista antes de abrir o formulário de contestação. Shopify Admin > Pedidos > [o pedido contestado] é seu ponto de partida para tudo.

Primeiro, confirme o prazo da disputa. O Shopify exibe isso na seção Disputas — perdê-lo significa perda automática independentemente da qualidade das evidências. Segundo, verifique o status do Shopify Protect. Se o pedido mostrar PROTECTED, pare — o Shopify cobre a disputa e nenhuma resposta é necessária da sua parte. Terceiro, acesse o resultado da análise de fraude. Anote quaisquer sinalizadores de risco e decida agora se você tem uma explicação documentada de por que o pedido foi atendido. Se não tiver, isso é uma lacuna na sua contestação. Quarto, verifique os resultados de AVS e CVV em Detalhes do Pagamento. Se qualquer verificação foi incompleta ou retornou divergência, seu pacote de evidências precisa abordar isso diretamente — não o enterre. Quinto, verifique o endereço de entrega em relação ao endereço de cobrança. Uma discrepância que não foi resolvida antes do fulfillment é uma responsabilidade na contestação; os emissores a citam como evidência de possível fraude. Sexto, revise toda comunicação com o cliente registrada nas notas do pedido. Se a única comunicação for o e-mail de confirmação gerado automaticamente, avalie se isso é suficiente para mostrar que o titular da conta interagiu com o pedido — geralmente não é. Sétimo, verifique se você tem dados de autenticação 3DS. Se você tiver um resultado ECI 05 (Visa) ou ECI 02 (Mastercard), comece com ele — essa é sua peça de evidência mais forte. Oitavo, alinhe seu pacote de evidências especificamente ao código de motivo de compra não autorizada. Pacotes de evidências genéricos — número de rastreamento, resumo do pedido, termos de serviço — raramente convencem emissores em alegações de não autorização. O pacote precisa abordar autorização e posse, não apenas fulfillment.

Depois de confirmar que as evidências abordam o que o emissor está realmente avaliando — não apenas o que você tem disponível — envie a contestação.