Pedidos malsucedidos em massa? Pode ser teste de cartão

Você abre o painel de manhã e encontra dezenas de pedidos com status Malsucedido, todos de madrugada, quase todos com o mesmo produto barato e cada um com um cartão diferente recusado. Ninguém reclamou, ninguém ligou, e parece que o checkout quebrou.

Muitas vezes, o checkout está funcionando muito bem. Bem até demais: alguém está usando a sua loja para descobrir quais cartões roubados ainda funcionam.

Isso tem nome: teste de cartão (card testing, ou “carding”). A minha opinião é que, para quem aceita cartão, a pergunta certa é se você vai perceber rápido quando o ataque acontecer, porque cedo ou tarde ele acontece. E a semana antes da Black Friday é o momento de deixar a loja preparada, porque depois o volume de pedidos legítimos esconde tudo.

O que é o teste de cartão

A documentação do WooCommerce sobre como prevenir e responder a ataques de teste de cartão explica o mecanismo: o fraudador tem uma lista grande de números de cartão roubados e precisa saber quais ainda passam. Então ele faz várias compras de valor baixo, cada uma com um cartão diferente, para não chamar atenção.

Os cartões que passam são revendidos como “testados” ou usados depois em compras maiores, em outro lugar.

A sua loja entra nessa história só como balança. O fraudador não quer o seu produto. Ele escolhe o item mais barato do catálogo, ou um produto de doação com valor livre, e repete a compra até acabar a lista.

Por que isso é problema seu

Os pedidos malsucedidos não são vendas que você perdeu, e ninguém desistiu de comprar. O prejuízo vem de outros lugares, e a própria documentação do WooCommerce lista os principais:

• Taxas. Dependendo do gateway, cada tentativa pode ter custo, e o estorno de uma compra fraudulenta que passou pode não devolver a taxa da transação.
• Contestações. Quando o dono do cartão vê a cobrança e contesta, vira chargeback na sua conta.
• Taxa de recusa alta. Um monte de transações recusadas em sequência suja o histórico da sua loja junto ao gateway.

Um exemplo ilustrativo: um produto de R$ 3,90 que ninguém compra de verdade aparece em 300 pedidos numa madrugada. Uns 20 passam. Se você só percebe dias depois, os donos desses cartões já viram a cobrança e contestaram.

O que pesa é o tempo que você leva para perceber.

Como reconhecer um ataque

Os sinais são bem característicos:

• Pico de pedidos com status Malsucedido (Failed, no painel em inglês), muitas vezes em horário de pouco movimento.
• Notas no pedido com várias recusas de cartão.
• O mesmo produto barato repetido, com nomes e e-mails que não fazem sentido.
• Muitas contas novas de cliente criadas em pouco tempo. A documentação do WooCommerce lembra que, se não aparecem pedidos malsucedidos mas você desconfia de algo, o fraudador pode estar validando cartões ao salvá-los em contas na sua loja.

Se você tem o hábito de olhar WooCommerce -> Pedidos filtrando por Malsucedido uma vez por dia, já sai na frente da maioria. E, se precisar investigar a fundo ou mandar informação para o suporte do seu gateway, os logs ajudam muito. Escrevi aqui como baixar os logs do WooCommerce.

O que fazer antes da Black Friday

Nenhuma dessas medidas depende de comprar plugin pago. Faça nesta ordem.

1. Coloque uma barreira contra robôs no checkout

O ataque é feito por robô, então a primeira defesa é um captcha no checkout. A documentação do WooCommerce cita algumas opções. A que eu olharia primeiro é o Simple CAPTCHA with Cloudflare Turnstile, gratuito no WordPress.org. O Turnstile costuma passar sem pedir nada ao cliente de verdade, o que importa muito num checkout.

Depois de instalar, faça um pedido de teste no celular. Captcha que trava cliente real é pior que o problema que ele resolve. Se quiser rever o checkout inteiro com esse olhar, veja o que tirar do checkout antes da Black Friday.

2. Tire o alvo fácil da vitrine

Produto de doação sem valor mínimo, produto “pague quanto quiser” e aquele item de R$ 1 criado para teste e esquecido publicado são exatamente o que o fraudador procura. Deixe privado ou coloque um valor mínimo.

3. Conheça o antifraude do seu gateway

Cada gateway trata fraude de um jeito: alguns têm regras no painel, outros fazem a análise do lado deles e só mexem nas configurações pelo suporte. Entre no painel do seu agora, com calma, e veja o que existe, como bloqueio por valor mínimo, limite de tentativas ou análise de risco. No WooPayments, por exemplo, a documentação sobre teste de cartão mostra como criar uma regra para bloquear pedidos abaixo de um valor.

Se não achar, pergunte ao suporte do gateway o que eles fazem quando a sua loja sofre um ataque. Melhor descobrir agora do que numa madrugada de novembro.

4. Pense na compra sem cadastro e no cartão salvo

Durante um ataque, a documentação do WooCommerce sugere considerar desligar a compra sem conta (em WooCommerce -> Configurações -> Contas e privacidade) e desativar o pagamento com cartão salvo, quando o seu método de pagamento permite.

Eu não faria isso de forma preventiva na Black Friday. Obrigar cadastro derruba conversão. Mas deixe anotado onde fica a opção, para usar se o ataque vier.

E se o ataque já começou?

1. Estorne o que passou. Revise os pedidos do período e reembolse os que parecem fraude. A documentação do WooCommerce coloca isso como o passo mais urgente, porque o estorno feito antes da contestação evita o chargeback.
2. Aperte as regras do gateway. Se o ataque tem padrão (o mesmo produto, o mesmo valor), crie uma regra para bloqueá-lo e acompanhe: o fraudador muda de tática.
3. Ligue o captcha, se ainda não tinha, e esconda o produto usado no ataque.
4. Avise o gateway. Ele pode reforçar o antifraude da sua conta e ajudar com estornos em volume.

Uma coisa que o WooCommerce deixa claro na documentação: mesmo com a proteção que vem no gateway, a responsabilidade pela prevenção é da loja. Isso vale para qualquer plataforma. Escrevi sobre essa lógica de manutenção em WooCommerce é inseguro?.

Para fazer esta semana

• Filtre os pedidos por Malsucedido e veja se já tem algo estranho no último mês.
• Instale e teste um captcha no checkout.
• Procure produtos de valor muito baixo ou valor livre e decida o que fica público.
• Abra o painel de antifraude do gateway e descubra o que dá para configurar.
• Combine quem da equipe olha os pedidos malsucedidos todo dia durante a Black Friday.

Pronto. Meia hora agora pode evitar uma semana de chargeback em dezembro.

Você já viu uma enxurrada de pedidos malsucedidos na sua loja?