Colink

A evolução das transações online nunca foi tão crítica quanto nos dias de hoje. O 3D Secure, ou simplesmente 3DS, emerge como a solução que pode redefinir os padrões de segurança e eficiência no comércio eletrônico global. Desenvolvido pela EMVCo, o protocolo representa uma evolução necessária frente aos crescentes desafios de segurança digital e experiência do consumidor.

Sua origem remonta à necessidade de transações mais seguras, impulsionada pela crescente onda de fraudes online e regulamentações como a PSD2 na União Europeia, que tornou obrigatória a autenticação forte do cliente (SCA). Esse modelo de autenticação baseia-se em três pilares essenciais:

Conhecimento: Algo que só o usuário sabe, como uma senha ou PIN. É o fator mais comum, mas também o mais vulnerável, pois pode ser compartilhado ou descoberto por terceiros.
Posse: Algo que só o usuário possui, como um celular ou token de segurança. Este fator adiciona uma camada física de proteção, garantindo que o usuário tenha um dispositivo em mãos.
Inerência: Algo que o usuário é, como impressão digital ou reconhecimento facial. Trata-se de um elemento biométrico único e difícil de replicar, consolidando a segurança da autenticação.
Combinando pelo menos dois desses elementos, o protocolo reduz drasticamente a possibilidade de acesso não autorizado, garantindo que cada transação seja validada com base em múltiplos níveis de segurança.

O 3DS vai além do modelo anterior, introduzindo uma autenticação dinâmica que elimina a dependência de senhas fixas, oferecendo alternativas como biometria ou códigos enviados ao dispositivo do usuário. Sua arquitetura flexível coleta dados contextuais da transação – como geolocalização e tipo de dispositivo – permitindo uma análise de risco precisa e fluida. Quando tudo parece estar em conformidade, o processo ocorre em segundo plano, sem interrupções para o consumidor.

Como funciona o 3DS na prática? Abaixo, apresento o fluxo de uma transação com o protocolo:

O consumidor inicia uma compra online e insere os dados do cartão.
O comerciante envia a solicitação de pagamento para o adquirente.
O adquirente (motor 3DS) repassa a informação para as bandeiras (Visa, MasterCard etc.).
A bandeira consulta o emissor do cartão, que verifica os dados coletados (dispositivo, localização, histórico de compras) para calcular o risco da transação.
Se a transação for considerada de baixo risco, é aprovada automaticamente. Caso contrário, é iniciada a autenticação adicional:
- O emissor cria o desafio e envia a URL para a loja;
- A loja apresenta o desafio no checkout;
- O comprador responde o desafio, completando a autenticação.
O emissor envia o resultado da autenticação para a loja.
A loja conclui o processo.

Esse fluxo não apenas reduz fraudes, mas também melhora a experiência do usuário, permitindo transações mais rápidas e seguras.

Embora o 3DS não seja universalmente obrigatório, seu uso é cada vez mais incentivado. Na União Europeia, tornou-se padrão. Já no Brasil, o protocolo ganha força em meio à expansão do comércio eletrônico e à pressão por maior segurança nas transações digitais. As bandeiras Visa e MasterCard estão na linha de frente, exigindo sua adoção por emissores, credenciadoras e varejistas, seja por diretrizes regulatórias ou para minimizar riscos de chargebacks. Ambas promovem incentivos comerciais e penalidades para estimular a adesão.

Os benefícios são claros para todos os elos da cadeia de pagamentos. Para o varejista, significa uma redução significativa nas taxas de fraude e chargebacks, além de menor abandono de carrinhos, já que o processo é otimizado para ser imperceptível. Emissores e credenciadoras ganham com a proteção aprimorada, reduzindo perdas financeiras e fortalecendo a confiança do mercado. Para as bandeiras, a uniformidade do padrão garante maior integridade em suas redes. Mas é o consumidor quem colhe os frutos mais tangíveis: compras online mais seguras, ágeis e com menos fricção.

Ainda assim, o 3DS não é uma “bala de prata”. Sua implementação exige investimentos significativos em tecnologia e educação, tanto para comerciantes quanto para consumidores. Além disso, desafios como a compatibilidade de dispositivos mais antigos e o ajuste fino dos algoritmos de risco podem gerar dores de cabeça iniciais. Mas o consenso é que os ganhos compensam amplamente os custos.

No Brasil, a evolução da adoção segue em ritmo acelerado. Bancos e fintechs já incorporaram o protocolo em suas plataformas, enquanto marketplaces e grandes varejistas avançam para mitigar fraudes e criar experiências de compra mais fluidas. Em um mercado onde cada segundo de fricção pode significar a perda de uma venda, o 3DS representa um divisor de águas.

A mensagem é clara: quem não adotar o 3DS pode se encontrar em desvantagem competitiva. A resistência ao avanço tecnológico, neste caso, não é apenas uma questão de custo – é uma questão de sobrevivência. E, para os consumidores, a promessa de transações mais seguras e confiáveis é um passo bem-vindo em direção ao futuro do comércio digital.

Quando falamos de gestão de lojas online, uma das grandes preocupações que surgem é o temido chargeback, causado principalmente por compras efetuadas com cartões fraudados.

Para resolver esse problema, a vasta maioria dos ecommerces protegem-se utilizando os tão conhecidos antifraudes.

O antifraude é basicamente uma ferramenta que, após a pré-autorização da compra com cartão de crédito, analisa uma série de dados coletados de uma compra online e calcula um score de risco para essa compra. Compras avaliadas como de alto risco são negadas.

Essa avaliação do antifraude é crítica e impacta diretamente o P&L da loja. Se o antifraude não conseguir detectar a fraude, a loja entregará um produto para o fraudador, e a loja nunca vai receber o dinheiro. Se o antifraude começar a negar transações lícitas, por considerá-las suspeitas, a loja perderá vendas. Assim, qualquer falso positivo ou falso negativo do antifraude representa um prejuízo no bolso do ecommerce.

Medindo a performance dos antifraudes

Uma das coisas que mais vejo de dúvida em relação aos antifraudes é como avaliar sua performance. Como saber se ele é bom? ou como comparar com um outro antifraude?

Quanto melhor for um antifraude, melhor ele vai ser nas três métricas de performance:

custo do antifraude por transação
percentual de vendas com chargeback
taxa de aprovação do antifraude

O interessante é que essas métricas trabalham em sentido contrário: se você melhora uma delas, as outras tendem a piorar. Se você melhorar duas delas, a terceira com certeza vai piorar. E daí vem a confusão. Eu já vi gestores de loja super felizes dizendo: “Estou pagando super barato em um antifraude que quase não me dá chargeback” aí eu pergunto: “E como está sua taxa de aprovação?” Aí ele olha e descobre que está sendo negado 25% das suas vendas!

Antifraudes com baixo custo e baixo chargeback tendem a ter baixa taxa de aprovação.

Por outro lado, se você tiver um antifraude que tem baixo chargeback e alta taxa de aprovação, possivelmente o custo da solução será alto. Na prática, o antifraude estará investindo muitos recursos (que vamos entender mais a frente) para garantir a assertividade do score. Soluções assim são úteis para produtos de ticket muito alto, ou com alta incidência de fraude como notebooks e celulares.

Por fim, se algum antifraude oferecer um serviço de baixo custo e com uma baixa taxa de negação, preocupe-se imediatamente com o nível de chargeback.

A melhor forma de analisar a performance de um antifraude é analisar as três métricas de performance sempre juntas. Não existe um número mágico para cada uma delas, pois dependendo do seu negócio, da sua estratégia, e do momento do seu ecommerce essas métricas podem variar.

Apesar de não ser tema deste artigo, essas métricas valem inclusive para todas as variantes de soluções antifraude, incluindo soluções de autenticação, como o 3DS, ou de verificação de biometria facial. Nesses casos o chargeback reduzirá muito, então olho no custo e principalmente na taxa de autorização.

Na prática, o que vai fazer um antifraude ser melhor que outro é a qualidade do seu modelo de avaliação de risco. Um melhor modelo vai, com um menor custo, impedir o chargeback sem comprometer a taxa de aprovação.

Por dentro do modelo de um antifraude

Mas como funciona esse tal modelo em uma solução de antifraude? Tipicamente o modelo de antifraude tem duas etapas:

Análise automática e
Análise manual (ou mesa de análise).

A análise automática é realizado através da (i) coleta de informações associadas a compra, como por exemplo, dados do comprador, itens do carrinho, experiência de navegação, dados de pagamento e (ii) enriquecimento dessas informações com dados proprietários do antifraude e dados externos de bureaus de crédito para (iii) ser processado pelo modelo de scoring.

Um antifraude pode utilizar três tipos de modelos para analisar automaticamente uma compra:

modelos de regra: São os primeiros modelos de antifraude que surgiram. É composto basicamente por um grande conjunto de regras programáveis que coletam uma série de informações da compra e atribuem pontos para determinadas condições, tendo como output o score da compra. Por exemplo: Atribui-se pontos de risco para quem compra pela primeira vez, ao valor da compra e pela região do cartão de crédito. Pode existir uma regra que se um comprador estiver comprando pela 1a vez, o valor da compra for acima de R$1.000 e estiver usando um cartão emitido na Rússia o score de risco fica tão alto que a compra é negada. Esse modelo, além de bem intuitivo, quando bem calibrado por especialistas e sempre atualizado, traz bons resultados.
modelos de machine learning: Neste caso, o modelo recebe uma série de dados da compra, semelhante ao caso anterior e alimenta um modelo que é treinado para identificar padrões de compras fraudulentas. A vantagem é que esses padrões nem sempre são intuitivos para nós humanos, e são únicos por loja, o que melhora demais a assertividade. A desvantagem é que esses modelos podem demorar algumas semanas para “aprender” e ser performáticos, necessitando no início da operação de alguns cuidados.
modelos híbridos: Combinam o melhor do modelo de regras com o de machine learning para calcular o score, podendo ou não abrir a configuração e criação das regras para o lojista. Hoje em dia, muitos modelos de antifraude do mercado são híbridos e têm ótimos resultados.

Após passar no modelo automático, é gerado um score da compra em poucos minutos ou até segundos:

Se o score for bom (por exemplo o mesmo cliente comprando pelo quinto mês seguido na mesma loja e com o mesmo cartão) a transação é aprovada na hora.
Se o score for ruim (por exemplo, alguém comprando 5 celulares com um cartão já identificado como fraudulento e entregando em um endereço onde já ocorreu fraude) a compra é recusada na hora.
Mas existe um meio termo onde o score fica em uma zona cinza e o modelo automático não consegue ser assertivo. É o momento em que muitos antifraudes utilizam a análise manual. É usado para “desempatar” o modelo automático e conta com profissionais experientes que avaliam cada transação, podendo em certos casos até contactar o comprador.

O impacto da análise manual

Para um antifraude, uma transação que envolve uma análise manual custa em torno de 10 vezes o custo de uma transação que foi decidida automaticamente. Assim, o antifraude calibra o percentual das transações que vai usar análise manual para não impactar o custo final do serviço para seus clientes. Existem antifraudes, que para entregar alta assertividade, usam análise manual para 15% das transações, enquanto que existem outros, que com o objetivo de entregar um preço altamente competitivo praticamente não usam análise manual e para evitar o chargeback, tendem a aprovar menos transações. É o caso já discutido do baixo custo, baixo chargeback que penaliza a métrica de aprovação.

Pelo alto custo e pela lentidão que a análise manual traz ao processo de aprovação de compra, as empresas de antifraude estão evoluindo sua tecnologia de detecção para reduzir a necessidade da análise manual. Alguns novos players de antifraude já oferecem soluções que dispensam a análise manual. Para esses casos, fica a recomendação de se verificar as três métricas de performance.

Assim, entender como um antifraude utiliza a análise manual pode dar uma boa ideia de como será sua taxa de aprovação.

Garantia de chargeback vale a pena?

Alguns antifraudes oferecem soluções que reembolsam o chargeback, chamada de garantia de chargeback. Pensando novamente naquelas três métricas, isso significa que a alavanca do chargeback vai para 0%. Então, o que na prática acontece, é que ou o serviço fica bem mais caro ou a taxa de aprovação piora muito. Outro ponto a considerar é que a empresa de antifraude vai estimar de forma conservadora um custo de reembolso de chargeback e vai precificá-lo no serviço. E se o chargeback real for acima do estimado, em poucos meses haverá uma reprecificação. Por todos esses motivos, na minha opinião, vale mais a pena o ecommerce arcar com o chargeback e negociar um bom preço por transação.

Portanto, agora que você já tem um conhecimento bastante amplo sobre o mundo dos antifraudes para compras online, quando for escolher o do seu ecommerce, lembre-se de sempre analisar as 3 métricas de performance de forma conjunta, perguntar como funciona o modelo de antifraude e como ele se diferencia em relação aos concorrentes e por fim entenda como o antifraude faz uso de análise manual.