Segurança

Chargeback

Chargeback (procedimento de contestação de pagamento com cartão)

Procedimento regido pelos esquemas de cartão que permite a um portador, por meio de seu banco emissor, contestar uma transação e obter o estorno automático. Risco econômico importante para os comerciantes do e-commerce.

Definição

O chargeback (estorno) permite a um portador, por meio de seu banco emissor, contestar uma transação com cartão e obter um estorno automático — antes mesmo que o comerciante tenha voz no assunto.

Regido pelas redes de cartão (Visa, Mastercard, CB, Amex), é uma proteção ao consumidor muito forte, muitas vezes superior ao direito civil, mas um risco econômico importante para os comerciantes de e-commerce.

O ciclo completo

As etapas-chave: o portador contesta junto ao seu banco, o emissor atribui um reason code (ex.: Visa 10.4 "fraud — card-not-present"), o comerciante é debitado imediatamente e depois pode tentar uma representação (apresentar provas). Em caso de recusa, o caso passa para a pré-arbitragem e depois para a arbitragem, último recurso pago e decidido pela rede.

Os principais motivos

  • Fraude (Visa 10.4 / Mastercard 4837 para o card-not-present, Visa 10.5 para o presencial): cobertos pelo liability shift se o 3DS2 foi usado.
  • Disputa do consumidor: mercadoria não recebida (13.1), não conforme (13.3), crédito não processado (13.6), assinatura não cancelada (13.2). Não cobertos pelo liability shift — o comerciante permanece responsável.
  • Erros de processamento: cobrança dupla, valor ou moeda incorretos. O comerciante tem todo o interesse em aceitar rapidamente.

Os prazos

  • Portador: ~120 dias após a transação (até 540 dias para uma assinatura ou uma não entrega futura).
  • Comerciante: 7 a 30 dias para responder, conforme a rede e o motivo.
  • Pré-arbitragem: 30 dias; arbitragem da rede: várias semanas.

Os custos para o comerciante

Além do valor estornado:

  • Taxas de chargeback: € 15 a € 50 cobrados pelo PSP, não reembolsados mesmo em caso de vitória.
  • Taxas de arbitragem: € 250 a € 500 em caso de escalada.
  • Penalidades da rede: acima de um limite de chargeback (~0,9% Visa, 1,0% Mastercard), o comerciante entra em um programa de monitoramento (VAMP, EFM, MATCH), com penalidades mensais e risco de expulsão.
  • Custos operacionais: equipe de disputas, ferramentas (Verifi CDRN, Ethoca Alerts).

As ferramentas do lado do comerciante

  • Verifi CDRN (Visa) / Ethoca Alerts (Mastercard): alerta antes da emissão oficial, com possibilidade de estornar diretamente.
  • Order Insight (Visa) / Consumer Clarity (Mastercard): transmitem os detalhes do comerciante ao emissor para reduzir as contestações do tipo "não reconheço".
  • Ferramentas antifraude do PSP: Stripe Radar, Adyen RevenueProtect, Riskified, Signifyd bloqueiam a montante.
  • 3DS2: transfere a responsabilidade pela fraude ao emissor.

Friendly fraud

É hoje a principal fraude de chargeback: o portador realmente fez a transação, mas a contesta para recuperar seu dinheiro (arrependimento, compra de um filho, má-fé). Estimada em 40-80% dos chargebacks, conforme o setor. O 3DS2 não protege contra ela (a transação foi autorizada): só provas na representação (entrega assinada, IP coerente, histórico) podem combatê-la.

Chargeback ratio e programas das redes

RedeProgramaLimiteConsequência
VisaVAMP0,65% - 0,9%Penalidades mensais
MastercardEFM (Excessive Fraud Merchant)1% em valorPenalidades, suspensão
MastercardECM (Excessive Chargeback Merchant)1,5% em volumePenalidades progressivas
TodasMATCH list (TMF)ExpulsãoBanimento multiadquirentes

Um comerciante inscrito na MATCH list (Terminated Merchant File) não encontrará mais nenhum adquirente por 5 anos — a espada de Dâmocles do e-commerce.

O que o chargeback não é

  • Não é um reembolso: o reembolso é voluntário; o chargeback é imposto via rede.
  • Não é uma disputa civil: a rede decide segundo suas próprias regras, não segundo o direito civil.
  • Não é universal fora do cartão: no SEPA (SDD), existe um mecanismo próximo (R-transactions); no SCT, quase nenhum recurso.
  • Não é recíproco: só o portador pode iniciá-lo, nunca o comerciante.

No ecossistema PSD2

O chargeback é a principal ferramenta de proteção ao consumidor no pagamento com cartão. Combinado ao liability shift do 3DS2, ele define o equilíbrio econômico entre portador, comerciante e emissor. Seu peso explica o apelo dos pagamentos alternativos (Pay by Bank, Wero), sem chargeback — uma vantagem para o comerciante, mas um freio do lado do portador (menos proteção percebida).

Exemplos concretos

  • Friendly fraud Roblox: um pai contesta € 50 "não autorizados", o comerciante apresenta a prova de uso da conta — batalha longa, muitas vezes perdida.
  • Não entrega: um cliente Cdiscount não recebeu sua encomenda (motivo 13.1); com a prova de assinatura da La Poste, o comerciante geralmente vence.
  • Assinatura Netflix: um cliente esquece de cancelar, vê € 12,99 cobrados (13.2); a Netflix apresenta os logs de "sem cancelamento".
  • Programa MATCH: um dropshipper atinge 2% de chargebacks, é inscrito na MATCH list e todos os PSPs o recusam — fechamento forçado.
  • Stripe Chargeback Protection: cobre a friendly fraud nas transações 3DS mediante ~0,4% do volume.
  • Verifi RDR: oferta da Visa que estorna automaticamente pequenos valores para evitar o chargeback formal.
  • Apple Pay: ~90% menos chargebacks que o cartão digitado (combinação DPAN + biometria).
  • Pay by Bank (PIS): sem chargeback — daí o apelo da Fintecture, Bridge ou Brite em tíquetes altos (imobiliário, automotivo).

Fontes

Aprofundar

No blog

Leituras mais completas para ir além da definição.

24 de agosto de 2026
segurança

QWAC vs QSealC: quem faz o quê, e por que você está olhando para a camada errada — Ler o artigo

O QWAC é lido pela camada TLS, uma vez, no handshake. O QSealC é lido pela camada aplicativa, a cada requisição. Onde vive cada chave privada, o que o STET exige, e como ler um “erro de certificado”.

7 de abril de 2026
técnico

Arquitetura técnica de uma API DSP2: o que é preciso saber antes de escrever a primeira linha de código — Ler o artigo

Panorama técnico da DSP2 para CTOs, desenvolvedores e PMs técnicos: padrões de API, segurança (mTLS, certificados eIDAS), OAuth2, fluxos SCA, gestão do consentimento, armadilhas de implementação.

6 de abril de 2026
regulação

Entender a PSD2: o que ela muda para seus clientes e seu negócio — Ler o artigo

Tudo o que um dirigente, um product manager ou uma equipe de negócios precisa entender sobre a PSD2 (DSP2). Atores, consentimento, oportunidades, sem jargão técnico.