O ponto cego de US$ 48 bilhões: por que comerciantes pagam por breaches de cartão que não conseguem ver
Análise da Group-IB mostra que lojistas online seguem aprovando transações com cartões já comprometidos porque ficam fora dos sistemas de alerta (CAMS/SAFE) que bancos usam entre si, descobrindo a fraude só no chargeback. Com mais de 200 milhões de cartões circulando em mercados underground e US$ 50 bilhões em perdas anuais projetadas, o texto detalha as barreiras regulatórias que impedem o compartilhamento de dados e propõe verificação tokenizada pré-autorização como saída.
A Group-IB expõe uma assimetria estrutural no combate à fraude com cartão: bancos emissores compartilham entre si listas de cartões comprometidos através de sistemas como CAMS e SAFE, mas comerciantes e plataformas de e-commerce — que processam a transação no momento exato em que a fraude poderia ser barrada — não têm acesso a essa inteligência. O resultado é que a loja aprova uma compra com um cartão já vazado e só descobre o problema semanas depois, no chargeback.
Os números dão a dimensão do problema: mais de 200 milhões de cartões de pagamento comprometidos circulam ativamente em mercados clandestinos, alimentando perdas estimadas acima de US$ 50 bilhões por ano em fraude de e-commerce. Cada dólar fraudado custa às empresas US$ 4,61 quando somadas taxas, operação e perda de mercadoria, e a fraude "card-not-present" deve chegar a US$ 28,1 bilhões em 2026 — com chargebacks já 233% mais frequentes entre o primeiro e o terceiro trimestre de 2025.
A causa raiz não é falta de vontade, mas barreiras regulatórias: compartilhar dados brutos de cartão entre emissores e comerciantes esbarra em exigências de conformidade PCI DSS, regras das bandeiras e leis de proteção de dados como o GDPR, que limitam quem pode tocar nesse dado sensível e como.
A saída proposta pela Group-IB é a verificação por tokenização distribuída: em vez de expor o número do cartão, uma plataforma de inteligência cibernética faz a checagem de comprometimento pré-autorização usando tokens, permitindo ao lojista recusar uma transação suspeita sem nunca manusear o dado bruto — e sem ampliar seu escopo de conformidade PCI DSS. Para o setor, o recado prático é que soluções antifraude eficazes hoje dependem menos de "ver mais dados" e mais de arquiteturas que permitam checagem sem exposição, encurtando a janela entre o vazamento de um cartão e seu bloqueio no ponto de venda.