Fraude de Vendedores no Marketplace: Esquemas e Controles

Última atualização: setembro de 2026

A fraude de vendedor em marketplaces é aquela cometida por meio de uma conta de vendedor em um ambiente de vendas online, e não por um comprador. O vendedor é falso, teve a conta invadida, nunca envia os produtos ou direciona os pagamentos para uma conta sob seu controle. Como a plataforma paga seus vendedores, as verificações essenciais ocorrem em dois momentos: no credenciamento (onboarding) do vendedor e quando o dinheiro sai da plataforma.

Resumo simplificado

• A fraude de vendedor em marketplaces ocorre pela conta de vendas: vendedores falsos ou sintéticos, contas invadidas, vendedores que nunca realizam a entrega, triangulação, conluio com compradores e saques para contas controladas pelo fraudador.

• Os invasores visam os vendedores porque a plataforma faz o pagamento para eles. É no repasse que o prejuízo acontece.

• Nos EUA, a lei INFORM Consumers Act exige que os marketplaces online coletem e verifiquem informações de vendedores terceiros com alto volume de vendas. Na UE, o Artigo 30 do Regulamento de Serviços Digitais (DSA) exige informações comerciais antes que um lojista use o serviço.

• Essas leis definem um padrão básico do que coletar. Elas não dizem o que fazer quando a conta de recebimento de um vendedor é alterada, que é o momento em que as invasões de conta acontecem.

• Verifique no onboarding, verifique novamente antes do repasse de valores, cruze dados de vendedores que compartilham identidade, dispositivo ou dados bancários, e registre o motivo de cada retenção ou suspensão.

O que é a fraude de vendedor em marketplaces

A fraude de vendedor em marketplaces é aquela em que a conta do vendedor é o instrumento do golpe: um vendedor falso ou sintético, um vendedor legítimo que teve sua conta invadida por um golpista, um vendedor que recebe os pedidos e nunca envia os produtos, ou um vendedor cujos recebimentos vão para contas que ele controla. Os marketplaces evitam isso em dois pontos: no onboarding do vendedor e no repasse do pagamento.

Um líder de risco e viabilização de plataforma em um aplicativo de entrega de comida explicou por que os vendedores atraem golpistas: "nós fazemos os pagamentos a esses lojistas, e as pessoas mal-intencionadas sabem que essa é uma área onde podem obter receita". A fraude de vendedor difere da fraude de comprador em um aspecto que molda todas as medidas de segurança: a plataforma está enviando dinheiro para fora, e não apenas recebendo.

O termo exige atenção. Em alguns contextos internacionais, "marketplace fraud" pode se referir a outras áreas, como o mercado de seguros de saúde nos EUA. Este guia aborda a fraude praticada por vendedores em plataformas de comércio eletrônico (marketplaces) e os facilitadores de pagamento e adquirentes que credenciam e pagam esses vendedores.

Os esquemas: vendedores falsos, invasões de conta, não entrega, triangulação e conluio

Cada esquema de fraude de vendedor termina com a plataforma pagando dinheiro a quem não deveria receber. A tabela abaixo apresenta os esquemas comuns, o que o vendedor faz, onde o esquema aparece pela primeira vez e a verificação com maior probabilidade de identificá-lo.

A tabela mostra por que as verificações apenas no onboarding não são suficientes. Invasão de conta, não entrega e triangulação começam depois que o vendedor já passou pelo credenciamento inicial.

Um vendedor falso pode passar por uma verificação limpa. Um líder de onboarding e conformidade em uma fintech, ao revisar um cadastro de empresa que já havia sido aprovado pelo fluxo tradicional de documentos e KYB (Conheça Seu Parceiro de Negócios), concluiu que se tratava de uma empresa de fachada e que ela seria rejeitada. A correspondência em um registro comercial e um conjunto de documentos provam que uma empresa existe no papel, não que ela realmente opere.

A invasão de conta de vendedor termina com o redirecionamento do pagamento. O mesmo líder da plataforma de entrega de comida descreveu o padrão: "eles se passam por nossos parceiros e depois tentam desviar os fundos para si". Em uma conta de vendedor, desviar os fundos geralmente significa alterar a conta bancária que recebe os repasses.

O conluio coloca o vendedor em ambos os lados da venda. Na mesma conversa de diagnóstico com a plataforma de entrega de comida, o padrão descrito foi um lojista passando dados de cartões roubados em sua própria loja para gerar um pagamento rápido. A conta do comprador e o cartão fazem parte do golpe, e a conta do vendedor recolhe o dinheiro obtido.

O que a lei já exige: lei INFORM e Artigo 30 da DSA

As leis dos EUA e da UE já exigem que os marketplaces online coletem e verifiquem informações sobre seus vendedores. Os dois regimes diferem em relação a quem cobrem e quando a verificação ocorre, mas ambos tratam a verificação do vendedor como um dever da plataforma.

A lei INFORM Consumers Act (Estados Unidos)

A lei INFORM Consumers Act, codificada em 15 U.S.C. 45f, entrou em vigor em 27 de junho de 2023. De acordo com as diretrizes da FTC (Comissão Federal de Comércio dos EUA), um vendedor terceiro de alto volume é aquele que "realizou na plataforma 200 ou mais vendas ou transações distintas de produtos de consumo novos ou não utilizados, e obteve US$ 5.000 ou mais em receita bruta" em qualquer período contínuo de 12 meses durante os últimos 24 meses.

Para esses vendedores, a FTC estabelece que "os marketplaces online devem coletar dados de conta bancária, informações de contato e o número de identificação fiscal desses vendedores terceiros de alto volume". A FTC também determina que "as plataformas têm 10 dias para verificar as informações". Se um vendedor não fornecer os dados dentro do prazo, o marketplace deve "suspender qualquer atividade de vendas futura" desse vendedor.

A lei INFORM não é uma verificação única. Pelo menos uma vez por ano, o marketplace deve exigir que cada vendedor de alto volume confirme que as informações estão atualizadas. O estatuto diz que a plataforma deve notificar esses vendedores "periodicamente, mas não menos que anualmente", sobre a necessidade de manter as informações atualizadas.

Artigo 30 do Regulamento de Serviços Digitais (União Europeia)

O Artigo 30 do Regulamento de Serviços Digitais da UE, Regulamento (UE) 2022/2065, rege a rastreabilidade dos comerciantes e aplica-se desde 17 de fevereiro de 2024. Uma plataforma online que permite aos consumidores celebrar contratos à distância com comerciantes deve obter os dados do comerciante antes que ele utilize o serviço. Esses dados incluem "o nome, endereço, número de telefone e endereço de e-mail do comerciante;" e "uma cópia do documento de identidade ou qualquer outra identificação eletrônica", juntamente com dados da conta de pagamento, detalhes do registro comercial onde o comerciante está registrado e uma autodeclaração de conformidade com a legislação da União.

A plataforma deve então "fazer os melhores esforços para avaliar se as informações referidas no parágrafo 1, alíneas (a) a (e), são confiáveis e completas". Caso um comerciante não corrija informações incorretas após solicitação, a plataforma "deve suspender rapidamente a prestação do seu serviço a esse comerciante no que diz respeito à oferta de produtos ou serviços a consumidores localizados na União até que a solicitação seja totalmente atendida". A plataforma mantém as informações por seis meses após o término da relação com o comerciante. Micro e pequenas plataformas estão excluídas dessas obrigações de acordo com o Artigo 29.

O que nenhuma das duas leis cobre

A lei INFORM e o Artigo 30 definem apenas as exigências básicas. Ambas as leis determinam o que um marketplace deve coletar e quando. Nenhuma delas diz o que uma equipe de segurança deve fazer quando um vendedor verificado altera sua conta bancária de repasse à meia-noite usando um dispositivo que nunca usou antes — e é justamente nessa alteração que a invasão de conta de vendedor se transforma em prejuízo real.

Verificando um vendedor no onboarding

A verificação do vendedor no onboarding confirma que ele é uma pessoa ou empresa real e que a conta de repasse pertence a esse vendedor. Para a maioria dos marketplaces online, a maior parte dos vendedores são pessoas físicas, por isso o trabalho consiste principalmente na verificação de identidade somada a uma checagem de conta bancária.

Um diretor de risco e conformidade de um credenciador de lojistas descreveu esse cenário: "Na verdade, a maioria dos nossos lojistas são microempreendedores ou profissionais autônomos". Na prática, a verificação do vendedor é o KYC (Conheça Seu Cliente) para vendedores pessoas físicas e o KYB para vendedores pessoas jurídicas, e as checagens para cada um devem se adaptar ao perfil do vendedor, em vez de seguir um fluxo único e engessado. Escolher um provedor de KYB para vendedores comerciais é uma decisão à parte, com seus próprios critérios.

Um checklist para o onboarding de vendedores:

1. Verifique a pessoa física. Confirme a identidade do vendedor individual ou das pessoas que possuem e controlam um vendedor pessoa jurídica.

2. Verifique a conta de recebimento. Confirme que a conta bancária que recebe os repasses pertence ao vendedor verificado. A lei INFORM já exige informações de conta bancária para vendedores de alto volume, e o Artigo 30 exige dados de conta de pagamento dos comerciantes.

3. Adicione verificações empresariais para pessoas jurídicas. Dados de registro comercial e estrutura societária se aplicam quando o vendedor é uma empresa registrada. O Artigo 30 exige detalhes do registro comercial onde o comerciante está registrado.

4. Adapte as verificações ao nível de risco. A categoria de produtos, o volume esperado e o país devem influenciar quais verificações serão executadas. Um gerente de produto técnico que lidera uma reformulação de KYB em uma empresa de pagamentos explicou o requisito de forma direta: "Precisamos que o processo de verificação seja dinâmico".

5. Trate a aprovação de um documento como apenas um dos dados de entrada. Documentos podem ser falsificados. Um vice-presidente sênior de estratégia contra crimes financeiros em um grande banco regional perguntou em uma reunião se alguma ferramenta poderia analisar contratos sociais enviados e "identificar se aquilo foi forjado". Uma verificação de documento bem-sucedida reduz o risco, mas não o elimina.

6. Cruze os dados do novo vendedor com os de vendedores existentes e suspensos. Um novo vendedor que compartilha identidade, dispositivo, número de telefone ou conta bancária com um vendedor suspenso representa o mesmo risco, apenas com um nome diferente.

Verificando novamente antes do repasse de valores

O momento do repasse é o ponto de controle ideal para evitar fraudes de vendedores em marketplaces, pois é a última oportunidade de a plataforma impedir que o dinheiro saia. Um vendedor que passou pelo onboarding meses atrás ainda pode ter a conta invadida, alterar seus dados bancários ou começar a criar pedidos falsos. Ter passado pelo onboarding não significa ser um vendedor de baixo risco por todo o ciclo.

Um diretor sênior de gestão de risco de fraude em uma empresa de pagamentos mencionou que, em uma função anterior, a equipe deixava os resultados dos provedores de KYC e KYB fora de seus modelos de fraude porque muitos fraudadores passavam nessas verificações. A verificação de onboarding responde quem era o vendedor no dia do cadastro. A verificação do repasse responde se o vendedor que está recebendo o dinheiro agora é realmente o titular.

Passos para fazer uma nova verificação do vendedor antes de enviar o pagamento:

1. Exija nova verificação em qualquer alteração de dados de pagamento. Uma nova conta bancária, uma nova forma de recebimento ou um novo nome de titular de conta devem reter o próximo pagamento até que a alteração seja confirmada por um canal de comunicação que o golpista não controle.

2. Trate alterações feitas logo após o login em novos dispositivos como sinal de invasão. Um login feito a partir de um dispositivo ou local incomum, seguido de uma alteração na conta de recebimento, é a sequência clássica de uma invasão de conta de vendedor. A mesma lógica de ações suspeitas aplicada na prevenção de invasão de contas serve para as configurações de pagamento do vendedor.

3. Verifique o primeiro pagamento. O primeiro repasse de um novo vendedor é a primeira chance que um vendedor falso tem de receber dinheiro. Confirme se os pedidos foram entregues e se a conta de repasse corresponde ao vendedor verificado.

4. Fique atento a aumentos repentinos de volume. Um aumento abrupto nos pedidos ou no valor dos repasses, especialmente vindo de contas de compradores novas, é a forma como esquemas de conluio e não entrega sacam o dinheiro rapidamente.

5. Avalie a combinação de novos usuários em transações. O líder de uma equipe de fraude em uma plataforma global de pagamentos internacionais explicou desta forma: "Vimos no passado que novas entidades pagadoras são mais arriscadas, especialmente quando associadas ou combinadas com novas entidades recebedoras". Para marketplaces, o equivalente é um vendedor recém-cadastrado recebendo em uma conta bancária também recém-adicionada.

6. Verifique onde o dinheiro é depositado. Quando os pagamentos chegam a contas que o vendedor controla ou recrutou para o esquema, o vendedor passou a fazer parte de uma rede de contas laranjas. A detecção dessas contas recebedoras é detalhada em detecção de contas laranja.

Onde as medidas de controle de pagamento costumam falhar

• A verificação termina no onboarding. Um vendedor verificado uma única vez ganha confiança vitalícia, fazendo com que uma invasão de conta só seja notada após as reclamações dos compradores.

• Alterações de dados de pagamento são tratadas como mera rotina administrativa. Uma mudança de conta bancária é processada apenas como uma atualização de cadastro, e não como um evento que envolve risco.

• Retenções são feitas sem justificativa registrada. O analista de revisão vê que um pagamento está retido, mas não sabe o motivo, e acaba liberando o valor apenas para limpar a fila de pendências.

• Cada vendedor é analisado isoladamente. Um vendedor que parece legítimo quando analisado de forma individual pode estar compartilhando uma conta bancária ou dispositivo com outro que foi suspenso no mês anterior.

Vinculando vendedores que compartilham dados de identidade, dispositivos ou informações de pagamento

Vincular vendedores significa conectar contas que compartilham uma identidade, dispositivo, número de telefone, endereço ou conta bancária, para que a equipe de segurança possa identificar uma rede de fraudadores, e não apenas um vendedor agindo sozinho. Essas conexões precisam estar visíveis antes mesmo do início da análise, porque nenhuma equipe tem tempo para investigar do zero uma rede inteira a cada verificação de vendedor.

Um diretor de risco, confiança e segurança em uma plataforma de pagamentos de lojistas explicou o motivo: uma investigação completa de rede de fraudes não é feita para todo caso, porque consultar cada endereço de IP e transação leva muito tempo. Isso só é acionado quando uma revisão inicial aponta atividades correlacionadas. Se os vínculos não estiverem visíveis desde o início, a revisão inicial deixa passar e a rede nunca é investigada.

O mesmo diretor destacou que o tempo de resposta é tão importante quanto a cobertura: "Com certeza já houve casos em que descobrimos os fraudadores tarde demais, e esses episódios custaram muito mais caro". Uma rede de vendedores identificada logo no onboarding custa à plataforma apenas o tempo de uma revisão manual. A mesma rede descoberta após um mês de repasses já causou prejuízos financeiros.

Os vínculos são ainda mais úteis quando as decisões de onboarding e de repasse consultam o mesmo perfil de cliente. Um dispositivo ou conta bancária marcado como suspeito no onboarding de um vendedor deve ficar visível imediatamente se outro vendedor tentar associar essa mesma conta para receber pagamentos. Esse mesmo padrão de múltiplas contas aparece como abuso de bônus no setor de iGaming, onde uma única pessoa gerencia várias contas de jogador para resgatar ofertas destinadas a novos usuários.

O que registrar sobre cada decisão relacionada ao vendedor

Toda retenção, suspensão e aprovação deve deixar um histórico que um revisor, auditor ou órgão regulador possa acompanhar. Esse registro atende a dois objetivos: serve como evidência de conformidade exigida pela lei INFORM e pelo Artigo 30, e funciona como o histórico que o próximo analista precisará consultar.

Checklist para o registro de decisões sobre vendedores:

1. O que foi coletado e quando. Registre cada dado do vendedor e a data de recebimento. O prazo de 10 dias para verificação exigido pela lei INFORM começa a contar a partir da coleta.

2. Como cada item foi verificado. Registre a verificação realizada, o resultado e a data. O Artigo 30 exige os melhores esforços para avaliar se as informações do comerciante são confiáveis e completas, e o registro é a prova de que a plataforma realizou esses esforços.

3. Por quanto tempo reter os dados. O Artigo 30 exige que a plataforma guarde as informações do comerciante por seis meses após o término da relação comercial. Defina os prazos de retenção conforme as leis locais, evitando configurar um único prazo padrão para todas as regiões.

4. Por que um repasse foi retido ou um vendedor foi suspenso. O motivo de cada retenção ou suspensão deve chegar ao analista que revisará o caso em termos claros, e não apenas como uma pontuação de risco sem explicação.

5. Se a política foi aplicada de forma consistente. Um vice-presidente de transformação de risco em um credenciador de lojistas apontou o desafio das revisões manuais: "Os seres humanos são inconsistentes na aplicação das políticas, não é?". Um registro de decisão formal e por escrito ajuda a identificar e corrigir essas inconsistências.

Uma observação importante para as equipes de segurança que usam dados da lei INFORM nas análises de fraude. Segundo a seção 15 U.S.C. 45f(a)(3), as informações coletadas unicamente para cumprir a lei INFORM não podem ser usadas para qualquer outra finalidade, a menos que outra lei determine o contrário. Antes de enviar esses dados para os seus modelos de fraude, confirme com seu departamento jurídico se há uma base legal separada que autorize esse uso. Lembre-se de consultar seus especialistas, pois esta dica não substitui uma assessoria jurídica formal.

Como a Oscilar aborda o onboarding de vendedores e o risco de repasse

A Oscilar gerencia decisões de onboarding, crédito, prevenção a fraudes e prevenção à lavagem de dinheiro (AML) em uma única plataforma. Assim, um sinal identificado quando um vendedor entra no sistema continua visível quando ele solicita um pagamento. O módulo de onboarding de lojistas da Oscilar coordena verificações de KYC e validações de identidade avançadas para cada candidato, aciona etapas extras de verificação sempre que necessário e analisa dados de comportamento e do dispositivo. Cada caso de onboarding vem com uma explicação em linguagem natural do porquê foi criado, e as equipes podem realizar testes retroativos e testes A/B nas regras antes de colocá-las em produção.

Para pagamentos, a detecção de invasão de contas da Oscilar busca por ações suspeitas usando padrões históricos de endereços IP, localizações e dispositivos; em uma conta de vendedor, uma mudança na conta de repasse após um login suspeito é um exemplo clássico desse comportamento. A plataforma também permite "analisar conexões entre contas para revelar redes de fraude".

A governança já vem integrada: trilha de auditoria completa por decisão com armazenamento das justificativas e análises com intervenção humana facilitada (human-in-the-loop). Os modelos são monitorados de forma automatizada para variações nos dados, variáveis e conceitos (drift), com métricas de desempenho (KPIs) avaliadas por segmento de negócio, e a plataforma é projetada para tomar decisões em menos de 100 milissegundos.

Perguntas frequentes

Quem é considerado um vendedor terceiro de alto volume sob a lei INFORM Consumers Act?

Um vendedor terceiro de alto volume é aquele que, em qualquer período contínuo de 12 meses nos últimos 24 meses, realizou 200 ou mais vendas ou transações distintas de produtos de consumo novos ou não utilizados e obteve US$ 5.000 ou mais em receita bruta na plataforma. Esses são os limites definidos pela FTC. Para esses vendedores, o marketplace online deve coletar dados de conta bancária, contato e identificação fiscal, realizando a verificação em até 10 dias.

O Regulamento de Serviços Digitais da UE exige que os marketplaces verifiquem os vendedores?

Sim. O Artigo 30 do Regulamento de Serviços Digitais, em vigor desde 17 de fevereiro de 2024, exige que as plataformas online que permitem a compra de produtos de lojistas coletem os dados de identidade, contato, conta de pagamento e registro comercial de cada comerciante antes que ele comece a vender. A plataforma deve fazer os melhores esforços para verificar se as informações são confiáveis e completas, devendo suspender o comerciante que não corrigir os dados quando solicitado.

Verificação de vendedor é a mesma coisa que KYB?

A verificação do vendedor se assemelha ao KYB, mas tem particularidades. Muitos vendedores de marketplaces são pessoas físicas ou microempreendedores individuais, portanto, a verificação consiste na validação de identidade do indivíduo somada a uma checagem da conta de pagamento. O KYB se aplica a vendedores corporativos maiores, adicionando etapas como consultas a registros comerciais e verificação de sócios.

O que é fraude de triangulação?

A triangulação é um golpe em que um vendedor anuncia produtos que não possui, recebe o pedido e o pagamento do comprador e, em seguida, adquire o item em uma loja legítima usando dados de um cartão roubado, solicitando a entrega direto no endereço do comprador. O comprador recebe o produto sem problemas. O verdadeiro titular do cartão contesta a cobrança junto à loja de origem tempos depois, enquanto o vendedor golpista fica com o valor pago pelo comprador.

Por que verificar um vendedor novamente antes de realizar o repasse do pagamento?

Uma conta de vendedor pode mudar de dono ou ter seus dados de pagamento alterados bem depois do onboarding, e o repasse é o momento exato em que o prejuízo financeiro se consolida. Fazer uma nova verificação antes de liberar o dinheiro ajuda a flagrar invasões de conta, novas contas bancárias suspeitas ou picos repentinos de vendas enquanto os valores ainda podem ser retidos. A verificação do onboarding apenas atesta quem era o vendedor no cadastro, não quem está recebendo o dinheiro agora.