# Os dez golpes que miram donos de loja (não clientes) e como identificá-los
> Phishing com e-mails falsos do Stripe, golpe do pagamento a maior com reembolso, fraude de fornecedor, cartas de renovação de domínio pelo correio. Os golpes que miram você, e não seus compradores, e como o básico de segurança barra a maioria deles.
Ryan Badger - 28 de setembro de 2025 - 8 min de leitura
## Golpes que miram o lojista, não o cartão
O post anterior tratou de [fraude em transações: cartões roubados, chargebacks, teste de cartão](https://v3.shoprocket.io/pt/blog/fraude-no-ecommerce-os-oito-tipos-que-voce-vai-ver-e-como-prevenir.md). Este fala do outro lado: golpes que miram você, o dono da loja, diretamente. E-mails de phishing fingindo ser o Stripe. "Clientes" falsos tentando arrancar reembolsos por engenharia social. Fornecedores que pegam seu dinheiro e somem. Golpes de renovação de domínio pelo correio.
A maioria é de baixa tecnologia. Funcionam porque tocar uma loja é correria e o e-mail golpista chega numa terça à tarde, quando você está cansado. As defesas são, em boa parte, saber o que esperar.
## As grandes categorias
### 1. Phishing fingindo ser o Stripe, o PayPal, a Shopify, o seu banco
Você recebe um e-mail: "Sua conta do Stripe foi sinalizada, clique aqui para verificar." O link leva a uma página de login que parece perfeita. Você digita suas credenciais. Elas são capturadas.
**O que observar:**
- Domínio do remetente: e-mails reais do Stripe vêm de `@stripe.com`, não de `@stripe-support.com` nem de `@stripe.verify.co`
- Linguagem de urgência: "sua conta será suspensa em 24 horas" é padrão de golpe
- Links: passe o mouse antes de clicar. Links reais do Stripe vão para `dashboard.stripe.com`
**Defesas:**
- Ative a verificação em duas etapas (2FA) em toda plataforma de pagamento e de comércio que você usa (Stripe, PayPal, seu banco, sua conta do Shoprocket, seu e-mail). Uma senha roubada não serve de nada sem o segundo fator
- Nunca clique em links de login que chegam por e-mail. Entre direto no site pelo favorito ou digitando o endereço
- Use um gerenciador de senhas. Ele só preenche automaticamente no domínio verdadeiro, então se recusa em silêncio nas páginas de phishing, o que é um ótimo sinal
### 2. O golpe do "pagamento a maior"
Um "cliente" faz um pedido grande, paga a mais (uns US$ 500), e depois escreve pedindo que você devolva o excedente em outro cartão ou por outro meio (PayPal, transferência bancária, cartões-presente). Uma semana depois, o pagamento original é estornado como fraude, e você devolveu dinheiro que nunca teve de fato.
**O que observar:**
- Qualquer pedido de reembolso por um meio diferente do pagamento original
- Pedidos de valor incomumente alto vindos de clientes novos
- Pressão urgente para reembolsar rápido
**Defesas:**
- **Só reembolse no meio de pagamento original.** O Stripe impõe isso por padrão, então esse golpe acontece principalmente quando vendedores processam reembolsos manualmente fora da plataforma
- Se um "cliente" insiste em outro meio de reembolso, isso por si só já é o sinal
### 3. O golpe do "endereço errado, reenvie por favor"
O cliente faz o pedido, recebe o item e depois alega "o endereço estava errado, reenvie para X". Se você reenviar, ele fica com os dois.
**O que observar:**
- Pedidos de reenvio que citam mudança de endereço depois de o rastreio mostrar "entregue"
- Vários clientes com variações da mesma história, às vezes coordenados
**Defesas:**
- Sempre confira o rastreio da transportadora antes de tratar um problema de endereço
- Se o item foi entregue no endereço do pedido, o pedido está cumprido. Qualquer envio adicional é por conta do cliente
### 4. A chantagem de SEO / avaliações
Alguém escreve: "Deixei uma avaliação de uma estrela. Pague US$ 200 e eu removo." Ou: "Posso remover avaliações negativas por uma taxa." Ou: "Seu Perfil da Empresa no Google será denunciado, a menos que você pague."
A maioria é blefe. A remoção real de avaliações passa pelo processo da plataforma de avaliações, não por um pagamento particular.
**Defesas:**
- Nunca pague. Pagar marca você como alvo fácil e vêm mais exigências
- Marque o e-mail como spam, bloqueie o remetente e siga em frente
- Se houver uma avaliação negativa de verdade, responda publicamente com uma resposta razoável. Isso faz mais por você do que a remoção faria
### 5. Fornecedor falso / golpe de dropshipping
Você procura um fornecedor novo, normalmente pelo Alibaba ou por um e-mail frio. Ele oferece preços bons demais. Você manda um sinal (muitas vezes por transferência bancária, porque "o PayPal não está disponível"). A mercadoria nunca é enviada, ou chega falsificada, ou chega faltando.
**O que observar:**
- Meios de pagamento sem proteção ao comprador (transferência internacional, criptomoeda, Western Union)
- Preços 30% ou mais abaixo do mercado
- Nenhuma presença empresarial verificável (sem auditoria de fábrica, sem Alibaba Trade Assurance, sem registro de empresa que você consiga checar)
- Comunicação exclusivamente por Gmail ou WhatsApp em vez de e-mail corporativo
**Defesas:**
- Use o Trade Assurance do Alibaba nos primeiros pedidos. Ele retém o pagamento até você confirmar a entrega
- Peça amostra primeiro. Encomende uma quantidade pequena antes de se comprometer com um lote completo
- Verifique a empresa: número de registro, pesquise no Google, veja os funcionários no LinkedIn, faça busca reversa de imagem nas fotos dos produtos (fotos roubadas são comuns)
### 6. Falso Google / Meta / "sua listagem não foi verificada"
"Seu Perfil da Empresa no Google está prestes a ser removido. Verifique agora." Ou: "Sua conta do Meta Business tem atividade incomum." O link leva a uma página de login falsa que rouba as credenciais da sua conta de anúncios.
O sequestro de conta de anúncios da Meta é particularmente doloroso: os atacantes veiculam os próprios anúncios no seu cartão de crédito antes que a Meta perceba, e a fatura sobra para você.
**Defesas:**
- Entre no Google Business e no Meta Business Manager diretamente (não por links de e-mail) para checar o status
- 2FA nos dois
- Defina limites de gasto nas suas contas de anúncios. Se forem sequestradas, o prejuízo fica limitado ao seu teto
### 7. O golpe do "seu domínio está expirando"
Chega uma carta (de papel mesmo) ou um e-mail do "Domain Registry of America" ou algo parecido. Eles não são seu registrador. A carta é um pedido de transferência disfarçado de fatura de renovação. Se você pagar, transfere seu domínio para um registrador lento e caro, que cobra o triplo do que você paga hoje e torna dolorosa a transferência para fora.
**Defesas:**
- Saiba onde seu domínio está registrado. Se a carta não vem do seu registrador de verdade, ignore
- Ative o bloqueio de registrador (registrar lock) no seu domínio (a maioria dos registradores oferece de graça)
- Configure a renovação automática no seu registrador real para nunca ter um "pânico de renovação"
### 8. Golpes falsos de afiliado / parceria / "embaixador da marca"
"Adoramos a sua marca! Queremos destacar vocês na nossa campanha de marketing de US$ 500 mil. Pague US$ 2.000 pela inclusão." Ou: "Seja nosso embaixador da marca, envie 50 unidades do seu produto para um unboxing com influenciador." (Não é influenciador; revende a mercadoria.)
**O que observar:**
- Pedidos de produto grátis vindos de contas que você não consegue verificar
- Ofertas de marketing em que é você quem paga (e não o contrário)
- Mensagens vagas e genéricas que poderiam ser enviadas a qualquer marca
**Defesas:**
- Toda proposta de parceria real traz detalhes: números de audiência, campanhas anteriores, uma apresentação
- Se pedem produto grátis, envie uma unidade e veja o que fazem com ela antes de mandar cinquenta
- Se querem dinheiro adiantado por um "destaque" ou "inclusão", suponha que não é real
### 9. O golpe da falsa ameaça jurídica
Você recebe uma notificação de remoção por DMCA ou uma carta de violação de marca de um "escritório de advocacia" de que nunca ouviu falar. Eles exigem ação imediata ou pagamento. O escritório não existe; a alegação é inventada.
**Defesas:**
- Verifique se o escritório existe (Google, cadastro da ordem dos advogados)
- Encaminhe o e-mail para o seu advogado de verdade ou serviço de assessoria jurídica; não responda diretamente
- Notificações jurídicas reais chegam em papel ou por meio do seu representante legal registrado, não como um PDF anexado a um endereço do Gmail
### 10. O e-mail de ameaça de chargeback
"Quero um reembolso. Se você não reembolsar em 24 horas, vou abrir chargeback no meu banco E deixar uma avaliação de uma estrela em todos os sites." Às vezes é um cliente irritado legítimo. Às vezes é um golpe para extrair reembolsos de mercadoria que a pessoa recebeu e ficou.
**Defesas:**
- Trate cada caso pelo mérito: se há um motivo real (item errado, produto danificado), reembolse. Se o rastreio mostra entregue e o problema é vago, peça detalhes antes de reembolsar
- Se abrirem o chargeback mesmo assim, conteste a disputa com comprovante de envio e o histórico de comunicação com o cliente. Você ganha a maioria das disputas de "item não recebido" assim
- Lembre que o limite de taxa de chargeback do Stripe é 1%; se você ceder a toda ameaça, sua taxa sobe e sua conta é sinalizada
## O básico de segurança que toda loja deveria ter
Independente de golpes específicos, alguns padrões dificultam quase tudo isso para o atacante:
- **2FA em todas as contas** (e-mail, Stripe, PayPal, Shoprocket, registrador de domínio, contas de anúncios). De preferência por aplicativo autenticador, não por SMS
- **Gerenciador de senhas** com senhas únicas para cada serviço
- **E-mail de administração separado** (não o seu Gmail pessoal) para as contas de comércio
- **Cartão empresarial dedicado** para publicidade, com limites baixos
- **Rastreio + assinatura na entrega** acima de determinado valor
- **Descritor de fatura claro** no Stripe (reduz bastante os chargebacks de fraude amigável)
- **Revisão regular dos logs** nas suas plataformas de comércio. Logins desconhecidos devem ser investigados imediatamente
```
```
## O que o Shoprocket resolve
- **Monitoramento de login.** Logins em dispositivos novos disparam um e-mail para o dono da conta
- **2FA disponível para contas de vendedor** (ative em Minha conta → Definições da conta → Segurança, com um aplicativo autenticador)
- **Registro de atividade do administrador.** Toda ação relevante (edição de produtos, reembolsos, mudanças de permissão) é registrada e pode ser consultada
- **Permissões por função.** A equipe só recebe as permissões de que precisa; um atendente de suporte não consegue alterar dados bancários
- **Proteção de reembolso.** Os reembolsos voltam pelo meio de pagamento original por padrão. Sem fluxos surpresa de "reembolsar em outro cartão"
O que o Shoprocket não resolve: golpes que miram seu e-mail, suas contas de anúncios, seu domínio, seus fornecedores. Isso está fora do nosso alcance, mas o básico de 2FA + gerenciador de senhas cobre a maior parte.
> **Dica:** Se você receber um e-mail suspeito dizendo ser do Shoprocket, não clique no link. Entre direto no seu painel. Qualquer aviso real também aparecerá nos alertas dentro do app, além do e-mail.
## Resumo
- **A maioria dos golpes contra lojistas é engenharia social, não técnica.** As defesas dependem de atenção, não de software
- **Phishing + sequestro de conta de anúncios** são os mais danosos financeiramente. 2FA em todas as plataformas barra a maioria
- **Só reembolse no meio de pagamento original.** O pedido de "me reembolse de outro jeito" é quase sempre golpe
- **Fornecedores são um grande vetor de ataque.** Use o Trade Assurance, peça amostra primeiro, verifique se a empresa existe
- **Avisos jurídicos e de plataformas reais não chegam como anexos de Gmail.** Ignore ameaças em PDF, a menos que venham em papel ou por um canal verificado
- **Básico de segurança:** 2FA em tudo, gerenciador de senhas, e-mail de administração separado do pessoal, rastreio/assinatura em envios de alto valor
[Comece um teste grátis](https://app-v3.shoprocket.io/signup) e tenha 2FA + permissões por função + registros de atividade do administrador ativos por padrão. 14 dias, sem cartão.
---
- HTML version: https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar
- Language: Português (pt)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)