Fraude em indicação e cashback: quando a promoção vira prejuízo

Programas de indicação e cashback funcionam porque colocam dinheiro na mesa: bônus de boas-vindas para quem chega, recompensa para quem traz um amigo, devolução de parte do valor gasto. São mecanismos de crescimento eficientes justamente porque o incentivo é direto, imediato e mensurável. O problema é que o mesmo desenho que atrai clientes de verdade atrai quem enxerga na promoção uma fonte de renda: se cada conta nova vale vinte reais em bônus, abrir cem contas vale dois mil reais. A promoção transforma o cadastro, que era só um formulário, em um ativo com valor de face.

O abuso raramente chega com cara de fraude. Ele chega com cara de sucesso: custo de aquisição de cliente (CAC) despencando, cadastros acelerando, campanha batendo meta com folga. Os painéis de topo de funil não distinguem uma pessoa de um roteiro automatizado, e as métricas que o time de crescimento comemora são as que o fraudador infla. Semanas depois, o financeiro descobre que boa parte dos bônus foi paga a contas que nunca mais voltaram.

Este texto é para quem desenha ou opera esse tipo de promoção: times de crescimento, produto, prevenção a fraude e financeiro. A ideia é mostrar como o abuso funciona, por que as defesas óbvias falham e como desenhar regras que reduzem a perda sem estrangular a conversão.

O incentivo econômico que a promoção cria

Toda promoção de indicação ou cashback define, mesmo sem querer, uma equação de arbitragem: de um lado, o custo de criar uma conta que pareça legítima; do outro, o valor do bônus que essa conta captura. Enquanto criar a conta custar menos do que o bônus paga, existe lucro em industrializar o processo. E o custo de criar contas vem caindo há anos: e-mails são gratuitos, números descartáveis são baratos, dados vazados circulam em volume.

Isso significa que o desenho da promoção é, na prática, uma decisão de segurança. Quem define o valor do bônus, o momento do pagamento e as condições de resgate está calibrando o incentivo do atacante tanto quanto o do cliente.

O disfarce de sucesso é o que torna o problema traiçoeiro: um ataque de multi-cadastro bem executado melhora quase todos os indicadores de marketing no curto prazo. O alerta costuma estar no que acontece depois do resgate: contas que sacam o bônus e morrem, indicações que nunca transacionam, coortes com retenção próxima de zero.

As formas mais comuns de abuso

O abuso em promoções aparece em alguns padrões recorrentes, em ordem crescente de sofisticação:

1. Multi-cadastro artesanal: a mesma pessoa abre dezenas de contas variando os dados: nome abreviado, e-mail com apelidos, endereço com pequenas alterações, documento de um parente. É o padrão mais simples e, ainda assim, passa por muitos funis.
2. Auto-indicação em anel: contas controladas pela mesma pessoa indicam umas às outras em círculo. Cada elo do anel captura o bônus de indicado e o de indicador, dobrando o retorno por conta criada.
3. Farms de dispositivos e emuladores: a versão industrial. Dezenas de aparelhos físicos ou instâncias emuladas rodam roteiros que preenchem o cadastro, resolvem os desafios e resgatam o bônus em escala. Esse padrão se sobrepõe ao que descrevemos em ataques de automação em cadastro, com a promoção servindo de motivo econômico.
4. Revenda de contas verificadas: contas que passaram pela verificação de identidade viram mercadoria. Quem compra herda um histórico limpo e, muitas vezes, o bônus ainda por resgatar. A verificação feita uma vez, no cadastro, não garante que a mesma pessoa continua do outro lado.

Vale registrar o enquadramento com cautela: obter vantagem em dinheiro induzindo a empresa a erro por meio de artifício, como identidades simuladas para capturar bônus, é conduta que pode configurar estelionato, previsto no artigo 171 do Código Penal, o Decreto-Lei 2.848/1940, conforme as circunstâncias do caso concreto. A avaliação é sempre jurídica, mas tratar o tema como mera esperteza subestima o que está em jogo.

Por que deduplicar por CPF e e-mail não basta

A primeira reação de quase toda empresa é deduplicar pelo óbvio: um Cadastro de Pessoas Físicas (CPF) por conta, um e-mail por conta. É necessário, mas está longe de ser suficiente.

O CPF falha porque o fraudador não precisa repetir o dele. Dados de terceiros circulam em vazamentos, e há quem empreste o próprio documento em troca de uma parte do bônus. Cada conta do anel chega com um CPF diferente e válido, e a deduplicação por documento aprova tudo.

O e-mail falha porque se fabrica em segundos. Provedores populares tratam variações com pontos e sufixos como apelidos da mesma caixa de entrada, e domínios descartáveis geram endereços ilimitados. Cem e-mails distintos podem convergir para uma única pessoa sem que nenhuma regra de texto perceba.

Por isso a detecção madura combina sinais mais difíceis de fabricar:

• Rosto: uma pessoa tem um rosto só. Comparar a selfie de cada cadastro novo contra todos os rostos já cadastrados na base, a chamada busca um para muitos, pega o caso em que tudo mudou menos a pessoa. Na UNIFOKAL, por exemplo, a busca 1:N pelo rosto roda dentro da base do próprio cliente, nunca contra uma base compartilhada. O raciocínio completo está em como detectar contas duplicadas.
• Dispositivo: características do aparelho e do ambiente de execução ligam contas que se declaram independentes e denunciam emuladores e automação.
• Comportamento: velocidade de preenchimento, padrões de navegação e horários de atividade separam uma pessoa digitando de um roteiro executando.

Nenhum desses sinais decide sozinho. A força está na combinação: para escapar dos três ao mesmo tempo, o custo do atacante sobe a ponto de quebrar a equação de arbitragem.

Desenho de regra que reduz o abuso sem matar a conversão

Boa parte da defesa não é tecnologia, é desenho de regra. Três princípios resolvem muito:

• Elegibilidade clara: os termos da promoção devem dizer quem participa, limitar a uma conta por pessoa e reservar o direito de reter bônus diante de indícios fundados de abuso. Sem essa base, até o caso flagrante vira disputa.
• Bônus condicionado a uso real: pagar no ato do cadastro é pagar antes de verificar qualquer coisa. Condicionar o pagamento à primeira transação genuína, ou liberá-lo em parcelas conforme o uso, elimina o lucro da conta que nasce para morrer: fabricar cadastros em escala é barato, fabricar uso real não é.
• Limites de velocidade: teto de indicações por período, teto de bônus por indicador, intervalo mínimo entre cadastro e resgate. Bem calibrados, são invisíveis para o usuário legítimo, que indica três amigos e nunca encosta no teto de vinte, e destroem a economia de quem precisa de volume.

O objetivo comum aos três é a assimetria: cada regra deve encarecer o ataque mais do que incomoda o cliente.

Equilíbrio com o falso positivo e como medir

A promoção existe para crescer. Um controle que bloqueia usuário legítimo no momento do resgate custa a conversão, a confiança e, no caso da indicação, ofende duas pessoas de uma vez: quem indicou e quem foi indicado. E o usuário indicado por um amigo costuma ser exatamente o cadastro de maior valor do funil. Por isso a resposta a um sinal de duplicidade deve ter degraus: aprovar, segurar o bônus para revisão, bloquear. Negar automaticamente exige sinal forte; sinal fraco pede revisão humana, nunca recusa. O custo de errar para o lado da recusa está detalhado em o que o falso positivo custa na verificação.

Para saber se o problema existe e se a defesa funciona, duas métricas bastam para começar:

• Taxa de contas duplicadas detectadas por coorte de campanha: compare campanhas entre si e contra a base sem promoção. Uma campanha com taxa de duplicidade fora da curva revela o canal abusado antes do fechamento financeiro.
• Custo de bônus pago a fraude confirmada: o valor que já saiu do caixa para contas depois confirmadas como duplicadas. É o número que transforma a discussão de opinião em orçamento e diz quanto vale investir em prevenção.

Complemente com o tempo médio entre cadastro e resgate e com a taxa de contas inativas após o resgate. Juntas, essas medidas dizem quanto a promoção cresce, quanto ela vaza e onde o vazamento começa.

Fontes citadas

• Código Penal, Decreto-Lei 2.848/1940, artigo 171 (estelionato), texto compilado disponível no site do Planalto.