Como identificar um número de cartão de crédito falso

Quando um lojista fala de um número de cartão “falso”, normalmente está falando de quatro coisas bem diferentes. Cada uma é pega por uma verificação diferente, e tratá-las como um único problema é exatamente o que leva a recusar bons clientes ou a deixar a fraude passar. Este guia separa os quatro casos e mostra quais sinais você consegue coletar em cada etapa de um pagamento.

O que “falso” significa no checkout

Os dois primeiros são erros honestos ou lixo de baixo esforço, e o seu formulário deve pegá-los antes que qualquer requisição saia do navegador. Um número gerado cumpre todas as regras de formato por definição, então só o banco consegue recusá-lo. O quarto caso é o que custa dinheiro: o número é perfeitamente real, e a pergunta passa a ser se quem está digitando é o titular.

Camada 1: verificações de formato instantâneas

A validação de formato é gratuita, rápida e privada. Ela roda no navegador antes do envio e pega a maioria dos erros de digitação. Use-a para dar mensagens úteis, não como veredito de fraude.

Prefixo da bandeira e tamanho

Os primeiros dígitos de um cartão, o número de identificação do emissor (IIN), identificam a bandeira. Cada bandeira também tem um conjunto fixo de tamanhos. Um número que começa com 34 mas tem 16 dígitos não é um número válido de American Express, seja como for o resto.

A lista completa, com Maestro e as regras de agrupamento, está na nossa página de formato do número do cartão (em inglês). Mantenha essas tabelas num único lugar do seu código: as faixas mudam (a faixa 2 da Mastercard é uma adição relativamente recente) e uma lista desatualizada recusa clientes reais. No Brasil, vale lembrar que bandeiras locais como Elo e Hipercard têm faixas próprias que também precisam estar na sua tabela se você as aceita.

Dígito verificador Luhn

O último dígito de todo cartão das grandes bandeiras é um dígito verificador calculado com o algoritmo de Luhn. Se o cliente errar um dígito, ou trocar a maioria dos pares de dígitos vizinhos, a verificação falha e você pode pedir que ele confira o número antes de clicar em “Pagar”.

Data de validade

Recuse meses fora de 01–12 e datas no passado. Um cartão normalmente vale até o último dia do mês impresso, então 10/26 ainda é válido em 31 de outubro de 2026. Limite também até quando você aceita: cartões raramente são emitidos para mais de alguns anos, e um ano como 2099 quase sempre é erro ou valor de teste.

Tamanho do código de segurança

A American Express usa um código de quatro dígitos impresso na frente; as outras grandes bandeiras usam três dígitos no verso. Valide o tamanho de acordo com a bandeira detectada. Não dá para verificar se o código está correto: só o emissor consegue, porque o valor é derivado de chaves secretas (explicamos no nosso guia sobre CVV, CVC e CID, em inglês).

Uma verificação compacta no navegador fica assim. Ela devolve um motivo que você pode mostrar ao cliente, não uma pontuação de fraude:

function luhnOk(num) {
  let sum = 0, dbl = false;
  for (let i = num.length - 1; i >= 0; i--) {
    let d = num.charCodeAt(i) - 48;
    if (dbl) { d *= 2; if (d > 9) d -= 9; }
    sum += d; dbl = !dbl;
  }
  return sum % 10 === 0;
}

const BRANDS = [
  { name: 'amex', re: /^3[47]/, lengths: [15], cvc: 4 },
  { name: 'visa', re: /^4/, lengths: [13, 16, 19], cvc: 3 },
  { name: 'mastercard', re: /^(5[1-5]|222[1-9]|22[3-9]\d|2[3-6]\d\d|27[01]\d|2720)/, lengths: [16], cvc: 3 },
];

function checkCard(raw, cvc) {
  const num = raw.replace(/[\s-]/g, '');
  if (!/^\d{12,19}$/.test(num)) return 'O número deve ter de 12 a 19 dígitos';
  const brand = BRANDS.find(b => b.re.test(num));
  if (!brand) return 'Bandeira não aceita';
  if (!brand.lengths.includes(num.length)) return 'Tamanho incorreto para ' + brand.name;
  if (!luhnOk(num)) return 'Confira o número do cartão';
  if (!new RegExp('^\\d{' + brand.cvc + '}$').test(cvc)) return 'O código de segurança deve ter ' + brand.cvc + ' dígitos';
  return null; // bem formado: a palavra final é do emissor
}

Os padrões de todas as bandeiras, testados em três linguagens, estão no nosso guia de regex para cartão de crédito. Você também pode colar qualquer número no validador de cartão para ver cada verificação passo a passo.

O que o Luhn pode e não pode provar

A verificação de Luhn é a parte mais mal compreendida da detecção de cartões falsos. É um código de detecção de erros dos anos 1950, não um recurso de segurança, e a conta é pública.

Ou seja, uma falha no Luhn é um bom motivo para parar e pedir que o número seja digitado de novo. Um acerto no Luhn não diz quase nada sobre fraude.

Camada 2: coerência da consulta de BIN

Os primeiros seis ou oito dígitos, o BIN, identificam a faixa do emissor. Uma consulta de BIN devolve a bandeira, o banco emissor, o país e muitas vezes se o cartão é de crédito, débito ou pré-pago. Esses dados não provam que um cartão é real, mas permitem checar se a história do pedido faz sentido.

Sinais que vale comparar

• País do emissor versus país do IP e de cobrança. Um cartão emitido num país, um endereço de cobrança em outro e um IP num terceiro merece uma olhada mais atenta, principalmente em valores altos ou produtos digitais.
• Cartões pré-pagos. São um meio de pagamento legítimo, mas alguns negócios — assinaturas com período grátis, locações, produtos de alto risco — preferem revisá-los ou recusá-los.
• BINs desconhecidos ou não atribuídos. Um prefixo que nenhuma base de BIN conhece pode ser uma faixa nova, mas também pode denunciar dígitos aleatórios.
• Bandeira divergente. Se os dados do BIN atribuem a faixa a uma bandeira diferente da que suas regras de prefixo detectaram, revise primeiro a sua tabela de bandeiras: ela pode estar desatualizada.

Camada 3: deixe o emissor responder

Tudo o que vimos acontece sem falar com o banco. A única forma de saber se uma conta existe, está aberta e pertence a quem está pagando é perguntar ao emissor por meio da bandeira.

Autorização e verificação de conta

Uma autorização normal pede ao emissor que aprove um valor específico. Quando você quer verificar um cartão sem cobrar — por exemplo, ao salvá-lo para compras futuras —, a maioria dos gateways oferece uma verificação de conta: uma autorização de valor zero (ou muito baixo) que devolve aprovada ou recusada, junto com o resultado das verificações de CVV e endereço. Um número gerado é recusado nessa etapa porque o emissor não tem essa conta.

Resultados de CVV e AVS

Quando você envia o código de segurança e o endereço de cobrança, o emissor compara com os registros dele. Os gateways informam o resultado em campos padronizados. A Stripe, por exemplo, devolve cvc_check, address_line1_check e address_postal_code_check no cartão:

A orientação da Visa para lojistas sobre ataques de enumeração recomenda exigir CVV2 e AVS em transações com cartão não presente, porque juntos encarecem muito a tentativa de adivinhar dados. O PCI DSS permite coletar o código de segurança para a autorização, mas não guardá-lo depois.

3-D Secure

O 3-D Secure pede ao emissor que autentique o titular diretamente — pelo app do banco, por um código de uso único ou por biometria — e é obrigatório em muitos pagamentos na Europa por causa da autenticação forte do cliente (SCA). É o sinal mais forte de que quem paga controla a conta, e pode transferir para fora do lojista a responsabilidade por chargebacks de fraude. Nosso guia de testes de 3-D Secure (em inglês) explica como implementar e testar.

Sinais de alerta no checkout

Cartões reais roubados passam nas verificações de formato e, muitas vezes, também nas do emissor. Por isso os melhores sinais de fraude têm a ver com comportamento, não com o número. Fique de olho em:

• Muitos números de cartão diferentes vindos do mesmo dispositivo, IP, e-mail ou conta em pouco tempo.
• Várias recusas seguidas de uma aprovação, principalmente com cartões diferentes ou datas de validade ligeiramente diferentes.
• Números de cartão numa mesma sessão que compartilham os primeiros dígitos e só mudam no final.
• Muitos pedidos ou doações de valor muito baixo, ou cartões salvos com valor zero, a partir de contas novas.
• Nomes e e-mails sem sentido, ou o mesmo endereço de cobrança usado com muitos cartões.
• Entrega expressa para um redirecionador de encomendas ou para um endereço que não bate com os dados de cobrança.

Padrões assim costumam indicar um ataque automatizado, e não uma compra fraudulenta isolada. Nosso guia sobre fraude de teste de cartões (em inglês) explica como detectar e bloquear esse tipo de ataque.

Cartões físicos no balcão

Nos pagamentos presenciais, o chip faz a maior parte do trabalho: um chip EMV gera um criptograma para cada transação que uma tarja magnética copiada não consegue reproduzir. Se a equipe manuseia cartões, as verificações clássicas ainda ajudam: os quatro últimos dígitos do comprovante batem com os do cartão, a impressão e o holograma parecem corretos e o cartão não está adulterado. Prefira chip ou aproximação em vez de passar a tarja sempre que o terminal permitir.

Teste seus controles sem cartões reais

Nunca use números de cartões reais para testar regras antifraude. Use números gerados para a camada de formato e os cartões de teste documentados pelo seu gateway para a camada do emissor. No modo de teste da Stripe, por exemplo:

A lista completa de cada gateway está na nossa página de cartões de teste da Stripe e nas páginas dos outros gateways.

Como juntar as camadas

1. No navegador: prefixo da bandeira, tamanho, Luhn, validade e tamanho do CVV, com mensagens de erro claras e sem decisões de fraude.
2. Antes da autorização: país e tipo de cartão do BIN comparados com o IP e a cobrança; limites de velocidade por dispositivo, IP, e-mail e conta.
3. Na autorização: exija CVV e CEP, leia os resultados das verificações e use 3-D Secure quando for obrigatório ou o risco for alto.
4. Depois da autorização: acompanhe a taxa de recusas e os alertas antecipados de fraude, e estorne pedidos suspeitos antes que virem disputas.

Nenhuma camada basta sozinha. As verificações de formato barram erros de digitação, as do emissor barram números inventados, e os sinais de comportamento são o que pega cartões reais nas mãos erradas.