Geradores de cartão de crédito funcionam?

Pesquise “gerador de cartão de crédito” e você vai encontrar dezenas de ferramentas que criam números convincentes em um clique, com data de validade, CVV e às vezes até o nome do titular. É natural perguntar se esses números “funcionam”. A resposta honesta depende do que você entende por funcionar: eles funcionam muito bem como dados de teste e nunca funcionam como dinheiro.

O que é, de fato, um gerador de cartão

Um gerador de cartão de crédito é um pequeno programa que monta números seguindo a estrutura pública dos números de cartão de pagamento. Essa estrutura é definida pela norma internacional ISO/IEC 7812 e pelas faixas que cada bandeira publica. Não há nada de secreto nela: todo desenvolvedor que cria um formulário de pagamento precisa conhecê-la.

Um número de cartão (o PAN) tem três partes:

O gerador preenche esse modelo: escolhe um prefixo válido para a bandeira selecionada, completa o meio com dígitos aleatórios e calcula o último dígito para que o número inteiro passe no algoritmo de Luhn. Em geral ele também acrescenta uma data de validade futura e um código de segurança aleatório de três ou quatro dígitos, para que o resultado preencha todos os campos de um formulário de pagamento.

Como os números são montados, passo a passo

Este é o processo completo para um número de 16 dígitos no formato Visa:

1. Prefixo. Números Visa começam com 4. O gerador também pode usar um prefixo mais longo informado por você, como um BIN de seis dígitos.
2. Corpo. Dígitos aleatórios ocupam as posições 2 a 15.
3. Dígito verificador. A soma de Luhn dos 15 primeiros dígitos define o 16º. A partir do último desses dígitos, um sim, um não é dobrado (subtraindo 9 se o resultado passar de 9), tudo é somado e o dígito verificador é o que leva o total ao próximo múltiplo de 10.
4. Extras. Um mês aleatório e um ano alguns anos à frente, um CVV aleatório do tamanho certo e, opcionalmente, um nome inventado.

A mesma lógica em poucas linhas de Python mostra como há pouca coisa por trás:

import secrets

def digito_luhn(base: str) -> int:
    total = 0
    for i, ch in enumerate(reversed(base)):
        d = int(ch)
        if i % 2 == 0:          # um sim, um não à esquerda do dígito verificador
            d = d * 2 - 9 if d > 4 else d * 2
        total += d
    return (10 - total % 10) % 10

def numero_visa_de_teste() -> str:
    base = '4' + ''.join(str(secrets.randbelow(10)) for _ in range(14))
    return base + str(digito_luhn(base))

print(numero_visa_de_teste())   # ex.: 4539718704123362 – formato válido, sem conta por trás

Isso é tudo o que um gerador faz. Não existe conexão com banco, nem banco de dados de cartões reais, nem forma de “descobrir” uma conta ativa. O nosso gerador de cartões roda inteiramente no seu navegador com a API Web Crypto e não envia nada a nenhum servidor.

Por que números gerados não têm dinheiro

Um número de cartão é um identificador, não um cofre. O saldo, o limite de crédito e a identidade do titular ficam nos sistemas do banco emissor. Quando você paga, o número é apenas a chave que o banco usa para encontrar a conta. Se não existe conta para essa chave, não há nada para gastar.

Pense no formato de um endereço postal. Qualquer pessoa pode escrever um endereço perfeitamente formatado, mas isso não constrói uma casa, e as cartas enviadas para lá voltam ao remetente. Um número gerado é um endereço bem escrito sem casa no final.

Por isso as promessas de cartões gerados “com saldo”, “com limite” ou “válidos para compras” são falsas por definição. Uma ferramenta em um site não consegue criar dinheiro no livro contábil de um banco. As páginas que prometem isso costumam ser golpes que espalham malware, capturam os dados do cartão do próprio visitante ou vendem listas sem valor.

O que acontece quando alguém tenta pagar com um deles

Todo pagamento com cartão é autorizado em tempo real. O provedor de pagamentos da loja envia a solicitação pela rede da bandeira até o emissor dono da faixa de BIN. Várias verificações acontecem no caminho, e um número gerado falha em pelo menos uma delas, sempre:

Ou seja, um número gerado chega no máximo até o emissor e é recusado ali. Além disso, tentativas repetidas com números aleatórios se parecem exatamente com o ataque de teste de cartões (card testing), que lojas e provedores de pagamento detectam e bloqueiam ativamente, muitas vezes bloqueando o dispositivo ou o endereço IP envolvido.

Geradores de cartão de crédito são legais?

Gerar números que seguem um formato público é, em geral, legal. Desenvolvedores, equipes de QA e professores fazem isso todos os dias, e os próprios gateways de pagamento publicam números de teste pelo mesmo motivo. O problema legal começa quando um número é usado para obter alguma coisa.

• No Brasil, o Código Penal pune o estelionato (art. 171), inclusive a fraude eletrônica incluída pela Lei 14.155/2021, e equipara o cartão de crédito ou débito a documento particular para o crime de falsificação (art. 298, parágrafo único, incluído pela Lei 12.737/2012).
• Nos Estados Unidos, a lei 18 U.S.C. § 1029 torna crime federal produzir, usar ou traficar, conscientemente e com intenção de fraudar, dispositivos de acesso falsificados, ou usar dispositivos não autorizados. A definição legal de dispositivo de acesso inclui expressamente números de conta.
• No Reino Unido, o Fraud Act 2006 pune quem faz de forma desonesta uma declaração falsa para obter vantagem, como apresentar dados de um cartão que não tem direito de usar.

A fronteira está na intenção e no uso, não na matemática. Gerar números no estilo 4111 1111 1111 1111 para testar um formulário não tem problema. Digitar um número gerado em uma loja real, no cadastro de uma assinatura ou em um site de reservas para obter algo sem pagar tem, mesmo que a tentativa falhe. Esta é uma informação geral, não aconselhamento jurídico; se você tem uma dúvida legal específica, consulte um advogado.

Usos legítimos para números gerados

Dentro desses limites, números gerados são realmente úteis. Eles resolvem um problema concreto: você nunca deve colocar dados de cartões reais em sistemas de desenvolvimento ou de teste, onde eles ficariam sujeitos aos requisitos do PCI DSS.

• Validação de formulários. Confira se o seu checkout aceita todas as bandeiras e tamanhos (American Express com 15 dígitos, Diners Club com 14, UnionPay com 19) e recusa um dígito verificador errado.
• Detecção de bandeira e máscaras de entrada. Garanta que o logotipo certo apareça e que o número seja agrupado corretamente (4-6-5 para Amex, 4-4-4-4 para quase todas as outras).
• Dados de demonstração e de homologação. Preencha painéis administrativos, capturas de tela e demos comerciais com valores realistas, mas inofensivos, de preferência armazenados apenas mascarados.
• Testes unitários e fuzzing. Passe milhares de números válidos e inválidos por parsers, camadas de tokenização e scripts de importação.
• Ensino. Mostre como funcionam os dígitos verificadores e as faixas dos emissores.

Números gerados, cartões de teste do gateway e cartões reais

Números gerados deixam de ser úteis assim que a requisição sai do seu próprio código. Sandboxes de pagamento, como o modo de teste da Stripe ou o sandbox do Braintree, só reconhecem os números de cartão de teste específicos que publicam, e cada um deles provoca um resultado definido.

A Stripe deixa isso claro na documentação de testes: não use dados de cartões reais, e o contrato de serviços dela proíbe testar no modo live com dados de pagamento reais. Use as chaves de API de teste e os cartões de teste documentados. O nosso guia (em inglês) sobre como testar um checkout da Stripe mostra o fluxo completo.

Como diferenciar um número gerado de um cartão real

Só pelos dígitos, não dá: essa é justamente a ideia de um número com formato válido. Um validador confirma a bandeira, o tamanho e a soma de verificação, e uma consulta de BIN mostra qual emissor é dono do prefixo, mas só uma autorização junto ao emissor prova que a conta existe. O nosso guia sobre como identificar um número de cartão falso explica quais verificações uma loja pode fazer e o que cada uma realmente comprova.