Como evitar cadastros falsos em marketplace, delivery e serviços

Todo produto que conecta duas pontas — quem vende e quem compra, quem pede e quem entrega, quem contrata e quem presta o serviço — atrai contas que não deveriam existir. Os cadastros falsos em marketplace e em apps de delivery custam cupom de primeira compra, programa de indicação, avaliações compradas, pedidos que nunca são pagos e, no pior caso, vendedores fantasmas que arranham a confiança na plataforma inteira.

A verificação de telefone é a primeira linha de defesa porque dá a cada conta um custo real: um número de celular ativo, que o usuário precisa controlar naquele instante. Não resolve tudo sozinha, mas muda a economia do golpe — criar mil contas deixa de ser um script e passa a exigir mil chips.

Este guia mostra em que ponto do funil verificar, como combinar telefone e documento conforme o papel da conta (comprador, vendedor, entregador), como manter a fricção baixa e quais sinais de fraude a verificação revela.

O problema dos cadastros falsos em marketplace e delivery

Contas falsas aparecem onde há incentivo e falta de custo. Em um marketplace ou app de serviço, os incentivos são conhecidos:

• Cupom de primeira compra e frete grátis: cada conta nova vale um desconto; com e-mail descartável, o mesmo usuário cria dezenas.
• Programa de indicação: a conta A indica B, C e D, todas da mesma pessoa, e recebe crédito por cada uma.
• Avaliações e ranking: vendedores compram avaliações feitas por contas que nunca compraram nada.
• Vendedores fantasmas: anunciam, recebem e não entregam. Quando a plataforma percebe, a conta já sumiu.
• Entregadores e prestadores de terceiros: a conta aprovada é de uma pessoa, quem aparece é outra.
• Pedidos sem pagamento e chargebacks: contas descartáveis fazem pedidos que viram prejuízo ou disputa.

O custo direto aparece na contabilidade; o indireto é pior: suporte afogado, avaliações sem valor e compradores que não confiam mais no selo "verificado". Quem faz vendas ao vivo sente isso na hora: um guia de como vender em live depende de pedidos reais chegando durante a transmissão, e meia dúzia de compras falsas bagunça o estoque e a entrega de todo mundo.

Verificar no cadastro ou na primeira transação?

A pergunta define o equilíbrio entre proteção e conversão. Verificar cedo bloqueia bots antes que custem algo, mas cobra fricção de todo visitante, inclusive de quem só queria olhar o catálogo. Verificar tarde preserva a conversão do topo do funil, mas deixa a casa aberta para quem só precisa de uma conta "existindo" (indicações, avaliações).

Momento	O que verificar	Protege contra	Custo de fricção
Cadastro	Telefone com código	Multi-contas, bots, indicação falsa	Baixo, se for por WhatsApp
Primeira compra ou pedido	Confirmação do telefone (se o cadastro for antigo) e sinais de pagamento	Pedidos falsos, chargeback	Médio, só para quem converte
Onboarding de vendedor ou prestador	CPF/CNPJ, dados bancários, documento	Vendedores fantasmas, lavagem	Alto, mas proporcional ao risco
Troca de telefone, e-mail ou conta bancária	Nova verificação no canal antigo e no novo	Tomada de conta	Baixo e raro

A regra prática: telefone no cadastro, documento quando houver dinheiro saindo. O comprador comum passa por um código uma vez; quem vai receber pagamentos da plataforma passa por uma verificação proporcional ao que pode levar embora.

Fluxo recomendado: telefone no cadastro, documento no vendedor

Com os pontos do funil definidos, o fluxo fica assim:

1. Comprador: código no cadastro

Peça o celular, normalize para o formato internacional e envie um código de uso único — WhatsApp como primeiro canal, SMS como fallback. Antes de enviar, confira se o número já está vinculado a outra conta: esse é o filtro mais barato contra multi-contas e nem gasta uma mensagem. O tutorial de verificação de número de telefone no cadastro com Node.js detalha a implementação; o essencial cabe em poucas linhas:

const BASE = "https://api.aut2fa.com";
const headers = {
  Authorization: `Bearer ${process.env.AUT2FA_API_KEY}`,
  "Content-Type": "application/json",
};

async function iniciarVerificacao(telefoneE164, cadastroId) {
  // Filtro barato: um número, uma conta
  if (await db.contas.existePorTelefone(telefoneE164)) {
    throw new Error("Este número já está em uso. Faça login ou recupere a conta.");
  }
  const envio = await fetch(`${BASE}/v1/send`, {
    method: "POST",
    headers: { ...headers, "Idempotency-Key": `cadastro-${cadastroId}` }, // clique duplo não vira dois envios
    body: JSON.stringify({ to: telefoneE164, locale: "pt-BR" }),
  }).then((r) => r.json()); // 202 -> { id: "snd_...", expires_at }
  return envio;
}

async function confirmarCodigo(envioId, codigo) {
  const r = await fetch(`${BASE}/v1/send/${envioId}/verify`, {
    method: "POST",
    headers,
    body: JSON.stringify({ code: String(codigo) }),
  }).then((x) => x.json()); // { valid, verification, attempts_left }
  return r.valid === true; // só marque o telefone como verificado com valid: true
}

Guarde o telefone verificado com data e canal: é o registro que permite recuperar a conta, falar com o cliente e cruzar sinais de fraude.

2. Primeira transação: confirmação proporcional

Se o cadastro foi feito há minutos, no mesmo aparelho, não peça nada de novo. Se a conta ficou meses parada, mudou de dispositivo ou o pedido destoa do padrão (valor alto, endereço novo), dispare um código outra vez antes de confirmar: a mesma chamada, condicionada ao risco.

3. Vendedor ou prestador: documento e dados cadastrais

Quem recebe dinheiro da plataforma precisa existir fora dela. Para pessoa jurídica, confirme o CNPJ e a situação cadastral na Receita antes de liberar o primeiro repasse — o tutorial de consulta de CNPJ com Node.js do APIBrasil Blog mostra como automatizar isso.

Para pessoa física, CPF com nome e data de nascimento batendo, mais o telefone verificado. Entregadores e prestadores que aparecem pessoalmente merecem ainda uma validação de documento com foto.

4. Troca de dados: verificar de novo

Mudança de telefone, e-mail ou conta bancária é o momento preferido da tomada de conta. Verifique o canal novo com código e avise o canal antigo, com um período de espera antes de liberar saques para a conta bancária recém-cadastrada.

Como reduzir a fricção da verificação

A verificação só protege se o usuário conclui, e cada abandono na tela de código é uma venda perdida. Vale investir no detalhe:

• WhatsApp primeiro. O código chega no app que o usuário já tem aberto, com confirmação de leitura; o SMS entra apenas quando o WhatsApp não confirma a entrega. Com uma API multicanal isso é configuração, não código.
• Preenchimento automático. Use autocomplete="one-time-code" no campo: o iOS sugere no teclado o código recebido por SMS, e o Chrome no Android preenche sozinho via WebOTP API quando o SMS segue o formato esperado.
• Contador e reenvio com regra. Use o expires_at do envio para o contador e um cooldown no botão de reenviar; quando a API devolver HTTP 429, mostre o Retry-After em vez de um botão que não funciona.
• Um número, um campo. DDI fixo em +55, máscara de celular e validação de formato antes de enviar evitam códigos para números digitados errado.
• Lembrar o dispositivo. Depois da verificação, não peça código a cada login no mesmo aparelho; peça em ações sensíveis.

O artigo sobre UX da tela de código de verificação detalha cada um desses pontos com exemplos de interface.

Sinais de fraude que a verificação revela

Depois de alguns dias em produção, os dados da verificação viram um detector de fraude por conta própria. Os sinais mais úteis:

Sinal	O que indica	Ação sugerida
Mesmo telefone tentando vários cadastros	Multi-conta para cupom ou indicação	Bloquear o segundo cadastro, oferecer login
Muitos cadastros do mesmo IP ou dispositivo	Automação	Limitar por origem, pedir verificação extra
Códigos enviados e nunca verificados	SMS pumping ou bot que não lê o canal	Limite por destinatário, lista de países permitidos
DDI fora da área de atuação	Tráfego artificial	Recusar antes de enviar
Cadastro e pedido no mesmo minuto, endereço novo	Conta descartável	Confirmação extra antes de aprovar
CNPJ com situação cadastral irregular	Vendedor de fachada	Reter repasse e revisar manualmente
Troca de telefone seguida de troca bancária	Tomada de conta	Período de espera e aviso no canal antigo

Dois cuidados. Primeiro, um sinal isolado raramente condena: um casal que divide o celular ou uma loja que cadastra a equipe do mesmo IP são legítimos; combine sinais e escale a exigência em vez de bloquear de cara. Segundo, controle o custo do detector: os limites por destinatário por hora e por aplicação por minuto, configuráveis na aplicação da aut2fa, impedem que um ataque de pumping vire fatura antes de você notar.

Resultados esperados e como medir

Não há número universal para o impacto da verificação sobre cadastros falsos em marketplace, porque ele depende de quanto a sua plataforma era atacada antes. O que dá para prometer é a direção dos indicadores, e todos eles podem ser medidos a partir do que você já tem:

• Taxa de conclusão da verificação: códigos verificados sobre códigos enviados. É o seu termômetro de fricção; se cair após uma mudança de interface, a mudança quebrou algo.
• Cupons e indicações por telefone único: a razão deve se aproximar de um por pessoa; picos indicam multi-contas passando.
• Pedidos cancelados e chargebacks por tipo de conta: compare contas verificadas e não verificadas no mesmo período.
• Tempo de onboarding de vendedores: a validação de CPF/CNPJ automatizada deve reduzir o tempo até o primeiro anúncio, não aumentar.
• Contatos com sucesso no pós-venda: proporção de clientes que a operação consegue alcançar no número cadastrado.

Com telefone verificado, a operação fala com clientes reais, e as práticas de atendimento pelo WhatsApp: boas práticas do Blog PulseOut passam a valer para toda a base.

Acompanhe por semana no início e depois por mês. O resultado tende a aparecer primeiro nas indicações e nos cupons; o efeito sobre chargebacks vem conforme a base de contas verificadas cresce.

Perguntas frequentes

Verificar o telefone elimina os cadastros falsos?

Não elimina, encarece. Quem precisa de mil contas passa a precisar de mil chips, o que afasta a maior parte dos scripts e dos usuários oportunistas. Para o restante, combine o telefone com sinais de dispositivo, pagamento e documento conforme o risco da ação.

Devo pedir CPF de todo comprador no cadastro?

Não. Peça o mínimo que a etapa exige: telefone no cadastro, dados de pagamento na compra e documento apenas para quem recebe dinheiro da plataforma. Além de reduzir o abandono, isso atende ao princípio de minimização da LGPD.

E se o usuário não tiver WhatsApp no número?

O fallback resolve: o código vai por SMS quando o WhatsApp não confirma a entrega, sem uma nova chamada do seu backend. Na tela, informe o canal usado e libere o reenvio só após o cooldown.

Como tratar quem troca de número?

Verifique o número novo com código, avise o antigo e o e-mail, e aplique um período de espera antes de liberar saques ou mudanças bancárias. Trocas de contato seguidas de trocas financeiras são o padrão clássico de tomada de conta.

A verificação funciona para entregadores e prestadores de serviço?

Funciona como primeira camada, e é obrigatória para contato e recuperação de conta. Para quem atua presencialmente, some documento com foto e, se o modelo permitir, uma nova confirmação por código no início do turno.

Próximos passos

Mapeie o seu funil nos quatro pontos da tabela e marque onde já existe verificação. O ponto mais comum em aberto é a troca de dados — e é o mais barato de fechar.

Para implementar a parte do código sem gastar, crie uma aplicação em modo de teste no painel da aut2fa: o código 000000 cobre o fluxo inteiro em desenvolvimento, e novas contas recebem 10 envios reais gratuitos para validar a entrega em produção.