Segurança para Food Delivery e Last Mile: defesa de conta, antifraude de incentivo e API multi-perfil

Por que food delivery é um alvo estrutural de fraude

Uma plataforma de food delivery não é um único aplicativo: é um ecossistema de três lados operando em tempo real. Há o app do cliente, que guarda meios de pagamento, endereço residencial e histórico de pedidos; o app do entregador, que carrega carteira de recebíveis, dados de CNH e geolocalização contínua; e o portal do restaurante, que controla cardápio, preços, repasses e relatórios financeiros. Cada um desses perfis fala com a mesma plataforma de backend através de uma camada de API densa, e é exatamente nessa interseção que mora o risco. O valor financeiro circula em alta frequência, em pequenos tickets, com incentivos promocionais embutidos, o que cria a combinação perfeita para fraude automatizada e em escala.

A natureza do negócio amplifica a superfície. Cupons de primeiro pedido, frete grátis, bônus de indicação e incentivos por corrida para entregadores são, na prática, dinheiro programável distribuído por regras de negócio. Onde há regra de incentivo, há engenharia reversa da regra. Atacantes não precisam quebrar criptografia; basta entender a lógica econômica e abusá-la com volume. Contas falsas, dispositivos emulados, números virtuais e automação transformam um cupom de boas-vindas em uma operação de extração de valor que sangra a margem da plataforma sem disparar nenhum alarme técnico tradicional.

O resultado é que a segurança de delivery precisa ser pensada simultaneamente como segurança de aplicação, segurança de API e antifraude comportamental. Tratar apenas um dos eixos deixa os outros expostos. Uma API perfeitamente autenticada ainda permite abuso de cupom se a regra de negócio não valida unicidade de identidade. Um antifraude robusto no checkout não impede o vazamento de geolocalização por um endpoint com IDOR. É essa visão integrada que a Decripte traz para o setor.

As quatro ameaças que mais derrubam plataformas de delivery

ATO de cliente e entregador, e abuso de incentivo

O account takeover (ATO) é a porta de entrada para quase todas as outras fraudes. No lado do cliente, o atacante assume a conta para usar o cartão salvo, redirecionar pedidos e drenar créditos. No lado do entregador, o ATO é ainda mais lucrativo: a conta tem carteira com saldo a receber, e o controle dela permite desviar repasses, simular entregas e lavar incentivos. A técnica predominante é o credential stuffing — reutilização de pares de e-mail e senha vazados em outros serviços — combinada com força bruta lenta e distribuída para escapar de bloqueios por IP. Já o abuso de incentivo não rouba uma conta: fabrica milhares. Com automação de cadastro, números virtuais (VoIP), e-mails descartáveis e emuladores, uma única operação cria um exército de contas-mula que captura cupom de primeiro pedido, frete grátis e bônus de indicação de forma industrial, muitas vezes com colusão entre conta de cliente e de entregador.

Fraude de pagamento, chargeback e vazamento de geolocalização

Cartões clonados testados em pedidos de baixo valor (BIN attack), contestações de cobrança em massa após a entrega e uso de conta tomada para compras com cartão de terceiro: a fraude de pagamento se manifesta como onda de chargeback que ameaça a margem e a relação com adquirentes e bandeiras. O fluxo de pagamento precisa ser tratado sob PCI-DSS, com tokenização e sem armazenar dado sensível de cartão fora do escopo certificado. Em paralelo, a geolocalização em tempo real — coração operacional do delivery — é um dos dados mais sensíveis processados. Um endpoint que devolve a posição do entregador ou o endereço do cliente sem checar autorização por objeto expõe dado pessoal sob a LGPD e cria risco de segurança física, com obrigação de comunicação de incidente à ANPD e aos titulares.

A API multi-perfil: onde a maioria das brechas realmente está

Aplicativos de delivery são, por baixo da interface, clientes finos que conversam com uma API rica. Toda a lógica sensível — quem pode ver qual pedido, quem pode alterar qual preço, quem pode sacar de qual carteira — vive no backend. Quando essa lógica de autorização é incompleta, o atacante ignora completamente a interface do app e fala direto com a API, manipulando identificadores e parâmetros. É por isso que o OWASP mantém um Top 10 específico para segurança de API, separado do Top 10 de aplicações web.

O perigo do multi-perfil é que um único endpoint mal projetado pode atravessar fronteiras entre os três mundos. Um token de entregador que consegue consultar dados financeiros de restaurante, ou um token de cliente que enxerga a fila de pedidos de uma região inteira, são falhas de autorização por função e por objeto que nenhum scanner automático de superfície enxerga sozinho. É preciso pentest com lógica de negócio, exercitando cada perfil contra os endpoints dos outros.

Conformidade: LGPD, PCI-DSS e o que a ANPD espera

Food delivery acumula categorias de dados que tornam a conformidade incontornável. Há dado pessoal comum (nome, e-mail, telefone), dado financeiro (meios de pagamento), localização precisa em tempo real e, no caso de entregadores, documentos como CNH. A LGPD exige base legal para cada tratamento, minimização (coletar e reter só o necessário), segurança adequada e, em caso de incidente com risco relevante aos titulares, comunicação à ANPD e aos afetados em prazo razoável. Geolocalização, por sua granularidade e potencial de dano, merece atenção redobrada.

No pagamento, o PCI-DSS é o padrão de fato. O ponto central é nunca tocar no dado sensível de cartão fora de um ambiente certificado: usar tokenização do gateway, restringir o escopo e segmentar a rede de forma que o restante da plataforma fique fora do alcance da auditoria. Quando a plataforma armazena ou transmite dados de cartão indevidamente, ela arrasta toda a infraestrutura para dentro do escopo PCI, multiplicando custo e risco. A Decripte estrutura essa segmentação e valida a aderência.

Como a Decripte modela a fraude antes de defender

Defender delivery sem entender a economia da fraude é gastar esforço no lugar errado. Por isso a Decripte começa modelando o fraudador: quais incentivos existem, quanto vale extrair cada um, qual o caminho de menor esforço para abusar de cada regra de negócio. Esse exercício de modelagem de ameaças (threat modeling) orientado a fraude transforma a defesa de reativa em projetada. Ele responde perguntas como: qual o custo para criar uma conta falsa? Quantos cupons uma identidade consegue capturar? Onde a regra de incentivo confia em algo que o atacante controla?

A partir do modelo, a Decripte define quais sinais o SOC precisa coletar e quais regras precisam existir na própria aplicação. Algumas defesas são de produto (verificação de identidade, limite por dispositivo, unicidade de meio de pagamento); outras são de detecção contínua (correlação comportamental no SOC). A modelagem garante que cada controle ataque um ponto real da economia da fraude, e não um sintoma genérico.

SOC 24x7 antifraude aplicado ao delivery

A fraude de delivery acontece em tempo real e em horários que escapam ao expediente: madrugadas, fins de semana, picos de campanha promocional. Um SOC 24x7 é o que transforma a detecção de um relatório mensal em uma resposta de minutos. A Decripte opera monitoramento contínuo correlacionando eventos de autenticação, transações de pagamento, criação de contas e uso de cupom, buscando padrões que nenhum alerta isolado revela.

Quando um padrão cruza o limiar de risco, o SOC age dentro do SLA: bloqueio de conta, contenção da campanha abusada, revogação de tokens, isolamento do endpoint explorado. A integração com a equipe de produto da plataforma garante que a contenção não derrube usuários legítimos no meio de um pico de pedidos. É a diferença entre estancar a fraude em uma hora e descobri-la no fechamento contábil.

Pentest multi-perfil e gestão de vulnerabilidades contínua

O pentest de uma plataforma de delivery não pode ser um scan genérico. Ele precisa exercitar a lógica de negócio com os três perfis ativos, testando explicitamente o que acontece quando um perfil tenta agir sobre os objetos e funções de outro. A Decripte conduz o teste assumindo o papel de cliente, de entregador e de restaurante, e cruzando os tokens contra todos os endpoints para encontrar autorização quebrada por objeto e por função.

O entregável não é só a lista de falhas: é a priorização por impacto real no negócio, com prova de conceito reproduzível e recomendação de correção que a equipe de engenharia consegue aplicar. Como uma plataforma de delivery faz deploy toda semana, cada release é uma chance de reintroduzir uma falha já fechada. Por isso a gestão de vulnerabilidades da Decripte mantém visibilidade permanente sobre a superfície exposta, prioriza por risco real e acompanha a remediação até o fechamento.

Anatomia ilustrativa: abuso massivo de cupom e onda de ATO de entregadores

Como a Decripte responde a um incidente em uma plataforma de delivery

A resposta a incidentes em delivery precisa ser rápida porque a fraude opera em alta velocidade e os incentivos sangram a margem por minuto. A Decripte segue um fluxo que estanca o dano dentro do SLA e ataca a causa raiz, não só o sintoma.

1. Detecção e triagem: o SOC 24x7 correlaciona eventos de login, criação de conta, pagamento e uso de cupom, distingue fraude de pico legítimo e classifica a severidade do incidente.
2. Contenção em SLA <=1h: pausa de campanhas abusadas, bloqueio de contas e dispositivos fraudulentos, revogação de sessões e tokens, e congelamento de saques suspeitos, sem derrubar o usuário legítimo.
3. Investigação de causa raiz: pentest emergencial da API e da lógica de negócio para encontrar a brecha técnica (IDOR, falta de reautenticação, regra de incentivo frágil) que permitiu o ataque.
4. Erradicação: especificação e validação das correções — autorização por objeto e função no backend, reautenticação para operações sensíveis, revogação de token, identidade única para incentivo.
5. Recuperação segura: reativação criteriosa das contas legítimas afetadas com base em grafo de relacionamento e sinais limpos, e relançamento da campanha com controles antifraude embarcados.
6. Tratamento LGPD: avaliação de risco aos titulares, apoio à comunicação à ANPD e aos afetados quando há acesso indevido a dados, e registro formal do incidente.
7. Lições aprendidas e monitoramento contínuo: os sinais que detectaram o ataque entram no SOC permanentemente, e a correção entra no ciclo de gestão de vulnerabilidades para não reaparecer no próximo deploy.

Como a Decripte estrutura a segurança de uma plataforma de delivery

Depois de conter o incidente, a Decripte transforma a defesa em arquitetura permanente, organizada em pilares que cobrem conta, incentivo, API, dados e operação contínua.

Planos recomendados para Food Delivery e Last Mile

Perguntas frequentes

Termos do setor

Account Takeover (ATO)

Tomada de controle de uma conta legítima pelo atacante, geralmente via credential stuffing ou força bruta. Em delivery, atinge clientes (uso de cartão salvo) e entregadores (desvio de saques e dados), sendo a porta de entrada para outras fraudes.

BOLA / IDOR

Broken Object Level Authorization, conhecido como IDOR: falha em que a API não verifica se o usuário tem direito sobre o objeto solicitado, permitindo trocar um identificador e acessar o pedido, endereço ou carteira de outro usuário. É o item nº1 do OWASP API Security Top 10.

BFLA

Broken Function Level Authorization: falha em que um usuário consegue executar funções de um nível ou perfil superior — por exemplo, chamar ações de admin ou de restaurante a partir de um token de cliente. Crítico em plataformas multi-perfil como delivery.

Abuso de incentivo

Exploração das regras de cupom, frete grátis, bônus de indicação ou metas de corrida, geralmente com contas falsas em escala (contas-mula). Não é falha técnica isolada, mas um modelo econômico de fraude que exige defesa na camada de identidade.

Credential stuffing

Ataque que reutiliza pares de e-mail e senha vazados em outros serviços para tentar logins em massa. É a técnica predominante de ATO e é mitigado com MFA, verificação de credenciais expostas e detecção comportamental no SOC.

PCI-DSS

Payment Card Industry Data Security Standard: conjunto de requisitos de segurança para quem processa, armazena ou transmite dados de cartão. Em delivery, orienta a tokenização, a segmentação de rede e a redução do escopo do fluxo de pagamento.