CVC/CVV

O CVC (Card Verification Code) ou CVV (Card Verification Value) é o código de segurança impresso no cartão de crédito ou débito. Trata-se de um número de 3 ou 4 dígitos gravado fisicamente no cartão — mas não armazenado na tarja magnética nem no chip eletrônico — cujo objetivo principal é confirmar que a pessoa realizando uma transação online ou por telefone tem o cartão físico em mãos naquele momento.

Cada bandeira usa uma nomenclatura ligeiramente diferente para o mesmo conceito: a Visa chama de CVV2, a Mastercard de CVC2, a American Express de CID (Card Identification Number), e a Elo adota o termo CVE2 — mas a função de todos é idêntica.

Onde Fica o CVC/CVV em Cada Bandeira

A localização do código varia conforme a bandeira do cartão:

• Visa, Mastercard, Elo e Hipercard: o código de 3 dígitos fica impresso no verso do cartão, geralmente ao lado ou logo abaixo do espaço destinado à assinatura do titular. Em alguns modelos mais modernos, ele aparece em uma área separada, após os últimos dígitos do número do cartão.
• American Express: o código tem 4 dígitos e fica impresso na frente do cartão, acima e à direita do número principal do cartão.

Em cartões virtuais — que não têm forma física —, o CVC é exibido exclusivamente pelo aplicativo do banco ou fintech, geralmente na área de detalhes do cartão. Basta acessar o app com autenticação biométrica ou senha para visualizá-lo.

Para Que Serve o CVC

O CVC foi criado para adicionar uma camada extra de segurança nas compras sem a presença física do cartão (chamadas em inglês de “card not present transactions”), como:

• Compras online em lojas virtuais;
• Pagamentos por telefone ou central de atendimento;
• Assinaturas e serviços de recorrência.

Como o código não é armazenado na tarja magnética nem no chip, um criminoso que clonou seu cartão fisicamente (copiando a tarja ou o chip) não obtém o CVC. Da mesma forma, estabelecimentos comerciais são proibidos pelo padrão PCI DSS (Payment Card Industry Data Security Standard) de armazenar o CVC após o processamento da transação. Isso significa que, mesmo que um site sofra um vazamento de dados, o CVC dos clientes não deve estar disponível para os criminosos — apenas os dados do cartão e a data de validade.

PCI DSS: O Padrão Internacional de Segurança

O PCI DSS é um conjunto de normas de segurança desenvolvido pelas principais bandeiras de cartão (Visa, Mastercard, American Express, Discover e JCB) para proteger os dados dos titulares. Empresas que processam, armazenam ou transmitem dados de cartão devem seguir essas normas obrigatoriamente. A proibição de armazenar o CVC é uma das regras mais importantes do padrão.

No Brasil, a Febraban e o Banco Central do Brasil alinham suas diretrizes de segurança digital com os padrões internacionais, exigindo que emissores e credenciadoras adotem medidas equivalentes ao PCI DSS em seus sistemas.

CVC Dinâmico: A Evolução da Segurança

Uma inovação crescente no mercado financeiro brasileiro é o CVC dinâmico (ou DCVC — Dynamic Card Verification Code). Diferente do CVC estático impresso no cartão, o CVC dinâmico muda periodicamente — a cada hora, a cada dia ou a cada transação — e é exibido exclusivamente no aplicativo do banco.

Fintechs como Nubank, Inter e C6 Bank já oferecem ou estão implementando essa funcionalidade. O benefício é claro: mesmo que os dados completos do cartão sejam vazados em algum incidente de segurança, o CVC dinâmico já terá mudado quando o criminoso tentar usá-lo, tornando o dado inútil para fraudes.

Para o consumidor, o uso é simples: antes de fazer uma compra online, abre-se o aplicativo do banco, acessa-se a área do cartão e anota-se o CVC atual, que será válido apenas por um período limitado.

Contexto de Segurança no Brasil

O Brasil é historicamente um dos países com maior índice de fraudes com cartão de crédito do mundo. Segundo dados da Febraban, o país investe bilhões de reais por ano em tecnologia de segurança bancária. Ainda assim, a engenharia social — ou seja, o golpe que induz a vítima a fornecer voluntariamente seus dados — continua sendo a principal porta de entrada para fraudadores.

O Banco Central do Brasil, por meio de suas normas de segurança cibernética (Resolução CMN n.º 4.893/2021), exige que as instituições financeiras adotem protocolos rigorosos de autenticação e proteção de dados dos clientes.

Golpes Envolvendo o CVC: Como se Proteger

Os golpistas frequentemente tentam obter o CVC por meio de técnicas de engenharia social. Os golpes mais comuns incluem:

• Falso atendente de banco: alguém liga dizendo que detectou uma transação suspeita e pede o CVC para “cancelar” a operação. Nenhum banco legítimo faz isso.
• Phishing por e-mail ou SMS: mensagens com links falsos direcionam para páginas que imitam sites de bancos e pedem dados do cartão, incluindo o CVC.
• Falso suporte técnico: criminosos se passam por técnicos de empresas conhecidas e solicitam acesso remoto ao dispositivo para “resolver um problema”, capturando dados bancários.

Regras absolutas de segurança:

• Nunca informe o CVC por telefone, e-mail, WhatsApp ou qualquer canal não oficial do seu banco.
• Nenhuma instituição séria solicita o código de segurança do cartão por esses canais — é sempre golpe.
• Não fotografe a frente e o verso do cartão juntos e não envie essa foto para ninguém.
• Se suspeitar de fraude, bloqueie imediatamente o cartão pelo aplicativo e solicite reemissão.

O Procon e o Banco Central reforçam que o consumidor não é responsabilizado por fraudes quando comprovada a ação criminosa de terceiros, desde que o titular não tenha contribuído com negligência para a exposição dos dados.

O Que Fazer em Caso de Fraude

1. Bloqueie o cartão imediatamente pelo aplicativo do banco — a maioria dos bancos permite o bloqueio instantâneo.
2. Registre um boletim de ocorrência (BO) online ou presencialmente em uma delegacia de polícia.
3. Contate o banco pela central de atendimento oficial para contestar as transações não reconhecidas (chargeback).
4. Altere senhas de acesso ao internet banking e ao aplicativo.
5. Monitore o Cadastro Positivo e o Serasa para verificar se há aberturas de crédito indevidas em seu nome.

Perguntas Frequentes

O CVC muda quando solicito um novo cartão? Sim. Ao solicitar a reemissão de um cartão — seja por perda, roubo, dano ou expiração — um novo número de CVC é gerado automaticamente. O cartão anterior é cancelado e seus dados tornam-se inválidos para novas transações.

Por que o CVC tem apenas 3 ou 4 dígitos? Isso é seguro? O CVC é uma camada adicional de segurança, não o único mecanismo de proteção. Ele complementa o número do cartão (16 dígitos), a data de validade e, em muitos casos, a autenticação 3DS (como o código enviado por SMS ou push notification do banco). O conjunto dessas verificações é o que torna a transação segura, não o CVC isoladamente.

Sites que não pedem CVC são menos seguros? Não necessariamente. Alguns serviços de assinatura estabelecem um token de cobrança recorrente na primeira transação e não precisam solicitar o CVC novamente. Porém, em compras avulsas em sites desconhecidos que não pedem CVC, é prudente verificar a reputação do estabelecimento antes de finalizar o pagamento.

Termos Relacionados

• Compra Internacional — situações em que o CVC é indispensável para compras em sites estrangeiros
• Estorno — recurso utilizado em caso de compra fraudulenta realizada com seu CVC
• Emissor — banco responsável por gerar e proteger o CVC do seu cartão
• Fatura — onde transações fraudulentas realizadas com o CVC aparecem e podem ser contestadas