Le frodi sulle carte di pagamento utilizzate online hanno un’incidenza dieci volte superiore rispetto ai pagamenti nei negozi fisici. Falsi avvisi di consegna, phishing e furti di account colpiscono chi aspetta un ordine e mettono a rischio anche i retailer.
L’ordine è stato completato, il pagamento autorizzato e la conferma è arrivata via e-mail. È proprio quando l’attenzione si sposta sulla consegna che può aprirsi una nuova finestra di rischio. Messaggi su pacchi bloccati, indirizzi da aggiornare o piccole somme da versare imitano le comunicazioni di negozi e corrieri e cercano di sottrarre dati personali, credenziali o informazioni di pagamento.
Nel secondo semestre del 2025 il tasso di frode sul valore dei pagamenti con carta effettuati nell’ecommerce è stato di dieci volte rispetto a quello registrato presso i POS fisici. Per la moneta elettronica l’incidenza è stata dello 0,039% online, quasi cinque volte lo 0,008% dei negozi fisici. Secondo la Banca d’Italia, che ha diffuso questi dati, nello stesso periodo si sono registrate 457.500 operazioni fraudolente con carte.
Nello Spazio economico europeo, invece, la Banca centrale europea ed European Banking Authority hanno rivelato che nel 2024 le frodi sui pagamenti hanno raggiunto 4,2 miliardi di euro, e le perdite legate alle carte sono aumentate del 29%. Le frodi post-acquisto, quindi, rappresentano un problema che riguarda l’intera filiera del retail digitale. Chi compra rischia perdite economiche e furti d’identità, mentre le imprese devono affrontare contestazioni, rimborsi, costi operativi e danni alla fiducia costruita con la clientela.
L’attesa del pacco diventa un’esca
Il rischio non finisce con il pagamento. Conferme d’ordine e aggiornamenti sul tracking possono essere imitati per sottrarre credenziali, informazioni personali e dati finanziari.
Una delle tecniche più diffuse è lo “smishing”, cioè il phishing tramite SMS. Il messaggio segnala un problema con il pacco e invita a cliccare su un link per aggiornare l’indirizzo o pagare una piccola somma. Il collegamento conduce però a un sito clone che richiede i dati della carta.
Photo: creata con Chat GPT
Il CERT-AGID, team dell’Agenzia per l’Italia Digitale, per esempio, ha recentemente documentato una campagna basata su falsi avvisi di Poste Italiane: il sito fraudolento chiedeva i dati della carta con il pretesto di addebitare un nuovo tentativo di consegna. La coincidenza con un acquisto reale può rendere il messaggio ancora più convincente. Non significa necessariamente che gli hacker conoscano davvero l’ordine: l’elevato numero di acquisti e spedizioni aumenta la probabilità che un falso avviso raggiunga una persona che sta effettivamente aspettando un pacco.
Le comunicazioni contraffatte possono servire anche a impadronirsi dell’account utilizzato per gli acquisti, il cosiddetto “account takeover”. Una volta entrati nel profilo, si possono effettuare ordini, cambiare l’indirizzo di consegna o utilizzare le informazioni memorizzate. Il riutilizzo della stessa password su più servizi amplifica il rischio. Password uniche, autenticazione a più fattori e notifiche per accessi sospetti possono limitare i danni.
Più rischi nei pagamenti extraeuropei
La ricerca di Banca d’Italia ha rivelato anche che le operazioni verso Paesi esterni allo Spazio economico europeo rappresentano appena il 2% dei pagamenti con carte e moneta elettronica, ma concentrano circa un quarto delle frodi sulle carte e un terzo di quelle sulla moneta elettronica.
La maggiore esposizione è legata anche al diverso utilizzo dell’autenticazione forte del cliente, cioè la SCA (Strong Customer Authentication). Per le carte, le operazioni non soggette a SCA hanno rappresentato soltanto l’8% del valore complessivo dei pagamenti, ma il 24% del valore delle frodi. In termini numerici, il 10% delle transazioni non protette dalla SCA ha concentrato il 27% delle operazioni fraudolente.
Photo: Pexels / Cottonbro studio
Il lucchetto non basta
Anche il protocollo “HTTPS” che si vede prima del dominio dei siti protegge la trasmissione dei dati, ma non garantisce l’affidabilità del venditore: un sito fraudolento può mostrare il lucchetto. Prima di acquistare vanno verificati Partita IVA, sede, contatti, recensioni indipendenti e coerenza dei prezzi.
Dopo il pagamento è meglio non aprire i link contenuti in messaggi inattesi. Per controllare un problema bisogna accedere al sito o all’app ufficiale oppure contattare il servizio clienti attraverso recapiti già conosciuti. Un retailer o un corriere non dovrebbe chiedere via email o SMS PIN, credenziali bancarie o codice di sicurezza completo della carta.
La sicurezza continua dopo la vendita
Per i retailer la prevenzione non può fermarsi al checkout. Comunicazioni riconoscibili, domini ufficiali, tracking verificabili e indicazioni chiare su ciò che l’azienda non chiederà mai aiutano la clientela a distinguere i messaggi autentici.
Servono inoltre autenticazione a più fattori, monitoraggio delle transazioni e degli accessi anomali, sistemi di verifica di indirizzo e carta e personale formato per gestire le segnalazioni. Proteggere il post-acquisto significa difendere non solo i pagamenti, ma anche la fiducia nel brand.
Photo cover: Unsplash / Vitaly Gariev
