Frodi sui pagamenti digitali: bonifici, carte e wallet
Panorama delle frodi sui pagamenti
Le frodi sui pagamenti digitali rappresentano una delle categorie di criminalità finanziaria in più rapida evoluzione. Il progressivo spostamento delle transazioni verso canali digitali — home banking, app mobili, pagamenti contactless e portafogli elettronici — ha ampliato la superficie di attacco disponibile ai truffatori.
Le tipologie principali si distinguono per il vettore utilizzato: frodi che sfruttano canali tecnici (clonazione, intercettazione dati) e frodi che fanno leva sul comportamento dell'utente (ingegneria sociale, manipolazione psicologica). Nella pratica, molte campagne fraudolente combinano entrambi gli approcci.
Il contesto normativo europeo, in particolare la Direttiva PSD2 e i requisiti di Strong Customer Authentication (SCA), ha ridotto alcune categorie di frode ma non ha eliminato i vettori basati sulla manipolazione degli utenti.
Frodi sui bonifici bancari
Le frodi che coinvolgono bonifici bancari sono tra le più rilevanti per impatto economico, poiché spesso riguardano importi significativi e i tempi di recupero fondi sono limitati.
Business Email Compromise (BEC)
Il Business Email Compromise colpisce principalmente aziende e professionisti. L'attaccante compromette o imita la casella email di un fornitore, dirigente o partner commerciale e invia istruzioni modificate per il pagamento di fatture, indicando coordinate bancarie diverse da quelle reali. Le email sono spesso indistinguibili da quelle legittime, con thread preesistenti e grafica coerente.
Truffa del "finto funzionario bancario"
Un operatore si presenta telefonicamente come impiegato del servizio antifrode della banca, segnalando un'operazione sospetta in corso sul conto. Per "proteggere" il cliente, chiede di eseguire un bonifico verso un "conto sicuro" temporaneo controllato dalla banca — che in realtà appartiene ai truffatori. La chiamata sfrutta un senso di urgenza e la credibilità percepita dell'istituzione.
Manipolazione dei dati di pagamento
In alcuni casi documentati, malware installato sul dispositivo dell'utente modifica silenziosamente il numero IBAN di destinazione durante la compilazione di un bonifico, sostituendo le coordinate del reale beneficiario con quelle di un conto controllato dai truffatori. L'utente vede visualizzate le coordinate corrette ma il trasferimento avviene verso una destinazione diversa.
Frodi sulle carte di pagamento
Le frodi sulle carte si articolano in modalità che sfruttano sia canali fisici che digitali.
Skimming
Lo skimming è la clonazione dei dati della banda magnetica tramite dispositivi fisici installati su ATM o terminali POS. I dati raccolti vengono codificati su carte vergini e utilizzati per prelievi o acquisti non autorizzati. La diffusione delle carte con chip EMV ha ridotto questa tipologia, ma rimane presente in aree con infrastruttura meno aggiornata.
Card-not-present fraud
Le frodi "card not present" avvengono quando i dati della carta (numero, scadenza, CVV) vengono utilizzati per transazioni online senza la presenza fisica della carta. I dati possono provenire da violazioni di database commerciali, phishing o da mercati illegali nel dark web. I meccanismi di autenticazione 3D Secure (come Verified by Visa e Mastercard SecureCode) riducono questo rischio ma non lo eliminano completamente.
Phishing dei dati della carta
Siti web contraffatti che imitano piattaforme di e-commerce, servizi di streaming o utenze pubbliche raccolgono i dati completi della carta durante un processo di pagamento fittizio. L'utente riceve spesso una conferma di acquisto credibile, mentre i dati vengono trasmessi ai truffatori.
Frodi sui wallet digitali
La diffusione di wallet digitali e app di pagamento peer-to-peer ha aperto nuovi scenari di frode, caratterizzati da transazioni spesso immediate e difficilmente reversibili.
Truffe su piattaforme di pagamento P2P
I wallet digitali P2P consentono trasferimenti istantanei tra utenti. I truffatori sfruttano questa caratteristica in scenari diversi: vendita di beni inesistenti su piattaforme di annunci, richieste di "pagamento anticipato" per servizi mai erogati, o finte emergenze che richiedono trasferimenti immediati. A differenza di una carta di credito, i pagamenti via wallet P2P spesso non godono di protezioni contro le frodi equivalenti.
Compromissione dell'account wallet
La compromissione dell'account di un wallet digitale — tramite credential stuffing, phishing o SIM swapping — consente ai truffatori di effettuare trasferimenti verso account terzi. Dato che molti wallet si sincronizzano con carte di credito o conti bancari, la compromissione può avere conseguenze su strumenti di pagamento multipli.
Segnali di allarme da riconoscere
Alcuni elementi ricorrenti nelle frodi sui pagamenti possono servire da indicatori di allerta:
- Richiesta di trasferimento verso coordinate bancarie nuove o non verificate, anche se proveniente da contatti noti (l'email o il numero potrebbero essere stati compromessi)
- Urgenza insolita in una comunicazione relativa a un pagamento
- Pressione a non comunicare la transazione ad altri o a non verificarne l'autenticità con canali alternativi
- Richiesta di acquisto di buoni regalo o di ricarica di carte prepagate come forma di pagamento
- IBAN di destinazione con prefisso di paese diverso da quello atteso
- Modifiche non richieste alle coordinate di pagamento di fornitori o partner abituali
Di fronte a qualsiasi transazione che presenta anche un solo di questi segnali, verificare sempre l'autenticità della richiesta attraverso un canale di comunicazione indipendente e preesistente prima di procedere.