Le frodi nei pagamenti ecommerce sono una realtà operativa che ogni venditore online incontra prima o poi. Carte rubate usate per acquistare prodotti rivendibili, transazioni contestate dopo la spedizione, tentativi di acquisto con dati falsi: sono fenomeni che producono costi diretti (merce persa, chargeback subiti) e indiretti (tempo del team, peggioramento del rating del gateway). Capire come funziona l’antifrode e quali strumenti applicare è una di quelle competenze che fanno la differenza tra un ecommerce che perde soldi silenziosamente e uno che gestisce il rischio in modo strutturato.
I tipi di frode più comuni
Nel mondo ecommerce italiano si incontrano principalmente quattro tipi di frode.
La frode con carta rubata è la più diffusa. Il truffatore usa dati di carta di credito ottenuti illecitamente (acquistati su marketplace illegali, ottenuti via phishing) per acquistare prodotti rivendibili. La transazione viene autorizzata dalla banca (la carta è valida), il prodotto viene spedito, settimane dopo il vero proprietario della carta scopre l’addebito e contesta. Il merchant subisce il chargeback (importo restituito al cliente più commissione), ha già spedito la merce, perde tutto.
La frode amichevole (friendly fraud) è la seconda. Il cliente acquista legittimamente, riceve il prodotto, poi contesta la transazione alla propria banca dichiarando di “non aver mai ordinato” o “non aver mai ricevuto”. È spesso un tentativo di ottenere il prodotto gratis. Sui pagamenti via wallet (Apple Pay, Google Pay) o gateway moderni con buona documentazione di ordine, è più difficile, ma resta un fenomeno rilevante.
La frode di affiliazione/identità: il truffatore si finge un cliente legittimo creando un’identità falsa o usando l’identità altrui per acquistare. Spesso combinata con carte rubate, talvolta usata per “riciclare” denaro o per evasioni fiscali.
Le frodi sul checkout/carrello: tentativi di manipolare il sistema (prezzi modificati via codice del browser, sconti applicati impropriamente, refund duplicati). Sono rari su piattaforme ecommerce ben configurate, ma possono manifestarsi con setup approssimativi.
Per il quadro generale dei pagamenti ecommerce, il riferimento è il pillar su sistemi di pagamento per ecommerce.
Gli strumenti di antifrode
Esistono diversi livelli di protezione, da quelli minimi a quelli avanzati.
Il 3D Secure 2.0 è il primo livello. È obbligatorio per gran parte delle transazioni in UE (PSD2 / SCA) e sposta il rischio di frode dalla banca al cliente o al gateway. Quando il cliente autentica con 3DS la transazione, l’eventuale chargeback per “non riconoscimento” è generalmente respinto dalla banca emittente: il merchant è protetto. Per il dettaglio sul funzionamento, il riferimento è ancora il pillar generale.
I filtri antifrode del gateway sono il secondo livello. Stripe Radar, Adyen Risk, sistemi proprietari di altri gateway analizzano in tempo reale ogni transazione su decine di parametri: paese della carta vs paese del cliente, geolocalizzazione, comportamento dell’utente sul sito, frequenza di acquisti dello stesso cliente, importo rispetto alla media della carta, blacklist di numeri di carta noti per frodi, device fingerprinting. Le transazioni che superano una soglia di rischio possono essere automaticamente bloccate o messe in revisione manuale.
Le soluzioni antifrode dedicate sono il terzo livello. Signifyd, Forter, Riskified, Sift sono provider specializzati che aggiungono un livello di analisi più sofisticato (con machine learning su dataset enormi) e offrono spesso una garanzia “no chargeback”: se loro approvano una transazione e questa risulta poi fraudolenta, il provider rimborsa il merchant. Costi tipici: 0,5-1,5% del transato gestito. Hanno senso per ecommerce con alto rischio di frode (elettronica, lusso, prodotti rivendibili).
Le regole personalizzate sono il quarto livello. Su gateway come Stripe, Adyen, è possibile creare regole specifiche: bloccare ordini sopra una certa soglia da paesi specifici, richiedere autenticazione manuale per primi acquisti, limitare il numero di tentativi da uno stesso IP. Sono leve che l’antifrode generico non copre.
La gestione dei chargeback
Il chargeback è il momento in cui la frode (o la presunta tale) si materializza in costo per il merchant. Come gestirli.
I dati per la difesa: ogni ordine va documentato in modo da poter difendere la transazione in caso di chargeback. Dati utili: IP del cliente, device usato, log della navigazione, autenticazione del cliente (login con email, eventuale 3DS), prove di consegna (firma del corriere, tracking), comunicazioni email con il cliente. Le piattaforme ecommerce moderne raccolgono buona parte di questi dati automaticamente; verificare che siano accessibili in caso di contestazione.
I tempi di risposta: una volta ricevuto un chargeback, il merchant ha 7-15 giorni per rispondere (la finestra varia per circuito carta). Rispondere rapidamente con documentazione completa massimizza le probabilità di vincere la disputa. I gateway moderni offrono console di gestione che facilitano la risposta.
Il tasso di vittoria: con buona documentazione, è possibile vincere il 30-50% dei chargeback. Senza documentazione, la quota scende quasi a zero. La differenza tra “ho perso il chargeback” e “ho recuperato l’importo” è quasi tutta nella qualità della documentazione.
Il monitoraggio del tasso di chargeback: i gateway (Stripe, Visa, Mastercard) monitorano il tasso di chargeback dei merchant. Sopra l’1% del transato, scattano allarmi; sopra l’1,5%, si possono attivare programmi di “high risk” con costi e restrizioni; oltre il 2%, il gateway può chiudere l’account. Tenere sotto controllo il tasso è quindi una priorità operativa.
Le pratiche operative quotidiane
Tre pratiche operative riducono significativamente le frodi.
L’ispezione manuale degli ordini sospetti: per ecommerce con scontrino medio alto, vale la pena rivedere manualmente gli ordini che il sistema antifrode classifica come “a rischio”. Un’occhiata umana spesso conferma o smentisce il sospetto in pochi minuti.
La verifica dei nuovi clienti: primo acquisto da nuovo cliente, soprattutto su importi alti o categorie a rischio, può richiedere verifica aggiuntiva (chiamata di conferma, richiesta di documento). Operativamente è scomodo, ma su ordini sopra una certa soglia il rapporto costo-beneficio è positivo.
La chiusura dei loophole tecnici: certificarsi che la piattaforma ecommerce non abbia vulnerabilità sul checkout (prezzi modificabili via codice del browser, parametri manipolabili, sconti applicabili impropriamente). Audit periodici di sicurezza con un professionista evitano sorprese spiacevoli. Per il quadro generale degli aspetti normativi e di sicurezza degli ecommerce, c’è l’approfondimento su normativa ecommerce e obblighi.
Domande frequenti
Devo per forza attivare un sistema antifrode dedicato?
No. Per la maggior parte degli ecommerce piccoli e medi, l’antifrode integrata nel gateway (Stripe Radar, Nexi Antifrode, equivalenti) copre adeguatamente il rischio. Le soluzioni dedicate (Signifyd, Forter, Riskified) hanno senso quando: il rischio di frode è particolarmente alto (categorie come elettronica di lusso, gioielli, prodotti rivendibili), gli scontrini sono molto alti, il volume di chargeback sta crescendo nonostante l’antifrode di base. Sotto queste soglie, l’antifrode del gateway è sufficiente.
Cosa fare se il tasso di chargeback supera l’1%?
Intervenire immediatamente. Analizzare quali transazioni stanno producendo chargeback (paesi, categorie, fasce di importo, fonti di traffico), rivedere le regole antifrode, valutare se attivare un sistema antifrode dedicato, rivedere il processo di documentazione degli ordini. Il rischio di non intervenire è che il gateway entri in modalità “high risk” o chiuda l’account, con tutto quel che comporta per l’operatività.
Il 3D Secure protegge davvero dai chargeback?
Sì, in modo significativo. Le transazioni autenticate con 3D Secure trasferiscono il rischio di “frode non riconoscimento” alla banca emittente: l’eventuale chargeback per questa motivazione è generalmente respinto. Restano i chargeback per “merce non ricevuta” o “merce non come descritta”, per i quali la documentazione operativa (tracking, prove di consegna, descrizioni accurate del prodotto) è la difesa. Il 3DS è uno scudo, non una panacea.
Quanti soldi si perdono mediamente per frodi su un ecommerce?
Variabile per categoria. Per ecommerce con bassi rischi (food, prodotti di consumo a basso valore), le perdite per frode sono di norma sotto lo 0,3% del fatturato. Per categorie a rischio alto (elettronica, lusso, beauty di valore), possono superare l’1-2%. Sopra questa soglia, l’antifrode diventa una priorità strategica: ogni euro investito in protezione ne salva di più in chargeback evitati e merce persa.
