Guide
Prevenzione delle frodi nei pagamenti per esercenti online: tipi, strumenti e metriche
Prevenire le frodi nei pagamenti online significa fermare card testing, acquisti con carte rubate, account takeover e friendly fraud senza rifiutare i clienti validi. Si lavora a livelli: controlli su account e velocità, fingerprinting e punteggio di rischio prima del pagamento, 3D Secure per gli ordini rischiosi, CVV e indirizzo in autorizzazione, prove per i chargeback dopo. Si monitorano insieme tasso di frode, contestazioni e falsi rifiuti.
In sintesi
| Frodi nei pagamenti nello SEE, 2024 | 4,2 miliardi di €, rispetto a 3,5 miliardi nel 2023 (ABE e BCE, dicembre 2025) |
|---|---|
| Frodi con carta fuori dallo SEE | 17 volte più elevate quando il beneficiario è fuori dallo SEE, dove la SCA spesso non è applicata |
| Soglia Visa VAMP per gli esercenti, Europa | Segnalazioni di frode più contestazioni pari all'1,5 % delle transazioni card-not-present regolate da aprile 2026, a partire da 1.500 eventi al mese |
| Mastercard Excessive Chargeback Merchant | Rapporto di chargeback dell'1,5 % e almeno 100 chargeback in un mese |
| Tassi di frode di riferimento della TRA PSD2 | 0,13 % fino a 100 €, 0,06 % fino a 250 € e 0,01 % fino a 500 € per i pagamenti a distanza con carta |
| Rimborso delle frodi APP nel Regno Unito | Rimborso obbligatorio fino a 85.000 £ per richiesta dal 7 ottobre 2024 |
Quali tipi di frode nei pagamenti colpiscono gli esercenti online?
Le frodi seguono il denaro e il controllo più debole. ABE e BCE hanno contato 4,2 miliardi di € di frodi nei pagamenti nello SEE nel 2024, concentrate nei pagamenti card-not-present e verso esercenti fuori dallo SEE. Gli esercenti pagano gran parte delle frodi su carta con chargeback, commissioni e merce.
Ogni tipo lascia segnali diversi e richiede una difesa diversa: un solo insieme di regole o strumento raramente li copre tutti.
| Tipo di frode | Come funziona | Segnale tipico | Difesa principale |
|---|---|---|---|
| Card testing | I bot provano numeri di carte rubate con piccoli pagamenti | Molti tentativi di importo basso, molti rifiuti | Limiti di velocità, rilevamento dei bot, CAPTCHA |
| Frode con carta rubata (CNP) | Acquisto con dati reali di una carta | Nuovo dispositivo, paese o indirizzo non coerenti | Punteggio di rischio, 3D Secure |
| Account takeover | Credenziali rubate usate per ordinare o cambiare i dati di pagamento | Nuovo dispositivo, reimpostazione password, indirizzo modificato | Controlli di rischio al login, autenticazione aggiuntiva |
| Friendly fraud | Il vero titolare contesta un acquisto che ha fatto | Cliente abituale, ordine consegnato, contestazione successiva | Descrittori chiari, prova di consegna, prove |
| Frode di triangolazione | Un falso negozio rivende la Sua merce pagata con carte rubate | Indirizzo di spedizione diverso dal titolare, schemi da rivenditore | Collegamento di indirizzo e dispositivo, revisione |
| Frode MOTO | Carte rubate usate in ordini telefonici o postali | Consegna urgente, valore elevato, nessuna SCA | Richiamata, controlli CVV e indirizzo |
| Truffe APP e sui rimborsi | Clienti o dipendenti indotti a inviare denaro | Coordinate bancarie modificate, richieste urgenti | Verifica del beneficiario, controlli sui pagamenti in uscita |
Che cos'è la friendly fraud e la chargeback fraud è illegale?
La friendly fraud, detta anche chargeback fraud o frode di prima parte, si verifica quando il titolare contesta alla propria banca, come non autorizzato o non ricevuto, un acquisto che ha fatto. Alcuni casi nascono da confusione in buona fede su un descrittore o sull'acquisto di un familiare, altri sono intenzionali. Contestare consapevolmente un addebito per tenere merce e denaro è frode e può essere perseguito, ma in pratica gli esercenti la contrastano con il processo di contestazione.
3D Secure non ferma la friendly fraud, perché il vero titolare può autenticarsi. Aiutano un descrittore riconoscibile, e-mail di conferma d'ordine, prova di consegna e un rimborso facile. Nelle contestazioni Visa, Compelling Evidence 3.0 permette di rispondere con due transazioni precedenti non contestate, avvenute da 120 a 365 giorni prima con la stessa carta e dati di dispositivo o IP coerenti.
Quali strumenti di prevenzione delle frodi dovrebbe usare un esercente online?
Nessuno strumento copre ogni frode e ciascuno aggiunge costi o attrito. Conta che cosa vede e quando agisce: prima dell'ordine o dell'autorizzazione, durante l'autenticazione o dopo la vendita.
Il machine learning combina molti segnali deboli, le regole codificano ciò che già si sa dell'attività. Servono entrambi: regole per limiti rigidi e blocchi spiegabili, punteggio per la zona grigia.
- Regole: bloccare o rivedere per paese, importo, prodotto, metodo di spedizione o e-mail, carta e dispositivo in blacklist
- Controlli di velocità: limitare i tentativi per carta, dispositivo, indirizzo IP, e-mail e account in minuti e giorni
- Fingerprinting del dispositivo: riconoscere dispositivi noti, emulatori, proxy e molti account su un dispositivo
- Punteggio di rischio con machine learning: un punteggio per pagamento da comportamento, storico e dati di rete
- 3D Secure 2: autenticazione da parte dell'emittente, con trasferimento di responsabilità per frode sui pagamenti autenticati
- Verifica di CVV e indirizzo (AVS): controlli dell'emittente in autorizzazione; l'AVS è disponibile soprattutto per carte del Regno Unito, degli Stati Uniti e del Canada
- Revisione manuale e blocchi di evasione: per ordini di valore elevato o ambigui, prima della spedizione
Quali metriche antifrode conviene monitorare?
Il solo tasso di frode premia il rifiuto di tutti. Lo affianchi al rapporto di contestazioni sorvegliato dai circuiti e ai falsi rifiuti, perché un buon cliente respinto costa l'intero margine e spesso gli ordini futuri.
L'Acquirer Monitoring Program di Visa conta insieme segnalazioni di frode e contestazioni; la soglia per gli esercenti in Europa è scesa all'1,5 % ad aprile 2026. Superare le soglie dei circuiti comporta multe, commissioni più alte e infine la perdita dell'accettazione delle carte.
| Metrica | Come si calcola | Valore di riferimento |
|---|---|---|
| Tasso di frode per valore | Volume fraudolento diviso per il volume totale su carta | Fasce TRA PSD2 di 0,13 %, 0,06 % e 0,01 % per i PSP |
| Rapporto Visa VAMP | Segnalazioni di frode più contestazioni divise per le transazioni CNP regolate | Soglia dell'1,5 % per gli esercenti in Europa da aprile 2026 |
| Rapporto di chargeback Mastercard | Chargeback divisi per le transazioni del mese precedente | 1,5 % e 100 chargeback per Excessive Chargeback Merchant |
| Tasso di falsi rifiuti | Ordini validi rifiutati o annullati divisi per tutti gli ordini validi | Fissi una base propria; riveda campioni ogni mese |
| Tasso di challenge 3DS | Autenticazioni con challenge divise per tutte le autenticazioni | Confronti per paese dell'emittente e fascia di importo |
| Tasso di revisione manuale | Ordini inviati in revisione divisi per tutti gli ordini | Abbastanza basso da rivedere prima della scadenza di spedizione |
Come si presenta un approccio a livelli alla prevenzione delle frodi?
Ogni livello intercetta ciò che il precedente ha lasciato passare e riserva l'attrito agli ordini che lo richiedono: i pagamenti a basso rischio passano, quelli a rischio medio sono autenticati, quelli ad alto rischio bloccati o rivisti.
Collochi ogni controllo il più presto possibile: bloccare un bot di card testing alla registrazione costa meno che pagare le commissioni di autorizzazione per migliaia di tentativi rifiutati.
| Livello | Quando agisce | Controlli | Attrito per il cliente |
|---|---|---|---|
| 1. Account | Registrazione e login | Rilevamento bot, rischio al login, autenticazione aggiuntiva su nuovi dispositivi | Nessuno per la maggior parte degli utenti |
| 2. Checkout | Prima del pagamento | Limiti di velocità, fingerprint del dispositivo, blacklist | Nessuno |
| 3. Punteggio di rischio | Prima dell'autorizzazione | Regole più punteggio di machine learning | Nessuno |
| 4. Autenticazione | Rischio medio e alto | Challenge 3D Secure 2 o esenzione | Challenge per una quota di ordini |
| 5. Autorizzazione | Presso l'emittente | CVV, AVS, modelli di rischio dell'emittente | Solo rifiuto |
| 6. Dopo la vendita | Evasione e contestazioni | Blocchi, prova di consegna, prove, rimborsi | Ritardo sugli ordini rivisti |
Come si collega il punteggio di rischio al routing dei pagamenti?
Un punteggio di rischio serve di più se cambia ciò che accade al pagamento, non solo se lo blocca. I punteggi bassi vanno con una richiesta di esenzione TRA per un checkout fluido, i medi passano da 3D Secure, gli alti sono bloccati o rivisti. Con più acquirer, il punteggio può anche scegliere la connessione, per esempio inviando i carrelli rischiosi al conto con la migliore configurazione di autenticazione.
Il routing crea anche rischio. Ritentare un rifiuto su un secondo provider aiuta con rifiuti tecnici e soft decline, ma ritentare hard decline o sospetto card testing diffonde l'attacco sui Suoi conti e alza ovunque i rapporti di contestazioni. Le regole di nuovo tentativo devono controllare prima il motivo del rifiuto e il punteggio.
Come si aggiungono controlli antifrode tramite OrsunPay?
OrsunPay è un fornitore di servizi tecnici sui conti PSP propri dell'esercente, quindi strumenti antifrode e regole di responsabilità di ogni contratto PSP restano validi. La reportistica riunisce i risultati dei provider collegati; il modulo antifrode RiskCogs aggiunge a ogni transazione un punteggio di rischio e segnali che alimentano le regole di routing e di cascata.
Come impostare una prevenzione delle frodi a livelli
- Misurare la situazione di partenza Esporti tre mesi di pagamenti, contestazioni e rifiuti e calcoli frodi, contestazioni e approvazioni per paese, metodo e fascia di importo.
- Fermare prima gli attacchi automatizzati Aggiunga rilevamento dei bot e limiti di velocità per carta, dispositivo, IP ed e-mail per bloccare il card testing prima dell'autorizzazione.
- Valutare ogni pagamento Usi il motore di rischio del PSP o uno strumento separato e scriva regole per i limiti rigidi che già conosce.
- Collegare i punteggi alle azioni Definisca fasce per passaggio con esenzione, 3D Secure, revisione e blocco, e verifichi le soglie su ordini passati.
- Prepararsi alle contestazioni Sistemi il descrittore, conservi prove di consegna e dati del dispositivo e rimborsi gli errori evidenti prima che diventino chargeback.
- Rivedere ogni mese Controlli insieme frodi, contestazioni e falsi rifiuti e adatti le regole, perché gli schemi di frode cambiano dopo ogni modifica.
Domande frequenti
Che cos'è la friendly fraud?
La friendly fraud è un chargeback presentato dal vero titolare per un acquisto che ha fatto o autorizzato, sostenendo che non era autorizzato o non è stato ricevuto. Pesa molto sulle contestazioni per frode perché 3D Secure e i punteggi non fermano il vero titolare.
La chargeback fraud è illegale?
Contestare consapevolmente un acquisto legittimo per riavere il denaro tenendo la merce è frode e può essere perseguito. Gli esercenti di solito rispondono con prove nel processo di contestazione dei circuiti e possono rifiutare ordini futuri di quel cliente.
Che cos'è la frode MOTO?
La frode MOTO usa dati di carte rubate in pagamenti per corrispondenza o telefono. Sono fuori dalla SCA, quindi gli esercenti si affidano a richiamate, controlli CVV e indirizzo e alla revisione degli ordini urgenti o di valore elevato.
Come posso fermare le frodi ecommerce senza perdere buoni clienti?
Usi un attrito basato sul rischio: lasci passare i pagamenti a basso rischio, autentichi con 3D Secure quelli a rischio medio e blocchi o riveda solo quelli ad alto rischio. Misuri i falsi rifiuti accanto alle frodi, perché regole più strette non costino più ricavi delle frodi evitate.
Qual è un buon tasso di frode per un negozio online?
Mantenga i rapporti di frode e contestazioni ben al di sotto delle soglie dell'1,5 % di Visa e Mastercard. Per far chiedere agli acquirer le esenzioni TRA servono tassi molto più bassi: la PSD2 fissa riferimenti tra 0,01 % e 0,13 % per i PSP.
Che cos'è il card testing?
Nel card testing i truffatori verificano con bot numeri di carte rubate tramite piccoli pagamenti su un sito. Causa commissioni di autorizzazione, più rifiuti e successive contestazioni, e si ferma con limiti di velocità, rilevamento dei bot e CAPTCHA al checkout.