Frodi nei pagamenti digitali: il rischio resta contenuto, ma cresce la manipolazione degli utenti

La crescente diffusione dei pagamenti digitali ha reso le transazioni più rapide, accessibili e convenienti, ma ha anche ampliato lo spazio d’azione delle organizzazioni criminali. Il quadro che emerge dall’ultimo Rapporto sulle operazioni di pagamento fraudolente in Italia, pubblicato dalla Banca d’Italia lo scorso 20 luglio, presenta due aspetti apparentemente contrapposti: da un lato, l’incidenza complessiva delle frodi rimane molto limitata; dall’altro, le tecniche utilizzate dai criminali diventano sempre più sofisticate e si concentrano sulla manipolazione dei comportamenti degli utenti.

UN FENOMENO CONTENUTO MA NON MARGINALE

Nel secondo semestre del 2025 sono state registrate complessivamente dieci operazioni fraudolente ogni centomila pagamenti, pari allo 0,010% del totale. In termini economici, le frodi hanno rappresentato circa 3 euro ogni 100mila euro transati, corrispondenti allo 0,003%. Si tratta di valori contenuti, che confermano l’elevato livello di sicurezza del sistema italiano dei pagamenti al dettaglio, senza tuttavia ridurre la necessità di rafforzare ulteriormente le misure di prevenzione e di tutela.

Le caratteristiche delle frodi cambiano sensibilmente a seconda dello strumento di pagamento. Nel periodo analizzato, il valore più elevato delle operazioni fraudolente ha riguardato i bonifici, per un ammontare di circa 88,7 milioni di euro. Seguono le carte di pagamento, con 36,5 milioni, e la moneta elettronica, categoria nella quale rientrano prevalentemente le carte prepagate, con 11,1 milioni.

Il quadro è diverso considerando il numero delle transazioni. Le carte, che rappresentano lo strumento più utilizzato, hanno registrato circa 457.500 operazioni fraudolente, mentre quelle relative alla moneta elettronica sono state 269.600. I bonifici fraudolenti sono stati invece 31.900 e i prelievi illeciti da ATM 19.800.

La frequenza delle frodi risulta quindi maggiore per carte e moneta elettronica, ma la perdita potenziale è molto più elevata quando viene utilizzato un bonifico. L’importo medio di una frode tramite bonifico è stato pari a 2.784 euro, contro 505 euro per i prelievi da ATM, 80 euro per le carte di pagamento e 41 euro per la moneta elettronica. La sicurezza dei bonifici assume pertanto un’importanza particolare non tanto per il numero degli episodi, quanto per la gravità delle conseguenze economiche che possono derivarne.

E-COMMERCE E OPERAZIONI TRANSFRONTALIERE RESTANO PIÙ ESPOSTI

Le operazioni a distanza (e-commerce) continuano a presentare un rischio superiore rispetto ai pagamenti effettuati presso un punto vendita fisico, anche se il divario si è ridotto. Per le carte, il tasso di frode sul valore delle transazioni e-commerce è sceso allo 0,060%, contro lo 0,006% dei pagamenti al POS. Per la moneta elettronica, i valori sono rispettivamente pari allo 0,039% e allo 0,008%.

Anche la dimensione geografica è rilevante. Le operazioni verso Paesi situati fuori dallo Spazio economico europeo rappresentano circa il 2% dei pagamenti effettuati con carte e moneta elettronica, ma concentrano rispettivamente circa un quarto e un terzo delle frodi associate a questi strumenti. Il dato evidenzia l’importanza della cooperazione internazionale, del monitoraggio delle transazioni transfrontaliere e dell’applicazione di presidi di sicurezza omogenei lungo l’intera catena del pagamento.

PAGAMENTI ISTANTANEI: RISCHIO PIÙ ELEVATO, MA IN DIMINUZIONE

Nel rapporto di Banca d’Italia un’attenzione specifica è dedicata ai bonifici SEPA istantanei. Nel secondo semestre del 2025 il loro tasso di frode è rimasto sensibilmente superiore a quello dei bonifici ordinari: lo 0,028% del valore transato, contro lo 0,002%. La dinamica è però positiva, considerando che il dato è diminuito del 38% rispetto al semestre precedente e del 53% rispetto allo stesso periodo del 2024. Anche il tasso calcolato sul numero delle operazioni è sceso allo 0,012%, con una riduzione del 40% sul semestre e del 57% su base annua.

A questa riduzione avrebbe contribuito il rafforzamento delle misure adottate dagli intermediari in vista dell’applicazione dell’Instant Payment Regulation. Dal 9 ottobre 2025, in particolare, i prestatori di servizi di pagamento devono offrire la Verification of Payee, il servizio che verifica la corrispondenza tra il nome del beneficiario indicato dal pagatore e il titolare dell’IBAN. La misura è particolarmente rilevante perché i bonifici istantanei, una volta eseguiti, non possono essere annullati.

La verifica del beneficiario riduce il rischio tecnico, tuttavia la sua efficacia dipende anche dalla capacità dell’utente di comprendere l’avviso e interrompere l’operazione quando emergono elementi sospetti.

LA NUOVA FRONTIERA DELLE FRODI È L’INGEGNERIA SOCIALE

L’elemento più significativo del rapporto riguarda l’aumento delle frodi da manipolazione del pagatore. In questi casi il criminale non sottrae necessariamente le credenziali né viola direttamente il sistema informatico della banca. Convince invece la vittima, attraverso phishing, vishing, smishing, falsificazione del numero telefonico o altre tecniche di impersonificazione, a effettuare personalmente il pagamento verso un conto fraudolento.

Nel secondo semestre del 2025 questa tipologia ha rappresentato il 72% del valore e il 58% del numero dei bonifici fraudolenti, rispetto rispettivamente al 58% e al 51% del semestre precedente. Il problema si sposta quindi progressivamente dalla violazione tecnica degli strumenti alla manipolazione delle decisioni degli individui.

Il risultato è coerente con il più ampio scenario delineato da I-Com e Altroconsumo nell’ambito del convegno pubblico “DIGITALIZZATI: Difesa dalle frodi e Educazione Digitale” tenutosi a Roma lo scorso 15 luglio. Le truffe fanno sempre più leva sull’urgenza, sulla paura e sulla fiducia: falsi operatori bancari segnalano inesistenti movimenti sospetti, messaggi attribuiti a figli o familiari chiedono trasferimenti immediati, mentre comunicazioni contraffatte imitano banche, Poste, corrieri ed enti pubblici. L’utilizzo dell’intelligenza artificiale può rendere tali messaggi ancora più credibili, personalizzati e difficili da distinguere dalle comunicazioni autentiche.

L’AUTENTICAZIONE FORTE È NECESSARIA, MA NON SEMPRE SUFFICIENTE

I dati confermano l’efficacia della Strong Customer Authentication, che richiede almeno due elementi indipendenti appartenenti alle categorie della conoscenza, del possesso e delle caratteristiche biometriche dell’utente. La maggior parte dei pagamenti elettronici avviene con autenticazione forte o attraverso esenzioni previste per le operazioni considerate poco rischiose.

Le transazioni non soggette a SCA rappresentano una quota minoritaria dei pagamenti, ma incidono in maniera proporzionalmente superiore sulle frodi. Nel caso delle carte, tali operazioni hanno costituito l’8% del valore complessivamente transato, ma il 24% del valore delle frodi. Per la moneta elettronica, le percentuali sono state rispettivamente del 12% e del 33%. Evidenze analoghe emergono considerando il numero delle operazioni.

L’autenticazione a più fattori protegge efficacemente dalle operazioni eseguite senza il consenso del titolare. È invece meno risolutiva quando il cittadino viene convinto a confermare personalmente un trasferimento.

Una transazione può essere tecnicamente autenticata in modo corretto ed essere comunque il risultato di un raggiro. Per questo la sicurezza dei pagamenti non può essere affidata esclusivamente alle infrastrutture; deve comprendere sistemi capaci di riconoscere anomalie comportamentali, beneficiari potenzialmente fraudolenti e richieste incoerenti con le abitudini del cliente.

La natura delle frodi da manipolazione incide anche sulla distribuzione delle perdite. Secondo la Banca d’Italia, il cliente sostiene il 92% del valore delle perdite relative ai bonifici, mentre tale quota scende al 40% per le carte e la moneta elettronica e si attesta al 68% per i prelievi da ATM.

Quando l’utente inserisce regolarmente le proprie credenziali e autorizza il pagamento, infatti, può venire meno la responsabilità dell’intermediario, anche se la decisione è stata determinata dall’inganno del frodatore. Il Rapporto segnala che la nuova disciplina europea PSD3 introdurrà rimborsi obbligatori nei casi di impersonificazione, vale a dire quando il criminale si presenta falsamente come il prestatore di servizi di pagamento del cliente.

IL NODO DELL’ALFABETIZZAZIONE FINANZIARIA DIGITALE

Il quadro delineato dalla Banca d’Italia trova conferma nelle evidenze internazionali richiamate dall’OCSE, secondo cui la rapida diffusione dei servizi finanziari digitali, delle applicazioni bancarie, dei pagamenti online e delle piattaforme mobili ha contribuito ad aumentare non soltanto la frequenza, ma anche la complessità delle frodi rivolte ai consumatori. Nel 2025, il 69% delle giurisdizioni coinvolte nell’indagine OCSE ha segnalato un incremento delle frodi e delle truffe finanziarie rispetto all’anno precedente.

Non si tratta esclusivamente di un problema economico. Oltre alla perdita di denaro, le frodi possono provocare conseguenze emotive, senso di insicurezza e una progressiva erosione della fiducia nei servizi bancari e, più in generale, nell’ecosistema finanziario digitale. Il rischio è particolarmente rilevante quando le tecniche di ingegneria sociale sfruttano l’intelligenza artificiale, i social network e le piattaforme online per costruire messaggi sempre più credibili, personalizzati e difficili da riconoscere. In questo scenario, l’OCSE individua nell’inadeguata alfabetizzazione finanziaria digitale il principale fattore comportamentale in grado di alimentare frodi e truffe.

Le carenze restano diffuse. Secondo l’ultima rilevazione OCSE/INFE sull’alfabetizzazione finanziaria degli adulti, in 39 giurisdizioni soltanto il 29% raggiunge il livello minimo di alfabetizzazione finanziaria digitale, fissato a 70 punti su 100. Una larga parte della popolazione potrebbe quindi non disporre delle conoscenze e delle capacità necessarie per utilizzare in sicurezza i servizi finanziari digitali e riconoscere tempestivamente un tentativo di frode.

Questi risultati aiutano a interpretare anche l’aumento delle frodi da manipolazione del pagatore rilevato dalla Banca d’Italia. Quando è la stessa vittima, indotta con l’inganno, ad autorizzare il trasferimento, strumenti come l’autenticazione forte possono non essere sufficienti. Alla sicurezza tecnologica deve quindi affiancarsi un’educazione finanziaria digitale orientata ai comportamenti concreti: verificare mittente e beneficiario, non condividere codici e credenziali, comprendere gli avvisi di sicurezza, diffidare delle richieste urgenti di denaro e sapere quali canali utilizzare per bloccare o segnalare tempestivamente un’operazione sospetta.

COMPETENZE DIGITALI COME INFRASTRUTTURA DI SICUREZZA

Il contrasto alle frodi richiede di affiancare alla protezione tecnologica una diffusa alfabetizzazione digitale e finanziaria. Nel 2025 soltanto il 54,3% degli italiani tra i 16 e i 74 anni possedeva competenze digitali almeno di base. La quota scendeva al 27,4% tra le persone di età compresa tra 65 e 74 anni, proprio mentre cresce l’utilizzo di Internet, dell’home banking, dell’identità digitale e dei servizi pubblici online.

La vulnerabilità, tuttavia, non può essere ricondotta esclusivamente all’età o alle capacità individuali. Anche utenti esperti possono essere indotti in errore da comunicazioni costruite con informazioni personali, numeri telefonici falsificati, siti graficamente identici a quelli autentici o contenuti vocali e visivi generati artificialmente. La sicurezza dipende quindi anche dalla qualità dei servizi, dalla chiarezza delle comunicazioni e dalla possibilità di ottenere rapidamente assistenza umana.

Le campagne informative devono superare un approccio generico e tradursi in indicazioni semplici e immediatamente applicabili: non comunicare mai codici OTP, non trasferire denaro su richiesta di un presunto operatore, richiamare la banca utilizzando esclusivamente i recapiti ufficiali, verificare attraverso un secondo canale le richieste provenienti da familiari e non ignorare gli avvisi relativi alla mancata corrispondenza tra IBAN e beneficiario.

L’educazione non può essere considerata una responsabilità esclusiva del consumatore. Sono necessari programmi accessibili a tutte le fasce d’età, campagne informative chiare, canali di segnalazione semplici, meccanismi di tutela e rimborso comprensibili e una raccolta più sistematica dei dati. Poiché nessuna singola misura è in grado di proteggere efficacemente tutti gli utenti, la prevenzione deve fondarsi su una responsabilità condivisa.

Agli intermediari spetta rafforzare il monitoraggio delle transazioni, rendere più comprensibili gli avvisi e intervenire tempestivamente di fronte a operazioni anomale. È fondamentale garantire canali semplici per la segnalazione, il blocco delle operazioni e il supporto alle vittime, oltre a promuovere una raccolta dei dati che consenta di misurare l’efficacia delle iniziative adottate.

Il dato complessivo sulle frodi nei pagamenti italiani rimane rassicurante. Ma proprio la progressiva efficacia delle protezioni tecniche spinge i criminali a cercare nuove modalità per aggirarle, concentrandosi sull’elemento umano. La nuova frontiera della sicurezza digitale consiste pertanto nel proteggere non soltanto il conto o lo strumento di pagamento, ma anche il processo attraverso cui il cittadino valuta le informazioni e prende le proprie decisioni. In questa prospettiva, l’alfabetizzazione finanziaria digitale non rappresenta soltanto una competenza individuale: è una componente strutturale della sicurezza dei pagamenti e della fiducia dei cittadini nell’innovazione finanziaria.