Sicurezza dei pagamenti online: frodi e misure per le PMI

Perché le PMI svizzere devono proteggere i pagamenti online

In Svizzera i tentativi di frode nel traffico dei pagamenti sono, insieme al phishing, tra le segnalazioni più frequenti all'Ufficio federale della cibersicurezza (UFCS). Lo rileva Swiss Banking in un contributo del dicembre 2025.

Le statistiche di criminalità della polizia citate dalla stessa fonte registrano nel 2024 oltre 42 000 casi di ciberfrode, il 40% in più rispetto all'anno precedente. Per una PMI un tentativo di frode non è un evento eccezionale, ma un rischio ricorrente: pagamento di fatture, cambio di coordinate bancarie di un fornitore, ordini ricevuti per e-mail.

Gli attacchi sono diventati più sofisticati perché i tool basati sull'intelligenza artificiale costano poco e sono facilmente accessibili. Permettono anche ai meno esperti di creare testi, voci o video realistici al punto da trarre in inganno.

Secondo singoli studi citati da Swiss Banking, oltre il 40% dei tentativi di frode scoperti nel settore finanziario e del traffico dei pagamenti in Europa è ormai generato o supportato da tecnologie IA. I criminali ricorrono a deepfake, identità sintetiche e social engineering mirato per accedere a dati sensibili o a mezzi finanziari.

Swiss Banking indica tre conseguenze dirette dell'aumento delle frodi di pagamento: la fiducia della clientela nei mezzi di pagamento digitali viene minata, si generano costi inutili e cresce il rischio di reputazione. Gli studi citati dalla stessa fonte stimano perdite globali dei consumatori per scam superiori a 400 miliardi di dollari USA.

Per una PMI la posta in gioco è concreta su due fronti. La liquidità, se un pagamento viene dirottato verso un conto controllato dai truffatori. La relazione commerciale, se un cliente riceve una fattura falsa emessa a nome dell'azienda.

Frodi nei pagamenti in Svizzera: dati chiave (2024)

Le frodi più comuni nei pagamenti digitali

Swiss Banking, citando le categorie di segnalazioni all'UFCS, elenca gli schemi ricorrenti. Ci sono le chiamate a nome di false autorità e la truffa dell'anticipo, con offerte di investimento fittizie o fatture falsificate.

Seguono le lotterie fraudolente, usate come offerte-esca per impossessarsi di dati personali o per carpire pagamenti. Poi la truffa dei piccoli annunci, con offerte di vendita falsificate o processi di pagamento manipolati.

Per una PMI contano soprattutto le varianti che sfruttano documenti commerciali. Una fattura falsificata a nome di un fornitore reale o un'offerta di investimento fittizia rivolta alla direzione richiedono entrambe un pagamento verso coordinate nuove.

Sul fronte delle carte, Allianz descrive cinque modalità distinte. Il phishing avviene tramite e-mail, siti web o, più di recente, codici QR contraffatti con tanto di logo aziendale. Basta un clic sul link perché il truffatore acceda a dati sensibili e si appropri dei dati della carta.

Lo skimming consiste nella manomissione di uno sportello bancomat o di un terminale per i pagamenti, per leggere e copiare i dati della banda magnetica. La clonazione usa i dati rubati per creare una copia della carta ed effettuare transazioni non autorizzate.

Il carding testa i dati rubati addebitando prima piccoli importi e poi somme ingenti. La perdita o il furto della carta fisica comporta pagamenti finché non viene disposto il blocco.

Per una PMI la distinzione utile è tra il ruolo di esercente e quello di titolare di carta aziendale. Chi incassa pagamenti con carta è esposto alla manomissione dei terminali (skimming) e alle transazioni effettuate con dati di carte rubate. Chi usa carte aziendali per acquisti e spese di trasferta lo è a phishing, clonazione e perdita della carta.

Le due situazioni richiedono controlli diversi. Verifica fisica e integrità dei terminali nel primo caso. Gestione separata dei dati della carta e procedure di blocco nel secondo.

Business Email Compromise: quando una e-mail sembra ordinaria

Il Business Email Compromise (BEC) è una tecnica di frode via e-mail che prende di mira aziende o individui. I criminali usano account e-mail falsificati o violati per accedere a informazioni sensibili. Si spacciano per partner commerciali affidabili, dirigenti o dipendenti.

UBS, che descrive lo schema, segnala che i truffatori utilizzano talvolta anche messaggi vocali o video creati con l'intelligenza artificiale e molto realistici. L'obiettivo è indurre la vittima a trasferire denaro o a fornire informazioni riservate.

UBS indica tre forme particolarmente diffuse: fatture false, frodi del CEO e attacchi relativi ai pagamenti salariali. Nel primo caso il pagamento di una fattura legittima viene dirottato su un conto diverso. Nel secondo un falso ordine attribuito alla direzione aggira i normali controlli gerarchici. Nel terzo l'attacco colpisce i dati e le istruzioni relativi agli stipendi.

La caratteristica comune è che il messaggio arriva su un canale credibile e non contiene necessariamente errori evidenti. Secondo UBS il BEC è oggi considerato uno dei rischi digitali più gravi per aziende di ogni dimensione. Oltre a perdite finanziarie significative può causare danni reputazionali duraturi.

Per una PMI il fattore di rischio non dipende dalle dimensioni dell'organico, ma dal grado di concentrazione delle autorizzazioni di pagamento e dalla possibilità concreta di verificare una richiesta insolita prima di eseguirla.

Riconoscere un tentativo di frode prima di pagare

UBS elenca gli indicatori da controllare su ogni richiesta di pagamento ricevuta per e-mail. Tra questi: indirizzi e-mail insoliti o sconosciuti; minime variazioni nel nome del mittente o nel dominio; urgenza anomala o pressione temporale; linguaggio insolito, errori grammaticali o ortografici.

A questi si aggiungono richieste di riservatezza assoluta, allegati sconosciuti o link sospetti, istruzioni di pagamento insolite o cambiamenti di conto, cambio improvviso del canale di comunicazione.

Il valore pratico della lista sta nella combinazione dei segnali. Una variazione minima nel dominio può passare inosservata in una casella di posta molto trafficata. Se si abbina a una richiesta di pagamento urgente e a una nuova coordinata bancaria, indica un tentativo di frode da verificare prima di procedere.

Anche il passaggio improvviso a un altro canale va trattato come segnale di attenzione. Un interlocutore abituale che sposta la conversazione altrove e chiede un pagamento immediato modifica proprio le condizioni che rendono possibile il controllo.

UBS raccomanda di verificare attentamente gli indirizzi dei mittenti e di prestare attenzione anche a piccole anomalie. La lettura corretta è procedurale: ogni richiesta che modifica una coordinata bancaria o introduce un beneficiario nuovo va sospesa. Va confermata con un mezzo indipendente dall'e-mail ricevuta.

Processi di pagamento chiari e doppia verifica

UBS indica come misure organizzative di base la definizione di processi di pagamento chiari, l'applicazione del principio della doppia verifica ove possibile e l'evitamento delle autorizzazioni singole. Una sola persona che può disporre un pagamento senza un secondo controllo è il punto di vulnerabilità che le frodi di tipo BEC cercano di sfruttare. La doppia verifica spezza la catena tra il messaggio ricevuto e l'uscita effettiva del denaro.

Sulle istruzioni di pagamento nuove o divergenti dei partner commerciali — per esempio una banca o un numero di conto diverso — UBS raccomanda di verificare tramite un canale sicuro. Va usato un numero di telefono già validato e verificato, non i recapiti indicati nel messaggio che chiede il cambiamento.

La stessa fonte suggerisce di mantenere attivi diversi canali di comunicazione con clienti e fornitori (telefono, e-mail, indirizzo postale). Così esiste un'alternativa praticabile quando un messaggio appare sospetto.

Il controllo dei mittenti completa il quadro: UBS invita a verificare con attenzione gli indirizzi degli interlocutori e a cogliere anche le piccole anomalie. In concreto, per la PMI significa definire chi può approvare un pagamento, chi lo esegue e chi è tenuto a confermare una variazione di coordinate. Significa anche stabilire quali variazioni richiedono sempre una conferma telefonica su un numero già in archivio. E conservare i recapiti validati dei partner al di fuori della casella di posta, così che un account compromesso non possa modificarli.

Protezione tecnica: infrastruttura, aggiornamenti e autenticazione

UBS raccomanda di proteggere l'infrastruttura IT secondo gli standard più recenti. Un'infrastruttura non adeguatamente protetta — per esempio per aggiornamenti in sospeso o per la mancanza di ulteriori meccanismi come l'autenticazione a più fattori — è più vulnerabile alle frodi.

Aggiornamenti e autenticazione a più fattori non impediscono che arrivi un messaggio ingannevole. Riducono però la probabilità che i criminali riescano ad accedere a un account e-mail aziendale e a usarlo per impartire istruzioni di pagamento.

La stessa fonte sottolinea un punto che riguarda l'organizzazione più della tecnologia: la comunicazione via e-mail è soggetta a manipolazioni e non offre una sicurezza completa. Una richiesta ricevuta per e-mail non dovrebbe quindi mai essere l'unico fondamento di un pagamento straordinario o di un cambiamento di coordinate bancarie. Vale anche quando il mittente sembra un interlocutore abituale e il messaggio non presenta errori.

Formare i collaboratori a uno spirito critico

UBS invita a promuovere un sano spirito critico tra i collaboratori verso le richieste insolite. Occorre verificarne sempre la plausibilità e mettere in discussione eventuali incongruenze. La stessa fonte chiede di formare regolarmente sé stessi e i dipendenti sui nuovi schemi di frode e sulla sicurezza IT.

La ragione è pratica: gli schemi cambiano e i tool IA a basso costo permettono di produrre testi, voci e video realistici. La formazione deve quindi essere ricorrente, non un evento una tantum.

La formazione diventa utile quando è collegata alle procedure. Se un collaboratore sa che una variazione di coordinate bancarie va confermata su un numero già validato, sa anche cosa fare quando riceve un messaggio sospetto. Non rispondere al mittente, non usare i recapiti forniti nel messaggio, ma attivare il canale di verifica previsto.

Lo stesso vale per chi gestisce gli stipendi e per chi autorizza i pagamenti. Sono esposti rispettivamente agli attacchi sui pagamenti salariali e alle frodi del CEO descritte da UBS.

Pagamenti con carta: rischi per chi incassa o usa carte aziendali

Allianz riassume le frodi sulle carte di credito. Il phishing avviene tramite e-mail, siti web o codici QR contraffatti. Lo skimming è la manomissione di uno sportello bancomat o di un terminale per i pagamenti, per leggere e copiare i dati della banda magnetica.

La clonazione della carta serve a effettuare transazioni non autorizzate. Il carding testa i dati rubati tramite piccoli addebiti seguiti da somme ingenti.

La perdita o il furto della carta fisica comporta pagamenti fino a quando non viene richiesto il blocco.

Per una PMI che incassa pagamenti con carta il rischio si concentra sulla manomissione dei terminali e sull'uso fraudolento di dati di carte altrui. Per una PMI che usa carte aziendali riguarda i dati della carta, la clonazione e la perdita del supporto fisico.

Allianz ricorda che, in caso di abuso su una carta di credito, bisogna reagire rapidamente e denunciare alla polizia. Tali abusi sono sempre punibili come reato, a prescindere dalla somma sottratta. Sono punibili anche a prescindere dal fatto che si tratti di furto o di uso fraudolento della carta. La denuncia alla polizia è quindi sempre necessaria.

Sul piano dimensionale, Allianz cita l'Ufficio federale di statistica: nel 2023 sono stati segnalati oltre 40 000 casi di frode, di cui circa 30 000 crimini informatici. Questi dati collocano la frode con carta tra i reati di massa, non tra gli incidenti rari. Rendono quindi opportuno includere la carta aziendale nelle procedure di segnalazione interna degli incidenti.

Cosa fare in caso di frode: reazione rapida e denuncia

Allianz indica due passi immediati: reagire rapidamente e denunciare il caso alla polizia. La rapidità conta in particolare quando è coinvolta una carta fisica: il malintenzionato continua a effettuare pagamenti finché la carta non viene bloccata.

In pratica la sequenza è: contattare senza indugio la banca o l'emittente della carta per bloccare il mezzo di pagamento, poi presentare denuncia alla polizia. Sulla responsabilità, Allianz precisa che va chiarito di volta in volta se la truffa ricada sulla banca o sul cliente. Segnala anche che per andare sul sicuro esiste l'assicurazione contro i rischi informatici.

Per una PMI è utile stabilire in anticipo chi contatta la banca, chi raccoglie la documentazione dell'incidente e chi presenta la denuncia. Così il tempo necessario per capire chi fa cosa non ritarda il blocco dei mezzi di pagamento.

Collaborare con banche e autorità

Swiss Banking descrive le banche svizzere come consapevoli della crescente minaccia delle truffe online. Indica le ragioni del loro impegno: l'incremento delle frodi di pagamento mina la fiducia della clientela nei mezzi di pagamento digitali, genera costi inutili e accresce il rischio di reputazione.

Nello stesso contributo Richard Hess, responsabile Digital Finance, spiega che, grazie a un'intensa collaborazione e a elevati standard di sicurezza, il settore è ben posizionato per contrastare con efficacia le nuove forme di truffe. Per una PMI significa che esistono interlocutori e procedure consolidate su cui appoggiarsi, anziché dover costruire i controlli da zero.

Sul piano dei canali di segnalazione, Swiss Banking colloca i tentativi di frode — assieme al phishing — tra le segnalazioni più frequenti all'Ufficio federale della cibersicurezza (UFCS). Allianz indica invece nella polizia l'autorità a cui presentare denuncia in caso di frode con carta.

Per una PMI è utile sapere a chi rivolgersi per ciascun tipo di evento e allineare le proprie misure a quelle del settore finanziario. Così richieste di verifica e blocchi possono essere attivati senza attriti con la propria banca.

Checklist operativa per la PMI

Processi: definire per iscritto chi può disporre un pagamento, chi lo esegue e chi lo verifica (UBS). Applicare la doppia verifica ove possibile ed evitare le autorizzazioni singole (UBS).

Verifica delle controparti e delle istruzioni: controllare attentamente gli indirizzi dei mittenti e le piccole anomalie. Verificare le istruzioni di pagamento nuove o divergenti tramite un canale sicuro, usando un numero di telefono già validato. Mantenere attivi più canali di comunicazione con clienti e fornitori (UBS).

Ricordare che l'e-mail è soggetta a manipolazioni e non offre una sicurezza completa (UBS).

Tecnologia: proteggere l'infrastruttura IT secondo gli standard più recenti. Chiudere gli aggiornamenti in sospeso e attivare meccanismi aggiuntivi come l'autenticazione a più fattori (UBS).

Persone: formare regolarmente sé stessi e i collaboratori sui nuovi schemi di frode e sulla sicurezza IT. Promuovere spirito critico, verifica della plausibilità e attenzione alle incongruenze (UBS).

Segnali da fermare prima di pagare: indirizzi e domini insoliti, urgenza anomala, linguaggio insolito o errori, richieste di riservatezza assoluta, allegati o link sconosciuti, cambi di conto, cambio improvviso del canale di comunicazione (UBS).

Carte: presidiare l'integrità dei terminali di pagamento e la gestione dei dati delle carte aziendali. I tipi di frode sono phishing, skimming, clonazione, carding, perdita o furto della carta (Allianz).

Gestione dell'incidente: contattare banca o emittente per bloccare il mezzo di pagamento, denunciare alla polizia, valutare la copertura di un'assicurazione contro i rischi informatici. La responsabilità tra banca e cliente va chiarita di volta in volta (Allianz).

Collaborazione: conoscere i canali di segnalazione verso UFCS e polizia e allinearsi alle misure del settore finanziario. Il settore investe in prevenzione e mantiene elevati standard di sicurezza (Swiss Banking).