Quando il risk manager dice «abbiamo ATO» e il marketer sente «una parola poco chiara» — il business perde soldi. Non perché manchi la protezione, ma perché i team non parlano la stessa lingua.

Questo glossario chiude un vuoto di base: i termini chiave che deve conoscere chi lavora con traffico digitale, budget ads o pagamenti online.

🔐 Frode finanziaria e transazionale

Attacco BIN (BIN Attack)

Che cos'è: prova automatizzata dei numeri di carte bancarie.

Il BIN sono le prime 6 cifre della carta, che identificano banca e tipo di prodotto. Non sono segrete: ci sono database in accesso aperto. Il truffatore conosce il BIN e con script prova le cifre restanti, la scadenza e il CVV — migliaia di combinazioni al minuto.

Come si presenta in pratica: un negozio online riceve all'improvviso centinaia di microtransazioni da 1–2 rubli da carte diverse della stessa banca. Non sono acquirenti — è un brute-force. Lo scopo dell'attacco è trovare carte attive per poi prelevare fondi.

Perché è pericoloso per il business: oltre alle perdite dirette, un attacco BIN porta a multe dai sistemi di pagamento per superamento della percentuale ammessa di transazioni fallite.

Chargeback (storno)

Che cos'è: restituzione forzata dei fondi all'acquirente tramite il sistema di pagamento — aggirando il venditore.

Il meccanismo è nato come tutela del consumatore: se la merce non è arrivata o la carta è stata usata all'insaputa del titolare, la banca restituisce i soldi. Il venditore perde merce e importo, e paga anche una commissione per il chargeback stesso.

Il lato oscuro — Friendly Fraud: l'acquirente ha ricevuto la merce, è rimasto soddisfatto, ma chiama la banca e dice «non ho ordinato questo». La banca sta dalla parte del cliente. Il venditore resta a mani vuote. Secondo Chargebacks911, fino all'86% dei chargeback nell'e-commerce è proprio friendly fraud, non casi reali di frode di terzi.

Botnet

Che cos'è: una rete di dispositivi infetti controllata da remoto da un attaccante.

Può includere migliaia di computer, smartphone e dispositivi IoT — i proprietari spesso non sospettano che il gadget esegua comandi altrui.

I botnet hanno diversi usi: attacchi DDoS, credential stuffing e — soprattutto rilevante per gli ecosistemi ads — click fraud. Il botnet clicca i banner, l'inserzionista paga ogni click, il report sembra decente — e dietro al traffico non c'è nessuna persona viva.

Skimming e Shimming (Skimming & Shimming)

Che cos'è: metodi fisici di furto dei dati delle carte.

Uno skimmer è una copertura sul lettore carte dello sportello bancomat che legge i dati della banda magnetica. Uno shimmer è un microchip sottile come un capello, inserito nello slot, che intercetta i dati del chip.

Il loro analogo online è — attacchi Magecart: iniezione di JavaScript dannoso nella pagina di checkout. Mentre l'acquirente inserisce i dati della carta, lo script li copia in silenzio e li invia al truffatore.

📢 Frode AdTech: schemi pubblicitari

La frode pubblicitaria è un ecosistema a parte, dove i soldi escono in silenzio e con metodo. I budget si addebitano, le metriche sembrano a posto, i report soddisfano — ma dietro i numeri non ci sono acquirenti reali.

Click fraud (Click Fraud)

Che cos'è: imitazione di click sugli annunci con bot o farm di dispositivi.

Il tipo più diffuso di frode pubblicitaria. L'inserzionista paga ogni click — e paga il vuoto. I bot moderni sanno riprodurre il comportamento umano: pause casuali, scroll, movimento del mouse. Un semplice controllo IP non basta più — serve analisi del comportamento a livello di tutta la sessione.

Click Injection (iniezione di click)

Che cos'è: frode mobile in cui un'app dannosa «inserisce» il proprio click all'ultimo momento prima dell'installazione — e si prende l'attribuzione.

Lo schema funziona così: un'app dannosa installata sullo smartphone dell'utente traccia i segnali di download di altre app dallo store. Al momento giusto genera un click fittizio da un dispositivo reale — il sistema di attribuzione decide che quella fonte ha portato l'utente e paga una commissione al truffatore.

Perché è pericoloso: la vittima è un utente reale, il dispositivo è reale, l'installazione è vera. Rilevare la frode senza analizzare i pattern temporali tra click e installazione è praticamente impossibile.

SDK Spoofing

Che cos'è: imitazione di installazioni di app mobili senza una installazione reale.

Il truffatore intercetta il traffico tra l'app mobile e il sistema di attribuzione (MMP: AppsFlyer, Adjust, Branch) e riproduce i segnali di installazioni legittime su scala industriale. Non ci sono utenti reali — solo un flusso di eventi falsi, e l'inserzionista paga ciascuno. Scala della minaccia: un server infetto può generare migliaia di installazioni fittizie all'ora.

Ad Stacking (impilamento di annunci)

Che cos'è: vari banner pubblicitari sovrapposti uno sull'altro in un unico slot.

L'utente vede solo il banner in alto, ma l'impressione viene conteggiata per tutti i livelli insieme. Ogni inserzionista nello stack paga per una «impressione» che nessuno ha visto. Schema semplice con danno grande.

Domain Spoofing (sostituzione di dominio)

Che cos'è: vendita di inventario ads economico spacciato per placement premium.

Il truffatore partecipa alle aste RTB indicando nel bid request un dominio autorevole — ad esempio forbes.com. L'inserzionista paga alle tariffe di un media top, mentre l'annuncio viene mostrato su un sito anonimo con audience gonfiata.

Pixel Stuffing

Che cos'è: un banner pubblicitario 1×1 pixel — invisibile all'utente, ma che conta un'impressione.

Tecnicamente l'annuncio è sulla pagina, il contatore di impressione scatta, il budget CPM si spende. Di fatto nessuno vede la pubblicità. Si usa su siti con grande volume di pagine.

Geo Masking (geomaschera)

Che cos'è: sostituzione della geolocalizzazione del traffico — traffico economico di un paese viene spacciato per traffico costoso di un altro.

L'inserzionista compra audience dagli USA o dall'Europa occidentale alle tariffe corrispondenti. Di fatto riceve traffico da regioni a basso costo — via proxy, farm VPN o dispositivi infetti. Non ci sono conversioni.

Cookie stuffing (Cookie Stuffing)

Che cos'è: sostituzione fraudolenta o aggiunta nascosta di cookie affiliati nel browser dell'utente all'insaputa.

I programmi di affiliazione funzionano sul «last click»: chi ha portato per ultimo l'acquirente prende la commissione. Un cookie stuffer inserisce il proprio ID affiliato nel browser della vittima in background. Quando l'utente acquista da solo, il sistema «pensa» che l'abbia portato il truffatore.

Invalid Traffic / IVT (traffico non valido)

Che cos'è: qualsiasi traffico nei sistemi ads che non sia un'interazione reale di un utente vivo con l'annuncio.

IAB e MRC dividono l'IVT in due livelli:

• General IVT (GIVT) — bot noti, crawler di ricerca, servizi di monitoraggio.
• Sophisticated IVT (SIVT) — schemi avanzati: botnet che imitano l'umano, farm di dispositivi, iniezioni di click.

🛡️ Strumenti di protezione: termini da conoscere

Device Fingerprinting (impronta digitale del dispositivo)

Che cos'è: tecnologia di identificazione del dispositivo dall'insieme delle sue caratteristiche — senza usare cookie.

Il sistema raccoglie parametri: versione del browser, font, risoluzione dello schermo, fuso orario, comportamento GPU. Insieme danno un'«impronta» unica che permette di riconoscere il dispositivo anche dopo cambio IP o pulizia dei cookie.

Phishing-as-a-Service (PhaaS)

Che cos'è: infrastruttura pronta per attacchi di phishing in affitto.

Per poche decine di dollari al mese il truffatore ottiene una copia esatta dell'interfaccia di una banca o di un marketplace, un pannello di gestione delle vittime e un invio automatico. Non servono conoscenze tecniche. Questo è diventato il principale motore di crescita degli attacchi di account takeover (ATO).

Perché è importante saperlo

L'antifrode non è solo un compito tecnico. È un linguaggio comune tra marketing, sicurezza e finanza. Quando il team capisce in che il cookie stuffing differisce dal click fraud, e l'SDK Spoofing dal Click Injection, diventa possibile costruire una protezione reale: non reagire alle conseguenze, ma prevenire le perdite in ingresso.

«Capire la terminologia antifrode permette al business di passare da una protezione reattiva a una proattiva. Quando lo specialista distingue il carding classico dall'identità sintetica — può regolare le regole in modo puntuale e conservare la conversione».