I truffatori non attaccano solo conti bancari e dati personali — sotto tiro ci sono budget ads, reti affiliate e funnel di marketing. La frode è entrata in ogni canale digitale.

Mentre i team di security aziendale rattoppano buchi nell'infrastruttura, gli attaccanti da tempo si sono spostati su un anello più debole — identità digitale e psicologia umana. Secondo Juniper Research, entro il 2026 le perdite globali da frode online supereranno i 362 miliardi di dollari. E non si tratta più di quanto siano protetti i server: gli attacchi sempre più spesso sembrano azioni del tutto legittime degli utenti stessi.

Sotto — cinque schemi dominanti che richiedono di rivedere ora la strategia aziendale di protezione.

1. Frode APP: quando la vittima preme da sola «Invia»

Authorized Push Payment (APP) fraud — uno dei tipi di frode più insidiosi proprio perché tecnicamente tutto avviene correttamente. La vittima autorizza da sola il bonifico: inserisce il PIN, supera la biometria, conferma l'operazione nell'app. La banca vede una transazione legittima da un dispositivo fidato e non la blocca.

Lo schema funziona con pressione e inganno: una chiamata dal «servizio sicurezza della banca», un messaggio di attività sospetta, urgenza — e la persona bonifica i soldi da sola mentre il truffatore la tiene in linea.

Perché è così difficile fermarlo? Contestare quel pagamento via chargeback è quasi impossibile: l'autorizzazione era volontaria. Nel Regno Unito, dove la frode APP è particolarmente diffusa, le perdite hanno superato 460 milioni di sterline solo nel primo semestre 2024, e il trend continua a crescere.

Cosa funziona davvero nel 2026: il passaggio dal controllo delle transazioni alla biometria comportamentale. I sistemi di nuova generazione analizzano micropattern: velocità di swipe atipica, orario insolito, una chiamata in arrivo attiva durante il bonifico, tremore delle mani nell'inserire l'importo. Se il comportamento diverge dalla norma dell'utente — la transazione viene sospesa per una verifica extra.

2. Identità sintetiche: il cliente che non esiste

Immaginate il debitore ideale: storia creditizia pulita, indirizzo stabile, un numero reale di previdenza sociale. La banca verifica i dati — tutto torna. Un problema: quella persona non esiste.

Synthetic ID fraud — è la creazione di «identità Frankenstein». I truffatori prendono un identificativo reale (numero di passaporto, СНИЛС, SSN) — spesso di un bambino, un pensionato o una persona deceduta — e lo combinano con nome, indirizzo e biografia fittizi. Ne esce un personaggio sintetico che inizia a vivere la propria «vita digitale».

Lo schema bust-out funziona in più fasi:

• Nei primi mesi l'account si comporta in modo esemplare: piccoli acquisti, pagamenti puntuali, crescita del rating creditizio.
• Dopo 6–18 mesi il «cliente» chiede il credito massimo o stipula una grande rateizzazione (BNPL).
• Presi i soldi — sparisce. L'account è abbandonato, il debito viene svalutato come inesigibile.

La minaccia per fintech e retail è particolarmente alta: i modelli di scoring tradizionali confermano in parte tali richieste perché parte dei dati è reale e presente nelle banche dati dei credit bureau. Secondo le stime di Forbes Advisor, la frode da ID sintetico costa all'industria finanziaria USA oltre 20 miliardi di dollari all'anno.

A contrastarlo aiuta la verifica tramite più fonti indipendenti e l'analisi dell'«impronta digitale» — comportamento in rete, dispositivi, geolocalizzazione — nel complesso, non isolatamente.

3. Account takeover (ATO): il vostro account non è più vostro

Account Takeover — non è una minaccia nuova, ma nel 2026 è diventata un fenomeno di massa su scala industriale. Gli hacker non violano più gli account a mano: comprano strumenti pronti e database di leak sui marketplace oscuri.

Due strumenti principali:

• Credential Stuffing — sostituzione massiva di coppie login/password da leak di altri servizi. Le persone riusano le stesse password: se la vostra è fuoriuscita da un forum violato, uno script la proverà in automatico su 500 altri siti in poche ore.
• Phishing-as-a-Service — noleggio di kit di phishing già pronti. Per 50–200 $ al mese il truffatore ottiene una copia esatta dell'interfaccia di una banca o di un marketplace, un pannello di gestione delle vittime e un invio automatico. Non servono competenze tecniche.

Le conseguenze per il business vanno oltre le perdite finanziarie dirette: gli account compromessi servono a prelevare punti bonus, rubare carte collegate, resi fraudolenti e riciclaggio. Il danno reputazionale e il churn dei clienti spesso costano più del furto stesso.

4. IA in mano ai truffatori: la democratizzazione del crimine informatico

L'IA generativa ha reso la frode professionale accessibile ai dilettanti — ed è, forse, il trend principale del 2026.

• Phishing senza errori. Prima le e-mail fraudolente si tradivano con refusi e formulazioni goffe. Oggi i modelli LLM generano testi impeccabili in qualsiasi lingua, con il tono giusto, personalizzazione per un destinatario specifico e lo stile corporate dell'azienda bersaglio.
• Deepfake in tempo reale. Molti servizi di verifica usano controlli di liveness: «girate la testa», «sbattete le palpebre», «dite una parola». Nel 2025–2026 le reti neurali hanno imparato a aggirare questi controlli, sovrapponendo un'immagine video sintetica al flusso reale della fotocamera. La procedura KYC va a buon fine — ma dietro lo schermo non c'è nessuno.
• Automazione degli attacchi. Bot basati su agenti IA testano i sistemi di protezione, scelgono metodi di aggiramento e scalano gli attacchi senza intervento umano.

Cosa significa per il business

Proteggere l'infrastruttura aziendale nel 2026 non sono misure puntuali, ma una strategia a più strati in cui ogni livello completa l'altro:

• Analytics comportamentale al posto di regole statiche — sistemi che conoscono il pattern «normale» di ogni utente.
• Modelli ML di detection in onboarding — le anomalie si prendono più facilmente in registrazione che dopo la prima transazione.
• Monitoraggio cross-canale — la frode spesso inizia in un canale e si realizza in un altro.
• Aggiornamento delle procedure KYC tenendo conto delle minacce deepfake: interazione dal vivo e verifica documentale tramite fonti indipendenti.

I truffatori si adattano in fretta. L'unico modo per restare un passo avanti è costruire sistemi di protezione che imparano insieme alla minaccia, invece di reagire a posteriori.

5. Frode AdTech: perdite invisibili dei budget ads

Mentre il business protegge i dati di pagamento e gli account dei clienti, i budget ads escono da un altro buco — e spesso inosservati. Secondo Juniper Research, nel 2026 le perdite del settore da frode pubblicitaria supereranno i 172 miliardi di dollari. I soldi si addebitano, i report sono belli, ma dietro quel traffico non ci sono clienti reali.

Frode AdTech — è un ecosistema di schemi volti a imitare attività ads legittima: click, impression, installazioni, conversioni. Scomponiamo quelli chiave.

Click fraud e bootclicking (Click Fraud)

Lo schema più diffuso. Bot o farm di dispositivi reali cliccano gli ads, imitando l'interesse dell'audience. L'inserzionista paga ogni click — e paga il vuoto.

Le botnet moderne sanno riprodurre comportamento umano: pause casuali, scroll della pagina, movimento del mouse. Un controllo semplice su IP o User-Agent non basta più. Si scoprono solo analizzando pattern comportamentali a livello di sessione — tempo sul sito, profondità di vista, heatmap dei click.

SDK spoofing e installazioni false (Mobile Ad Fraud)

Una minaccia critica per il mobile marketing. I truffatori intercettano segnali di installazioni legittime da app reali e li usano per «attribuirsi» conversioni avvenute in organico o tramite un altro canale.

L'inserzionista vede ottimi indicatori della campagna CPI, versa la commissione — ma il traffico era comprato da un'altra fonte o è arrivato da solo. Sono particolarmente vulnerabili e-commerce e app gaming con payout alti per installazione.

Sostituzione di dominio (Domain Spoofing)

Il truffatore vende impression ads, spacciando traffico a basso costo da siti scadenti per inventario di publisher premium. Nei metadati della bid compare, ad esempio, forbes.com — mentre l'ads viene mostrato davvero su un sito anonimo con audience gonfiata.

Colpisce due parametri insieme: il brand ottiene un placement in un contesto indesiderato e paga alle tariffe di un media top.

Frode nelle reti affiliate (Affiliate Fraud)

Partner scorretti imitano azioni target: richieste, registrazioni, lead. Tecnicamente il form è compilato, il pixel è scattato, il CRM ha ricevuto un record — ma dietro non c'è una persona viva con intenzione di acquistare. Soprattutto attuale per offerte finanziarie ed e-commerce con pagamento per lead.

Perché la frode AdTech è più difficile da prendere di quella finanziaria

La frode finanziaria lascia traccia nelle transazioni — si può contestare o tracciare. La frode ads si maschera da metriche normali: CTR nella norma, Geography nella regione giusta, i dispositivi sembrano smartphone veri. Senza analisi specializzata del traffico a livello di singole sessioni, segnali fingerprint e pattern tra campagne — le perdite restano invisibili.

Per questo la detection della frode ads richiede un toolkit separato, non un add-on sopra sistemi antifrode standard.

«L'ecosistema pubblicitario richiede attenzione a parte: la frode AdTech è sistematicamente sottostimata nelle valutazioni di rischio aziendali, sebbene proprio qui le perdite siano spesso le più prevedibili ed eliminabili — se ci sono gli strumenti di detection giusti».