Lo Stato della Sicurezza dei Pagamenti nell'Ecommerce

Quando la pandemia ha colpito, l’e-commerce è esploso.

Con le persone in lockdown e con poco da fare, l’acquisto online sembrava l’unica via di fuga. Il mercato globale dell’e-commerce è balzato a 26,7 trilioni di dollari. Anche le abitudini dei consumatori sono cambiate. In un sondaggio, il 60% degli intervistati ha dichiarato che il COVID-19 ha cambiato il loro rapporto con la tecnologia.

Ma non sono state solo le vendite a crescere. E non sono state solo le aziende del settore dell’e-commerce a darsi da fare, ma anche i truffatori.

In un solo anno (tra il 2020 e il 2021), le frodi nel settore dell’e-commerce sono aumentate del 18%: da 17,5 a 20 miliardi di dollari. Basta dare un’occhiata all’altrettanto fiorente mercato della prevenzione delle frodi nel settore dell’e-commerce — che si prevede raggiungerà l’incredibile cifra di 70 miliardi di dollari entro il 2025 – per capire che questo tipo di “lavoro” sta diventando sempre più popolare.

Morale della favola? Le frodi nell’e-commerce sono qualcosa su cui non puoi permetterti di chiudere un occhio. Dopo tutto, non è solo una minaccia per i tuoi profitti, ma anche per l’immagine del tuo brand. Se i clienti non sentono di poter pagare in modo sicuro attraverso il tuo sito web, non si fideranno di te. Una volta persa la fiducia dei consumatori, è estremamente difficile riconquistarla.

Di seguito, analizzeremo lo stato della sicurezza dei pagamenti, partendo dai tipi più comuni di frode nell’e-commerce. Offriremo inoltre consigli pratici per proteggere i tuoi clienti, il tuo sito web e, in ultima analisi, i tuoi profitti. Continua a leggere!

I Tipi Più Comuni di Frode nell’Ecommerce

Con l’espansione e l’evoluzione del mondo dell’e-commerce, aumentano anche i suoi malintenzionati. Negli ultimi anni, quindi, non è aumentato solo il numero di transazioni fraudolente e il valore complessivo delle merci rubate, ma anche i tipi di frode nell’e-commerce.

Dal pharming e dall’account takeover alle frodi “amichevoli” e “silenziose” (per non parlare del furto d’identità), i metodi dei truffatori stanno diventando sempre più dinamici e diversificati. Vediamone alcuni.

Pharming

Il pharming è un tipo di frode di e-commerce in cui i truffatori reindirizzano gli utenti del web (a loro insaputa o con il loro consenso) verso un sito web fraudolento. Questo sito potrebbe avere design e interfaccia di quello che il cliente intendeva raggiungere, ma con una differenza fondamentale: è completamente falso.

Progettato solo per simulare il sito web originale, la sua controparte falsa esiste per un solo motivo: indurre l’utente a inserire le proprie informazioni personali e i dati della carta di credito. I truffatori possono quindi utilizzare queste informazioni per rubare il denaro dell’utente o, peggio, la sua identità.

Frode di Chargeback

Conosciuta anche come “frode amichevole”, la frode di chargeback si verifica quando un cliente tenta in modo fraudolento di richiedere un rimborso abusando del sistema di chargeback.

Il chargeback è una misura introdotta dalle banche negli anni ’70 per aumentare la fiducia del pubblico nella carta di credito (che, a quel tempo, era una novità assoluta). Consente ai consumatori di contestare un pagamento con carta e, dopo che la banca si è schierata a favore della loro tesi, di richiedere un rimborso.

Supponiamo che tu stia andando a Santorini per una vacanza e che la tua carta venga rubata all’aeroporto. Quando arrivi in Grecia, ti rendi conto che il ladro ha effettuato acquisti fraudolenti per 700 dollari con la tua carta. In questa situazione, potresti (legittimamente) richiedere un chargeback.

Il problema? Quando non è legittimo. Che sia per dolo o per “innocenza” (i clienti si dimenticano di una transazione sull’estratto conto o su un ciclo di fatturazione ricorrente), i truffatori possono sfruttare il processo di chargeback per richiedere il rimborso di acquisti assolutamente validi.

La parte peggiore? Quando una richiesta di chargeback viene accolta dalla banca, quest’ultima reclama il denaro (oltre a una commissione per i suoi inconvenienti!) dal cliente. Se a questo si aggiungono le perdite che hai già subito a causa del truffatore, i chargeback rappresentano una minaccia fin troppo concreta.

Furto di Identità

A causa di film popolari che trattano l’argomento (Il talento di Mr. Ripley, per esempio?), il furto d’identità è uno dei tipi di frode nel commercio elettronico più conosciuti. Ma questo non lo rende meno pericoloso.

In questo caso, un truffatore assume falsamente l’identità di un’altra persona: utilizza il suo nome, le sue informazioni personali e i suoi documenti per aprire carte di credito, per poi colpire.

Al di là dell’impatto sulla vittima, perché questa è una cattiva notizia per il tuo business online? Dopo tutto, continui a vendere… giusto?

Sbagliato. Ripensa per un attimo all’esempio di Santorini. Ben presto, la persona a cui è stata rubata l’identità si renderà conto della litania di acquisti fraudolenti effettuati a suo nome e – indovina un po’ — chiederà un chargeback. Quando la banca lo accoglierà, richiederà a te la restituzione del denaro.

Il furto di identità, che rappresenta il 71% di tutti gli attacchi, è di gran lunga il tipo di frode più comune nel settore dell’e-commerce. Inoltre, i truffatori stanno diventando sempre più sofisticati e ora utilizzano i dispositivi personali, gli indirizzi IP e gli account degli individui presi di mira per assumere la loro identità, il che li rende una minaccia a cui prestare attenzione.

Account Takeovers

Tutti i nostri clienti l’hanno fatto, prima o poi, durante gli acquisti online. Hanno spuntato la casella “Salva i Dati della Mia Carta di Credito”. Risparmieranno un minuto la prossima volta che torneranno a fare un acquisto, quindi non c’è da preoccuparsi, giusto?

Giusto. A meno che un truffatore non riesca a mettere le mani sui dati di accesso del cliente. In questo caso, il ladro ha facile accesso ai dati di pagamento. In altre parole, tutto ciò che deve fare è cambiare l’indirizzo di spedizione e iniziare a comprare.

E quando lo fanno? Aspettati un chargeback da parte del vero cliente, lasciando la tua azienda a bocca asciutta.

Malware e Ransomware

Il tuo computer si blocca continuamente? Ci sono annunci pubblicitari che spuntano ovunque? I link portano alla destinazione sbagliata o appaiono nuove icone sul desktop e sul browser?

Se è così, potresti aver installato inavvertitamente un malware (mal = cattivo, ware = software… è un software cattivo) sul tuo dispositivo. Anche il termine stesso “malware” comprende una serie di diversi tipi di codice maligno, uno più nefasto dell’altro. Questi includono spyware, “cavalli di Troia” e ransomware, un codice che blocca il sistema fino a quando non si paga un “riscatto” all’hacker per potervi accedere.

Il problema per i proprietari di negozi di e-commerce è che il malware, sia sul tuo sistema che su quello dei tuoi clienti o amministratori, può rubare dati sensibili. Tra questi, i nomi e gli indirizzi dei clienti e le informazioni sui pagamenti. Se uno di questi dati viene compromesso, non si perderanno solo i profitti o i dati, ma anche la credibilità.

Inoltre, gli attacchi di malware aprono la strada a una forma emergente di frode nell’e-commerce chiamata frode “silenziosa”. Dopo aver utilizzato il malware per accedere illegalmente a un certo numero di conti, i truffatori, invece di sottrarre migliaia, centinaia, decine o addirittura un dollaro, prelevano solo pochi centesimi. Se compiuti su larga scala e con regolarità, questi furti possono totalizzare enormi quantità di fondi rubati. Non è poi così “silenzioso”!

Come Proteggere i Tuoi Clienti

Conoscere i principali tipi di frode nell’e-commerce è una cosa. Ma essere in grado di isolare efficacemente te e i tuoi clienti dagli effetti negativi delle frodi è un’altra cosa.

Di seguito, abbiamo raccolto i nostri migliori consigli per aiutare te, la tua base di clienti e la tua azienda a rimanere al di fuori delle grinfie dei truffatori.

Proteggi le Informazioni dei Clienti

Il primo modo per proteggere i tuoi clienti? Salvaguarda i loro dati più importanti. Ecco come:

I firewall

Filtrando e monitorando il traffico in entrata (e in uscita), i firewall aiutano a mantenere la sicurezza del tuo sito web, agendo, in pratica, come un vero e proprio muro tra la tua rete e il selvaggio West di Internet.

In quest’ottica, i firewall sono fondamentali non solo per proteggere i sistemi di dati, ma anche per mantenere la conformità PCI. PCI DSS (Payments Card Industry Data Security Standards — Standard di sicurezza dei dati dell’industria delle carte di pagamento) è una serie di norme che tutte le aziende che accettano carte di credito e di debito devono rispettare. La conformità PCI è una sorta di “sigillo di approvazione” che dimostra ai clienti, alle autorità di regolamentazione e al mercato in generale che ci si può fidare della gestione dei dati sensibili.

Se vendi online con Ecwid di Lightspeed, il tuo negozio è già conforme agli standard PCI DSS. Ecwid by Lightspeed è un fornitore di servizi di livello 1 convalidato PCI DSS. Si tratta del più alto standard internazionale per lo scambio sicuro di dati per i negozi online e i sistemi di pagamento.

Abilita l’Autenticazione a Due Fattori (2FA)

Assicurati che sia implementata la 2FA, in modo che chiunque tenti di accedere alle piattaforme e ai processi backend della tua azienda debba effettuare l’accesso attraverso due dispositivi. Se tu o uno dei membri del tuo team accedete da un computer desktop, ad esempio, dovrete confermare il tentativo anche su un altro dispositivo, come il telefono, per ottenere l’accesso.

Altre varianti sono:

• Verifica in due passaggi (2SV): prevede la ricezione di un codice o di una password monouso via e-mail, messaggio o telefonata, da inserire per accedere.
• Autenticazione a più fattori: una combinazione di più forme di autenticazione per ottenere uno dei massimi livelli di sicurezza.

I proprietari di aziende che vendono online con Ecwid di Lightspeed possono utilizzare i loro account Google o Facebook per accedere al loro negozio Ecwid. Abilita l’autenticazione a due fattori per il tuo account Google o Facebook e proteggi così le tue informazioni di login anche per Ecwid.

Se vuoi aggiungere altri membri del team (come il personale addetto agli adempimenti o un designer) al tuo negozio Ecwid, non condividere mai il tuo login Ecwid con loro. Crea invece account del personale separati per ogni utente del tuo negozio. Gli account del personale hanno login separati e non hanno accesso al tuo profilo e alle pagine di fatturazione.

Utilizza un Gateway di Pagamento Sicuro

Se vuoi offrire ai tuoi clienti il massimo livello di tranquillità nei pagamenti, un gateway di pagamento sicuro è un must.

Un gateway di pagamento è la tecnologia che gli esercenti utilizzano per accettare acquisti con carta di credito e di debito, sia di persona che online. Ma non tutti i gateway di pagamento sono uguali, soprattutto per quanto riguarda le commissioni e i tempi di pagamento. Assicurati quindi di scegliere quello giusto per le esigenze specifiche della tua azienda.

Ecwid di Lightspeed è integrato con decine di gateway di pagamento sicuri. Puoi scegliere un sistema di pagamento che sia conveniente sia per la tua azienda che per i tuoi clienti.

Condividi Consigli e Informazioni con i Tuoi Clienti

Uno dei modi più semplici per proteggere i tuoi clienti? Informarli.

Tramite e-mail, messaggi o sezioni dedicate sul tuo sito web, informa i tuoi clienti delle frodi esistenti e di come possono proteggersi da esse. (E aiutarti a proteggerli!)

Assicurati di esporre chiaramente:

• Come la tua azienda accoglie i clienti (in modo che possano individuare le discrepanze)
• Come la tua azienda non accoglie i clienti e cosa non chiede (ad esempio, i loro dati di accesso o di cliccare su un link per accedere)
• Suggerimenti chiari e attuabili per i clienti per mantenere al sicuro i dati del loro account (se la tua azienda prevede account dei clienti)
• Come mettersi in contatto se qualcosa non quadra o se il cliente ha domande da porre
• Quali controlli di sicurezza stai introducendo, se ce ne sono
• Come il cliente può aggiornare i propri dati in modo sicuro
• Cosa fare in caso di ricezione di un’e-mail truffaldina (ad esempio, un truffatore che si spaccia per la tua azienda) e come segnalare la comunicazione fraudolenta

Inutile dire che questo tipo di comunicazione è fondamentale. Non solo ispirano fiducia e offrono un’esperienza utente eccellente, ma contribuiscono anche a ridurre il rischio che i tuoi clienti cadano vittima di frodi nell’e-commerce.

Ricorda inoltre di rendere queste informazioni il più accessibili possibile. I tuoi clienti potrebbero non leggere le loro e-mail o leggere a fondo il tuo sito web. Quindi, maggiore è il numero di canali su cui puoi pubblicizzare questi consigli, meglio è!

Mantieni il Tuo Sito Aggiornato e Conduci Audit di Sicurezza Periodici

In precedenza, abbiamo paragonato Internet a una sorta di “selvaggio West”: uno stato di frontiera in cui abbondano i banditi e l’illegalità.

Ora, anche se questo potrebbe essere un po’ eccessivo, ci sono molte minacce là fuori e una miriade di metodi attraverso i quali phisher, hacker e truffatori possono far deragliare la tua attività:

• Attacchi DoS (Denial of Service): un hacker tenta di impedire agli utenti di accedere ai servizi del tuo sito.
• Attacchi DDoS (Distributed Denial of Service): l’autore non ti attacca direttamente, ma utilizza il tuo sito come “zombie” per danneggiare un altro sito. In un attacco DDoS, i tuoi server vengono inondati da richieste provenienti da un gruppo di indirizzi IP non rintracciabili, mandando in crash il tuo sito e bloccando il traffico e le vendite.
• Attacchi di forza bruta: in questo caso, gli hacker colpiscono il tuo sito web con migliaia di combinazioni di password diverse nel tentativo di ottenere l’accesso.
• Attacchi Man in the middle (MITM): se il cliente accede al tuo sito tramite una rete vulnerabile (ad esempio, WiFi pubblico), gli hacker possono “ascoltare” la transazione e utilizzarla per estrarre dati sensibili.
• Iniezioni SQL e cross-site scripting: questi attacchi sfruttano le vulnerabilità del tuo sito. In un’iniezione SQL, gli hacker prendono di mira i tuoi moduli per accedere, corrompere e rubare informazioni dal backend del tuo sito. Nel cross-site scripting, gli hacker inseriscono frammenti di codice dannosi che rubano le informazioni dei visitatori.

Il fatto che esistano tutte queste modalità di attacco? Questa è la cattiva notizia. La buona notizia, tuttavia, è che questi hacker sono opportunisti. Sono alla ricerca di vulnerabilità nella sicurezza e nella prevenzione delle frodi del tuo sito. Ciò significa che, mantenendo il tuo sito aggiornato e identificando, comprendendo e colmando regolarmente le sue vulnerabilità, potrai ridurre il rischio che un hacker prenda di mira il tuo sito e la tua attività.

A tal fine, è opportuno condurre regolari controlli di sicurezza. Valuta l’infrastruttura del tuo sito alla ricerca di falle, esplorando il backend e il codice (comprese le estensioni e i temi) alla ricerca di qualsiasi elemento che possa essere sfruttato dagli hacker. Assicurati che:

• Le tue password sono forti
• Il tuo software è aggiornato
• Il certificato SSL (Secure Sockets Layer) del tuo sito è aggiornato

A proposito di certificati SSL, se hai creato il tuo sito di e-commerce con Ecwid di Lightspeed, hai già un certificato SSL di default.

Se hai aggiunto il tuo negozio Ecwid a un sito web esistente, hai già il certificato SSL gratuito per il tuo negozio. Tuttavia, il resto del sito web è una questione separata, informati sulla possibilità di acquistare un certificato SSL per proteggere le informazioni sensibili.

Un altro modo per proteggere il tuo sito web è rivedere l’elenco degli account del personale del tuo negozio online e rimuovere i membri del personale con cui non lavori più. In questo modo, eviterai che gli hacker sfruttino questi “canali secondari” per accedere al tuo sito.

Momenti Chiave per Proteggere il Tuo Sito Web

Ora che abbiamo spiegato quali sono le frodi da individuare e come proteggere il tuo sito web da esse, esaminiamo i momenti chiave dell’anno in cui gli hacker sono più attivi.

Giorni di Festa

“Gli autori di ransomware tendono ad attaccare nei giorni festivi e nei fine settimana perché sanno che le difese umane delle aziende spesso non sono così solide in quei momenti. Questo consente loro di eludere il rilevamento, causare più danni e rubare più dati, mentre i team di sicurezza si affrettano a mettere in atto una risposta. Cybereason ha scoperto che la valutazione del rischio è più lenta, le aziende impiegano più tempo a riunire il team per contrastare l’attacco iniziale, il che porta a tempi di riparazione e ripristino più lenti” —ha affermato Lior Div, CEO e co-fondatore di Cybereason.

Natale, Pasqua, Capodanno: anche se il resto di noi sta trascorrendo del tempo con le proprie famiglie e si sta rilassando, gli hacker stanno facendo tutt’altro che rilassarsi.

Una maggiore distrazione da parte del cliente o dell’utente finale e una riduzione del personale e delle risorse da parte dell’azienda significa che le condizioni sono favorevoli all’hacking.

In questo contesto, non lasciare che la tua azienda venga colta alla sprovvista. Non aspettare la prossima festività per impostare la sicurezza del tuo sito in modo da garantirne il successo, né ritrovarti a dover effettuare la revisione del tuo sito pochi giorni prima del lungo weekend della Festa della Mamma. Ti ricordi il vecchio proverbio cinese?

Il momento migliore per piantare un albero è stato 20 anni fa. Il secondo momento migliore è oggi.

Weekend

Gli hacker tendono a prendere di mira le aziende quando sono più vulnerabili e quando sono chiuse.

Ecco perché i weekend, in particolare quelli lunghi, in cui sono coinvolti i giorni festivi, sono opportunità preziose per gli hacker. Tuttavia, questo non significa che dovresti abbassare la guardia durante il resto della settimana. Gli hacker attaccano in media ben 26.000 volte al giorno, quindi è necessario rimanere vigili.

Conclusioni

Con l’evolversi delle opportunità dell’e-commerce, si evolvono anche le minacce.

Con tante statistiche allarmistiche in circolazione, può essere facile volersi mettere le dita nelle orecchie, chiudere un occhio e adottare un approccio del tipo “l’ignoranza è beatitudine”.

Ma questa mentalità non tiene conto del fatto che da queste minacce derivano opportunità ancora più interessanti.

Di rendere il processo di pagamento più sicuro, più facile, più conveniente e più coerente che mai. Di costruire il tuo brand, di fidelizzare i tuoi clienti e di aumentare la fiducia del tuo pubblico, dimostrando loro che tieni alla loro privacy e rispetti la sensibilità dei loro dati. E, nel frattempo, gettare le basi per un successo solido e sostenibile della tua attività di e-commerce.