Pagare online con la carta è più rischioso che pagare in negozio. Secondo il rapporto della Banca d'Italia sul secondo semestre 2025, le frodi hanno riguardato lo 0,060% del valore dei pagamenti con carta nell'e-commerce, contro lo 0,006% al POS: dieci volte tanto. I pagamenti verso paesi fuori dallo Spazio economico europeo sono circa il 2% dei pagamenti con carta, ma concentrano circa un quarto delle frodi.
Quando la frode avviene, poi, non sempre paga la banca: su carte e moneta elettronica il 40% delle perdite è rimasto a carico dei clienti. Se ti ha chiamato qualcuno che si spacciava per la tua banca, c'è una guida dedicata alla truffa del finto operatore.
Che problema hai
Le situazioni più frequenti hanno procedure diverse, con tempi e tutele diverse: questa tabella indica quale seguire.
| Che problema hai | Cosa è successo | Dove trovi la procedura |
|---|---|---|
| Un addebito che non riconosci | Qualcuno ha usato la tua carta senza che tu confermassi nulla | Contestare un addebito non autorizzato |
| Hai pagato tu, ma il venditore non consegna o non rimborsa | Il problema è con il negozio, non con la carta | Chargeback sulla carta |
| Una telefonata o un SMS ti hanno convinto a pagare | L'operazione l'hai autorizzata tu, ingannato da un finto operatore | Truffa del finto operatore di banca |
| La carta viene rifiutata durante un pagamento | Quasi sempre non c'entra una frode | Carta rifiutata: i motivi |
Tre difese: autenticazione forte, portafogli digitali e carte virtuali
I tre meccanismi agiscono su momenti diversi del pagamento, quindi conviene usarli insieme:
- l'autenticazione forte (3D Secure), che chiede una conferma che solo tu puoi dare, per esempio un'approvazione nell'app della banca;
- i portafogli digitali come Apple Pay e Google Pay, che passano al negozio un numero sostitutivo al posto di quello della carta;
- le carte virtuali, soprattutto quelle usa e getta, che rendono inutile un numero rubato.
3D Secure e autenticazione forte
3D Secure è il protocollo che aggiunge un passaggio di verifica quando paghi online. Ogni circuito lo chiama in modo diverso: Visa Secure, Mastercard Identity Check, American Express SafeKey. Prima di completare il pagamento la banca ti chiede di confermare, di solito con una notifica nell'app, con l'impronta o il volto, oppure con un codice via SMS.
Dietro c'è la direttiva europea sui servizi di pagamento (PSD2), che richiede l'autenticazione forte: per autorizzare un pagamento servono almeno due elementi di categorie diverse.
| Categoria | Esempi |
|---|---|
| Qualcosa che conosci | PIN, password |
| Qualcosa che possiedi | smartphone registrato presso la banca, carta |
| Qualcosa che sei | impronta digitale, riconoscimento del volto |
Quando la banca può non chiederla
Le regole europee permettono alla banca, senza obbligarla, di saltare l'autenticazione forte in alcuni casi:
- pagamenti online fino a 30€, finché i pagamenti senza verifica non superano in tutto 100€ o 5 operazioni consecutive;
- pagamenti contactless in negozio fino a 50€, finché non si superano 150€ o 5 operazioni consecutive;
- pagamenti ricorrenti dello stesso importo allo stesso esercente, dopo il primo che hai autorizzato;
- beneficiari che hai inserito tu nell'elenco di quelli fidati.
Se la banca non ti ha chiesto l'autenticazione forte e il pagamento non l'hai fatto tu, non puoi essere chiamato a pagare nulla, salvo che tu abbia agito in modo fraudolento.
Apple Pay e Google Pay: il negozio non vede il numero della carta
Quando aggiungi una carta ad Apple Pay, la banca crea un numero del dispositivo che resta in un chip separato del telefono e non viene salvato sui server di Apple. Al momento del pagamento il negozio riceve quel numero e un codice valido per quella sola transazione, mai il numero della carta. Anche Google Wallet passa al negozio un numero sostitutivo al posto di quello della carta.
Di norma ogni pagamento va poi confermato con il volto, l'impronta o il codice di sblocco del telefono, salvo i pagamenti dei trasporti in modalità Express. Per questo pagare con lo smartphone espone meno dati che consegnare la carta fisica, su cui di solito numero e scadenza sono stampati. Le carte American Express funzionano con Apple Pay ma non con Google Pay: l'elenco completo è nella guida alle carte compatibili con Apple Pay e Google Pay, mentre i limiti del pagamento senza PIN sono spiegati in come funziona il contactless.
Carte virtuali e CVV dinamico
Una carta virtuale esiste solo nell'app: ha numero, scadenza e codice di sicurezza propri, diversi da quelli della carta fisica. Se la usi per gli acquisti online e un negozio subisce un furto di dati, blocchi o sostituisci la carta virtuale e quella fisica continua a funzionare.
Le carte usa e getta vanno oltre, perché i dati cambiano dopo ogni pagamento. Revolut, per esempio, permette di avere una carta usa e getta collegata al conto senza costi aggiuntivi: dopo ogni acquisto i dettagli si rigenerano e il negozio non può addebitarti di nuovo con gli stessi dati. N26 include una carta virtuale gratuita già nel piano Standard.
Alcune banche emettono carte senza numero e senza codice di sicurezza (CVV) stampati: il codice si genera nell'app a ogni acquisto, quindi chi legge o fotografa la carta fisica non ha i dati per pagare online.
Le carte usa e getta non vanno bene per abbonamenti e pagamenti ricorrenti, perché al secondo addebito i dati sono già cambiati. Per Netflix, Spotify e servizi simili usa una carta virtuale permanente o la carta fisica.
Blocco della carta e limiti dall'app
Molte banche, soprattutto quelle digitali, permettono di bloccare e sbloccare la carta dall'app in pochi secondi e di disattivare singole funzioni, come i pagamenti online o i prelievi. Revolut, per esempio, permette di bloccare la carta con un tocco e di riattivarla quando serve. Dall'app di molte banche si abbassa anche il limite di prelievo giornaliero: valori e procedure delle carte più diffuse sono nella guida al limite di prelievo al bancomat.
Un'abitudine utile è tenere disattivati i pagamenti online sulla carta che usi di più e riattivarli solo quando stai per comprare, oppure usare per internet una carta virtuale dedicata. Attiva anche le notifiche per ogni pagamento, così ti accorgi subito di un addebito che non riconosci.
Le truffe del momento
Le tecniche cambiano spesso; molte puntano a farti consegnare i codici o a farti confermare tu un pagamento.
Chiamate e SMS che sembrano della banca
Con lo spoofing il truffatore fa comparire sul tuo telefono il numero della banca o un numero italiano qualsiasi. Dal 19 agosto 2025 gli operatori telefonici bloccano le chiamate dall'estero che mostrano un numero fisso italiano falsificato, e dal 19 novembre 2025 anche quelle con un numero di cellulare: secondo l'AGCOM, tra il 19 novembre e il 31 dicembre 2025 sono state bloccate oltre 90 milioni di chiamate con un numero di cellulare italiano falsificato e più di 30 milioni con un numero fisso italiano o comunque anomalo. Il filtro non blocca le chiamate da numeri esteri veri. Come riconoscere la telefonata e cosa fare è spiegato nella guida sulla truffa del finto operatore di banca.
Le false multe
Ad agosto 2026 il CERT-AgID, la squadra di sicurezza informatica dell'Agenzia per l'Italia digitale, ha segnalato una campagna di falsi avvisi di multa che usa nomi e loghi della Polizia di Stato e di pagoPA: il link porta a un sito che chiede targa e codice fiscale e poi numero della carta, scadenza e CVV. Se ricevi un avviso di multa, controllalo sul sito o sull'app ufficiale dell'ente, senza usare il link del messaggio.
Bonifici e verifica del beneficiario
Dal 9 ottobre 2025 le banche dell'area euro controllano gratis che il nome del beneficiario corrisponda all'IBAN, per i bonifici ordinari e per gli istantanei. L'app mostra uno di quattro esiti: corrispondenza, corrispondenza parziale, mancata corrispondenza o verifica non possibile. Se il nome non corrisponde, fermati e ricontrolla con chi ti ha chiesto il pagamento usando un contatto che conosci già. Secondo la Banca d'Italia, nel secondo semestre 2025 il tasso di frode sui bonifici istantanei è calato del 38% rispetto al semestre precedente, anche grazie alle misure di prevenzione arrivate con questo controllo. Le responsabilità della banca e i limiti d'importo sono spiegati nella guida al bonifico istantaneo.
Cosa fare se qualcuno usa la tua carta
- Blocca subito la carta dall'app. Se non riesci, chiama il numero di blocco della banca, che trovi nell'app, sul sito ufficiale o nel contratto.
- Contesta le operazioni che non riconosci. Hai 13 mesi dalla data dell'addebito, ma devi avvisare la banca appena te ne accorgi. Per le operazioni che non hai autorizzato la banca deve rimborsarti entro la fine della giornata operativa successiva, salvo un motivato sospetto di frode da parte tua, che deve comunicare alla Banca d'Italia. La procedura completa è nella guida su come contestare un addebito non autorizzato.
- Sporgi denuncia alla Polizia Postale, a un ufficio di polizia o ai carabinieri. Non è obbligatoria per ottenere il rimborso delle operazioni non autorizzate, ma documenta i fatti e serve alle indagini.
- Chiedi una nuova carta: con molte banche digitali la nuova carta virtuale è disponibile subito, mentre aspetti quella fisica.
- Aggiorna i siti in cui avevi salvato la carta e cambia le password di quegli account.
Quando invece l'acquisto è tuo e il venditore non consegna o non rimborsa, il problema è con il negozio e la strada è il chargeback.
Chi paga se qualcuno usa la tua carta
Le regole sono quelle del decreto legislativo 11/2010 sui servizi di pagamento.
| Situazione | Quanto perdi al massimo |
|---|---|
| Operazioni fatte dopo che hai bloccato o segnalato la carta | Nulla, salvo frode da parte tua |
| La banca non ha chiesto l'autenticazione forte | Nulla, salvo frode da parte tua |
| Operazioni prima della segnalazione, con carta smarrita, rubata o usata da altri, se hai rispettato gli obblighi di custodia | Fino a 50€ |
| Hai agito con dolo o colpa grave, per esempio violando gli obblighi di custodia di carta e codici previsti dal contratto | Tutta la perdita |
Nella pratica una parte delle perdite resta comunque ai clienti. Nel secondo semestre 2025, secondo la Banca d'Italia, è rimasto a loro carico il 40% delle perdite per frodi su carte e moneta elettronica, e il 92% di quelle sui bonifici. Sui bonifici pesa la manipolazione: il 72% del valore delle frodi viene da operazioni in cui è la vittima, ingannata, a disporre il pagamento, e un pagamento disposto da te di regola conta come autorizzato.
Regole pratiche per pagare online
Per gli acquisti su internet usa una carta virtuale o un portafoglio digitale al posto della carta principale, e tieni attive le notifiche di ogni pagamento. Non salvare i dati della carta sui siti che usi di rado. Prima di pagare controlla l'indirizzo del sito: il lucchetto nella barra dice che la connessione è cifrata, non che il venditore sia onesto. Non inviare foto della carta e non dettare a nessuno i codici che ti arrivano per confermare un pagamento.
Due esempi tra le carte che confrontiamo. Con Revolut crei carte virtuali dall'app, anche usa e getta, e blocchi la carta con un tocco. Con N26 la carta virtuale è gratuita già nel piano Standard, che costa 0€ al mese. Per altre opzioni c'è la pagina sulla carta per acquisti online.
Una carta rifiutata durante un pagamento non sempre dipende da una frode: i motivi più comuni, e come risolverli, sono nella guida sulla carta rifiutata.
