BNPL hack: la truffa del “paga dopo” che costa miliardi
BNPL e frodi: identità sintetiche con tasso di non-rilevamento dell’85-95%, account takeover, schema Trojan Horse, cause contro Klarna e nuove regole in arrivo nel Regno Unito e nell’Unione Europea.
Il settore Buy Now Pay Later (BNPL) cresce esplosivamente ma le frodi dilagano: il mercato della prevenzione delle frodi raggiungerà 25,9 miliardi di dollari entro il 2034. Dai casi giudiziari contro Klarna alle sofisticate reti criminali che utilizzano identità sintetiche, ecco come i truffatori sfruttano le vulnerabilità di un settore nato senza adeguate protezioni.
Il mercato globale del Buy Now Pay Later ha raggiunto i 30,38 miliardi di dollari nel 2023 e crescerà fino a 167,58 miliardi entro il 2032, con una crescita annuale del 20,7%. Ma dietro questi numeri impressionanti si nasconde una realtà allarmante: il mercato della prevenzione delle frodi BNPL esploderà da 3,7 miliardi nel 2024 a 25,9 miliardi entro il 2034, rivelando l’entità di un fenomeno criminale che sta devastando consumatori e aziende a livello globale. Negli Stati Uniti, il 23% dei consumatori che hanno subito frodi di identità nel 2021 ha riportato l’apertura fraudolenta di account BNPL a loro nome.
Il boom criminale dietro l’innovazione finanziaria
La crescita esplosiva del BNPL – con 360 milioni di utenti globali nel 2022 destinati a diventare 900 milioni entro il 2027 – ha creato un terreno fertile per i criminali informatici. Klarna, leader di mercato con 100 milioni di utenti attivi globali, è al centro di numerose controversie legali che illustrano perfettamente i problemi sistemici del settore.
Il caso di Nathan Hale contro Klarna presso il tribunale federale della California meridionale (caso n. 3:22-cv-00598) rappresenta emblematicamente le insidie nascoste del sistema BNPL. Hale ha denunciato l’azienda per frode, sostenendo che i consumatori vengono ingannati sui reali rischi del servizio “paga dopo”. La causa evidenzia come pagamenti automatici Klarna possano generare commissioni di scoperto bancario multiple, con costi nascosti che contraddicono la promessa di “zero commissioni”.
Parallelamente, il caso Najah Edmundson contro Klarna ha mostrato danni concreti: la ricorrente ha sostenuto 70 dollari in commissioni di scoperto su due acquisti online con pagamenti totali di 25,14 dollari, dimostrando come i costi indiretti possano superare drammaticamente l’importo originale dell’acquisto.
I criminali hanno sviluppato metodologie sofisticate per sfruttare le debolezze sistemiche del BNPL. La frode delle identità sintetiche – che combina numeri di previdenza sociale reali con nomi e indirizzi fittizi – presenta un tasso di non-rilevamento dell’85-95% da parte dei sistemi antifrode tradizionali, con proiezioni di perdite che raggiungono i 23 miliardi di dollari entro il 2030. I nuovi account fraudolenti rappresentano il 28,8% di tutte le frodi BNPL nel 2024, evidenziando come i criminali sfruttino la facilità di registrazione per aprire account con identità rubate o sintetiche.
La geografia globale delle frodi BNPL
L’analisi comparativa internazionale rivela differenze significative nei tassi di frode e nelle risposte normative tra diverse giurisdizioni. Gli Stati Uniti guidano il mercato con 88,2 milioni di utenti BNPL nel 2023, destinati a raggiungere 105 milioni entro il 2026. Il Nord America detiene oltre il 40,6% del mercato globale di prevenzione frodi BNPL, con ricavi di circa 1,5 miliardi di dollari nel 2024.
Il Regno Unito sta implementando una regolamentazione completa che entrerà in vigore il 15 luglio 2026, richiedendo l’autorizzazione della Financial Conduct Authority per i provider e valutazioni obbligatorie di sostenibilità creditizia. L’Australia, pioniere nel settore, mantiene il più alto tasso di utilizzo BNPL globale con circa il 33% degli adulti che utilizzano questi servizi nel 2023.
L’Unione Europea attende l’implementazione della Consumer Credit Directive II entro novembre 2026, che porterà i servizi BNPL sotto la regolamentazione creditizia tradizionale. Le variazioni nazionali creano complessità operative: alcuni paesi europei hanno già implementato limiti specifici sui tassi e commissioni.
I casi che hanno scosso il settore
Il settore BNPL è stato colpito da una serie di controversie legali che hanno esposto le vulnerabilità sistemiche. Oltre ai casi Hale ed Edmundson contro Klarna, emerge il recente caso Rachel Thompson contro Klarna depositato presso la Southern District of Ohio nel 2025, dove una content creator californiana accusa l’estensione browser Klarna di intercettare e appropriarsi indebitamente delle commissioni di marketing di affiliazione, manipolando i tag di tracciamento per deviare i pagamenti destinati ai creatori di contenuti.
Le truffe di Account Takeover (ATO) rimangono la forma più comune di frode BNPL. Le vittime spesso rimangono inconsapevoli della frode per settimane a causa della natura dilazionata dei pagamenti BNPL, rendendo il rilevamento e la risoluzione particolarmente difficili. I criminali sfruttano questa finestra temporale per massimizzare i danni prima che la frode venga scoperta.
Un altro schema emergente è quello del “Trojan Horse” – dove i truffatori utilizzano due account BNPL, con uno che paga il pagamento iniziale dell’altro, creando una catena di pagamenti fraudolenti che può passare inosservata per mesi nei sistemi di controllo tradizionali.
L’arsenale tecnologico dei criminali digitali
I criminali del 2025 utilizzano intelligenza artificiale generativa per creare identità sintetiche su scala industriale e tecnologie deepfake per superare le verificazioni biometriche. La crescita del 320% nei servizi Tap to Phone di Visa nel Regno Unito evidenzia l’accelerazione verso pagamenti digitali che creano nuove opportunità per i truffatori.
Le vulnerabilità sistemiche includono processi Know Your Customer (KYC) insufficienti che si basano su verifiche documentali superficiali, approvazioni istantanee che privilegiano la velocità sulla sicurezza, e controlli creditizi “soft” invece di verificazioni complete. Il 28,8% di tutte le frodi BNPL nel 2024 coinvolge nuovi account creati con identità false o rubate, dimostrando quanto sia facile aggirare i controlli attuali.
I dati del settore mostrano che i criminali operano in reti organizzate, utilizzando “Fraud-as-a-Service” su piattaforme come Telegram e vendendo tutorial su TikTok per insegnare come sfruttare le vulnerabilità BNPL. Questa industrializzazione della frode ha portato a schemi sempre più sofisticati e su larga scala.
Le vittime invisibili del credito facile
L’impatto sui consumatori va oltre le perdite finanziarie immediate. Il 55% degli utenti BNPL dichiara che rappresentava “l’unico modo per permettersi l’acquisto”, evidenziando come questi servizi stiano diventando un’ancora di salvezza per consumatori in difficoltà finanziarie. Il 67-70% degli utenti a basso reddito dipende dal BNPL per l’accessibilità economica, creando un ciclo di dipendenza potenzialmente pericoloso.
Nel caso Edmundson, le commissioni di scoperto di 70 dollari su acquisti di appena 25,14 dollari illustrano come i costi nascosti colpiscano sproporzionatamente i consumatori più vulnerabili. Le vittime riportano danni al punteggio creditizio per prodotti mai acquistati, difficoltà nell’accesso al credito futuro, e significativo stress psicologico.
Per i commercianti, la perdita media per incidente di frode BNPL supera i 1.500 dollari, con il 71% che ha subito almeno un chargeback correlato al BNPL nell’ultimo anno. Il danno reputazionale e la perdita di fiducia dei clienti amplificano ulteriormente l’impatto economico diretto.
Il futuro incerto della sicurezza BNPL
Mentre il mercato BNPL si prepara a raggiungere i 167,58 miliardi di dollari entro il 2032, la risposta all’emergenza frodi rimane frammentata e spesso inadeguata. L’industria sta investendo massicciamente in soluzioni tecnologiche avanzate – sistemi di machine learning per il rilevamento frodi in tempo reale con tassi di crescita del 24,1% annuo, graph neural network per identificare pattern fraudolenti complessi, e sistemi di autenticazione biometrica avanzati.
Il mercato della prevenzione frodi BNPL crescerà da 3,7 miliardi di dollari nel 2024 a 25,9 miliardi entro il 2034, con un tasso di crescita annuale del 21,5%. Questo investimento massiccio riflette la gravità della minaccia e la corsa tecnologica tra criminali e sistemi di sicurezza.
Tuttavia, con un numero crescente di utenti che si affida a password riutilizzate tra piattaforme e il 28,8% delle frodi concentrate sui nuovi account, la battaglia contro i criminali del BNPL rappresenta una sfida continua. La vera domanda non è se il settore può crescere, ma se può farlo sviluppando sistemi di sicurezza adeguati prima che le frodi raggiungano proporzioni sistemiche che potrebbero minacciare la stabilità finanziaria globale.
Fonti:
Federal Reserve. (2024). “The Only Way I Could Afford It”: Who Uses BNPL and Why. FEDS Notes.
European Banking Authority. (2024). EBA-ECB Report on Payment Fraud. Frankfurt: EBA.
Market.us. (2025). BNPL Fraud Prevention Market Size Report. New York: Market.us Research.
Hale v. Klarna, Inc., Case No. 3:22-cv-00598-DMS-AHG (S.D. Cal. 2022).
Edmundson v. Klarna Inc., Case No. 22-557 (2d Cir. 2023).
Thompson v. Klarna Inc. (S.D. Ohio 2025) – Class Action Complaint.
DataVisor. (2024). BNPL Growing Pains: 2024 Fraud Trends & Insights. Mountain View: DataVisor Inc.
Domande frequenti
Che cos'è una frode con identità sintetica nel BNPL?
Combina numeri di previdenza sociale reali con nomi e indirizzi fittizi. Ha un tasso di non-rilevamento dell'85-95% da parte dei sistemi antifrode tradizionali, con perdite proiettate a 23 miliardi di dollari entro il 2030.
Perché le frodi BNPL si scoprono tardi?
Perché i pagamenti sono dilazionati. Nelle truffe di Account Takeover, la forma più comune, le vittime restano spesso inconsapevoli per settimane e i criminali sfruttano la finestra per massimizzare i danni.
Che cos'è lo schema Trojan Horse nel BNPL?
I truffatori usano due account BNPL, con uno che paga il pagamento iniziale dell'altro. Si crea una catena di pagamenti fraudolenti che può passare inosservata per mesi nei sistemi di controllo tradizionali.
Quali regole sono in arrivo per il BNPL?
Nel Regno Unito la regolamentazione entra in vigore il 15 luglio 2026 e richiede l'autorizzazione della Financial Conduct Authority. L'Unione Europea attende la Consumer Credit Directive II entro novembre 2026.
Quali debolezze sfruttano i criminali nel BNPL?
Processi KYC insufficienti basati su verifiche documentali superficiali, approvazioni istantanee che privilegiano la velocità e controlli creditizi soft. Usano anche intelligenza artificiale generativa e deepfake per superare le verifiche biometriche.
