Il protocollo 3D Secure aggiunge un passaggio di autenticazione durante un acquisto online con carta di credito. Imposto in gran parte dalla direttiva europea DSP2, questo meccanismo invia un codice tramite SMS o notifica sull’app bancaria prima di convalidare la transazione. Alcuni siti di commercio elettronico non attivano questa verifica, sia perché utilizzano un fornitore di pagamento che non la richiede, sia perché la transazione rientra in un caso di esenzione previsto dalla normativa.
Esenzioni DSP2: perché alcune transazioni sfuggono al 3D Secure
Il 3D Secure non è una scelta binaria del commerciante. La DSP2 prevede diversi casi in cui l’autenticazione forte non è obbligatoria, ed è spesso questo meccanismo a spiegare l’assenza di verifica piuttosto che un semplice rifiuto del protocollo.
Le transazioni considerate a basso rischio dall’emittente della carta possono essere esentate. I fornitori di pagamento utilizzano algoritmi di analisi in tempo reale (Transaction Risk Analysis) per valutare ogni operazione. Se il tasso di frode del fornitore rimane sotto una soglia definita dalla normativa, può richiedere un’esenzione per i pagamenti di basso importo.
- I pagamenti ricorrenti (abbonamenti) attivano il 3D Secure solo alla prima transazione, non alle successive.
- Gli acquisti sotto una certa soglia possono essere esentati se l’acquirente mantiene un tasso di frode sufficientemente basso.
- I beneficiari fidati, aggiunti manualmente dal titolare della carta presso la propria banca, aggirano l’autenticazione forte.
In altre parole, l’assenza di 3D Secure non significa assenza di sicurezza. Essa riflette spesso un’analisi del rischio favorevole effettuata in background, invisibile per l’acquirente.
Per esplorare questo argomento in dettaglio, una lista di siti senza 3D Secure raccoglie le piattaforme dove questa verifica non viene attivata sistematicamente.
Frode con carta di credito in Francia: cosa mostrano gli ultimi dati
Il tasso di frode con carta di credito in Francia è sceso a circa lo 0,048 % nel primo semestre del 2025, secondo l’Osservatorio della sicurezza dei mezzi di pagamento (OSMP) della Banca di Francia. In valore, ciò rappresenta 211 milioni di euro, in calo di quasi il 10 % rispetto all’anno precedente.
Questo calo è spiegato in parte dalla generalizzazione del 3D Secure. La carta rimane il mezzo di pagamento meno frodato in proporzione.
Il paradosso si trova altrove. La frode su tutti i mezzi di pagamento è aumentata di circa il 7 %, raggiungendo 618 milioni di euro nello stesso periodo. La frode non scompare, si sposta. Le tecniche di ingegneria sociale (falso consulente bancario, phishing mirato) rappresentavano circa il 32 % della frode ai pagamenti nel 2024, e questa proporzione è salita a circa il 40 % nel 2025.
Pagare su un sito senza 3D Secure non costituisce quindi il rischio principale per un titolare di carta oggi. Il vero pericolo proviene dalle manipolazioni umane, non dall’assenza di un codice SMS.
Pagamento senza 3D Secure: cosa assume il commerciante
Quando un commerciante sceglie di non attivare l’autenticazione 3D Secure, si assume il rischio di contestazione. In caso di frode accertata, è il commerciante (e non la banca del titolare) a sostenere la perdita finanziaria nell’ambito del meccanismo di liability shift.
Questo trasferimento di responsabilità spiega perché alcune grandi piattaforme internazionali disattivano volontariamente il 3D Secure. Il loro calcolo è semplice: il costo dei carrelli abbandonati supera quello della frode assorbita. Un passaggio di autenticazione aggiuntivo provoca abbandoni di carrello significativi, e per un sito ad alto volume, ogni punto di conversione perso rappresenta una perdita considerevole.
I siti che fanno questa scelta dispongono generalmente di sistemi antifrode interni sofisticati. Analizzano l’indirizzo IP, l’impronta del browser, la cronologia degli acquisti e decine di altri segnali prima di accettare una transazione. L’assenza del 3D Secure visibile non significa assenza di filtraggio.
Tipi di siti interessati
Le piattaforme di servizi digitali (streaming, archiviazione cloud, alcune applicazioni mobili) sono tra le più frequenti. Anche i siti di viaggio e prenotazione alberghiera utilizzano esenzioni, in particolare per i pagamenti ricorrenti o i prepagamenti a basso rischio.
Alcuni e-commerce specializzati in piccoli importi aggirano anche il 3D Secure grazie alle soglie di esenzione previste dalla DSP2.
Proteggere la propria carta di credito senza contare sul 3D Secure
Fare affidamento esclusivamente sul 3D Secure per proteggere i propri acquisti online sarebbe un errore. Diverse misure complementari offrono una protezione più robusta, indipendentemente dal sito utilizzato.
- Le carte virtuali usa e getta, offerte dalla maggior parte delle banche online, generano un numero di carta temporaneo legato a un importo e una durata precisi.
- L’attivazione di notifiche in tempo reale per ogni transazione consente di rilevare immediatamente un’operazione non autorizzata e di bloccare la carta dall’app bancaria.
- La verifica del protocollo HTTPS e della reputazione del commerciante prima di ogni acquisto rimane un riflesso di base, più efficace di un codice SMS inviato successivamente.
- Non comunicare mai i propri dati bancari per telefono, anche a un interlocutore che si presenta come la propria banca, limita l’esposizione alle frodi da ingegneria sociale che esplodono nel 2025.
Il 3D Secure costituisce uno strato di protezione tra gli altri, non un scudo assoluto. I siti che non lo utilizzano compensano generalmente con sistemi di analisi del rischio in tempo reale lato server. Il titolare della carta, a sua volta, mantiene il controllo sulla sicurezza dei propri dati attivando gli strumenti che la propria banca mette a disposizione.