Il 27% degli utenti di internet tedeschi è stato vittima di crimini informatici ad un certo punto. Tra i reati informatici più comuni figurano frodi che colpiscono lo shopping online e l'online banking, oltre all'accesso non autorizzato ad account online e attacchi di phishing. Nove vittime su dieci hanno subito una qualche forma di danno e molte hanno registrato perdite finanziarie.

Le frodi online sono spesso direttamente correlate al fenomeno più ampio del furto d'identità. In questo articolo, discuteremo di cosa sia il furto d'identità, quali forme ne esistano e chi sia responsabile in caso di furto d'identità. Esploreremo inoltre in che modo le aziende possano ridurre efficacemente il rischio di frode.

In sintesi

• Il furto d'identità non è un reato distinto in Germania, ma le azioni coinvolte nel furto dell'identità di qualcuno possono qualificarsi come una serie di reati diversi.
  
• Il furto d'identità è il caso in cui soggetti fraudolenti utilizzano le informazioni personali di terzi senza il loro permesso per scopi fraudolenti o per ingannare gli altri.
  
• I truffatori utilizzano identità rubate per avviare pagamenti non autorizzati, stipulare contratti o assumere il controllo di account.
  
• In linea di principio, le vittime non sono responsabili per eventuali danni, a condizione che non abbiano agito in modo negligente.
  
• Soluzioni moderne come Stripe Radar aiutano le aziende a rilevare tempestivamente le transazioni sospette e a ridurre i rischi di frode attraverso processi sicuri, un'efficace protezione dei dati e misure di sicurezza tecniche.
  

Che cos'è il furto d'identità?

Il furto d'identità si verifica quando un soggetto fraudolento utilizza le informazioni personali di un'altra persona senza permesso al fine di ottenere un vantaggio per sé o per terzi. Il malintenzionato utilizza elementi identificativi come il nome, la data di nascita, l'indirizzo o i dati di accesso digitali di una persona per scopi fraudolenti. Spesso l'obiettivo è spacciarsi per la persona originale o compiere azioni a suo nome.

Il furto d'identità colpisce in gran parte privati le cui informazioni personali vengono utilizzate in modo illecito. Le conseguenze personali vanno dalle perdite finanziarie a problemi a lungo termine nell'utilizzo dei servizi o problemi nella verifica e correzione delle informazioni personali.

Anche le aziende possono esserne colpite indirettamente. Ciò accade più frequentemente quando un malintenzionato utilizza un'identità rubata per condurre affari fraudolenti, come effettuare acquisti o stipulare contratti a nome di un'altra persona. Le aziende coinvolte possono subire perdite finanziarie e devono anche dedicare ulteriore tempo alla revisione e all'elaborazione delle transazioni. La frode può danneggiare la reputazione di un'azienda e portare a una perdita di fiducia tra clienti e partner commerciali.

Quali tipi di furto d'identità esistono?

Il furto d'identità si presenta in diverse forme. I metodi variano a seconda del contesto e dello scopo dell'autore del reato e vanno dalla tipica frode digitale a scenari meno comuni e più complessi.

• Frode nei pagamenti: i malintenzionati utilizzano i dati di pagamento di un'altra persona o le credenziali di accesso al servizio di pagamento per eseguire transazioni non autorizzate.
  
• Furto di identità per stipulare contratti ed effettuare ordini: individui fraudolenti fingono di essere qualcun altro per concludere contratti di acquisto, noleggio o assistenza o per ordinare merci.
  
• Frode con acquisizione dell'account (ATO): i malintenzionati ottengono l'accesso agli account online esistenti che poi utilizzano senza autorizzazione. Possono utilizzare questi account per effettuare ordini, visualizzare dati o comunicare in nome dell'intestatario del conto.
  
• Frode con nuovi account: i colpevoli possono utilizzare identità rubate per aprire nuovi account presso banche o servizi online. Questi account vengono utilizzati per cose come prestiti, abbonamenti o altri obblighi finanziari attribuiti alla persona a cui è stata rubata l'identità.
  
• Furto di identità nell'interazione con le autorità pubbliche: in rari casi, le identità rubate vengono utilizzate per dimostrare l'identità di una persona a un ente governativo o per richiedere benefici statali.
  
• Scambio di SIM (Subscriber Identity Module): soggetti fraudolenti prendono il controllo del numero di cellulare di un individuo trasferendolo su una nuova SIM. Possono quindi intercettare i codici di sicurezza e accedere ad altri account.
  
• Furto di identità sui social media: i criminali copiano o acquisiscono i profili dei social media delle persone per condividere contenuti a loro nome o per ingannare gli altri.
  

Come fanno i truffatori ad accedere alle informazioni sull'identità?

Al fine di commettere frodi d'identità, gli autori del reato devono prima ottenere l'accesso alle informazioni personali. Molte di queste informazioni provengono da fonti disponibili al pubblico, come reti sociali o profili online. I truffatori possono anche utilizzare le informazioni ottenute in seguito a violazioni dei dati o database violati.

Spesso, tuttavia, le vittime consegnano i propri dati a malintenzionati senza nemmeno accorgersene. Le vittime di attacchi di phishing, ad esempio, inseriscono dati della carta di credito, password o codici di sicurezza su siti web falsi. Questi attacchi di solito iniziano come email o messaggi di testo che assomigliano a comunicazioni ufficiali di banche, fornitori di servizi di pagamento (PSP) o aziende note. Spesso contengono un link che conduce a un sito web apparentemente genuino che invita gli utenti a inserire i propri dati.

Se sei vittima di un furto d'identità, l'Ufficio federale per la sicurezza informatica (BSI) fornisce una checklist per il primo soccorso.

Chi è responsabile in caso di furto d'identità?

Con le frodi online, la domanda principale per le aziende e i rivenditori in Germania, così come per i privati, è chi sia responsabile in caso di furto d'identità. La risposta dipende dai dettagli di ogni singolo caso. Principalmente, si tratta di stabilire quali doveri di diligenza siano stati violati.

Principio: le vittime non sono responsabili

In linea di principio, le vittime di furto di identità non sono personalmente responsabili dei danni causati dall'uso della loro identità rubata. Questo perché, dal punto di vista legale, la responsabilità spetta alle persone che utilizzano illegalmente questa identità per concludere contratti, effettuare pagamenti o compiere altri atti. Di conseguenza, una vittima di furto d'identità non è parte di alcun obbligo contrattuale assunto utilizzando la sua identità.

Eccezione: concorso di colpa

Questo principio non si applica se la cattiva condotta della vittima ha contribuito al furto della sua identità. Chiunque sia imprudente con i dati sensibili o non rispetti le misure di sicurezza di base può, in alcuni casi, avere almeno una responsabilità parziale. Il fattore decisivo è sempre se è stato violato un dovere di diligenza.

Online banking e servizi di pagamento

Nell'online banking, gli utenti hanno una responsabilità significativa nel mantenere al sicuro i propri dati di accesso e i processi di sicurezza. In molti casi, le banche risarciranno le perdite subite a causa di pagamenti non autorizzati. Tuttavia, potrebbe essere applicata anche una franchigia. La legge in genere limita questa franchigia a 50 € in caso di smarrimento o uso improprio dello strumento di pagamento e le perdite non potevano essere prevenute in tempo. In determinati casi, questa franchigia potrebbe essere esentata del tutto, ad esempio se l'utente non avrebbe potuto individuare la perdita o se la banca stessa era responsabile della perdita.

Tuttavia, non vi è alcuna limitazione di responsabilità se una persona ha agito con intento fraudolento o grave negligenza. La colpa grave include la condivisione dei dati di accesso o la mancata conservazione sicura degli stessi. L'articolo 675v, comma 3 del Codice Civile tedesco (BGB) stabilisce che l'utente può essere personalmente responsabile per le perdite in tali casi.

I clienti in genere non sono responsabili per eventuali perdite subite se le banche o i fornitori di servizi di pagamento (PSP) non impiegano l'autenticazione SCA prevista dalla legge. Inoltre, non sono tenuti a risarcire le perdite che si verificano dopo aver denunciato lo smarrimento o il furto della carta, a condizione che lo abbiano fatto in modo sufficientemente rapido.

Phishing e inganno intenzionale

Agli occhi della legge, l'inserimento attivo di dati sensibili su siti web falsi o in messaggi fraudolenti può essere visto come un atto di grave negligenza. In tali casi, la vittima potrebbe essere almeno in parte responsabile per le perdite subite.

Tuttavia, la valutazione legale del phishing dipende sempre dalle specifiche di ogni caso. In particolare, i tribunali tengono conto di quanto fosse professionale l'aspetto della truffa e se vi fossero chiari segnali di allarme per la vittima. Le truffe moderne spesso utilizzano canali di comunicazione ingannevolmente genuini e conoscono molti dettagli sulle loro vittime, dando l'impressione che agiscano legittimamente per conto di una banca, di un'autorità pubblica o di un altro ente affidabile.

Le recenti sentenze dei tribunali illustrano che solo perché un attacco di phishing ha successo non significa che si possa concludere automaticamente che la vittima abbia agito con grave negligenza. Piuttosto, deve essere valutato caso per caso se sarebbe stato difficile per l'utente medio diligente individuare la truffa. Man mano che i cyberattacchi diventano sempre più professionali, questi parametri di riferimento differenziati diventano più importanti per quanto riguarda chi è responsabile e se le vittime possono richiedere il risarcimento dei danni.

Ordini e contratti fraudolenti

Una persona la cui identità viene utilizzata per ordinare beni o concludere contratti senza il suo coinvolgimento non è in genere responsabile per i danni subiti di conseguenza. Fatture, solleciti o lettere di riscossione non devono essere pagati, purché si possa dimostrare chiaramente che si è verificata una frode d'identità. Tuttavia, è importante rispondere prontamente a tali richieste e chiarire cosa è successo.

In tali casi, l'azienda interessata di solito si assume il rischio finanziario in prima istanza. Se non è possibile dimostrare che sia stato effettivamente stipulato un contratto con la persona in questione, qualsiasi richiesta di pagamento da parte sua è di solito inefficace. Le aziende devono pertanto verificare se la persona che effettua un ordine o conclude un contratto era effettivamente chi diceva di essere.

Se un'azienda subisce una perdita a causa di una frode (ad esempio perché ha spedito merci o reso servizi), è improbabile che recuperi qualcosa, a meno che non si riesca a identificare gli effettivi responsabili o che si possa presentare un reclamo nei loro confronti. Il rischio di concludere un contratto con qualcuno che utilizza una falsa identità ricade quindi sull'azienda che non ha verificato correttamente l'identità del cliente prima della firma.

In che modo le aziende domiciliate in Germania possono ridurre il rischio di frode?

È praticamente impossibile proteggersi completamente dalle frodi d'identità. Tuttavia, le aziende possono ridurre significativamente il rischio e mitigare i potenziali danni adottando misure tecniche, legali e organizzative adeguate.

Implementare controlli d'identità e un'autenticazione sicura

Le aziende dovrebbero verificare attentamente l'identità dei propri clienti, in particolare quando conducono transazioni ad alto rischio, come ordini costosi, contratti a lungo termine o nuovi account cliente. Procedure di verifica aggiuntive, autenticazione a più fattori (MFA) e controlli di plausibilità possono aiutare a segnalare tempestivamente gli utenti fraudolenti.

Segnalare attività sospette

In molti casi, ci sono determinati segnali di allarme che indicano che è in corso una frode. Tra questi figurano valori dell'ordine insolitamente alti, modifiche dell'ultimo minuto agli indirizzi di consegna, più ordini in un breve lasso di tempo o informazioni contraddittorie sui clienti. Spesso è possibile identificare le attività sospette prima della stipula di un contratto, utilizzando valutazioni automatiche dei rischi e formando i dipendenti.

Forma i dipendenti

Gli attacchi di phishing e i metodi di ingegneria sociale non colpiscono solo i clienti, ma possono prendere di mira anche le aziende. Le sessioni di formazione regolari possono aiutare i dipendenti a identificare chiamate, email o messaggi sospetti e a reagire in modo appropriato. Ciò riduce il rischio che i dati sensibili dell'azienda o dei clienti finiscano nelle mani di soggetti fraudolenti.

Aumentare la protezione dei dati e la sicurezza della tecnologia dell'informazione (IT)

Poiché le informazioni personali rubate provengono spesso da violazioni dei dati o incidenti di sicurezza, è particolarmente importante che le aziende proteggano le informazioni archiviate. Le aziende domiciliate in Germania devono adottare misure tecniche e organizzative adeguate per proteggere le informazioni sull'identità, limitare i diritti di accesso e rivedere regolarmente le falle nella sicurezza.

I principi per la corretta gestione e archiviazione di libri, registri e documenti in formato elettronico (GoBD) stabiliscono anche requisiti relativi alla sicurezza e alla tracciabilità dei processi aziendali digitali. Le aziende devono garantire che le informazioni di natura fiscale siano protette da perdita, manipolazione e accesso non autorizzato e che rimangano trasparenti e verificabili in qualsiasi momento. Pertanto, un'efficace gestione della sicurezza delle informazioni e della protezione dei dati non si limita al mero rispetto delle normative di legge. Può anche contribuire a prevenire il furto di identità e le perdite finanziarie.

Stabilire procedure chiare su cosa fare in caso di frode

Anche adottando tutte queste precauzioni, le frodi possono ancora verificarsi. Le aziende dovrebbero quindi definire in che modo rivedono le attività sospette, in che modo informano i clienti interessati e in che modo documentano gli eventuali danni. Delle procedure interne chiare semplificano una reazione rapida e possono contribuire a mitigare le perdite finanziarie e i danni d'immagine.

Quali sono gli aspetti di carattere giuridico che le aziende domiciliate in Germania devono conoscere?

Il furto d'identità non rappresenta solo un rischio finanziario per le aziende domiciliate in Germania, ma può avere anche conseguenze legali. Le aziende tedesche devono rispettare una serie di obblighi legali, in particolare per quanto riguarda la gestione delle informazioni sull'identità, la prevenzione delle frodi e la reazione agli incidenti di sicurezza.

• Obblighi in materia di protezione dei dati
  Le aziende che elaborano informazioni sull'identità devono rispettare le normative del Regolamento generale sulla protezione dei dati (GDPR), in particolare l'Articolo 32, che stabilisce che le aziende debbano implementare misure tecniche e organizzative adeguate per garantire la sicurezza di questi dati. Se si verifica una violazione dei dati a causa di misure di sicurezza inadeguate, le autorità di controllo possono imporre multe e, in alcuni casi, gli interessati possono richiedere un risarcimento danni.

• Obblighi di segnalazione in caso di violazione dei dati personali
  Se un incidente di sicurezza comporta una violazione della protezione dei dati personali, l'azienda interessata è obbligata a segnalare l'incidente all'autorità per la protezione dei dati competente. Questa segnalazione deve essere presentata entro 72 ore dal momento in cui l'azienda viene a conoscenza della violazione.

• Requisiti di responsabilità e documentazione
  Come parte dei loro obblighi di responsabilità, le aziende devono conservare una documentazione trasparente sulle loro misure di sicurezza e protezione dei dati. I GoBD stabiliscono inoltre che i processi digitali di natura fiscale devono essere adeguatamente documentati e trasparenti. Disporre di una documentazione completa che dimostri che un'azienda ha rispettato gli obblighi di legge può essere utile in caso di contestazione.

• Dovere contrattuale di diligenza verso i clienti
  Le aziende sono obbligate ad adottare misure adeguate per prevenire frodi e abusi. Quali misure debbano adottare dipende dal tipo di modello di business, dal potenziale di rischio e dagli standard tipici del settore. Le aziende che ignorano rischi evidenti o non implementano misure di sicurezza di base potrebbero essere ritenute responsabili di eventuali danni.

• Responsabili del trattamento dei dati e screening dei fornitori
  Molte aziende si avvalgono di fornitori di servizi esterni per sistemi IT, elaborazione dei pagamenti o servizi cloud. Se questi fornitori di servizi elaborano informazioni sull'identità, devono essere rispettati i requisiti del GDPR in materia di responsabili del trattamento. In linea di principio, queste aziende sono ancora responsabili dell'elaborazione lecita di questi dati. Dovrebbero pertanto rivedere regolarmente gli standard di sicurezza dei propri fornitori di servizi.

• Perseguimento della frode d'identità
  Il furto d'identità in sé non è un reato distinto ai sensi della legge tedesca. Tuttavia, gli atti alla base spesso si qualificano come altri reati, come frode, frode informatica o spionaggio di dati. Le aziende dovrebbero quindi documentare sempre gli incidenti sospetti e valutare se abbia senso presentare una denuncia penale.

Come Stripe può aiutarti nella prevenzione delle frodi

Oggi, la prevenzione efficace delle frodi sui pagamenti e d'identità richiede sistemi automatizzati che segnalino tempestivamente le attività sospette e valutino i rischi in tempo reale. Stripe Radar è una soluzione di prevenzione delle frodi che analizza automaticamente le transazioni e identifica le frodi potenziali. Basata sull'intelligenza artificiale (IA), la tecnologia utilizza i dati della rete globale di pagamenti di Stripe per identificare schemi di frode noti e incorporare costantemente nuovi segnali di rischio.

Radar utilizza diversi fattori per valutare le transazioni, tra cui modelli di acquisto sospetti, informazioni insolite sul dispositivo o sulla posizione e indicazioni di precedenti tentativi di frode. La soluzione utilizza queste informazioni per produrre un punteggio di rischio in tempo reale, in modo che i pagamenti sospetti possano essere esaminati o bloccati con maggiore precisione. L'obiettivo di Radar è identificare tempestivamente gli utenti fraudolenti, senza dover rifiutare un gran numero di transazioni legittime.

Domande frequenti sul furto d'identità