L’Ufficio federale della cibersicurezza mette in guardia da una trappola con falsi pagamenti con carta su un sito di consegna di cibo

Un normale ordine di cibo si è trasformato in una via d’accesso ai dati di pagamento. L’Ufficio federale della cibersicurezza ha messo in guardia dal fatto che dei criminali hanno manomesso la pagina di pagamento di un servizio di consegna di cibo in Svizzera, mettendo a rischio i clienti mentre utilizzavano un sito web legittimo. L’agenzia ha dichiarato che gli aggressori hanno inserito codice malevolo nel sito e sostituito l’opzione Twint originale del fornitore con una falsa modalità di pagamento con carta di credito.

I clienti che selezionavano l’opzione falsa vedevano apparire una finestra pop-up che chiedeva i dati della carta. Le informazioni venivano trasmesse direttamente agli aggressori. Un successivo messaggio di errore sosteneva che i pagamenti con carta di credito fossero ancora in fase di test e invitava i clienti a utilizzare Twint. Il messaggio potrebbe aver fatto apparire normale la procedura di pagamento compromessa, dopo che i dati erano già stati rubati.

L’avvertimento, pubblicato il 1º settembre 2026, mette in luce un problema difficile per i consumatori svizzeri. Un dominio conosciuto, una normale procedura d’ordine e un’attività autentica non garantiscono che ogni elemento di una pagina web sia sempre sicuro. La compromissione è avvenuta all’interno del servizio considerato affidabile, proprio nel momento in cui i clienti si aspettavano di completare il pagamento.

Il modulo falso presentava un indizio che i clienti avrebbero potuto notare. La finestra pop-up di pagamento era in inglese, mentre il resto della pagina interessata era in tedesco. Questa differenza linguistica non ha impedito al modulo di raccogliere i dati, ma costituiva un segnale d’allarme per gli utenti che conoscevano il normale sistema di pagamento svizzero del sito.

L’Ufficio federale della cibersicurezza classifica questo metodo come skimming. Nel caso dello skimming nell’e-commerce, i criminali inseriscono codice in un negozio online autentico e acquisiscono i dati di pagamento mentre i clienti li inseriscono. Il phishing segue un’altra strategia: indirizza le persone verso un sito web contraffatto, progettato per sembrare autentico. La distinzione è importante perché il consueto consiglio di controllare l’indirizzo web potrebbe non permettere di individuare un attacco di skimming su un dominio legittimo.

I consumatori dovrebbero considerare le opzioni di pagamento inattese, le diciture insolite e i cambiamenti improvvisi nella procedura di pagamento come motivi per fermarsi. Dovrebbero evitare di inserire i numeri della carta in un modulo comparso all’improvviso e contattare il commerciante attraverso un canale indipendente. La fonte non ha identificato il fornitore interessato né indicato quanti clienti abbiano inserito i propri dati, perciò la portata dell’incidente resta incerta.

Un addebito inspiegabile sulla carta può essere il primo segnale che un negozio considerato affidabile è stato compromesso. L’Ufficio federale della cibersicurezza consiglia ai clienti di prendere in considerazione lo skimming nell’e-commerce quando a un acquisto online segue una transazione sospetta, anche se l’acquisto è stato effettuato su un sito web conosciuto.

La prima cosa da fare è contattare la banca o l’emittente della carta di credito e contestare immediatamente le transazioni fraudolente. I clienti dovrebbero inoltre informare il negozio interessato e segnalare l’incidente all’Ufficio federale della cibersicurezza. In caso di perdita di denaro, l’agenzia raccomanda di sporgere denuncia presso la polizia cantonale competente. La piattaforma svizzera ePolice può aiutare a trovare il posto di polizia appropriato.

I consumatori dovrebbero conservare le prove utili, tra cui conferme d’ordine, date, notifiche di pagamento, schermate e corrispondenza con il commerciante o la banca. Dovrebbero controllare gli estratti conto per individuare ulteriori transazioni non autorizzate e seguire le istruzioni dell’emittente della carta per bloccarla o sostituirla. Le raccomandazioni dell’agenzia insistono sulla rapidità: contestare tempestivamente l’addebito consente all’istituto finanziario e agli investigatori di disporre di informazioni pertinenti mentre la transazione e le attività associate al conto sono ancora tracciabili.

La responsabilità principale della difesa spetta ai gestori dei siti web, perché i clienti potrebbero non accorgersi della manipolazione. L’Ufficio federale della cibersicurezza ha affermato che, per chi non possiede conoscenze specialistiche, individuare un attacco di questo tipo può essere «molto difficile, se non impossibile». Spetta quindi alle aziende di consegna di cibo e agli altri commercianti online proteggere i sistemi che gestiscono la pagina di pagamento.

L’agenzia raccomanda di installare regolarmente tutte le patch di sicurezza e di mantenere aggiornati tutti i componenti del sistema. I gestori dovrebbero verificare periodicamente il funzionamento dei pagamenti per individuare eventuali anomalie e, se possibile, utilizzare test automatizzati o strumenti di monitoraggio. Un cambiamento improvviso nei metodi di pagamento disponibili, script sconosciuti o trasferimenti di dati inattesi dovrebbero far scattare un’indagine.

Gli account amministrativi dovrebbero utilizzare password robuste e uniche, attivando l’autenticazione a due fattori ove possibile. L’agenzia raccomanda inoltre una Content Security Policy restrittiva. Una CSP consente ai gestori di controllare da quali fonti il browser può eseguire JavaScript e dove possono essere inviate le informazioni. Questa misura può limitare la capacità degli script di terze parti non autorizzati di acquisire dati di pagamento, ma deve rientrare in un insieme più ampio di misure di sicurezza del software, controllo degli accessi e monitoraggio.

L’avvertimento va ben oltre un singolo servizio di consegna di cibo. I consumatori svizzeri si affidano sempre più ai negozi online e ai servizi basati su app per gli acquisti quotidiani, mentre le pagine di pagamento dipendono da diversi livelli di software, script esterni e accessi amministrativi. Una compromissione in uno qualsiasi di questi livelli può verificarsi proprio nel momento in cui il cliente crede che la transazione sia quasi conclusa.

Il caso mostra inoltre perché il simbolo di una connessione sicura o un indirizzo web conosciuto non bastino a stabilire che un sito sia sicuro. Questi controlli possono aiutare a individuare i siti contraffatti, ma non rivelano la presenza di codice malevolo inserito in un servizio autentico. Gli utenti devono prestare attenzione ai cambiamenti nella lingua, nei metodi di pagamento e nel comportamento della procedura di pagamento, mentre le aziende devono effettuare test continui anziché controlli di sicurezza una tantum.

L’Ufficio federale della cibersicurezza non ha pubblicato dati sul numero di clienti interessati in questo caso. Le sue indicazioni pratiche sono quindi il riferimento più chiaro per i prossimi passi: i commercianti dovrebbero installare le patch, monitorare i sistemi e limitare gli accessi, mentre i clienti dovrebbero diffidare dei moduli inattesi e segnalare rapidamente gli addebiti sospetti. Per chi ordina la cena in Svizzera, la sicurezza digitale dipende ormai da entrambe le parti della schermata di pagamento.