# Le dieci truffe che prendono di mira i titolari di negozi (non i clienti) e come riconoscerle > Phishing con finte email di Stripe, truffe del pagamento in eccesso, frodi dei fornitori, lettere di rinnovo del dominio per posta. Le truffe rivolte a te, non ai tuoi acquirenti, e come la sicurezza di base ne ferma la maggior parte. Ryan Badger - 28 settembre 2025 - 8 min di lettura ## Truffe che colpiscono il commerciante, non la carta L'articolo precedente trattava le [frodi sulle transazioni: carte rubate, chargeback, test di carte](https://v3.shoprocket.io/it/blog/frodi-ecommerce-otto-tipi-e-come-prevenirli.md). Questo parla dell'altro lato: le truffe che colpiscono direttamente te, il titolare del negozio. Email di phishing che fingono di essere Stripe. Finti "clienti" che tentano di ottenere rimborsi con l'ingegneria sociale. Fornitori che prendono i tuoi soldi e spariscono. Truffe sui rinnovi del dominio per posta. Quasi tutte sono a bassa tecnologia. Funzionano perché gestire un negozio è frenetico e l'email truffaldina arriva un martedì pomeriggio, quando sei stanco. Le difese consistono soprattutto nel sapere cosa aspettarsi. ## Le grandi categorie ### 1. Phishing che finge di essere Stripe, PayPal, Shopify, la tua banca Ricevi un'email: "Il tuo account Stripe è stato segnalato, clicca qui per verificare." Il link porta a una pagina di accesso dall'aspetto perfetto. Inserisci le tue credenziali. Vengono catturate. **A cosa fare attenzione:** - Dominio del mittente: le vere email di Stripe arrivano da `@stripe.com`, non da `@stripe-support.com` o `@stripe.verify.co` - Linguaggio d'urgenza: "l'account verrà sospeso entro 24 ore" è uno schema da truffa - Link: passaci sopra con il mouse prima di cliccare. I veri link di Stripe vanno a `dashboard.stripe.com` **Difese:** - Attiva la 2FA su ogni piattaforma di pagamento e di commercio che usi (Stripe, PayPal, la tua banca, il tuo account Shoprocket, la tua email). Una password rubata è inutile senza il secondo fattore - Non cliccare mai sui link di accesso nelle email. Vai al sito direttamente dal segnalibro o digitando l'URL - Usa un password manager. Compila in automatico solo sul dominio vero, quindi rifiuta in silenzio sulle pagine di phishing, ed è un ottimo indizio ### 2. La truffa del "pagamento in eccesso" Un "cliente" fa un ordine grosso, paga di più (circa $500), poi ti scrive chiedendo il rimborso dell'eccedenza su un'altra carta o con un altro metodo (PayPal, bonifico, carte regalo). Una settimana dopo il pagamento originale viene annullato per frode, e tu hai rimborsato soldi che non hai mai avuto davvero. - Qualsiasi richiesta di rimborso su un metodo diverso dal pagamento originale - Ordini di importo insolitamente alto da nuovi clienti - Pressione urgente per rimborsare in fretta **Difese:** - **Rimborsa solo sul metodo di pagamento originale.** Stripe lo impone di default, quindi questa truffa avviene soprattutto quando i venditori elaborano i rimborsi a mano fuori dalla piattaforma - Se un "cliente" insiste per un metodo di rimborso alternativo, questo da solo è il segnale ### 3. La truffa dell'"indirizzo sbagliato, per favore rispedisci" Il cliente ordina, riceve l'articolo, poi sostiene che "l'indirizzo era sbagliato, per favore rispedisci a X". Se rispedisci, si tiene entrambi. - Richieste di rispedizione che parlano di un cambio di indirizzo dopo che il tracking mostra la consegna - Più clienti con varianti della stessa storia, a volte coordinati **Difese:** - Controlla sempre il tracking del corriere prima di dar seguito a un problema di indirizzo - Se l'articolo è stato consegnato all'indirizzo dell'ordine, l'ordine è evaso. Qualsiasi ulteriore spedizione è a carico del cliente ### 4. La truffa del ricatto SEO / sulle recensioni Qualcuno ti scrive: "Ho lasciato una recensione a una stella. Paga $200 e la rimuovo." Oppure: "Posso rimuovere le recensioni negative a pagamento." Oppure: "Il tuo profilo Google Business verrà segnalato se non paghi." La maggior parte sono bluff. La vera rimozione di una recensione passa dalla procedura della piattaforma di recensioni, non da un pagamento privato. **Difese:** - Non pagare mai. Pagare ti identifica come una vittima e ricevi altre richieste - Segnala l'email come spam, blocca il mittente, vai avanti - Se c'è una vera recensione negativa, rispondi in pubblico con una risposta ragionevole. Fa di più per te che rimuoverla ### 5. Falso fornitore / truffa del dropshipping Cerchi un nuovo fornitore, di solito su Alibaba o con un'email a freddo. Ti offre prezzi troppo buoni. Invii un acconto (spesso con bonifico perché "PayPal non è disponibile"). La merce non parte mai, o parte contraffatta, o parte incompleta. - Metodi di pagamento senza protezione dell'acquirente (bonifico, criptovalute, Western Union) - Prezzi inferiori del 30%+ rispetto al mercato - Nessuna presenza aziendale verificata (nessun audit della fabbrica, nessun Alibaba Trade Assurance, nessuna registrazione societaria verificabile) - Comunicazione esclusivamente via Gmail o WhatsApp invece che con un'email aziendale **Difese:** - Usa Trade Assurance di Alibaba per i primi ordini. Trattiene il pagamento finché non confermi la consegna - Prima i campioni. Ordina una piccola quantità prima di impegnarti in una produzione completa - Verifica l'azienda: numero di registrazione, cercala su Google, controlla su LinkedIn i dipendenti, fai una ricerca inversa delle immagini sulle foto dei prodotti (le foto rubate sono comuni) ### 6. Finto Google / Meta / "la tua scheda non è verificata" "Il tuo profilo Google Business sta per essere rimosso. Verifica ora." Oppure: "Il tuo account Meta Business ha attività insolite." Il link porta a una falsa pagina di accesso che ruba le credenziali del tuo account pubblicitario. La presa di controllo di un account pubblicitario Meta è particolarmente dolorosa: gli aggressori pubblicano i loro annunci con la tua carta di credito prima che Meta se ne accorga e il conto lo ricevi tu. **Difese:** - Accedi a Google Business e a Meta Business Manager direttamente (non tramite link nelle email) per controllare lo stato - 2FA su entrambi - Imposta limiti di spesa pubblicitaria sui tuoi account. Se vengono presi, il danno è limitato al tuo tetto ### 7. La truffa del "il tuo dominio sta scadendo" Arriva una lettera (di carta, davvero) o un'email da "Domain Registry of America" o simili. Non sono il tuo registrar. La lettera è una richiesta di trasferimento travestita da fattura di rinnovo. Se paghi, trasferisci il tuo dominio a un registrar lento e costoso che applica il triplo della tua tariffa attuale e rende doloroso il trasferimento in uscita. **Difese:** - Sappi dove è registrato il tuo dominio. Se la lettera non viene dal tuo vero registrar, ignorala - Attiva il blocco del registrar sul tuo dominio (la maggior parte dei registrar lo offre gratis) - Imposta il rinnovo automatico del dominio presso il tuo vero registrar così non avrai mai il "panico del rinnovo" ### 8. Finte affiliazioni / partnership / truffe da "brand ambassador" "Amiamo il tuo brand! Vorremmo inserirti nella nostra campagna di marketing da $500k. Paga $2.000 per il posizionamento." Oppure: "Diventa nostro brand ambassador, mandaci 50 unità del tuo prodotto per un unboxing con influencer." (Non sono influencer; rivendono la merce.) - Richieste di prodotto gratuito da account che non puoi verificare - Offerte di marketing in cui paghi tu (e non il contrario) - Messaggi vaghi e generici che potrebbero essere inviati a qualsiasi brand **Difese:** - Ogni vera proposta di partnership arriva con dettagli: numeri del pubblico, campagne passate, una presentazione - Se vogliono prodotto gratis, manda un'unità e guarda cosa ne fanno prima di mandarne cinquanta - Se vogliono soldi in anticipo per una "presenza" o un "posizionamento", dai per scontato che non sia vero ### 9. La truffa della finta minaccia legale Ricevi una notifica di rimozione DMCA o una lettera per violazione di marchio da uno "studio legale" di cui non hai mai sentito parlare. Pretendono un'azione immediata o un pagamento. Lo studio non esiste; la pretesa è inventata. **Difese:** - Verifica che lo studio legale esista (Google, albo degli avvocati) - Inoltra l'email al tuo vero avvocato o a un servizio di consulenza legale; non rispondere direttamente - Le vere comunicazioni legali arrivano su carta o tramite il tuo agente registrato, non come PDF allegato a un indirizzo Gmail ### 10. L'email di minaccia di chargeback "Voglio un rimborso. Se non rimborsate entro 24 ore farò un chargeback con la mia banca E lascerò una recensione a una stella su ogni sito." A volte è un cliente arrabbiato legittimo. A volte è una truffa per ottenere rimborsi per merce ricevuta e tenuta. **Difese:** - Valuta ogni caso nel merito: se hanno un motivo vero (articolo sbagliato, merce danneggiata), rimborsa. Se il tracking mostra la consegna e il problema è vago, chiedi dettagli prima di rimborsare - Se fanno comunque il chargeback, rispondi alla contestazione con prova di spedizione e comunicazioni con il cliente. Così vinci la maggior parte delle contestazioni per "articolo non ricevuto" - Ricorda che la soglia del tasso di chargeback di Stripe è l'1%; se cedi a ogni minaccia, il tuo tasso sale e il tuo account viene segnalato ## La sicurezza di base che ogni negozio dovrebbe avere Indipendentemente dalle truffe specifiche, alcune impostazioni predefinite rendono quasi tutto questo più difficile per l'aggressore: - **2FA su ogni account** (email, Stripe, PayPal, Shoprocket, registrar del dominio, account pubblicitari). Meglio con un'app di autenticazione, non con SMS - **Password manager** con password uniche per ogni servizio - **Email admin separata** (non il tuo Gmail personale) per gli account di commercio - **Carta aziendale dedicata** per la pubblicità, con limiti bassi - **Tracking + consegna con firma** oltre un importo soglia - **Descrittore sull'estratto conto chiaro** su Stripe (riduce molto i chargeback da frode amichevole) - **Revisione regolare dei log** nelle tue piattaforme di commercio. Gli accessi sconosciuti vanno indagati subito ```
``` ## Cosa gestisce Shoprocket - **Monitoraggio degli accessi.** Gli accessi da nuovi dispositivi inviano un'email al titolare dell'account - **2FA disponibile per gli account venditore** (attivala in Il mio account → Impostazioni account → Sicurezza, con un'app di autenticazione) - **Registro delle attività admin.** Ogni azione rilevante (modifiche ai prodotti, rimborsi, cambi di permessi) viene registrata ed è consultabile - **Permessi basati sui ruoli.** Il personale riceve solo i permessi di cui ha bisogno; un operatore dell'assistenza non può cambiare le coordinate bancarie - **Protezione dei rimborsi.** I rimborsi passano per il metodo di pagamento originale di default. Nessun flusso a sorpresa di "rimborso su un'altra carta" Cosa Shoprocket non risolve: le truffe rivolte alla tua email, ai tuoi account pubblicitari, al tuo dominio, ai tuoi fornitori. Sono fuori dal nostro ambito, ma la sicurezza di base con 2FA + password manager ne gestisce la maggior parte. > **Consiglio:** se ricevi un'email sospetta che dice di venire da Shoprocket, non cliccare sul link. Accedi direttamente alla tua dashboard. Qualsiasi vera comunicazione sarà visibile anche negli avvisi nell'app, oltre che via email. ## In breve - **La maggior parte delle truffe contro i commercianti è ingegneria sociale, non tecnica.** Le difese riguardano la consapevolezza, non il software - **Phishing + presa di controllo degli account pubblicitari** sono i più dannosi a livello economico. La 2FA su ogni piattaforma ne blocca la maggior parte - **Rimborsa solo sul metodo di pagamento originale.** La richiesta di "inviami il rimborso in un altro modo" è quasi sempre una truffa - **I fornitori sono un importante vettore di attacco.** Usa Trade Assurance, prima i campioni, verifica che l'azienda esista - **Le vere comunicazioni legali / delle piattaforme non arrivano come allegati Gmail.** Ignora le minacce in PDF a meno che non siano su carta o tramite un canale verificato - **Sicurezza di base:** 2FA ovunque, password manager, email admin separata da quella personale, tracking/firma sulle spedizioni di alto valore [Inizia la prova gratuita](https://app-v3.shoprocket.io/signup) e 2FA + permessi basati sui ruoli + registri delle attività admin sono attivi di default. 14 giorni, senza carta. --- - HTML version: https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce - Language: Italiano (it) - Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)