Articolo
Sicurezza dei pagamenti: perché la presenza della carta non conta più
È giunto il momento di ripensare il modo in cui definiamo il rischio e trasformare l'autenticazione in uno strumento per pagamenti migliori, più rapidi e più sicuri.
I pagamenti sono diventati molto più complessi da quando, oltre 30 anni fa, è stata effettuata la prima transazione e-commerce. Eppure, il modo in cui classifichiamo e valutiamo il rischio non è andato di pari passo con questa evoluzione.
Oggi la sicurezza di una transazione non dipende più dal fatto che una carta sia fisicamente presente. Per questo, dobbiamo ripensare il concetto di rischio.
I modelli Card Present (CP) e Card Not Present (CNP), usati per classificare i pagamenti, hanno bisogno di un aggiornamento per adattarsi alle nuove abitudini dei consumatori. L'idea di "presenza" non è più l'unico elemento che conta.
Oggi è l'identità a fare da ancora di salvezza. Verificare chi sta effettuando l'operazione è molto più importante che controllare il supporto fisico (la carta). Il futuro dei pagamenti è guidato da due fattori: l'importanza di una forte autenticazione del cliente e la crescente complessità del settore.
Lo stato attuale dei pagamenti
Quando è nato l'e-commerce, l'industria dei pagamenti aveva bisogno di un modo per distinguere le transazioni di persona da quelle online. È allora che sono nati i termini Card Present (CP) e Card Not Present (CNP). Questo sistema serviva a valutare il rischio, stabilire le commissioni (interchange fees) e definire gli standard di performance in un'epoca in cui pagare significava strisciare una carta in un negozio o digitarne i numeri su un sito.
Da allora è cambiato tutto. Il commercio non è più legato a un singolo punto di interazione: oggi è contestuale. Compriamo tramite app, assistenti vocali, direttamente dall'auto e, presto, anche attraverso sistemi gestiti dall'intelligenza artificiale.
Nonostante ciò, i pagamenti sono ancora classificati come CP o CNP, e le transazioni CP sono spesso considerate più sicure perché presuppongono la presenza della carta e del titolare.
Facciamo un esempio: se ricaricate la vostra auto elettrica e pagate usando il sistema integrato del veicolo collegato a un wallet digitale, la transazione è tecnicamente classificata come Card Not Present (CNP). In realtà, però, l'auto funziona come un dispositivo fisico, proprio come quando usate Apple Pay o Google Pay. Anche se i dati della carta non sono fisicamente presenti, il conducente lo è, e il pagamento si basa su un forte fattore di possesso (l'auto stessa).
Dalla carta fisica alla fiducia digitale
Con le nuove tecnologie di sicurezza a nostra disposizione, dobbiamo cambiare approccio. Invece di forzare ogni transazione nelle categorie CP o CNP, dovremmo valutarle singolarmente. Questo ci permette di applicare i modelli di rischio corretti, snellire i processi e migliorare le performance di ogni tipo di pagamento.
Quello che conta davvero non è la carta fisica, ma la solidità dell'autenticazione. Dobbiamo chiederci: la transazione è autenticata digitalmente? È tokenizzata? Viene analizzata in tempo reale? È legata a un'identità certa?
L'autenticazione si è evoluta: non è più solo il protocollo 3DS1, ma un sistema a più livelli che integra biometria e analisi dei dati. Non si tratta più di dimostrare che chi paga conosce i dati della carta, ma di provare che sia davvero chi dice di essere, a prescindere dal dispositivo o dalla piattaforma che usa.
La vera opportunità sta nel considerare l'identità digitale del cliente come una funzione di sicurezza e, allo stesso tempo, un modo per offrire esperienze migliori e più convenienti. Più siamo sicuri dell'identità di una persona, più le sue interazioni possono essere fluide, che si tratti di approvare un pagamento, richiedere un prestito o accedere a una piattaforma.
Il cambiamento è già in corso: negli ultimi 5 anni, le transazioni e-commerce autenticate sono aumentate di oltre il 150%.
Una nuova sfida tra AI e normative
L'intelligenza artificiale è diventata uno strumento centrale sia per chi difende il sistema finanziario, sia per chi cerca di attaccarlo, rendendo le frodi più dinamiche che mai. Allo stesso tempo, le regole si stanno facendo più strette.
Normative come la PSD3, l'eIDAS, l'AI Act e i quadri globali sulla privacy (come il GDPR) stanno riscrivendo le regole del gioco. Per noi, le normative non sono un peso: sono la spinta necessaria per aggiornare le infrastrutture e unificare i dati, costruendo una fiducia a lungo termine.
I vincitori non saranno i più veloci, ma i più sicuri. Le aziende più resilienti saranno quelle capaci di integrare intelligenza e fiducia nelle loro operazioni quotidiane fin dall'inizio, e non come un semplice accorgimento dell'ultimo minuto.
Cosa significa questo per l'industria dei pagamenti
Mentre il mondo dei pagamenti si evolve, tutto il settore deve rivedere il proprio approccio alla sicurezza:
Gli emittenti (Issuers) devono ripensare i propri modelli di rischio e le strategie di autenticazione per supportare i nuovi percorsi d'acquisto degli utenti.
I merchant dovrebbero vedere le normative non come un costo, ma come un motore per creare flussi di pagamento online più intelligenti e sicuri.
I circuiti di pagamento (Networks) devono aggiornare i propri modelli basandoli sulla sicurezza e sull'identità, non sulla presenza fisica della carta.
I PSP (Payment Service Providers) devono orchestrare identità, sicurezza e AI per garantire un commercio sicuro e senza intoppi su larga scala. Noi di Adyen lavoriamo ogni giorno per rendere tutto questo possibile grazie a strumenti come Protect.
Uno sguardo al futuro
Il futuro appartiene a chi mette l'identità e l'intelligenza al centro della sicurezza. I pagamenti sicuri si baseranno su sistemi di identità forti e incentrati sull'utente, potenziati da strumenti di Authenticate, tokenizzazione, biometria e intelligenza artificiale.
L'obiettivo deve essere integrare controlli del rischio in ogni punto di interazione, assicurandosi che la sicurezza non sia solo un requisito da spuntare, ma una parte fluida dell'esperienza cliente.
Le aziende più lungimiranti sfrutteranno obblighi come la PSD3 e l'eIDAS per costruire esperienze di pagamento più sicure e inclusive, trasformando la conformità normativa in un vantaggio competitivo. Superando il vecchio concetto di "presenza della carta", i retailer possono integrare la fiducia in ogni transazione, proteggendo i clienti e creando esperienze fluide e senza attriti.