Le 10 principali minacce alla sicurezza e-commerce e le contromisure
- Phishing / Smishing – Pagine di login false. Contromisura: DMARC, educazione utenti, passkey.
- Malware / Magecart – Skimmer al checkout. Contromisura: CSP, Subresource Integrity, scansioni regolari.
- Transito non cifrato – HTTP o TLS 1.0. Contromisura: HSTS, TLS 1.2+, monitoraggio certificati.
- Autenticazione debole – Credential stuffing. Contromisura: MFA (WebAuthn/FIDO2), limiti di frequenza, monitoraggio violazioni.
- Man-in-the-Middle – Wi-Fi rogue, BGP hijack. Contromisura: Certificate pinning, HPKP (deprecato), DNSSEC.
- DDoS – Volumetrico / livello applicativo. Contromisura: WAF + CDN (Cloudflare, Akamai), auto-scaling.
- Intercettazione – API non cifrate. Contromisura: mTLS, cifratura a riposo.
- Violazione di terze parti – Gateway di pagamento, analytics. Contromisura: gestione rischi fornitori, PCI DSS SAQ, tokenizzazione.
- Attacco alla supply chain – Pacchetto npm/PyPI compromesso. Contromisura: SBOM, pinning dipendenze, strumenti SCA.
- Friendly fraud / Chargeback – “Articolo non ricevuto.” Contromisura: 3DS2, AVS, descrittori chiari, prova di consegna.
Monitoraggio continuo (SIEM), penetration test e programmi bug bounty completano la difesa in profondità.