Lo studio UE sulle truffe finanziarie online: la mappa che anticipa il benchmark DSA

La Commissione europea ha pubblicato uno studio — commissionato nel 2025 a Open Evidence e Spark Legal and Policy Consulting, manoscritto completato ad agosto 2026 — che mappa sei tipologie di truffa finanziaria online e quattro famiglie di contromisure, a supporto della vigilanza e dell'enforcement sul Digital Services Act (DSA).

Il punto da cui partire, dichiarato esplicitamente sia dalla pagina di presentazione della Commissione sia dall'executive summary dello studio, è cosa questo lavoro non fa: non valuta la conformità di nessuna piattaforma online di grandi dimensioni (VLOP) o motore di ricerca di grandi dimensioni (VLOSE) alle proprie obbligazioni DSA. È una mappa di riferimento, non una pagella — ma è una mappa che, prevedibilmente, diventerà il metro con cui Bruxelles guarderà alle piattaforme.

Lo studio in sintesi: a cosa serve e cosa non fa

Lo studio nasce a supporto della valutazione dei rischi sistemici prevista dagli articoli 34 e 35 del DSA e si lega, nell'executive summary, anche all'articolo 38 della Carta dei diritti fondamentali dell'UE sulla protezione dei consumatori. Riguarda tutti i fornitori di servizi intermediari online in cui si manifestano truffe finanziarie, ma le obbligazioni rafforzate sui rischi sistemici (artt. 34-35) si applicano solo ai VLOP e VLOSE designati: lo stesso rapporto nota, a proposito delle truffe e-commerce, che gran parte dell'ecosistema resta soggetta a una vigilanza più limitata perché fuori da quel perimetro.

Le sei tipologie di truffa finanziaria online

Il rapporto (370 pagine, sezione 2, «Typological mapping») elenca sei tipologie, con sottocategorie dettagliate per ciascuna:

1. Investment scams — incluse le varianti su investimenti tradizionali e su criptovalute.
2. Romance scams — dalle forme tradizionali al «romance baiting» e alla sextortion.
3. E-commerce scams — la categoria con più sottovarianti censite (nove).
4. Employment and collaboration scams — falsi annunci di lavoro, schemi «money mule», bot che propongono collaborazioni via messaggio diretto.
5. Unexpected gain scams — le classiche comunicazioni di vincite o eredità inattese.
6. Charity and disaster relief scams — incluso il crowdfunding fraudolento.

Su quali tipologie crescano più rapidamente le due fonti ufficiali non concordano del tutto: la pagina di presentazione della Commissione indica investment scams e romance scams come le più comuni e in più rapida crescita; l'executive summary — il testo tecnico firmato dagli autori — indica invece investment scams ed e-commerce scams, con le romance scams descritte come «notevoli» ma non nella stessa coppia di testa. Non c'è una classifica unica su cui appoggiarsi: qui riportiamo entrambe le fonti, senza indicare una singola tipologia come «la più in crescita».

Le quattro famiglie di contromisure

Il rapporto (sezione 5, pp. 149-211) organizza le contromisure di riferimento in quattro famiglie, con nomi ufficiali:

• Access and gatekeeping measures — misure di accesso e controllo in ingresso: requisiti di identità per gli account personali, requisiti KYBC (know-your-business-customer) per gli account business, requisiti sul posizionamento delle inserzioni, etichettatura dei contenuti generati da IA. Attenzione: KYBC è una misura dentro questa famiglia, non il suo nome — un dettaglio da tenere a mente prima di citarlo in una conversazione di compliance.
• Detection and removal measures — rilevazione automatizzata, revisione umana, rimozione e sospensione degli account, individuazione di reti di truffa coordinate, protezione dei sistemi di raccomandazione.
• User-facing protection measures — strumenti di segnalazione, informazioni sui percorsi di tutela (redress), strumenti di frizione all'azione dell'utente.
• Structural level governance and policies — politiche a livello di piattaforma, cooperazione con soggetti terzi.

Cosa significa per le piattaforme VLOP/VLOSE

Lo studio non annuncia alcun seguito formale: non ci sono linee guida né audit dichiarati come conseguenza diretta di questo lavoro. Nella sezione sulla cooperazione il rapporto cita il futuro «EU Action Plan against Online Fraud» come iniziativa correlata ma distinta — non come un passo che discende da questo studio. Chi fa compliance DSA non deve quindi aspettarsi un atto attuativo a breve, ma nemmeno sottovalutare il segnale: uno studio commissionato direttamente dalla Commissione, con un rapporto di 370 pagine e un'architettura di contromisure così dettagliata, è la base più prevedibile su cui si costruirà la prossima fase della vigilanza su rischi sistemici e truffe finanziarie.

Il take-away pratico — e qui è una lettura editoriale di Tomato, non un'affermazione della Commissione — è che chi fa compliance/legal per un VLOP o un VLOSE farebbe bene a confrontare oggi i propri controlli con le quattro famiglie elencate, in particolare verificando se dispone già di requisiti KYBC per gli account business e non solo di verifica d'identità per gli utenti privati, prima che quella mappa diventi, nei fatti, il benchmark con cui la vigilanza valuta l'adeguatezza delle misure adottate.

Fonti

• Commissione europea — DSA study: financial scams on online platforms and ways to counter them (pagina di presentazione).
• Spark Legal and Policy Consulting & Open Evidence, Support contract on financial scams Study — Final Report (Commissione europea, DG CONNECT, 2026) — Publications Office of the EU (rapporto integrale, 370 pagine).
• Idem, Executive Summary (EN/FR) — Publications Office of the EU.