La banca che riceve il denaro paga metà della truffa

Un acquisto da 2,4 miliardi di dollari fatto di battute altrui

Andrew Torre, che in Visa guida i servizi a valore aggiunto, ha dato il numero del problema prima di quello dell'operazione. Le appropriazioni di conti e le truffe costano all'economia mondiale oltre mille miliardi di dollari l'anno, ha detto, e l'intelligenza artificiale consente questi attacchi su una scala senza precedenti. Il 3 agosto Visa ha firmato un accordo vincolante per acquisire BioCatch da fondi consigliati da Permira e da altri azionisti per 2,4 miliardi di dollari in contanti.

BioCatch non esamina il pagamento, ma la persona che lo dispone. L'azienda legge le battute sulla tastiera, i gesti sul touch, l'angolo con cui si tiene un dispositivo e migliaia di altri segnali applicativi, comportamentali, di apparecchio e di rete, e stabilisce in tempo reale se chi sta nella sessione sia il titolare oppure qualcuno che lo guida da lontano. Quel giudizio corre su 19 miliardi di sessioni al mese, 760 milioni di utenti e 1,8 miliardi di dispositivi, per più di 350 clienti bancari in 21 paesi, tra cui oltre 100 delle maggiori banche del mondo. Gadi Mazor, amministratore delegato di BioCatch, ha definito il prodotto una lettura in tempo reale dell'intenzione del cliente.

Il Regno Unito ha già deciso chi paga, e non è solo chi invia

L'autorità britannica Payment Systems Regulator ha chiuso la questione del denaro quasi due anni fa. Dal 7 ottobre 2024 un prestatore di servizi di pagamento il cui cliente sia stato indotto ad autorizzare un bonifico verso un truffatore deve rimborsargli fino a 85.000 sterline, di norma entro cinque giorni lavorativi, e i reclami restano ammissibili per tredici mesi dall'ultimo pagamento autorizzato. La regola copre Faster Payments e CHAPS, e i prestatori possono sospendere il termine per chiedere informazioni, ma devono decidere entro 35 giorni lavorativi.

La parte che riceve meno attenzione è la ripartizione. Il prestatore che invia rimborsa la vittima, e quello che riceve gli restituisce poi la metà dell'importo entro cinque giorni lavorativi dalla comunicazione. Le perdite da frode hanno smesso di essere un problema soltanto di chi invia il giorno in cui quella regola è entrata in vigore. Ogni istituto presso cui si trova un conto su cui atterrano i proventi di una truffa registra ora una quota del rimborso, e così la valutazione dell'intenzione passa da raffinatezza di sicurezza a voce visibile nel costo di gestire un'attività di pagamenti.

Chi scrive le regole e chi assegna il punteggio diventano la stessa azienda

Visa non è un acquirente qualunque di software di sicurezza. Scrive le regole del circuito, ripartisce la responsabilità tra le parti di un'operazione e fissa il prezzo della rete che i suoi membri devono usare. Possedere un modello di riferimento sull'intenzione comportamentale significa che l'azienda che contribuisce a definire chi risponda di un pagamento contestato fornisce anche un segnale assai diffuso da cui quella responsabilità dipende. Prese singolarmente entrambe le funzioni sono legittime. Tenute insieme, riducono il numero di luoghi in cui una banca può chiedere un secondo parere indipendente sui propri clienti.

La parte di Permira spiega perché l'attivo abbia spuntato quel prezzo. La società ha preso una quota di minoranza in BioCatch all'inizio del 2023, è passata al controllo di maggioranza nel 2024 e ha visto ricavi e margine lordo crescere ciascuno di circa tre volte durante la sua proprietà. Stefan Dziarski, il socio che guida la strategia Ascent di Permira, ha definito la cessione una conferma di un approccio che sostiene società di crescita guidate dal prodotto nella fascia media. È la quinta uscita strategica della casa nel 2026, in dodici mesi durante i quali ha distribuito 16,6 miliardi di dollari agli investitori. Un'attività i cui ricavi sono triplicati mentre le autorità ridistribuivano la responsabilità sulle frodi non è cresciuta per caso.

Che cosa dovrebbe fare davvero un'impresa prima del 2027

Martedì non cambia nulla. La chiusura è attesa entro la fine del secondo trimestre fiscale 2027 di Visa e resta soggetta alle consuete approvazioni delle autorità, che per un'operazione di questa dimensione e con questo acquirente non sono una formalità. Nel frattempo il rischio pratico non è l'acquisizione. È che la maggior parte delle imprese non sappia quale modello stia già giudicando i propri incassi, e lo scoprirà solo quando un pagamento verrà trattenuto.

Tre domande meritano di essere poste per iscritto al vostro prestatore di servizi di pagamento entro questo mese. Chiedete se BioCatch fornisca una parte qualsiasi della valutazione antifrode o comportamentale applicata ai vostri conti. Chiedete quale sia il percorso di escalation quando un incasso legittimo viene ritardato per un segnale comportamentale, e quanto duri una verifica. Chiedete che effetto abbiano le clausole sul cambio di controllo del vostro contratto quando un fornitore viene comprato dal circuito stesso. Se ricevete pagamenti dai clienti in volume, una regola che addossa metà del rimborso alla banca ricevente finirà per farsi sentire sulle imprese che quella banca serve.

Da leggere ora: Lo scheduler e il contatore hanno un solo proprietario  |  Visa ha portato l'idraulica delle stablecoin dentro le sue mura