Cookie stuffing: the Phia case and the risks for affiliates

The Phia case timeline

Phia è una startup nel segmento dello shopping discovery. È stata fondata da Phoebe Gates, figlia di Bill Gates, e dall’attivista climatica Sophia Kianni. La piattaforma promette agli utenti di trovare prodotti in linea con i propri valori e preferenze. Tuttavia, a luglio 2026, un’indagine pubblicata da Bloomberg e ripresa da TechCrunch He has made serious accusations.

Secondo l’inchiesta, Phia avrebbe praticato il cosiddetto cookie stuffing. In essence, the platform allegedly placed affiliate cookies in users' browsers without them having actually interacted with a promotional link. Consequently, Phia was listed as the referrer for purchases it had not influenced in any way. Therefore, it collected commissions that were not owed, to the detriment of merchants and other legitimate affiliates.

Al momento della pubblicazione di questo articolo, Phia non ha rilasciato smentite formali complete. Tuttavia, la vicenda è già diventata un caso di studio nell’industria del performance marketing.

Cos’è il cookie stuffing: meccanismo e anatomia della frode

Il cookie stuffing è una delle frodi affiliate più longeve e insidiose. Funziona sfruttando il modo in cui i programmi di affiliazione tracciano le conversioni. Normalmente, un utente clicca su un link affiliate, riceve un cookie nel browser e, se acquista entro la finestra di attribuzione, la commissione va all’affiliato che ha generato il click.

Nel cookie stuffing, invece, il cookie viene depositato senza un click volontario. Questo avviene attraverso pixel nascosti, iframe invisibili o script eseguiti in background. L’utente non vede nulla. Tuttavia, il suo browser ora porta un cookie che attribuisce ogni acquisto successivo all’affiliato fraudolento.

Infatti, la pratica è particolarmente difficile da rilevare. I merchant vedono conversioni che sembrano legittime. Solo un’analisi approfondita dei log e dei pattern di attribuzione può rivelare anomalie statistiche. Pertanto, molte frodi rimangono invisibili per mesi o anni prima di essere scoperte.

To delve deeper into the technical mechanisms of digital advertising fraud, the glossario IAB sull’ad fraud offers an authoritative and up-to-date overview.

Winners and losers: who pays the price for cookie stuffing

Il cookie stuffing non è un danno astratto. Produce effetti economici concreti e distribuiti su più attori della filiera.

• E-commerce merchants pagano commissioni per vendite che avrebbero concluso comunque, senza alcun contributo dell’affiliato fraudolento. Questo erode direttamente il margine operativo.
• Legitimate affiliates perdono commissioni che spetterebbero loro. Il cookie dell’affiliato fraudolento sovrascrive quello originale, cancellando il contributo reale.
• Affiliate platforms they suffer reputational damage. Furthermore, they risk legal disputes if they lack adequate detection mechanisms.
• The consumers They do not suffer direct economic damage. However, their browsing data is manipulated without consent, with relevant implications under the GDPR.

In questo scenario, Phia si trova nella posizione del soggetto accusato di aver sistematicamente sottratto valore agli altri attori dell’ecosistema. Altresì, la sua visibilità mediatica — legata al profilo pubblico delle fondatrici — ha amplificato enormemente la portata del caso.

La lettura di SHM Studio: compliance e controllo come priorità strategica

Il caso Phia non è un episodio isolato. Analogamente, negli ultimi anni diversi network affiliate hanno dovuto fare i conti con pratiche scorrette di attribuzione. Tuttavia, questo episodio ha una risonanza particolare perché coinvolge una startup con forte visibilità e backing mediatico.

We of SHM Studio osserviamo una tendenza preoccupante: molte PMI italiane che gestiscono programmi affiliate non dispongono di strumenti di audit adeguati. Di conseguenza, sono potenzialmente esposte a frodi simili senza saperlo. Pertanto, la prima azione concreta è dotarsi di un sistema di monitoraggio dell’attribuzione che vada oltre le metriche di superficie.

Inoltre, la questione ha una dimensione di compliance normativa che non va sottovalutata. Il deposito non consensuale di cookie è in aperto contrasto con il GDPR e con la Direttiva ePrivacy. Per questo motivo, un merchant che collabora con un affiliato che pratica cookie stuffing potrebbe trovarsi esposto a responsabilità indirette, qualora non avesse effettuato la dovuta diligenza sul partner.

For an in-depth look at cookie regulations in Europe, the documento ufficiale dell’EDPB sul consenso rimane il riferimento più autorevole disponibile.

Quello che nessuno dice: l’attribuzione è ancora un problema irrisolto

Il caso Phia porta alla luce una verità scomoda. I modelli di attribuzione last-click, ancora dominanti in molti programmi affiliate, sono strutturalmente vulnerabili alla manipolazione. Chi arriva per ultimo nel funnel — anche in modo fraudolento — si prende il merito dell’intera conversione.

Dunque, il problema non è solo etico. È architetturale. Finché i programmi affiliate si basano su attribuzioni semplificate, esisterà un incentivo strutturale alla frode. In particolare, per le piattaforme che operano in modalità discovery — come Phia — la tentazione di gonfiare i numeri di attribuzione è amplificata dalla pressione degli investitori a dimostrare traction commerciale.

Perciò, la risposta non può essere solo regolatoria. Deve essere anche tecnologica e metodologica. Modelli di attribuzione multi-touch, analisi incrementale e audit periodici dei partner affiliate sono strumenti concreti per ridurre l’esposizione. Allo stesso modo, la trasparenza contrattuale con i partner affiliate — clausole anti-frode chiare e verificabili — diventa un elemento di governance essenziale.

On this front, the research of McKinsey on performance marketing document how companies with advanced attribution models achieve significantly higher returns on advertising spend.

Operational implications for Italian marketing managers

Per i marketing manager e i responsabili digital di aziende italiane, il caso Phia suggerisce alcune priorità concrete.

Prima di tutto, è opportuno verificare la lista dei partner affiliate attivi e analizzare i pattern di conversione. Picchi anomali di attribuzione — specialmente su cookie con window molto ampia — sono un segnale da investigare. In seguito, è utile confrontare i dati del network affiliate con quelli di Google Analytics o di altri strumenti di analisi indipendenti. Discrepanze significative meritano approfondimento.

Oltre a questo, vale la pena rivedere i contratti con i partner affiliate. Clausole che vietano esplicitamente il cookie stuffing e prevedono audit periodici sono diventate uno standard minimo di governance. Infine, è consigliabile introdurre una revisione periodica — almeno trimestrale — delle performance affiliate, con attenzione specifica ai nuovi ingressi nel programma.

From a channel perspective, who manages