Чего следует опасаться (видов мошенничества и т.д.) в интернет магазине цифровых товаров?

Черджбэк'и это самое первое.
Ограничение стран на приём карт (например только СНГ и ВЕ) и принудительная 3ds авторизация на стороне процессинга спасет от основного вида фрода - возврат по мошеннической операции/утере карты. Однако, есть и другие статьи возврата, например, не оказали услугу, не пришла доставка в указанные сроки и т.д., от таких претензий придется самим отбиваться.

Кликджекинг, фишинг, xss, инъекции, если в двух словах - на Ваш проект действуют все те же веб-уязвимости, что и на чужие и другие проекты, просто в зависимости от специфики проекта какие-то могут быть более эффективны в плане финансовой выгоды злоумышленникам.
Если кто-нибудь получит доступ к коду (каким угодно способом) он, образно, сможет на Ваш условный payed.php по 100 раз стучать с параметрами userid=100&payed=1&addreputation=10.

Сильно утрирую, но суть та же - фактический тип товара ни коим образом не говорит о том, что на какие-то мошеннические схемы можно забить.