El 43% de las principales organizaciones de Washington D.C. es vulnerable al phishing

• 57 dominios (57%) han alcanzado la aplicación de DMARC (p=reject), lo que deja al 43% expuesto
• 21 dominios (21%) utilizan políticas p=none, que monitorizan pero no toman ninguna medida contra los correos suplantados
• 20 dominios (20%) se encuentran en cuarentena, cerca de la protección total, pero sin completar el paso hacia el rechazo
• 2 dominios (2%) no tienen ningún registro DMARC publicado

Washington D.C. tiene un problema con DMARC que es difícil de ignorar, dado el papel de la ciudad en la definición de los estándares de ciberseguridad para el resto del país.

El análisis de Red Sift de 100 dominios pertenecientes a las principales organizaciones de D.C. encontró que 57 (57%) han alcanzado p=reject, el nivel de política DMARC que bloquea activamente los correos suplantados. Eso pone a D.C. por delante de Boston (50.5%) pero muy por detrás de Nueva York (72.7%) en la comparación entre ciudades de Red Sift.

Los 43 dominios restantes se dividen en tres grupos. 20 se encuentran en p=quarantine, donde los correos suplantados se envían a spam pero no se bloquean por completo. Estas organizaciones han hecho la mayor parte del trabajo técnico, y el paso hacia la aplicación total suele tardar entre 6 y 8 semanas. 21 dominios utilizan p=none, lo que significa que han publicado un registro DMARC, pero este no hace nada para impedir que los correos fraudulentos lleguen a las bandejas de entrada. Y 2 dominios no tienen ningún registro DMARC en absoluto.

Esa brecha del 43% es notable para una ciudad que alberga a CISA, NIST, la NSA y las agencias federales que marcan la agenda de ciberseguridad tanto para el gobierno como para el sector privado. D.C. es donde se redactan las reglas. Pero una parte significativa de sus principales organizaciones no las está siguiendo.

D.C. se encuentra en la intersección del gobierno, el lobby, la contratación de defensa y las políticas públicas. Cada uno de estos sectores depende de una comunicación por correo electrónico confiable. Y cada uno de ellos es un objetivo prioritario para los ataques de suplantación.

Los asuntos gubernamentales, la contratación pública, la coordinación de políticas y el lobby dependen en gran medida del correo electrónico. Los atacantes de BEC lo saben. Un correo suplantado de un contratista gubernamental a una agencia federal, o de una firma de lobby a una oficina del Congreso, puede desencadenar transferencias bancarias, exponer información sensible o comprometer negociaciones en curso. El IC3 del FBI reportó 2.770 millones de dólares en pérdidas por BEC en 2024, y casi 8.500 millones de dólares perdidos entre 2022 y 2024 combinados. La concentración de D.C. de comunicaciones de alto valor y dependientes de la confianza la convierte en un objetivo lucrativo.

La Directiva Operativa Vinculante 18-01 de CISA exigió a las agencias federales implementar DMARC en modo de aplicación (enforcement) ya en 2017. Las directrices del NIST recomiendan DMARC como un control esencial de seguridad de correo electrónico. La ironía es que, mientras el gobierno federal ha impulsado la adopción de DMARC en sus propias agencias, la comunidad empresarial más amplia de D.C., incluidos los contratistas, consultoras y firmas que trabajan junto al gobierno, no ha seguido el mismo ritmo. Una agencia federal con un DMARC sólido sigue siendo vulnerable si el dominio de un contratista de confianza puede ser suplantado.

Google y Yahoo comenzaron a exigir DMARC para los remitentes masivos en febrero de 2024. Microsoft siguió en mayo de 2025. Desde finales de 2025, Google ya emite errores de rechazo permanente para los mensajes que no cumplen. Para las organizaciones de D.C. que envían actualizaciones de contratación, informes de políticas, invitaciones a eventos o comunicaciones con partes interesadas, una política DMARC ausente o débil significa que esos mensajes pueden no llegar nunca.

PCI DSS 4.0.1 exige DMARC para las organizaciones que manejan datos de tarjetas de pago. NIS2 se aplica a cualquier firma de D.C. con operaciones o clientes en la UE. Y las asegurabas cibernéticas están endureciendo sus requisitos, y algunas excluyen los pagos por BEC para organizaciones que carecen de autenticación de correo electrónico básica. Para los contratistas de defensa y las firmas de servicios gubernamentales de D.C., DMARC se está convirtiendo en un requisito contractual, no solo en una buena práctica.

Las organizaciones de D.C. operan en un entorno excepcionalmente complejo: requisitos de cumplimiento gubernamental, cadenas de comunicación con múltiples partes interesadas, flujos de información clasificada y sensible, y ecosistemas de proveedores que abarcan los sectores público y privado. Red Sift OnDMARC está diseñado para esa complejidad.

• Aplicación en 6 a 8 semanas: Los proyectos manuales de DMARC tardan en promedio unas 32 semanas. OnDMARC acelera ese proceso a 6-8 semanas automatizando la identificación de fuentes, la configuración de SPF y DKIM, y las verificaciones de preparación para la aplicación. Para las 20 organizaciones de D.C. en cuarentena, el paso final hacia el rechazo podría medirse en semanas.
• SPF dinámico para listas extensas de remitentes: Las organizaciones de D.C. suelen tener listas largas de remitentes de correo autorizados: portales gubernamentales, plataformas CRM, herramientas de gestión de eventos, servicios de marketing y más. Los registros SPF tienen un límite estricto de 10 consultas DNS, y es fácil superarlo en un entorno complejo. El SPF dinámico de Red Sift gestiona esto automáticamente, manteniendo la autenticación válida sin necesidad de gestión manual de registros.
• Informes claros en todos los dominios: OnDMARC convierte los informes agregados y forenses de DMARC en bruto en un panel que muestra cada servicio que envía correo en nombre de tus dominios. Los equipos de seguridad y cumplimiento obtienen visibilidad inmediata de lo que está autorizado, lo que está fallando en la autenticación y lo que necesita corregirse. Sin análisis de XML. Sin conjeturas.
• Monitorización continua para organizaciones que no pueden permitirse desviaciones: Los contratistas gubernamentales y las firmas reguladas enfrentan requisitos continuos de auditoría y cumplimiento. OnDMARC ofrece monitorización y alertas continuas, de modo que la aplicación se mantiene incluso cuando se añaden nuevos remitentes, cambian de manos los dominios o la infraestructura evoluciona a través de fusiones y adquisiciones.

D.C. establece el estándar de ciberseguridad para el resto del país. El 57% de las organizaciones que ya han alcanzado la aplicación demuestran que es posible lograrlo. Para el 43% que aún no lo ha hecho, la brecha entre la política y la práctica es una que Red Sift OnDMARC puede cerrar.