Seulement 44 % des grandes organisations du Mid-Atlantic bloquent les emails usurpés

Red Sift a analysé 700 domaines appartenant aux plus grandes organisations de sept États du Mid-Atlantic et du District de Columbia, et a constaté que seulement 309 (44 %) appliquent entièrement le DMARC. La région Mid-Atlantic accueille le gouvernement fédéral, le deuxième plus grand centre bancaire du pays, d'importantes opérations de défense et de renseignement, ainsi que certains des plus grands systèmes de santé américains. Malgré cette concentration de cibles à forte valeur, plus de la moitié des principales organisations de la région ne bloquent pas les emails usurpés. C’est un meilleur résultat que le Northeast des États-Unis (40 %), mais la région n’est pas encore à la hauteur des enjeux liés au risque.

• Seuls 309 des 700 domaines (44 %) dans les sept États du Mid-Atlantic disposent d’une application DMARC (p=reject)
• 191 domaines (27,3 %) utilisent une politique p=none qui surveille sans prendre de mesure contre les emails usurpés
• 136 domaines (19,4 %) sont à p=quarantine, proches de la protection totale mais n'ont pas finalisé le passage à reject
• 64 domaines (9,1 %) n’ont publié aucun enregistrement DMARC
• Washington D.C. mène la région avec 57 % d’application. Le Maryland ferme la marche avec 30 %

Red Sift a analysé 100 domaines des principales organisations de chacun des sept États du Mid-Atlantic et du District de Columbia : Delaware, District de Columbia, Maryland, Caroline du Nord, Pennsylvanie, Virginie et Virginie-Occidentale. Les résultats montrent une région mieux positionnée que le Northeast américain, mais la majorité de ses grandes organisations ne dispose toujours pas d'une authentification complète des emails.

Sur l’ensemble des 700 domaines, 44 % appliquent p=reject, le niveau de politique DMARC qui bloque activement les emails usurpés. Cela place le Mid-Atlantic devant le Northeast (40 %), mais bien derrière New York (73 %) dans la comparaison régionale continue de Red Sift.

• Washington D.C (57 % appliqué) : D.C. est en tête du Mid-Atlantic avec 57 domaines en p=reject. Au centre du gouvernement fédéral, D.C. a le mandat le plus clair en matière d'authentification des emails. Agences fédérales, cabinets de lobbying, think tanks, associations professionnelles et ONG y opèrent, envoyant chaque jour des emails au Congrès, régulateurs, organisations internationales et médias. 21 domaines sont encore en p=none et 20 en p=quarantine. Seuls 2 n'ont pas d'enregistrement DMARC, le taux N/A le plus bas de l'étude.
• Caroline du Nord (55 % appliqué) : La Caroline du Nord suit avec 55 domaines en p=reject. Charlotte est le deuxième centre bancaire du pays, le Triangle de la Recherche un pôle tech et biotech majeur, et les systèmes de santé de l’État comptent parmi les plus importants du Sud-Est. Ce taux de 55 % est robuste, mais 21 domaines sont en p=none et 20 en p=quarantine. Seulement 4 domaines ne possèdent aucun DMARC.
• Pennsylvanie (48 % appliqué) : La Pennsylvanie compte 48 domaines bloquant directement les emails usurpés, mais 27 sont en p=none et 23 en p=quarantine. Seuls 2 domaines n’ont pas de DMARC. L’État accueille des systèmes de santé majeurs à Philadelphie et Pittsburgh, des acteurs importants de la finance, de l’énergie, et plusieurs des plus grandes universités américaines. Les 23 domaines en quarantine représentent des "fruits mûrs": le travail DNS est fait, le passage à reject est rapide.
• Virginie (45 % appliqué) : La Virginie compte 45 domaines en p=reject. Mais l’écart est marqué par le p=none : 37 domaines surveillent sans agir – l’un des plus hauts taux p=none de l’étude. 16 sont en quarantine et seulement 2 n’ont aucun enregistrement. Le nord de la Virginie est l’un des foyers les plus denses de sous-traitants de défense et d’opérations de la communauté du renseignement. La plus grande région de data centers AWS y est implantée. Ces 37 domaines à p=none recueillent des rapports DMARC mais ne s’en servent pas.
• Delaware (40 % appliqué) : 40 des 100 principaux domaines du Delaware sont à p=reject, mais l’État affiche le deuxième plus haut taux N/A de l’étude, à 23. Plus d’un cinquième de ses principales organisations n'ont pas publié d’enregistrement DMARC. Delaware héberge plus de 60 % des sociétés du Fortune 500 et possède un secteur financier et assurantiel notable. 19 domaines sont en p=none et 18 en p=quarantine. Le taux N/A élevé est le sujet d’inquiétude ici.
• Virginie-Occidentale (34 % appliqué) : La Virginie-Occidentale a 34 domaines en p=reject et le plus haut taux N/A de l’étude (24 domaines sans DMARC). 25 sont en p=none et 17 en p=quarantine. Le secteur énergétique de l’État, les systèmes de santé régionaux et les entités gouvernementales opèrent avec une authentification d’email limitée. Le haut niveau de N/A suggère que beaucoup n’ont même pas commencé la démarche.
• Maryland (30 % appliqué) : Le Maryland ferme la marche avec 30 domaines à p=reject et le plus fort taux de p=none de l’étude (41). Ainsi, 41 % des grandes organisations du Maryland ont un DMARC qui ne sert pas à stopper la fraude. 22 sont en p=quarantine, 7 sans enregistrement. Maryland abrite Fort Meade, la NSA, U.S. Cyber Command, Johns Hopkins, le NIH et une importante zone biotech. L’écart entre l’importance cyber de l’État et son authentification email reste difficile à expliquer.

Les 136 organisations à p=quarantine sont proches du but. Elles ont fait le travail DNS, identifié leurs expéditeurs et configuré SPF et DKIM. Le passage de quarantine à reject prend généralement entre 6 et 8 semaines. Ce sont donc 136 domaines où un rapide projet finalise un travail quasiment achevé.

Le Mid-Atlantic s’appuie sur des secteurs d’activité pour lesquels un email usurpé n’est pas qu’une nuisance : c’est un risque de sécurité nationale, une violation de conformité ou une fraude de plusieurs millions.

D.C., la Virginie et le Maryland forment le cœur de l’infrastructure fédérale et de défense américaine. Le Pentagone, la NSA, U.S. Cyber Command, la communauté du renseignement et des milliers de sous-traitants de défense opèrent dans ce corridor. Les emails usurpés visant des agences gouvernementales ou la chaîne d’approvisionnement de la défense peuvent mettre en péril des programmes classifiés, détourner des achats ou ouvrir la porte à des acteurs étatiques. D.C. atteint 57 % d’application, mais Maryland (30 %) et Virginie (45 %) laissent de grandes failles dans le même axe. DMARC stoppe l’usurpation avant l’arrivée dans la boîte de réception.

Le secteur bancaire de la Caroline du Nord gère des milliers de milliards d’actifs. Les instructions de virements, validations de compte et échanges réglementaires passent tous par email. L’IC3 du FBI rapporte 2,77 milliards $ de pertes BEC en 2024, et près de 8,5 milliards entre 2022 et 2024. Un email usurpé peut transférer des sommes à 7 chiffres avant que quiconque ne s’en rende compte. L’application DMARC est la première ligne de défense face à ce type de fraude.

Pennsylvanie et Maryland abritent certains des plus grands réseaux hospitaliers, institutions de recherche et entreprises biotech américaines. Johns Hopkins, Penn Medicine, UPMC et le NIH y opèrent. Les données patients, la gestion des essais cliniques, les réclamations assurances et réseaux de référents passent par email. Un domaine hospitalier usurpé peut compromettre des informations protégées, déclencher des enquêtes HIPAA et nuire à la confiance des patients. Les structures santé de la Virginie-Occidentale partagent la même exposition, mais avec de plus petites équipes sécurité pour y faire face.

Google et Yahoo exigent DMARC pour les expéditeurs de masse depuis février 2024. Microsoft a suivi en mai 2025. Depuis fin 2025, Google émet des erreurs de rejet permanentes pour les messages non conformes. Pour les organisations du Mid-Atlantic envoyant confirmations de virements, communications patients, correspondances gouvernementales ou mises à jour d’achats, une politique DMARC absente ou faible signifie que ces messages peuvent ne jamais arriver.

PCI DSS 4.0.1 impose DMARC aux organismes traitant des paiements par carte. NIS2 s’applique à toute entreprise du Mid-Atlantic travaillant avec l’UE. Les assureurs cyber renforcent leurs critères, certains excluant les indemnisations BEC sans authentification email de base. Pour les sous-traitants défense, ces exigences s’ajoutent à CMMC et NIST, qui recommandent déjà DMARC comme contrôle minimum. La concentration d’entreprises incorporées dans le Delaware signifie que toute défaillance de conformité peut avoir des répercussions sur toutes les maisons mères du pays.

La principale leçon de cette série, c’est que l’écart entre un enregistrement DMARC publié et un domaine bien protégé provient presque toujours de l’exécution, jamais de l'intention. Red Sift OnDMARC a été conçu pour combler cet écart, et le tenir fermé dans une région où un message usurpé peut se glisser dans un paiement fournisseur, une préparation logistique ou une discussion d’achat défense.

La partie la plus difficile de l’application, c’est de connaître chaque expéditeur légitime avant d’activer reject – un audit manuel prolonge ainsi les projets sur plusieurs mois. OnDMARC automatise la détection et la configuration, réduisant la temporalité de l’application complète à quelques semaines. Pour les 145 domaines du Sud-Est à p=quarantine, cela transforme une tâche indéfinie en projet à durée limitée.

OnDMARC gère aussi les parties complexes qui brisent discrètement l’authentification. Les fabricants, ports et sociétés de paiement autorisent souvent plus de services email que les 10 requêtes permises par SPF : Dynamic SPF garde ces enregistrements valides au rythme d’ajout des expéditeurs. Le flot de données DMARC (en général du XML dense et illisible) se transforme en vue claire et dynamique de tout ce qui envoie en votre nom. Et, comme audits et acquisitions sont constants chez les acteurs auto/logistique de la région, OnDMARC surveille, signale la dérive et assure qu’un domaine qui atteint reject y reste.

44 % d’application dans le Mid-Atlantic, c’est un meilleur départ que le Northeast (40 %), mais ce n’est pas encore suffisant. D.C. (57 %) et Caroline du Nord (55 %) prouvent que la méthode fonctionne. Maryland (30 %) montre combien certains États sont en retard. Pour les 391 organisations qui n'ont pas atteint l'application totale, Red Sift OnDMARC peut combler l’écart entre l’exposition aux risques de la région et son niveau réel de sécurité email.