2024: l'anno del DMARC come imperativo aziendale

Posso affermare con sicurezza che il mondo non ha bisogno di ulteriori previsioni sulla sicurezza per il 2024. Ma mentre ci avviciniamo al nuovo anno, è importante avere conversazioni sulla strategia di sicurezza per orientare le nostre priorità aziendali e le nostre roadmap.

Parlando con i nostri clienti Red Sift, i nostri partner e i leader di pensiero del nostro comitato consultivo tecnico, una cosa è chiara: sono in arrivo sempre più requisiti di DMARC e autenticazione del dominio, e arriveranno presto.

Per me è facile decantare i vantaggi del DMARC: migliore deliverability, protezione contro BEC e phishing, la possibilità di implementare BIMI… l'elenco potrebbe continuare all'infinito.

Ma una cosa sta diventando chiara: nel 2024, il DMARC non sarà più un optional. Sarà un imperativo aziendale.

Mentre ci avviciniamo al 2024, sono già stati annunciati requisiti per il DMARC di cui la maggior parte dei responsabili della sicurezza del settore è quantomeno a conoscenza. Vanno da quelli dei provider di posta elettronica come Google e Yahoo, a quelli dei governi, fino a quelli delle società di rating di sicurezza e delle compagnie di cyber assicurazione.

Il requisito più rilevante per il DMARC nel 2024 è l'insieme di requisiti congiunti di Google e Yahoo, applicabile a tutte le organizzazioni che inviano più di 5.000 email al giorno. Per evitare che le email non vengano consegnate come previsto o finiscano nello spam, le organizzazioni dovranno:

1. Autenticare il proprio dominio. Ciò richiede come minimo un record DMARC con una policy p=none, record SPF e DKIM, allineamento SPF o DKIM e FCrDNS.
2. Facilitare la disiscrizione per i destinatari. Le organizzazioni che attualmente dispongono di un link di disiscrizione nelle email commerciali hanno tempo fino al 1° giugno 2024 per implementare la disiscrizione con un clic.
3. Mantenere basso il tasso di spam. Le organizzazioni devono mantenere il tasso di spam riportato in Postmaster Tools al di sotto dello 0,3%.

Nella nostra ricerca, abbiamo scoperto che, a dicembre 2023, almeno il 33% delle grandi organizzazioni a livello globale non soddisferà questi requisiti, con le aziende in Corea, Giappone, Austria e Germania particolarmente impreparate.

Le organizzazioni che non affronteranno questo problema vedranno diminuire i tassi di consegna e i messaggi finire nelle cartelle spam. Per le aziende che si affidano all'email marketing per generare contatti e ricavi, l'impatto potrebbe essere enorme.

Use Red Sift’s Investigate tool to see if your DMARC, DKIM, SPF, and BIMI protocols are correctly set up and get actionable steps on how to fix them, if applicable. Check your DMARC record and other key protocols now

In Red Sift, consideriamo questi requisiti come un'anticipazione del fatto che i provider di posta elettronica richiederanno l'enforcement del DMARC. Richiedendo record DMARC, SPF e DKIM e l'allineamento SPF o DKIM, i provider stanno gettando le basi per policy di enforcement DMARC più severe. Le organizzazioni dovrebbero adottare una configurazione DMARC più aggressiva rispetto a quanto richiesto a partire dal 1° febbraio 2024, poiché i loro domini beneficeranno anche della protezione contro spoofing e impersonificazione grazie a policy DMARC più forti.

Nell'ottobre 2023, la CISA (Cybersecurity & Infrastructure Security Agency) ha pubblicato nuove Linee guida sul phishing. Questo documento è stato rilasciato in coordinamento con l'NSA, l'FBI e il Multi-State Information Sharing and Analysis Center (MS-ISAC) per delineare le tecniche di phishing e fornire indicazioni per i difensori.

Nelle linee guida, l'agenzia presenta raccomandazioni mirate per bloccare gli attacchi di phishing finalizzati a ottenere credenziali di accesso e installare malware.

Per mitigare questi attacchi, l'agenzia raccomanda diverse protezioni di base, tra cui l'abilitazione di DMARC, SPF e DKIM, e assicurarsi che l'enforcement del DMARC sia impostato su p=reject.

Il 31 marzo 2022, il PCI Security Standards Council (PCI SSC) ha rilasciato la DSS v4.0. Sebbene questi requisiti per i processori di pagamento non entrino in vigore fino al 31 marzo 2025, la maggior parte delle organizzazioni sta utilizzando quest'anno per assicurarsi di essere completamente conformi.

Uno dei nuovi requisiti della PCI DSS v4.0 è la protezione contro il phishing. Il Req 5.4.1 richiede “meccanismi automatizzati” per rilevare e proteggere dagli attacchi di phishing. Sebbene questo requisito riguardi “processi e meccanismi” e non indichi una soluzione specifica, le best practice suggerirebbero di implementare DMARC, SPF e DKIM.

Sebbene non siano stati annunciati aggiornamenti formali sul DMARC da parte delle società di rating di sicurezza, stiamo ricevendo i primi riscontri dai nostri clienti secondo cui il DMARC sta diventando una priorità più alta agli occhi di queste entità.

Ad esempio, SecurityScorecard attualmente tiene conto della configurazione SPF nel proprio sistema di valutazione. Non è inconcepibile che presto prendano in considerazione anche DMARC e DKIM come parte del loro algoritmo di rating.

Tutto quello che abbiamo trattato finora si aggiunge ai requisiti e alle raccomandazioni DMARC già esistenti, stabiliti da enti governativi in tutto il mondo. Sebbene l'elenco non sia esaustivo, mostra l'attenzione globale rivolta alla protezione contro il phishing, il business email compromise (BEC) e l'impersonificazione esatta del dominio.

Consulta l'elenco completo di mandati e raccomandazioni per il DMARC qui.

Dato che l'email rimane il vettore di attacco numero uno e che il solo business email compromise ha causato perdite per 2,7 miliardi di dollari nel 2022, non sorprende che continuiamo a vedere un numero crescente di normative, requisiti e raccomandazioni per una migliore sicurezza delle email.

To see if your organization is prepared, make sure to check out Red Sift Investigate where you can see if your organization’s DMARC, SPF, DKIM, and other important email security protocols are set up correctly. Check your DMARC record and other key protocols now