Il 50% delle principali organizzazioni di Boston non ha una protezione DMARC completa

• Il 50,5% delle principali organizzazioni di Boston ha raggiunto l'enforcement DMARC (p=reject), il che significa che il 49,5% rimane esposto
• 22 domini (22,2%) non hanno alcuna protezione DMARC significativa, con policy p=none o nessun record DMARC
• 27 domini (27,3%) sono bloccati alla quarantena, a poche settimane dalla protezione completa ma senza portare a termine il lavoro
• Google, Microsoft e Yahoo ora rifiutano le email di massa non conformi a livello SMTP, rendendo l'enforcement una questione di deliverability tanto quanto di sicurezza

L'ultima analisi di conformità DMARC di Red Sift ha esaminato 99 domini appartenenti alle principali organizzazioni di Boston. I risultati offrono un quadro chiaro: le aziende di questa città sono divise quasi equamente tra protette ed esposte.

Poco più della metà, 50 domini (50,5%), ha raggiunto p=reject. Questo è il livello di policy DMARC che blocca effettivamente le email contraffatte prima che raggiungano le caselle di posta. Gli altri 49 domini? Sono parzialmente protetti o completamente vulnerabili all'impersonificazione.

22 di questi 49 domini non hanno alcuna protezione DMARC efficace. Questo include 18 domini con una policy p=none (che monitora ma non intraprende alcuna azione contro le email contraffatte) e 4 domini senza alcun record DMARC pubblicato.

I restanti 27 domini si trovano a p=quarantine. Queste organizzazioni hanno svolto la maggior parte del lavoro. Le loro email contraffatte vengono segnalate e indirizzate alle cartelle spam. Ma non hanno compiuto il passo finale verso il reject, il che significa che i messaggi fraudolenti possono ancora raggiungere i destinatari.

Per una città che ospita importanti società di servizi finanziari, fornitori sanitari, università e aziende tecnologiche, un tasso di vulnerabilità del 49,5% è un problema che vale la pena risolvere.

Due anni fa, DMARC era una best practice. Nel 2026, è un requisito di base. Tre cose sono cambiate.

Google e Yahoo hanno iniziato a richiedere DMARC per i mittenti di massa nel febbraio 2024. Microsoft ha seguito a maggio 2025. Da fine 2025, Google è passata a un enforcement rigoroso a livello SMTP, il che significa che le email non conformi ora ricevono errori di rifiuto permanente (codici 550) anziché rinvii temporanei.

Questi tre provider controllano oltre l'80% dell'infrastruttura email globale. Se il tuo dominio non soddisfa i loro standard di autenticazione, le tue email non raggiungono i clienti. Questo non è un rischio per la sicurezza. È un problema di continuità operativa.

L'IC3 dell'FBI ha riportato perdite per 2,77 miliardi di dollari dovute a business email compromise nel 2024, con 21.442 denunce presentate. Il BEC è stata la seconda categoria di cybercrimine più dannosa dal punto di vista finanziario, seconda solo alla frode negli investimenti. Le perdite totali segnalate per cybercrimine hanno raggiunto i 16,6 miliardi di dollari nel 2024, un aumento del 33% rispetto all'anno precedente.

Gli attacchi BEC si basano sull'impersonificazione via email. Un aggressore invia un'email che sembra provenire da un dirigente, fornitore o partner fidato, e convince il destinatario a trasferire fondi o condividere dati sensibili. DMARC in enforcement (p=reject) blocca questi messaggi contraffatti prima che raggiungano il bersaglio.

PCI DSS 4.0.1 richiede DMARC per le organizzazioni che gestiscono dati di carte di pagamento. L'NCSC del Regno Unito raccomanda da tempo DMARC a livello di enforcement per le organizzazioni del settore pubblico. NIS2 in tutta l'UE impone requisiti simili di autenticazione email. Per i settori regolamentati di Boston (servizi finanziari, sanità, istruzione), DMARC non è opzionale. È un obbligo di conformità.

Non si tratta solo di sicurezza. Le organizzazioni senza enforcement DMARC rischiano che le email legittime vengano rifiutate o instradate nello spam da Google, Microsoft e Yahoo. Campagne di marketing, fatture, comunicazioni con i clienti e corrispondenza con i partner dipendono tutti dalla deliverability. Una policy DMARC mancante o debole ora ha un impatto diretto sui ricavi.

Red Sift OnDMARC è progettato per le organizzazioni che vogliono raggiungere l'enforcement DMARC rapidamente e mantenerlo nel tempo.

• Raggiungi l'enforcement in settimane, non in mesi: La media di settore per l'implementazione DMARC è di circa 32 settimane con approcci manuali. Red Sift OnDMARC porta tipicamente le organizzazioni a p=reject in 6-8 settimane. La piattaforma automatizza le parti complesse: identificare tutte le fonti di invio legittime, gestire le configurazioni SPF e DKIM, e fornire indicazioni chiare su cosa correggere e quando.
• SPF dinamico che previene il configuration drift: I record SPF hanno un limite rigido di 10 lookup DNS. Man mano che le organizzazioni aggiungono più servizi email di terze parti (piattaforme di marketing, CRM, sistemi di ticketing, strumenti di fatturazione), raggiungono rapidamente quel limite. La tecnologia Dynamic SPF di Red Sift gestisce questo automaticamente, mantenendo SPF valido senza dover destreggiarsi manualmente tra i record.
• Visibilità completa su ogni fonte di invio: OnDMARC elabora i report aggregati e forensi DMARC in una dashboard chiara che mostra esattamente chi sta inviando email per conto del tuo dominio, se è autorizzato e se supera l'autenticazione. Basta analizzare XML grezzo. Basta indovinare quale servizio di terze parti è configurato male.
• Progettato per ambienti complessi: Le maggiori organizzazioni di Boston non gestiscono configurazioni email semplici. Utilizzano decine di mittenti di terze parti, gestiscono più domini e sottodomini, e operano attraverso dipartimenti che hanno ciascuno i propri strumenti. OnDMARC è progettato per questa complessità, con gestione multi-dominio, reportistica granulare e integrazioni che si adattano alla crescita della tua infrastruttura email.
• Monitoraggio continuo dopo l'enforcement: Raggiungere p=reject non è il traguardo finale. Vengono aggiunti nuovi servizi di invio. Le configurazioni cambiano nel tempo. Le acquisizioni portano nuovi domini nell'ambito. OnDMARC fornisce monitoraggio e alert continui in modo che la tua postura DMARC rimanga in enforcement, anche mentre il tuo ecosistema email cambia.

Per le 27 organizzazioni di Boston attualmente in quarantena, il passaggio al reject è a portata di mano. Per le 22 senza protezione efficace, il momento di iniziare è ora.