DMARC in Irlanda: a che punto sono le aziende più grandi

Red Sift ha analizzato i record DMARC di 201 delle maggiori aziende irlandesi, suddivise in due gruppi: 100 multinazionali che gestiscono operazioni importanti in Irlanda, e 101 aziende fondate in Irlanda. Questa è una fotografia della situazione di ciascun gruppo rispetto al controllo che decide se un'email falsificata a nome del vostro dominio raggiunge il destinatario o viene bloccata.

Il DMARC (Domain-based Message Authentication, Reporting and Conformance) è il protocollo che decide cosa succede a un'email che non supera i controlli di autenticazione sul vostro dominio. Impostatelo su enforcement, e un messaggio falsificato che dichiara di provenire dalla vostra azienda verrà bloccato o inviato nello spam prima di raggiungere il destinatario. Lasciatelo disattivato, oppure impostato solo su monitoraggio, e chiunque potrà inserire il vostro dominio nel campo Da, senza che i vostri clienti abbiano alcun motivo tecnico per dubitarne.

Questo studio si affianca alla stessa analisi che Red Sift ha condotto in altri mercati europei, tra cui il FTSE 250 del Regno Unito con il 60,8% di enforcement e le prime 250 aziende tedesche con il 44,8%. In ogni mercato che abbiamo analizzato, l'adozione del DMARC è reale e in crescita, e nella maggior parte dei casi il lavoro è ben avviato, anche se non ancora completato.

• 63 aziende su 100 multinazionali operanti in Irlanda (63%) applicano il DMARC in modalità p=reject, la policy che blocca completamente le email falsificate
• 40 aziende su 101 fondate in Irlanda (39,6%) applicano l'enforcement a p=reject, e altre 34 (33,7%) si trovano a p=quarantine, a un solo passo dall'enforcement completo
• 74 aziende su 101 fondate in Irlanda (73,3%) hanno già un'implementazione attiva del DMARC in modalità quarantine o reject
• Si stima che tra 4.500 e 6.000 enti irlandesi rientreranno nell'ambito di applicazione una volta completato il recepimento della NIS2 da parte dell'Irlanda, previsto entro la fine del 2026, e la maggior parte delle aziende di questo studio è tra questi
• La deviazione delle fatture e l'impersonificazione del CEO, entrambe basate sul phishing via email, sono le principali minacce di frode per le aziende irlandesi, il che rende il DMARC un controllo diretto contro il modo in cui le aziende irlandesi vengono effettivamente attaccate

Tra le 100 multinazionali con operazioni importanti in Irlanda, 63 applicano l'enforcement del DMARC a p=reject. Ecco il quadro completo.

La solidità di questo gruppo riflette la natura di queste aziende: operazioni globali con team di sicurezza dedicati e linee di reporting che arrivano fino al consiglio di amministrazione. Molte erano già state spinte verso l'enforcement dai requisiti per i bulk sender introdotti nel 2024 da Google e Yahoo, dalle norme di divulgazione della SEC, o dalle revisioni di sicurezza dei loro stessi clienti. Quando un'azienda tecnologica o farmaceutica globale apre un ufficio a Dublino, il DMARC è solitamente già a p=reject sul dominio principale. L'autenticazione delle email è un controllo globale, e queste aziende lo hanno portato con sé già completato.

Tra le 101 aziende fondate in Irlanda, 40 applicano l'enforcement del DMARC a p=reject, e altre 34 si trovano a p=quarantine. Ecco il quadro completo.

Il dato complessivo sull'enforcement sottovaluta quanto lavoro sia già stato svolto. Sommando le 40 aziende a reject alle 34 a quarantine, 74 delle 101 aziende fondate in Irlanda (73,3%) hanno un'implementazione DMARC attiva. Questi sono i settori su cui si è costruita l'economia irlandese, dal settore bancario ai materiali da costruzione, passando per alimentare e agricoltura, aviazione e gioco d'azzardo, e la grande maggioranza di esse ha già pubblicato un record, ha lavorato sui propri mittenti legittimi ed è andata oltre il solo monitoraggio.

Ne emerge un quadro chiaro e vicino al completamento. 34 aziende sono a un solo cambio di policy dalla protezione completa, e 27 hanno ancora margine per iniziare. La direzione intrapresa è quella giusta, e gli ultimi passi sono i più semplici.

Le 34 aziende fondate in Irlanda che si trovano a p=quarantine hanno già svolto la parte più difficile. Una policy di quarantine invia le email sospette nello spam anziché bloccarle, quindi offre già una protezione reale, e raggiungerla significa che un'azienda ha pubblicato un record, autenticato i propri mittenti e superato deliberatamente la fase di solo monitoraggio. Il passo rimanente, il passaggio a p=reject, è di solito solo una questione di verificare che i dati di reporting siano puliti e alzare il livello della policy.

La maggior parte delle aziende a quarantine può raggiungere l'enforcement completo in poche settimane, una volta che qualcuno si assume la responsabilità di completare il percorso. Per le 27 aziende a p=none o senza alcun record, il percorso è quello standard: pubblicare un record, analizzare i dati di reporting per individuare ogni mittente legittimo, autenticare tali mittenti, quindi irrigidire la policy per fasi fino a quando sarà sicuro attivare p=reject.

Due fattori rendono questo l'anno giusto per le aziende irlandesi per mettere il DMARC in cima alla lista delle priorità.

Il primo è la normativa. L'Irlanda non ha rispettato la scadenza dell'ottobre 2024 fissata dall'UE per il recepimento della Direttiva NIS2, e da allora il ritardo si è aggravato. La Commissione Europea ha inviato una lettera di messa in mora formale nel novembre 2024, un parere motivato nel maggio 2025, e a luglio 2026 ha deferito l'Irlanda alla Corte di Giustizia dell'UE, chiedendo alla corte di imporre sanzioni finanziarie fino al completamento del recepimento.

Il National Cyber Security Bill, lo strumento con cui l'Irlanda recepirà la NIS2, è ancora in fase di redazione. Il governo prevede di pubblicarlo nell'autunno 2026, avviarne l'iter attraverso l'Oireachtas subito dopo, e notificare a Bruxelles il recepimento entro la fine dell'anno. Una volta in vigore, amplierà il numero di enti soggetti alla normativa da poche centinaia, secondo le vecchie regole, a una stima di 4.500-6.000, con il National Cyber Security Centre come autorità competente principale e responsabilità personale per i dirigenti che non riescono a supervisionare il rischio informatico. La maggior parte delle aziende in questo studio rientrerà nell'ambito di applicazione, e il DMARC è un controllo basilare e documentabile che si collega direttamente agli obblighi di gestione del rischio introdotti dalla NIS2.

Il secondo fattore è la frode che sta già avvenendo. La deviazione delle fatture e l'impersonificazione del CEO sono le truffe principali che colpiscono le aziende irlandesi, ed entrambe iniziano con un'email che sembra provenire da una parte fidata. FraudSMART, l'iniziativa di sensibilizzazione gestita dalla Banking & Payments Federation Ireland, ha riportato che le PMI irlandesi hanno perso oltre 17,4 milioni di euro a causa di truffe legate alle email in due anni, con perdite dovute alla deviazione delle fatture pari a 15,7 milioni di euro tra gennaio 2023 e dicembre 2024, e perdite medie di 11.500 euro per azienda. Una ricerca condotta da ISME e BPFI ha rilevato che il 68% delle PMI irlandesi è stato preso di mira da truffe nell'arco di un solo anno.

Questi dati riguardano le piccole imprese, ma il meccanismo coinvolge direttamente anche le aziende oggetto di questo studio. Quando una grande azienda irlandese applica l'enforcement del DMARC, toglie il proprio nome dagli strumenti a disposizione degli aggressori, proteggendo i propri clienti, i propri fornitori e le aziende più piccole nella propria catena di fornitura da email che falsificano il suo dominio.

Le aziende che si bloccano sul DMARC tendono a farlo manualmente, rincorrendo modifiche DNS e leggendo report grezzi provenienti da decine di servizi di invio. Quelle che completano il percorso trattano il rollout come un processo gestito, con i dati dei report che guidano ogni decisione. Red Sift OnDMARC automatizza questo processo, portando un dominio dal monitoraggio all'enforcement in poche settimane, classificando automaticamente i mittenti e mostrando esattamente cosa influenzerà ogni modifica alla policy prima di applicarla.

Per le più grandi aziende irlandesi, sia quelle nate in patria che quelle internazionali, la destinazione è la stessa: un dominio che non può essere usato per impersonarle.