Il 64% delle organizzazioni della Heartland statunitense è esposto allo spoofing delle email

Red Sift ha analizzato 900 domini appartenenti alle più grandi organizzazioni di nove stati della Heartland, scoprendo che solo 328 (36%) hanno raggiunto il pieno enforcement DMARC. La Heartland alimenta il settore energetico del paese, nutre la sua popolazione e ospita alcune delle installazioni militari e di ricerca più strategicamente sensibili al mondo. Nonostante questa concentrazione di infrastrutture critiche, il 64% delle principali organizzazioni della regione non blocca le email contraffatte. Ricerche simili condotte da Red Sift su altre regioni includono Nordest (35%), Mid-Atlantic (44%), e Sudovest (40%).

• Solo 328 dei 900 domini (36%) nei nove stati della Heartland hanno raggiunto l'enforcement DMARC (p=reject)
• 287 domini (31,9%) utilizzano policy p=none che monitorano ma non intraprendono alcuna azione contro le email contraffatte
• 202 domini (22,4%) si trovano a p=quarantine, vicini alla protezione completa ma senza aver concluso il passaggio a reject
• 83 domini (9,2%) non hanno alcun record DMARC pubblicato
• Il Nebraska guida la regione con il 46% di enforcement. Il New Mexico è ultimo con il 25%

Red Sift ha analizzato 100 domini delle principali organizzazioni in ciascuno dei nove stati della Heartland: Arkansas, Colorado, Kansas, Louisiana, Missouri, Nebraska, New Mexico, Oklahoma e Texas. I risultati mostrano una regione in cui i tassi di enforcement variano nettamente tra gli stati e in cui il divario tra l'esposizione delle infrastrutture critiche e la postura di sicurezza email è più ampio rispetto a qualsiasi altra regione studiata finora da Red Sift.

Su tutti i 900 domini, il 36% ha raggiunto p=reject, il livello di policy DMARC che blocca attivamente le email contraffatte. Ciò colloca la Heartland appena un punto sopra il Nordest (35%) e ben dietro il Mid-Atlantic (44%) e il Sudovest (40%) nel confronto continuo tra regioni condotto da Red Sift.

• Nebraska (46% in enforcement): Il Nebraska guida la Heartland con 46 domini a p=reject, il tasso di enforcement più alto dello studio. Lo stato è un importante centro per assicurazioni, servizi finanziari e commercio di materie prime agricole, con Omaha sede di diverse aziende Fortune 500. 24 domini utilizzano p=none, 22 sono a p=quarantine e 8 non hanno alcun record. Per uno stato che gestisce miliardi in transazioni finanziarie e sinistri assicurativi, il 46% è un buon inizio ma lascia comunque esposta più della metà delle sue principali organizzazioni.
• Texas (45% in enforcement): Il Texas si posiziona secondo con 45 domini a p=reject. Lo stato è la capitale energetica degli Stati Uniti, sede della più grande concentrazione al mondo di aziende petrolifere e del gas, di un enorme sistema sanitario, di installazioni militari tra cui Fort Cavazos e Joint Base San Antonio, e di un settore tecnologico in rapida crescita ad Austin e Dallas. Solo 3 domini non hanno un record DMARC, il tasso di N/A più basso dello studio. Ma 34 domini utilizzano p=none, raccogliendo report senza agire su di essi.
• Kansas (42% in enforcement): Il Kansas ha 42 domini a p=reject e il secondo conteggio più alto di quarantine dello studio, con 25. Lo stato è centrale per la catena di produzione agricola e alimentare del paese, ed è sede di importanti attività manifatturiere aeronautiche a Wichita, oltre a una significativa presenza militare presso Fort Riley e la McConnell Air Force Base. 28 domini utilizzano p=none e solo 5 non hanno un record. Quei 25 domini in quarantine hanno già svolto la maggior parte del lavoro. Il passo finale verso reject è un progetto breve.
• Missouri (40% in enforcement): Il Missouri ha 40 domini a p=reject. St. Louis e Kansas City sono il fulcro di un settore di servizi finanziari, sanità e logistica che collega le metà orientale e occidentale del paese. 34 domini utilizzano p=none, il conteggio di none più alto a pari merito nello studio, e 6 non hanno alcun record. Il 40% di enforcement non è male di per sé, ma i 34 domini fermi a p=none sono la preoccupazione. Hanno pubblicato un record DMARC. I dati arrivano. Nessuno agisce su di essi.
• Oklahoma (37% in enforcement): L'Oklahoma ha 37 domini a p=reject. L'economia dello stato si basa sull'energia, con una concentrazione di aziende petrolifere e del gas, operatori di pipeline e società di servizi energetici, oltre a un settore aerospaziale in crescita. 34 domini utilizzano p=none, 23 sono a p=quarantine e 6 non hanno un record. Istruzioni per bonifici, contratti di perforazione e accordi di joint venture viaggiano tutti via email in questo stato. Un dominio contraffatto che colpisce questi flussi di lavoro può reindirizzare pagamenti a sei cifre prima che qualcuno se ne accorga.
• Colorado (33% in enforcement): Il Colorado ha 33 domini a p=reject. Lo stato ospita NORAD, lo U.S. Space Command, la U.S. Air Force Academy e un denso gruppo di appaltatori della difesa lungo il Front Range. Il Colorado ha anche un settore tecnologico in crescita e un'importante industria delle risorse naturali. 39 domini utilizzano p=none, il conteggio di none più alto dello studio, e 7 non hanno alcun record. Uno stato che ospita il centro di comando responsabile della difesa aerospaziale nordamericana non dovrebbe avere due terzi delle sue principali organizzazioni che non riescono a bloccare le email contraffatte.
• Louisiana (32% in enforcement): La Louisiana ha 32 domini a p=reject e il secondo conteggio più alto di quarantine, con 30. Lo stato gestisce uno dei più grandi corridoi petrolchimici al mondo lungo la Costa del Golfo, gestisce il Port of South Louisiana (il porto con il maggior tonnellaggio dell'emisfero occidentale), e ha un importante settore sanitario e dell'istruzione superiore. 23 domini utilizzano p=none e 15 non hanno alcun record. Quei 30 domini in quarantine sono il dato più rilevante qui. Hanno identificato i propri mittenti, configurato SPF e DKIM e impostato una policy di quarantena. Il passo dalla quarantena al reject si misura in settimane.
• Arkansas (28% in enforcement): L'Arkansas ha 28 domini a p=reject e il terzo tasso di N/A più alto dello studio, con 13. Lo stato ospita la sede di Walmart e un importante corridoio di vendita al dettaglio e logistica, oltre a industrie avicole e agricole tra le più grandi del paese. 37 domini utilizzano p=none e 22 sono a p=quarantine. Il 28% di enforcement colloca l'Arkansas tra gli stati con le prestazioni più basse in qualsiasi regione studiata da Red Sift.
• New Mexico (25% in enforcement): Il New Mexico si trova all'ultimo posto con 25 domini a p=reject, il tasso di enforcement più basso della Heartland e il secondo tasso più basso tra i singoli stati registrato da Red Sift dopo le Hawaii (29% nello studio sul Sudovest). Lo stato ospita i Sandia National Laboratories e il Los Alamos National Laboratory, due tra le più importanti strutture al mondo per la ricerca nucleare e sulla difesa, oltre alla Kirtland Air Force Base e al White Sands Missile Range. 34 domini utilizzano p=none e 20 non hanno alcun record DMARC, il tasso di N/A più alto dello studio. Il divario tra l'importanza del New Mexico per la sicurezza nazionale e la sua postura di autenticazione email è difficile da giustificare.

Le 202 organizzazioni ferme a p=quarantine sono vicine al traguardo. Hanno svolto il lavoro sul DNS, identificato i propri mittenti e configurato SPF e DKIM. Il passaggio da quarantine a reject richiede in genere dalle 6 alle 8 settimane. Sono 202 domini in cui un breve progetto porta a termine un lavoro già quasi completo.

La Heartland si basa su settori in cui un'email contraffatta può scatenare frodi via bonifico, compromettere ricerche classificate, interrompere le catene di approvvigionamento energetico o contaminare le comunicazioni sulla sicurezza alimentare. La diffusione della regione tra nove stati e molteplici settori critici rende il rischio diffuso ma non meno grave.

Texas, Oklahoma, Louisiana, Colorado e New Mexico producono la maggior parte del petrolio, del gas e dell'energia rinnovabile del paese. Istruzioni per bonifici, contratti di perforazione, accordi di servitù per pipeline e pagamenti di joint venture viaggiano tutti via email. L'IC3 dell'FBI ha registrato 3,04 miliardi di dollari di perdite da BEC nel 2025, con l'86% di quei fondi trasferiti tramite bonifico o ACH. Le aziende energetiche sono bersagli di alto valore perché i loro flussi di pagamento coinvolgono somme ingenti, molteplici controparti e approvazioni sensibili ai tempi. Un'email contraffatta da un operatore a un'azienda midstream, o da un appaltatore EPC al proprietario di un progetto, può spostare somme a sette cifre prima che qualcuno se ne accorga. L'enforcement DMARC a p=reject blocca l'impersonificazione prima che raggiunga la casella di posta.

Kansas, Nebraska, Missouri e Arkansas si trovano al centro della produzione agricola del paese. Questi stati gestiscono il commercio di cereali, la lavorazione del bestiame, la distribuzione alimentare e le reti di pagamento dei fornitori che collegano agricoltori, trasformatori, distributori e rivenditori. Le comunicazioni della catena di approvvigionamento, inclusi ordini di acquisto, certificati fitosanitari, conferme di consegna e istruzioni di pagamento, viaggiano via email. Un dominio contraffatto che colpisce un silo per cereali, uno stabilimento di lavorazione della carne o un distributore alimentare può reindirizzare pagamenti, ritardare spedizioni o introdurre istruzioni fraudolente in una catena di approvvigionamento che nutre milioni di persone. Il 31,9% dei domini della Heartland fermi a p=none sta osservando tutto questo accadere nei propri report DMARC senza bloccare nulla.

Il New Mexico ospita i Sandia National Laboratories e il Los Alamos National Laboratory, due strutture responsabili della gestione degli armamenti nucleari, della ricerca avanzata sulla difesa e dei programmi di sicurezza nazionale. Il Colorado ospita NORAD, lo U.S. Space Command e la U.S. Air Force Academy. Il Texas ha una delle più alte concentrazioni di installazioni militari del paese. Appaltatori della difesa, partner di ricerca ed enti governativi che operano in questi stati inviano email legate a programmi classificati, approvvigionamento e operazioni di intelligence. Il tasso di enforcement del 25% e il tasso di N/A del 20% del New Mexico sono i più bassi dello studio, e appartengono a uno stato in cui un dominio contraffatto che colpisce la catena di approvvigionamento della difesa non è un tentativo di phishing. È un rischio per la sicurezza nazionale.

Google e Yahoo hanno iniziato a richiedere DMARC per i mittenti di massa nel febbraio 2024. Microsoft ha seguito a maggio 2025 con il proprio enforcement per i mittenti ad alto volume verso indirizzi Outlook, Hotmail e Live.com. I messaggi non conformi vengono ora rifiutati direttamente. Per le organizzazioni della Heartland che inviano contratti energetici, fatture agricole, sinistri assicurativi o corrispondenza per la difesa, una policy DMARC assente o debole significa che quei messaggi potrebbero non arrivare mai. Gli 83 domini senza alcun record DMARC sono i più esposti, ma anche i 287 a p=none sono a rischio man mano che l'enforcement si irrigidisce presso tutti i principali provider di caselle di posta.

PCI DSS 4.0.1 impone DMARC per le organizzazioni che gestiscono dati di carte di pagamento, colpendo aziende della vendita al dettaglio, dei servizi finanziari e dell'energia in tutta la regione. NIS2 si applica a qualsiasi azienda della Heartland con operazioni o clienti nell'UE. Gli standard NERC CIP disciplinano la sicurezza informatica per gli operatori dei sistemi elettrici di massa, e l'autenticazione email fa sempre più parte di questo quadro di conformità per le utility in Texas, Oklahoma e Colorado. Gli assicuratori cyber stanno inasprendo i requisiti, con alcuni che escludono i risarcimenti per BEC per le organizzazioni prive di un'autenticazione email di base. Per gli appaltatori della difesa in New Mexico e Colorado, i framework CMMC e NIST raccomandano già DMARC come controllo di base.

La sfida del Sudest non è mai stata avviare DMARC, ma completare il passaggio all'enforcement e mantenere i record efficienti man mano che l'infrastruttura cambia. Due prodotti rendono tutto ciò praticabile. Red Sift OnDMARC automatizza il percorso verso il pieno enforcement, e Red Sift Radar, l'assistente IA integrato al suo interno, diagnostica cosa è configurato in modo errato e spiega la soluzione in un linguaggio semplice, così proteggere un dominio non dipende da una profonda competenza sui protocolli in una regione in cui un singolo messaggio contraffatto può deviare il pagamento di un fornitore, una prenotazione di trasporto merci o un flusso di approvvigionamento per la difesa.

• Raggiungi l'enforcement senza la lunga fatica di mesi: La parte lenta di un roll-out è mappare ogni mittente legittimo prima di attivare il reject, ed è ciò che allunga i progetti manuali oltre i sei mesi. OnDMARC automatizza questa individuazione e comprime il passaggio al pieno enforcement in poche settimane, trasformando i 145 domini del Sudest bloccati in quarantine in un elenco breve e gestibile.
• Metti un analista IA su ogni record: Invece di assemblare manualmente MXToolBox, ricerche DNS e discussioni RFC, Red Sift Radar ispeziona la tua configurazione SPF, DMARC e DKIM, evidenzia le configurazioni errate non appena compaiono e ti guida nella risoluzione con un linguaggio quotidiano. Personale sia tecnico che non tecnico può risolvere le esposizioni senza aumentare l'organico.
• Mantieni SPF funzionante man mano che i mittenti si moltiplicano: Produttori, porti e società di pagamento autorizzano di routine più servizi email di quanti ne consenta il limite di dieci lookup di SPF, e i record si rompono nel momento stesso in cui lo superano. Dynamic SPF li mantiene validi automaticamente man mano che lo stack cresce.
• Rimani protetto durante il cambiamento: Audit e acquisizioni sono costanti nella base automobilistica e logistica della regione. OnDMARC monitora continuamente e segnala le deviazioni, mentre Radar fornisce una lettura in tempo reale di domini, email e asset esposti su internet, così un dominio che raggiunge il reject vi rimane.

Il 36% di enforcement nella Heartland colloca la regione dietro il Sudovest (40%) e il Mid-Atlantic (44%), e appena davanti al Nordest (35%). Il 46% del Nebraska dimostra che il percorso funziona. Il 25% del New Mexico mostra quanta strada debbano ancora fare alcuni stati. Per le 572 organizzazioni che non hanno ancora raggiunto il pieno enforcement, Red Sift OnDMARC può colmare il divario tra l'esposizione al rischio della regione e la sua attuale postura di sicurezza email.