Solo il 44% delle principali organizzazioni del Mid-Atlantic blocca le email contraffatte

Red Sift ha analizzato 700 domini appartenenti alle più grandi organizzazioni in sette stati del Mid-Atlantic e nel District of Columbia, scoprendo che solo 309 (44%) hanno raggiunto la piena applicazione DMARC. La regione Mid-Atlantic ospita il governo federale, il secondo centro bancario più grande della nazione, importanti operazioni di difesa e intelligence, e alcuni dei più rinomati sistemi sanitari degli Stati Uniti. Nonostante questa concentrazione di obiettivi di alto valore, più della metà delle principali organizzazioni della regione non blocca le email contraffatte. È un risultato migliore rispetto al Nordest degli Stati Uniti (40%), ma comunque non all’altezza rispetto al profilo di rischio della regione.

• Solo 309 domini su 700 (44%) in sette stati del Mid-Atlantic hanno raggiunto l’applicazione DMARC (p=reject)
• 191 domini (27,3%) utilizzano policy p=none che monitorano ma non agiscono contro le email contraffatte
• 136 domini (19,4%) sono a p=quarantine, vicini alla protezione completa ma senza la transizione finale al reject
• 64 domini (9,1%) non hanno alcun record DMARC pubblicato
• Washington D.C. guida la regione con il 57% di enforcement. Il Maryland è in coda con il 30%

Red Sift ha analizzato 100 domini delle maggiori organizzazioni in ciascuno dei sette stati del Mid-Atlantic e nel District of Columbia: Delaware, District of Columbia, Maryland, North Carolina, Pennsylvania, Virginia e West Virginia. I risultati mostrano una regione che si comporta meglio del Nordest degli Stati Uniti ma lascia comunque la maggior parte delle organizzazioni di punta senza piena autenticazione delle email.

Su tutti i 700 domini, il 44% ha raggiunto p=reject, il livello della policy DMARC che blocca attivamente le email contraffatte. Questo pone il Mid-Atlantic in vantaggio rispetto al Nordest (40%) ma ampiamente dietro New York (73%) nel confronto regionale proseguito da Red Sift.

• Washington D.C (57% con enforcement): D.C. guida il Mid-Atlantic con 57 domini a p=reject. Come sede del governo federale, D.C. ha un mandato chiaro per l’autenticazione delle email. Qui operano agenzie federali, aziende di lobbying, think tank, associazioni di categoria e no profit, inviando ogni giorno email al Congresso, agli organi regolatori, alle organizzazioni internazionali e ai media. 21 domini adottano ancora p=none e 20 sono a p=quarantine. Solo 2 non hanno alcun record DMARC, il tasso N/A più basso dello studio.
• North Carolina (55% con enforcement): Il North Carolina si piazza al secondo posto con 55 domini a p=reject. Charlotte è il secondo centro bancario del paese. Il Research Triangle è un polo tecnologico e biotecnologico di rilievo. I sistemi sanitari dello stato sono tra i più grandi del Sud-Est. Quel 55% è un dato consistente, ma 21 domini sono ancora a p=none e 20 a p=quarantine. Solo 4 domini non dispongono di record DMARC.
• Pennsylvania (48% con enforcement): La Pennsylvania conta 48 domini che bloccano direttamente le email contraffatte, ma 27 hanno p=none e 23 sono a p=quarantine. Solo 2 domini sono privi di record DMARC. Lo stato ospita importanti sistemi sanitari a Philadelphia e Pittsburgh, una presenza significativa nei servizi finanziari, aziende energetiche e molte delle più grandi università americane. I 23 domini in quarantena sono "frutti bassi": hanno già fatto il lavoro DNS. Passare a reject è un progetto breve, non da cominciare da zero.
• Virginia (45% con enforcement): La Virginia conta 45 domini a p=reject. Ma il divario è verso p=none: 37 domini monitorano senza agire, uno dei più alti valori nons dello studio. Solo 16 sono in quarantena e solo 2 senza record. Il Nord della Virginia ospita una delle più dense concentrazioni di appaltatori della difesa e operazioni della comunità di intelligence. La più grande regione di data center AWS si trova nello stato. Quei 37 domini a p=none raccolgono i report DMARC senza però agire su di essi.
• Delaware (40% con enforcement): 40 dei 100 maggiori domini del Delaware hanno raggiunto p=reject, ma lo stato ha il secondo più alto tasso N/A dello studio, pari a 23. Più di un quinto delle principali organizzazioni non ha pubblicato alcun record DMARC. Il Delaware è lo stato di costituzione di oltre il 60% delle aziende Fortune 500 e ha un settore finanziario e assicurativo importante. 19 domini sono a p=none e 18 a p=quarantine. Il tasso N/A elevato rappresenta la preoccupazione maggiore qui.
• West Virginia (34% con enforcement): Il West Virginia ha 34 domini a p=reject e il più alto tasso N/A dello studio: 24 domini senza alcun record DMARC. 25 sono a p=none e 17 a p=quarantine. Il settore energetico dello stato, i sistemi sanitari regionali e gli enti governativi statali operano tutti con autenticazione email limitata. Il tasso N/A elevato suggerisce che molte organizzazioni non hanno mai iniziato il percorso.
• Maryland (30% con enforcement): Il Maryland è ultimo con 30 domini a p=reject e il più alto conteggio p=none dello studio, pari a 41. Significa che il 41% delle principali organizzazioni del Maryland ha pubblicato un record DMARC che non impedisce frodi. 22 sono a p=quarantine e 7 senza record. Il Maryland ospita Fort Meade, NSA, U.S. Cyber Command, Johns Hopkins, il NIH e un importante polo biotecnologico. Il divario tra il ruolo del Maryland nella cybersecurity e la situazione dell’autenticazione email è difficile da spiegare.

Le 136 organizzazioni in p=quarantine sono vicine all’obiettivo. Hanno configurato il DNS, identificato i loro mittenti e impostato SPF e DKIM. Passare da quarantine a reject richiede tipicamente da 6 a 8 settimane. Sono 136 domini dove un progetto breve porta a termine un lavoro già quasi finito.

Il Mid-Atlantic è trainato da settori in cui una email contraffatta non è solo una seccatura. È un rischio di sicurezza nazionale, una violazione di compliance, o una frode da milioni di dollari.

D.C., Virginia e Maryland costituiscono il nucleo delle infrastrutture federali e della difesa degli Stati Uniti. Pentagono, NSA, U.S. Cyber Command, la comunità di intelligence e migliaia di appaltatori della difesa operano in questo corridoio. Email contraffatte che prendono di mira enti governativi o la supply chain della difesa possono compromettere programmi riservati, deviare acquisti o creare punti di ingresso per attori sponsorizzati da stati. Il tasso di enforcement del 57% di D.C. guida la regione, ma il 30% del Maryland e il 45% della Virginia lasciano grandi lacune nel medesimo corridoio. L’applicazione di DMARC blocca l’impersonificazione prima che raggiunga la casella di posta.

Il settore bancario del North Carolina gestisce migliaia di miliardi in asset. Istruzioni di bonifico, verifiche di conto e invii regolatori viaggiano tutti via email. L’IC3 dell'FBI ha riportato 2,77 miliardi di dollari di perdite BEC nel 2024 e quasi 8,5 miliardi di perdite complessive tra 2022 e 2024. Una email contraffatta da una banca verso il team tesoreria di un’azienda può muovere cifre a sette zeri prima che qualcuno se ne accorga. L’enforcement DMARC rappresenta la prima linea di difesa contro questo tipo di frode.

Pennsylvania e Maryland ospitano grandi reti ospedaliere, istituzioni di ricerca e aziende biotech come Johns Hopkins, Penn Medicine, UPMC e NIH. Dati dei pazienti, coordinamento dei trial clinici, pratiche assicurative e reti di riferimento si spostano via email. Un dominio ospedaliero contraffatto può compromettere i dati protetti, scatenare indagini HIPAA e minare la fiducia dei pazienti. I sistemi sanitari regionali del West Virginia affrontano la stessa esposizione con team di sicurezza più piccoli che devono gestirla.

Google e Yahoo hanno iniziato a richiedere DMARC per i mittenti bulk a partire da febbraio 2024. Microsoft li ha seguiti a maggio 2025. Da fine 2025, Google rifiuta ora in maniera permanente i messaggi non conformi. Per le organizzazioni del Mid-Atlantic che inviano conferme di bonifici, comunicazioni ai pazienti, corrispondenza governativa o aggiornamenti di approvvigionamento, una policy DMARC assente o debole può significare che quelle email non arriveranno mai.

PCI DSS 4.0.1 rende DMARC obbligatorio per chi tratta dati di carte di pagamento. NIS2 si applica a ogni azienda del Mid-Atlantic con clienti o attività UE. Le assicurazioni cyber aumentano i requisiti, escludendo talvolta i risarcimenti BEC per organizzazioni prive di autenticazione email di base. Per gli appaltatori della difesa, queste richieste si sommano ai framework CMMC e NIST che già raccomandano DMARC come controllo di base. L’alta concentrazione di società incorporate in Delaware fa sì che i fallimenti di compliance possano propagarsi alle case madri a livello nazionale.

Se c’è una lezione da trarre da questa serie, è che il divario tra un record DMARC pubblicato e un dominio protetto dipende quasi sempre dall’esecuzione, non dall’intenzione. Red Sift OnDMARC nasce per colmare quel divario, e mantenerlo chiuso in una regione dove un messaggio contraffatto può insinuarsi facilmente in un pagamento a un fornitore, una prenotazione merci o una trattativa di acquisto nella difesa.

La parte più difficile è conoscere tutti i mittenti legittimi prima di attivare il reject; farlo a mano fa durare i progetti manuali oltre sei mesi. OnDMARC automatizza la scoperta e la configurazione, portando il passaggio all’enforcement pieno a poche settimane. Per i 145 domini del Sud-Est in quarantena, questo trasforma un compito indefinite in uno breve e raggiungibile.

Gestisce inoltre i dettagli che rovinano silenziosamente l'autenticazione. Produttori, porti e aziende di pagamenti autorizzano regolarmente più servizi email di quanto consenta il limite SPF di dieci lookup; così Dynamic SPF mantiene quei record validi man mano che l’elenco dei mittenti cresce. Le quantità di dati dei report DMARC, normalmente XML complessi che nessuno ha tempo di leggere, diventano una chiara vista in tempo reale di tutto ciò che invia come il tuo dominio. E poiché nel settore automotive e logistico regionale audit e acquisizioni sono costanti, OnDMARC monitora e segnala sempre le anomalie, così un dominio che arriva a reject vi resta.

Il 44% di enforcement nel Mid-Atlantic è un punto di partenza migliore del Nordest (40%), ma non basta. Il 57% di D.C. e il 55% del North Carolina mostrano che la strada funziona. Il 30% del Maryland mostra quanto lavoro resti da fare. Per le 391 organizzazioni che non sono ancora a pieno enforcement, Red Sift OnDMARC può colmare il divario tra l’esposizione al rischio della regione e lo stato attuale della sicurezza email.