Oltre il 50% delle banche statunitensi rimane vulnerabile agli attacchi di phishing

Sintesi esecutiva: Oltre la metà delle principali banche statunitensi rimane esposta ad attacchi di phishing a causa di un enforcement DMARC debole o assente, nonostante l'aumento delle perdite legate alla criminalità informatica e minacce email sempre più sofisticate. Sfide operative, lacune normative e sottovalutazione del rischio ostacolano protezioni più solide, mettendo a repentaglio la fiducia dei clienti e la stabilità finanziaria.

Punti chiave

• Meno della metà delle principali banche statunitensi applica policy DMARC rigorose (p=reject), lasciando i propri domini esposti a spoofing e attacchi di phishing, mentre quasi un terzo monitora passivamente senza bloccare le email dannose.
• Le istituzioni finanziarie sono i principali bersagli del phishing, rappresentando oltre il 50% di tutti gli attacchi di phishing a livello globale, con attacchi in crescita per volume e sofisticazione a causa dell'IA generativa e dei crescenti rischi legati a terze parti.
• Ostacoli operativi, ambiguità normativa e avversione al rischio sono i principali motivi per cui le banche ritardano l'enforcement DMARC, nonostante la sua comprovata efficacia nel prevenire le frodi via email e proteggere la fiducia dei clienti.

L'email rimane lo strumento principale per il settore finanziario, e i malintenzionati lo sanno bene. Nel 2024, l'Internet Crime Complaint Center (IC3) dell'FBI ha registrato 16,6 miliardi di dollari in perdite legate alla criminalità informatica, un aumento del 33% rispetto all'anno precedente. Il Business Email Compromise (BEC)—in cui gli aggressori impersonano istituzioni fidate tramite email—ha prodotto 21.489 segnalazioni e 2,9 miliardi di dollari in danni, rendendolo il secondo crimine informatico più costoso monitorato dal Bureau.

I dati dei primi mesi del 2025 suggeriscono che la traiettoria stia peggiorando: dal Verizon Data Breach Investigations Report 2025, su oltre 22.000 incidenti e 12.195 violazioni confermate analizzate, l'abuso di credenziali e il pretexting basato sull'ingegneria sociale sono stati i principali vettori di accesso. Il coinvolgimento di terze parti è raddoppiato, arrivando al 30% delle violazioni, evidenziando il rischio legato alla supply chain per le banche.

Il phishing continua a crescere. L'Anti-Phishing Working Group ha registrato 989.123 attacchi nel quarto trimestre del 2024, il volume trimestrale più alto di sempre. L'IA generativa ha solo acuito la minaccia: messaggi curati e privi di errori di battitura generati da modelli linguistici di grandi dimensioni cancellano i segnali rivelatori che i consumatori erano stati addestrati a riconoscere.

Oltre alla frode diretta, le conseguenze di una violazione sono punitive. Lo studio IBM Cost of a Data Breach 2024 fissa l'incidente medio nel settore dei servizi finanziari a 6 milioni di dollari, ben al di sopra della media intersettoriale. Aggiungete a ciò sanzioni normative, giorni di negoziazione persi e danni alla reputazione, e diventa chiaro: ogni email falsificata rappresenta un rischio materiale per i profitti e la fiducia dei clienti.

Per valutare quanto sia preparato il settore, gli analisti di Red Sift hanno esaminato i dati DMARC (Domain-based Message Authentication, Reporting & Conformance) delle 510 maggiori banche commerciali statunitensi. I risultati sono sconcertanti:

• 210 banche (41,2%) applicano p=reject, il che significa che i messaggi fraudolenti vengono bloccati direttamente.
• 96 (18,8%) si attestano a p=quarantine, relegando la posta dubbia nello spam.
• 144 (28,2%) raccolgono report a p=none ma consegnano comunque possibili spoofing.
• 60 (11,8%) non pubblicano alcun record DMARC.

Conclusione: meno della metà delle maggiori banche statunitensi protegge attivamente i propri domini, e quasi un terzo monitora ancora passivamente, permettendo ai messaggi falsificati di raggiungere le caselle di posta.

La realtà non è una mancanza di conoscenza del DMARC; è la complessità operativa e l'avversione al rischio. Le banche gestiscono centinaia di mittenti terzi legittimi—dalle piattaforme di marketing ai sistemi ipotecari—e temono che una policy configurata male possa bloccare servizi critici come buste paga, documenti di prestito o estratti conto dei clienti.

A complicare le cose c'è una mancanza di visibilità. Molti team di sicurezza operano senza una visione consolidata dell'attività di invio email. Con risorse limitate, optano per il default p=none, sperando che gli aggressori non notino che il loro dominio è facile da falsificare.

Affrontano anche un'ambiguità normativa: mentre organismi come NIST e FFIEC raccomandano DMARC e altri standard di autenticazione, nessuna normativa bancaria formale statunitense impone l'enforcement completo. Al contrario, le agenzie federali statunitensi sono tenute a implementare p=reject dal 2017 in base alla Binding Operational Directive 18-01 del DHS. Senza mandati settoriali simili, molte banche hanno deprioritizzato l'enforcement.

Infine, molti sottovalutano la minaccia. Nonostante l'ascesa di phishing sofisticato e potenziato dall'IA, alcuni responsabili della sicurezza ritengono che SPF e DKIM siano sufficienti o presumono che i clienti riconosceranno i falsi—ignorando l'aumento degli attacchi di impersonificazione contro brand come Bank of America, che ha visto un'esplosione di SMS e chiamate falsificate nel 2024 e nel 2025.

Le banche commerciali statunitensi sono bersagli privilegiati per attacchi di phishing e BEC, rendendo la protezione del dominio non un'opzione, ma una necessità. Implementare DMARC con enforcement a p=reject blocca l'uso non autorizzato del vostro dominio, interrompendo i tentativi di impersonificazione prima ancora che raggiungano i vostri clienti.

Ma il percorso può essere impegnativo. Senza gli strumenti giusti, analizzare i report DMARC e identificare i mittenti legittimi richiede tempo. Ecco perché soluzioni come Red Sift OnDMARC sono fondamentali. OnDMARC automatizza l'analisi dei dati di autenticazione, offre indicazioni chiare per un enforcement sicuro delle policy e aiuta le istituzioni a risolvere i problemi prima che interrompano le operazioni. Con supporto nativo per SPF, DKIM, reportistica TLS e MTA-STS, la piattaforma elimina le congetture e accelera l'adozione sicura.

Verifica il tuo stato DMARC in 30 secondi

Non sei sicuro di quale sia il tuo record DMARC attuale? Verifica gratuitamente ora.

Il panorama delle minacce email sta evolvendo rapidamente. Con attacchi di phishing, spoofing e BEC sempre più sofisticati, le banche non possono più permettersi di ritardare l'enforcement. Con il giusto partner DMARC, le istituzioni possono:

• Bloccare le email falsificate alla fonte
• Proteggere clienti e partner
• Preservare la fiducia nel brand
• Soddisfare le crescenti aspettative normative
• Ridurre il rischio di violazioni costose e dannose per la reputazione

Per aiuto nella valutazione del vostro attuale stato DMARC—o nella scelta di un partner che vi aiuti a raggiungere l'enforcement—iniziate con questa guida. Perché nell'attuale contesto di minacce, una policy “p=none” è come uno zerbino di benvenuto per gli aggressori.