Oltre un quarto delle principali organizzazioni di New York è ancora esposto allo spoofing delle email

• 72 domini (72,7%) hanno raggiunto l'enforcement DMARC (p=reject), il tasso più alto mai registrato da Red Sift nelle analisi delle principali città statunitensi
• 15 domini (15,2%) si trovano in quarantena, con le email contraffatte segnalate ma non bloccate
• 12 domini (12,1%) non hanno una protezione DMARC efficace, con p=none o nessun record
• Gli attacchi BEC sono aumentati del 37% tra maggio e giugno 2025, e l'FBI ha segnalato perdite per 2,77 miliardi di dollari legate al BEC nel 2024

Le principali organizzazioni di New York sono all'avanguardia sul DMARC. Questa è la buona notizia. 72 domini su 99 analizzati (72,7%) hanno raggiunto p=reject, il livello di policy che blocca attivamente le email contraffatte prima che raggiungano le caselle di posta. Per contesto, la recente analisi di Red Sift sulle principali organizzazioni di Boston ha rilevato solo il 50,5% in enforcement. Il tasso di New York è nettamente superiore.

Ma "essere all'avanguardia" non significa "aver finito".

27 domini appartenenti alle più grandi organizzazioni di New York non hanno ancora raggiunto l'enforcement. Più di uno su quattro. In una città dove il dominio email di una singola organizzazione può toccare quotidianamente migliaia di clienti, partner, fornitori e regolatori, queste 27 lacune hanno un peso rilevante.

Ecco come si suddividono i 27 domini non protetti. 15 sono a p=quarantine, il che significa che le email contraffatte vengono segnalate e instradate nello spam ma non vengono direttamente rifiutate. Il messaggio di un attaccante potrebbe comunque raggiungere qualcuno che controlla la propria cartella spam o che ha un filtro antispam permissivo. 11 domini utilizzano p=none, che raccoglie dati di autenticazione ma non intraprende alcuna azione contro le email fraudolente. E 1 dominio non ha alcun record DMARC.

Le organizzazioni in quarantena sono vicine al traguardo. Hanno già svolto il lavoro tecnico di base. Passare da quarantena a reject richiede in genere dalle 6 alle 8 settimane con gli strumenti giusti. Per i 12 domini privi di una protezione significativa, l'esposizione è reale e la soluzione è semplice.

New York non è una città qualsiasi. È la capitale finanziaria del mondo, sede delle più grandi aziende media del paese e quartier generale operativo per imprese globali in ogni settore. Questa concentrazione di obiettivi di alto valore rende la protezione DMARC particolarmente importante qui.

Le banche, le assicurazioni e le società di investimento di New York gestiscono transazioni per migliaia di miliardi di dollari che iniziano con, o vengono confermate tramite, email. Gli attacchi BEC sfruttano esattamente questo. L'IC3 dell'FBI ha segnalato 2,77 miliardi di dollari di perdite legate al BEC nel 2024, con quasi 8,5 miliardi di dollari persi complessivamente tra il 2022 e il 2024. Le società di servizi finanziari sono le più prese di mira, con perdite mediane di circa 125.000 dollari per incidente. Un singolo dominio non protetto di un'istituzione finanziaria di New York può diventare il punto di ingresso per un attacco di impersonificazione che si propaga in tutta la sua base clienti.

Google, Yahoo e Microsoft richiedono tutti il DMARC per i mittenti di email in blocco. A partire dalla fine del 2025, Google emette errori di rifiuto permanente (codici 550) per i messaggi non conformi. Questi tre provider gestiscono oltre l'80% delle email a livello globale. Per le organizzazioni di New York che inviano aggiornamenti ai clienti, campagne di marketing, fatture o comunicazioni di conformità, una policy DMARC debole non crea solo una lacuna di sicurezza. Crea anche una lacuna nella deliverability. Le email che prima arrivavano nella posta in arrivo ora rimbalzano o finiscono nello spam.

PCI DSS 4.0.1 richiede il DMARC per le organizzazioni che gestiscono dati di carte di pagamento. NIS2 impone requisiti simili in tutta l'UE, rilevanti per qualsiasi azienda di New York con operazioni o clienti europei. Gli assicuratori cyber richiedono sempre più spesso l'enforcement DMARC come condizione di copertura, e alcuni escludono del tutto i risarcimenti per BEC per le organizzazioni che non hanno raggiunto standard minimi di autenticazione.

Le organizzazioni di New York non operano in isolamento. Si trovano al centro di catene di fornitura che coinvolgono migliaia di fornitori, partner e clienti. Quando il dominio di un'organizzazione è vulnerabile allo spoofing, ogni azienda della sua rete è a rischio. Un attaccante non deve compromettere i tuoi sistemi. Gli basta inviare un'email che sembri provenire da te. Per i 27 domini di New York privi di enforcement, la loro esposizione si estende ben oltre i propri confini.

Le principali organizzazioni di New York gestiscono ambienti email complessi. Domini multipli, decine di mittenti terzi, operazioni globali e un'intensa attività di fusioni e acquisizioni che modifica costantemente il panorama email. Red Sift OnDMARC è stato progettato esattamente per questo.

L'implementazione manuale del DMARC richiede in media circa 32 settimane. Red Sift OnDMARC porta le organizzazioni a p=reject in 6-8 settimane. Per i 15 domini di New York attualmente in quarantena, il passaggio all'enforcement potrebbe essere completato in poche settimane, non in trimestri.

Le aziende di New York utilizzano tipicamente un lungo elenco di servizi email di terze parti: piattaforme di marketing, CRM, sistemi di fatturazione, strumenti HR e altro ancora. Ognuno di questi si aggiunge al record SPF, e SPF ha un limite rigido di 10 lookup DNS. La tecnologia Dynamic SPF di Red Sift gestisce automaticamente questo vincolo, mantenendo l'autenticazione valida man mano che la tua infrastruttura di invio si evolve.

OnDMARC trasforma i report aggregati e forensi DMARC grezzi in una dashboard chiara e utilizzabile. I team di sicurezza possono vedere ogni servizio che invia per conto dei loro domini, se è autorizzato e se supera l'autenticazione. Per le organizzazioni che gestiscono decine di domini e sottodomini, questa visibilità fa la differenza tra ipotizzare e sapere con certezza.

Raggiungere p=reject non è un progetto una tantum. Vengono aggiunti nuovi servizi di invio. Le acquisizioni portano nuovi domini. Le configurazioni cambiano nel tempo. OnDMARC fornisce un monitoraggio continuo affinché il tuo livello di enforcement rimanga stabile, anche mentre il tuo ecosistema email cambia.

Il tasso di enforcement del 72,7% di New York dimostra cosa è possibile ottenere. Per le 27 organizzazioni che non hanno ancora completato il percorso, la strada è chiara e gli strumenti per arrivarci rapidamente esistono già.