Il 59% delle organizzazioni del Midwest settentrionale degli Stati Uniti non applica misure di enforcement per l'email

Red Sift ha analizzato 1.000 domini appartenenti alle organizzazioni più grandi di dieci stati del Midwest settentrionale, scoprendo che solo 412 (41%) hanno raggiunto il pieno enforcement DMARC. Il Midwest settentrionale è la spina dorsale manifatturiera degli Stati Uniti, il centro della produzione agricola del paese e sede di hub dei servizi finanziari che elaborano transazioni per migliaia di miliardi di dollari ogni anno. Nonostante questa concentrazione di attività economica, il 59% delle principali organizzazioni della regione non blocca le email contraffatte. Ricerche simili condotte da Red Sift su altre regioni includono il Nordest (35%), il Mid-Atlantic (44%), il Sudovest (40%) e l'Heartland (36%).

• Solo 412 domini su 1.000 (41%) in dieci stati del Midwest settentrionale hanno raggiunto l'enforcement DMARC (p=reject)
• 283 domini (28,3%) utilizzano politiche p=none, che monitorano ma non agiscono contro le email contraffatte
• 210 domini (21%) si trovano a p=quarantine, vicini alla protezione completa ma senza aver completato il passaggio a reject
• 95 domini (9,5%) non hanno alcun record DMARC pubblicato
• L'Iowa guida la regione con il 49% di enforcement. Il Sud Dakota è ultimo con il 26%

Red Sift ha analizzato 100 domini delle principali organizzazioni in ciascuno dei dieci stati del Midwest settentrionale: Illinois, Indiana, Iowa, Kentucky, Michigan, Minnesota, Dakota del Nord, Ohio, Dakota del Sud e Wisconsin. I risultati mostrano una regione in cui il nucleo industriale e agricolo del paese lascia ancora la maggior parte dei suoi domini non protetti contro l'impersonificazione via email.

Su tutti i 1.000 domini, il 41% ha raggiunto p=reject, il livello di policy DMARC che blocca attivamente le email contraffatte. Questo pone il Midwest settentrionale davanti al Nordest (35%) e all'Heartland (36%), appena dietro al Sudovest (40%), e ancora indietro rispetto al Mid-Atlantic (44%) nel confronto continuo tra regioni condotto da Red Sift.

• Iowa (49% in enforcement): l'Iowa guida il Midwest settentrionale con 49 domini a p=reject, il tasso di enforcement più alto dello studio. Lo stato è uno dei maggiori produttori agricoli del paese, un centro in crescita per lo sviluppo di data center e sede di un cluster di servizi finanziari e assicurativi a Des Moines. 24 domini utilizzano p=none, 21 si trovano a p=quarantine e 6 non hanno alcun record. Per uno stato che gestisce miliardi nel commercio di materie prime agricole e nella sottoscrizione assicurativa, il 49% è il tasso più alto registrato da Red Sift al di fuori del Mid-Atlantic e di New York, ma più della metà delle sue principali organizzazioni manca ancora di una protezione completa.
• Michigan (48% in enforcement): il Michigan è secondo con 48 domini a p=reject. Lo stato è il centro dell'industria automobilistica americana, con Detroit e le contee circostanti sede delle principali case automobilistiche e di un'ampia rete di fornitori. Il Michigan ha anche un settore della difesa significativo, un'industria tecnologica in crescita e importanti università di ricerca. 24 domini utilizzano p=none, 21 si trovano a p=quarantine e 7 non hanno alcun record. Le catene di fornitura automobilistiche si basano su ordini d'acquisto, contratti di attrezzaggio e conferme di consegna just-in-time che viaggiano tutte via email. Un dominio contraffatto che colpisce un fornitore di primo livello può interrompere le linee di produzione e reindirizzare i pagamenti lungo l'intera catena.
• Ohio (47% in enforcement): l'Ohio ha 47 domini a p=reject e il tasso di assenza di record più basso a pari merito dello studio, pari a 4. Lo stato è una potenza manifatturiera e sanitaria, sede di importanti sistemi ospedalieri, istituzioni finanziarie, installazioni della difesa tra cui la base aerea Wright-Patterson, e di una rete logistica che collega le metà orientale e occidentale del paese. 23 domini utilizzano p=none e 26 si trovano a p=quarantine. Quei 26 domini in quarantena hanno già svolto il lavoro difficile. Il passaggio da quarantine a reject è un breve progetto che completa un lavoro già quasi finito.
• Minnesota (46% in enforcement): il Minnesota ha 46 domini a p=reject. Lo stato ospita una delle più alte concentrazioni pro capite di aziende Fortune 500 del paese, spaziando tra sanità, dispositivi medici, retail, servizi finanziari e produzione alimentare. Minneapolis-St. Paul è il fulcro di un'economia aziendale in cui l'email è il canale principale per le trattative con i fornitori, la gestione dei sinistri e il coordinamento della catena di fornitura. 28 domini utilizzano p=none, 18 si trovano a p=quarantine e 8 non hanno alcun record. Uno stato con una tale densità di grandi aziende dovrebbe superare il 50%, non restare al di sotto.
• Illinois (45% in enforcement): l'Illinois ha 45 domini a p=reject. Chicago è la capitale finanziaria e del commercio di materie prime del Midwest, sede del CME Group e del CBOE, di importanti operazioni bancarie, di un vasto settore sanitario e di una delle più grandi reti di trasporto e logistica del paese. 23 domini utilizzano p=none, 27 si trovano a p=quarantine e 5 non hanno alcun record. L'Illinois ha il conteggio più alto di domini in quarantena dello studio, pari a 27. Si tratta di 27 organizzazioni che hanno identificato i propri mittenti, configurato SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) e impostato una policy di quarantena. Il passaggio da quarantine a reject richiede tipicamente da 6 a 8 settimane.
• Wisconsin (45% in enforcement): il Wisconsin è a pari merito con l'Illinois con 45 domini a p=reject. Lo stato è un importante centro manifatturiero, il maggior produttore di latticini del paese e sede di un'industria sanitaria e assicurativa distribuita tra Milwaukee e Madison. 31 domini utilizzano p=none, 19 si trovano a p=quarantine e 5 non hanno alcun record. I 31 domini a p=none stanno osservando l'arrivo di email contraffatte nei loro report DMARC senza bloccarne nessuna. I dati ci sono. Nessuno agisce su di essi.
• Kentucky (42% in enforcement): il Kentucky ha 42 domini a p=reject. Lo stato è un hub logistico nazionale, con Louisville che funge da principale hub aereo per UPS e da centro per sanità, distillazione del bourbon e produzione automobilistica. 29 domini utilizzano p=none, 21 si trovano a p=quarantine e 8 non hanno alcun record. Le conferme di spedizione, la documentazione doganale e le istruzioni di pagamento per uno stato ad alta intensità logistica come il Kentucky viaggiano tutte via email. Un dominio contraffatto che colpisce questi flussi di lavoro può reindirizzare spedizioni o pagamenti prima che qualcuno se ne accorga.
• Indiana (37% in enforcement): l'Indiana ha 37 domini a p=reject e il tasso di assenza di record più basso a pari merito dello studio, pari a 4. Lo stato è un hub manifatturiero e farmaceutico, sede di una delle più alte concentrazioni di aziende farmaceutiche del paese, oltre a significative operazioni della difesa presso il Crane Naval Surface Warfare Center e un'industria motoristica basata a Indianapolis. 33 domini utilizzano p=none, il conteggio più alto dello studio, e 26 si trovano a p=quarantine. 33 domini che raccolgono dati DMARC senza agire su di essi rappresentano un problema, specialmente in uno stato dove le comunicazioni sulla catena di fornitura farmaceutica e le email relative agli appalti della difesa sono obiettivi di alto valore.
• Dakota del Nord (27% in enforcement): il Dakota del Nord ha 27 domini a p=reject e il secondo tasso più alto di assenza di record dello studio, pari a 21. Lo stato è un importante produttore di energia grazie alla formazione petrolifera di Bakken, un significativo esportatore agricolo e sede di installazioni militari tra cui la base aerea di Minot, che ospita una delle ali di ICBM nucleari del paese. 38 domini utilizzano p=none e 14 si trovano a p=quarantine. Uno stato che ospita infrastrutture per armi nucleari ed elabora miliardi in transazioni energetiche non dovrebbe avere il 21% delle sue principali organizzazioni completamente prive di un record DMARC.
• Dakota del Sud (26% in enforcement): il Dakota del Sud è ultimo con 26 domini a p=reject, il tasso di enforcement più basso del Midwest settentrionale e uno dei tassi più bassi registrati da Red Sift per un singolo stato. Lo stato ospita un importante cluster di servizi finanziari ed elaborazione di carte di credito a Sioux Falls, oltre ad agricoltura, turismo e la base aerea di Ellsworth. 30 domini utilizzano p=none e 27 non hanno alcun record DMARC, il tasso più alto dello studio. Il tasso di assenza di record del 27% del Dakota del Sud è il più alto registrato da Red Sift dai tempi dello studio sull'Heartland, che includeva gli stati confinanti Dakota del Sud e Dakota del Nord. Per uno stato la cui economia dipende dai servizi finanziari e dall'elaborazione delle carte di credito, questo divario è difficile da spiegare.

Le 210 organizzazioni che si trovano a p=quarantine sono vicine al traguardo. Hanno svolto il lavoro DNS, identificato i propri mittenti e configurato SPF e DKIM. Il passaggio da quarantine a reject richiede tipicamente da 6 a 8 settimane. Si tratta di 210 domini in cui un breve progetto completa un lavoro quasi finito.

L'Illinois e l'Indiana si distinguono in questo caso con rispettivamente 27 e 26 domini in quarantena. Se quelle organizzazioni passassero a reject, l'Illinois salirebbe al 72% di enforcement e l'Indiana al 63%. L'infrastruttura è già in atto. Manca solo la modifica finale della policy.

Il Midwest settentrionale si regge su settori in cui un'email contraffatta può innescare frodi tramite bonifico, interrompere le catene di fornitura manifatturiere, compromettere l'integrità farmaceutica o intercettare transazioni finanziarie del valore di milioni di dollari. La diffusione della regione su dieci stati e molteplici settori critici rende il rischio ampio e la posta in gioco elevata.

Michigan, Ohio, Indiana, Illinois, Wisconsin e Kentucky formano il nucleo manifatturiero del paese. Le catene di fornitura automobilistiche, la produzione farmaceutica, le attrezzature industriali e la lavorazione alimentare dipendono tutte dall'email per ordini d'acquisto, conferme di spedizione, certificazioni di qualità e istruzioni di pagamento. L'IC3 dell'FBI ha registrato 3,04 miliardi di dollari di perdite dovute a BEC nel 2025, con l'86% di questi fondi trasferiti tramite bonifico o ACH. Le aziende manifatturiere sono obiettivi di alto valore perché i loro flussi di pagamento coinvolgono somme ingenti, molteplici fornitori e approvazioni sensibili al tempo distribuite lungo catene di fornitura complesse. Un'email contraffatta proveniente da un fornitore automobilistico di primo livello a un OEM, o da un fornitore di ingredienti farmaceutici a un produttore, può reindirizzare pagamenti a sei o sette cifre prima che qualcuno se ne accorga. L'enforcement DMARC a p=reject blocca l'impersonificazione prima che raggiunga la casella di posta.

Iowa, Minnesota, Wisconsin, Dakota del Nord e Dakota del Sud sono tra i maggiori produttori agricoli del paese. Il commercio dei cereali, la lavorazione dei latticini, le aste di bestiame, la produzione di etanolo e le reti di pagamento dei fornitori che collegano agricoltori, trasformatori, distributori e rivenditori si basano tutte sull'email. Le comunicazioni della catena di fornitura, tra cui contratti per materie prime, certificati fitosanitari, conferme di consegna e istruzioni di pagamento, transitano ogni giorno nelle caselle di posta. Un dominio contraffatto che colpisce un silo per cereali, una cooperativa lattiero-casearia o un distributore alimentare può reindirizzare pagamenti, ritardare spedizioni o introdurre istruzioni fraudolente nelle catene di fornitura che alimentano il paese. Il 28,3% dei domini del Midwest settentrionale che si trova a p=none sta osservando tutto questo nei propri report DMARC senza bloccare nulla.

Il distretto finanziario di Chicago è uno dei più importanti al mondo, ed elabora ogni anno operazioni su materie prime, derivati e transazioni bancarie del valore di migliaia di miliardi. Des Moines è uno dei maggiori centri assicurativi del paese. Sioux Falls elabora una quota significativa delle transazioni con carta di credito della nazione. Le società di servizi finanziari, gli assicuratori e i gestori dei pagamenti sono obiettivi privilegiati per il BEC perché i loro flussi di lavoro coinvolgono trasferimenti di alto valore, pagamenti di sinistri e comunicazioni interbancarie. Un'email contraffatta che colpisce l'approvazione di un bonifico, il pagamento di un sinistro assicurativo o una liquidazione con carta di credito può spostare somme ingenti prima che i controlli antifrode riescano a intervenire. I 95 domini privi di qualsiasi record DMARC sono i più esposti, ma anche i 283 a p=none sono a rischio man mano che l'enforcement si intensifica.

Il Dakota del Nord ospita la base aerea di Minot, sede di una delle ali di ICBM nucleari del paese e di uno squadrone di bombardieri B-52. L'Ohio ospita la base aerea Wright-Patterson, sede del comando del materiale dell'aeronautica militare. Il Fort Knox del Kentucky e il Crane Naval Surface Warfare Center dell'Indiana si aggiungono all'impronta della difesa della regione. Gli appaltatori della difesa, i partner di ricerca e le agenzie governative che operano in questi stati inviano email legate ad appalti, logistica e programmi sensibili. Il tasso di enforcement del 27% e il tasso di assenza di record del 21% del Dakota del Nord sono tra i più bassi mai registrati da Red Sift, e appartengono a uno stato in cui un dominio contraffatto che colpisce la catena di fornitura della difesa non è solo un tentativo di phishing. È un rischio per la sicurezza nazionale.

Google e Yahoo hanno iniziato a richiedere DMARC per i mittenti di massa nel febbraio 2024. Microsoft ha seguito nel maggio 2025 con il proprio enforcement per i mittenti ad alto volume verso indirizzi Outlook, Hotmail e Live.com. I messaggi non conformi vengono ora respinti direttamente. Per le organizzazioni del Midwest settentrionale che inviano ordini d'acquisto manifatturieri, fatture agricole, sinistri assicurativi o corrispondenza finanziaria, una policy DMARC mancante o debole significa che quei messaggi potrebbero non arrivare mai. I 95 domini privi di qualsiasi record DMARC sono i più esposti, ma anche i 283 a p=none sono a rischio man mano che l'enforcement si intensifica presso tutti i principali provider di caselle di posta.

PCI DSS 4.0.1 impone DMARC alle organizzazioni che gestiscono dati di carte di pagamento, coinvolgendo servizi finanziari, retail e aziende manifatturiere in tutta la regione. NIS2 si applica a qualsiasi azienda del Midwest settentrionale con operazioni o clienti nell'UE. Gli assicuratori informatici stanno inasprendo i requisiti, con alcuni che escludono il pagamento per BEC per le organizzazioni prive di un'autenticazione email di base. Per gli appaltatori della difesa in Ohio e Dakota del Nord, i framework CMMC e NIST raccomandano già DMARC come controllo di base. E per le aziende farmaceutiche in Indiana, le linee guida della FDA sull'integrità della catena di fornitura fanno sempre più riferimento all'autenticazione email come parte della verifica dei fornitori.

In sette regioni, le organizzazioni che non raggiungono mai il reject raramente mancano di intenzione. Mancano di tempo, di visibilità sui mittenti e di un modo per mantenere intatta l'autenticazione mentre la loro infrastruttura cambia. Red Sift OnDMARC rimuove ciascuno di questi ostacoli direttamente, il che conta in una regione dove un singolo messaggio contraffatto può inserirsi in un pagamento a un fornitore, in una prenotazione di trasporto merci o in un thread di appalti della difesa.

• Manca il tempo? Un rollout manuale tipicamente si trascina per gran parte di un anno perché mappare a mano ogni mittente legittimo è lento e implacabile. OnDMARC gestisce questa scoperta al posto tuo e comprime l'intero percorso verso l'enforcement in poche settimane, così i 145 domini del Sudest fermi a quarantine non restano in attesa di un progetto che non finisce mai.
• Troppi mittenti da monitorare? Produttori, porti e società di pagamento spesso autorizzano molti più servizi email di quanti ne consenta il limite di dieci lookup di SPF, e i record si guastano silenziosamente non appena lo superano. Dynamic SPF mantiene quei record coerenti autonomamente, senza modifiche manuali ogni volta che una nuova piattaforma si aggiunge allo stack.
• Sommersi dai dati dei report? I feedback DMARC grezzi arrivano in formato XML che quasi nessuno ha il tempo di analizzare, così lo spoofing si nasconde in bella vista. OnDMARC li traduce in una vista chiara e aggiornata di tutto ciò che invia come tuo dominio, così i team agiscono su ciò che possono vedere invece di indovinare.
• Temi che non duri? In settori sottoposti ad audit e in rapida consolidazione, raggiungere il reject una sola volta non basta. OnDMARC monitora continuamente e segnala le deviazioni non appena si verificano, mantenendo protetto un dominio già protetto attraverso nuovi fornitori, ristrutturazioni e le acquisizioni che sono la norma nell'economia automobilistica e logistica della regione.

Il 41% di enforcement nel Midwest settentrionale pone la regione davanti al Nordest (35%) e all'Heartland (36%), ma ancora dietro al Mid-Atlantic (44%). Il 49% dell'Iowa dimostra che il percorso funziona. Il 26% del Dakota del Sud mostra quanta strada debbano ancora fare alcuni stati. Per le 588 organizzazioni che non hanno ancora raggiunto il pieno enforcement, Red Sift OnDMARC può colmare il divario tra l'esposizione al rischio della regione e la sua attuale postura di sicurezza email.