Il 69% delle aziende del Nordovest degli Stati Uniti è vulnerabile al phishing via email

Red Sift ha analizzato 600 domini appartenenti alle maggiori organizzazioni di sei stati del Nordovest, scoprendo che solo 188 (31%) hanno raggiunto la piena applicazione del DMARC. Si tratta del tasso di applicazione regionale più basso mai registrato da Red Sift negli Stati Uniti. Il Nordovest alimenta una quota significativa dell'approvvigionamento energetico del paese, ospita due delle tre ali missilistiche nucleari terrestri e accoglie alcune delle maggiori aziende tecnologiche e aerospaziali del mondo. Nonostante ciò, il 69% delle principali organizzazioni della regione non blocca le email contraffatte. Altre ricerche simili condotte da Red Sift su altre regioni includono il Nordest (35%), il Mid-Atlantic (44%), il Sudovest (40%), l'Heartland (36%) e gli stati del North Central (41%).

• Solo 188 domini su 600 (31%) in sei stati del Nordovest hanno raggiunto l'applicazione del DMARC (p=reject), il valore più basso tra tutte le regioni statunitensi studiate da Red Sift
• 182 domini (30,3%) applicano policy p=none, che monitorano ma non intraprendono alcuna azione contro le email contraffatte
• 136 domini (22,7%) si trovano a p=quarantine, vicini alla piena protezione ma senza completare il passaggio a reject
• 94 domini (15,7%) non hanno alcun record DMARC pubblicato, il tasso più alto di assenza di record tra tutte le regioni della serie
• Il Washington è in testa con il 44% di applicazione. Il Montana è ultimo con il 25%, il tasso più basso mai registrato da Red Sift per un singolo stato

Red Sift ha analizzato 100 domini delle principali organizzazioni in ciascuno dei sei stati del Nordovest: Alaska, Idaho, Montana, Oregon, Washington e Wyoming. I risultati mostrano una regione divisa quasi a metà, dove i poli tecnologici costieri hanno pubblicato record DMARC ma si sono fermati prima dell'applicazione, mentre negli stati interni una grande quota delle principali organizzazioni non ha alcuna autenticazione email.

Su tutti i 600 domini, il 31% ha raggiunto p=reject, il livello di policy DMARC che blocca attivamente le email contraffatte. Questo colloca il Nordovest dietro tutte le altre regioni nel confronto in corso di Red Sift: Nordest (35%), Heartland (36%), Sudovest (40%), North Central (41%) e Mid-Atlantic (44%).

Il tratto distintivo della regione è il divario tra le sue due metà. Washington e Oregon, sede dell'economia tecnologica e aerospaziale del Nordovest, hanno quasi nessun dominio privo di record (5% e 4%). I quattro stati interni raccontano una storia diversa. Il Wyoming ha il 30% delle sue principali organizzazioni senza alcun record DMARC, il Montana il 23% e l'Idaho il 19%. Il tasso del 15,7% di assenza di record nel Nordovest è il più alto tra tutte le regioni della serie, e quasi tutto questo divario proviene dagli stati interni.

• Washington (44% in applicazione): Il Washington guida il Nordovest con 44 domini a p=reject, pareggiando con il Mid-Atlantic per il tasso di leadership regionale più alto mai registrato da Red Sift al di fuori di New York. Lo stato ospita Microsoft, Amazon, Boeing, Costco e Starbucks, oltre a importanti porti di spedizione del Pacifico e una forte presenza militare presso la Joint Base Lewis-McChord e la Naval Base Kitsap. 28 domini applicano p=none, 23 si trovano a p=quarantine e solo 5 non hanno alcun record. La concentrazione di aziende tecnologiche e aerospaziali dello stato si riflette in questo basso numero di domini senza record, ma il 56% delle sue principali organizzazioni non ha ancora raggiunto la piena protezione.
• Oregon (36% in applicazione): L'Oregon ha 36 domini a p=reject e il tasso più basso di assenza di record nello studio, pari a 4. Lo stato ospita il più grande stabilimento produttivo di Intel, Nike e un polo di semiconduttori noto come Silicon Forest, oltre a industrie legate al legname, all'agricoltura e a un settore vinicolo in crescita. 34 domini applicano p=none, il numero più alto di none nello studio, 26 si trovano a p=quarantine e 4 non hanno alcun record. Quasi tutte le principali organizzazioni dell'Oregon hanno pubblicato un record DMARC. Il problema è che 60 di esse si sono fermate a none o quarantine senza completare il passaggio a reject.
• Idaho (29% in applicazione): L'Idaho ha 29 domini a p=reject. Lo stato ospita la sede centrale di Micron Technology, un'economia tecnologica e agricola in rapida crescita e l'Idaho National Laboratory, il principale laboratorio di ricerca sull'energia nucleare del Department of Energy. 33 domini applicano p=none, 19 si trovano a p=quarantine e 19 non hanno alcun record. Per uno stato che ospita una struttura nazionale di ricerca nucleare, il fatto che il 19% delle sue principali organizzazioni non abbia alcun record DMARC è un divario da colmare.
• Alaska (28% in applicazione): L'Alaska ha 28 domini a p=reject e il numero più alto di domini in quarantine nello studio, pari a 31. L'economia dello stato si basa sul petrolio e sul gas del North Slope, sulla pesca commerciale e sul turismo, con una presenza militare strategica presso la Joint Base Elmendorf-Richardson e il sistema di difesa Ground-based Midcourse a Fort Greely. 28 domini applicano p=none, 31 si trovano a p=quarantine e 13 non hanno alcun record. Quei 31 domini in quarantine hanno già svolto il lavoro più difficile. Se l'Alaska li spostasse a reject, il suo tasso di applicazione salirebbe dal 28% al 59%.
• Wyoming (26% in applicazione): Il Wyoming ha 26 domini a p=reject e il tasso più alto di assenza di record mai registrato da Red Sift, pari al 30%. Lo stato meno popolato del paese è il maggiore produttore di carbone della nazione, un importante produttore di petrolio, gas e uranio, e ospita la F.E. Warren Air Force Base, che gestisce una delle tre ali missilistiche nucleari Minuteman III del paese. 27 domini applicano p=none, 17 si trovano a p=quarantine e 30 non hanno alcun record. Uno stato che ospita un'ala missilistica ICBM nucleare e alimenta una quota significativa della rete elettrica nazionale non dovrebbe avere il 30% delle sue principali organizzazioni completamente prive di un record DMARC.
• Montana (25% in applicazione): Il Montana è all'ultimo posto con 25 domini a p=reject, il tasso di applicazione più basso mai registrato da Red Sift per un singolo stato in tutta la serie. L'economia dello stato spazia tra agricoltura, energia e turismo, e ospita la Malmstrom Air Force Base, sede di un'altra delle tre ali missilistiche nucleari Minuteman III del paese. 32 domini applicano p=none, 20 si trovano a p=quarantine e 23 non hanno alcun record. Montana e Wyoming insieme ospitano due delle tre ali di deterrenza nucleare terrestre statunitensi, e detengono i due tassi di applicazione più bassi della regione.

Le medie nascondono la vera storia. Dividendo i sei stati in base alla geografia, lo schema è difficile da non notare.

Washington e Oregon, gli stati costieri del Pacifico che ospitano l'economia tecnologica e aerospaziale della regione, hanno pubblicato record DMARC in modo quasi universale. Insieme, solo 9 domini su 200 non hanno alcun record. Il loro problema è l'ultimo miglio: rispettivamente il 28% e il 34% è fermo a p=none, osservando le email contraffatte arrivare nei loro report senza bloccarne nessuna.

I quattro stati interni rappresentano un problema completamente diverso. Idaho, Wyoming, Montana e Alaska rappresentano insieme 85 dei 94 domini senza record della regione. Wyoming e Montana da soli ne rappresentano 53. Si tratta di stati con infrastrutture legate alle armi nucleari, produzione energetica nazionale e un importante laboratorio di ricerca federale, dove un quarto o un terzo delle principali organizzazioni non ha compiuto alcun passo verso l'autenticazione email.

Due regioni, due soluzioni diverse. Gli stati costieri devono completare un progetto già avviato. Gli stati interni devono avviarne uno.

Le 136 organizzazioni ferme a p=quarantine sono vicine al traguardo. Hanno svolto il lavoro DNS, identificato i propri mittenti e configurato SPF e DKIM. Il passaggio da quarantine a reject richiede in genere dalle 6 alle 8 settimane. Si tratta di 136 domini in cui un breve progetto porterebbe a termine un lavoro già quasi completato.

L'Alaska si distingue con 31 domini in quarantine, il numero più alto registrato per un singolo stato nello studio, seguita dall'Oregon con 26. Se queste organizzazioni passassero a reject, l'Alaska salirebbe al 59% di applicazione e l'Oregon al 62%. L'infrastruttura è già in atto. Ciò che manca è l'ultima modifica di policy.

Il Nordovest si basa su settori in cui un'email contraffatta può innescare una frode bancaria, intercettare una transazione energetica, interrompere una catena di fornitura aerospaziale o colpire un'installazione militare. La diffusione della regione su sei stati e diversi settori critici rende il rischio ampio e la posta in gioco elevata.

I giacimenti petroliferi del North Slope in Alaska, il carbone e il gas naturale del Wyoming, la produzione energetica del Montana e il laboratorio di ricerca nucleare dell'Idaho rendono il Nordovest un polo energetico nazionale. Il trading energetico, i pagamenti di royalty, i contratti sugli oleodotti e le fatture dei fornitori si muovono tutti via email, spesso per importi a sei o sette cifre. L'IC3 dell'FBI ha registrato 3,04 miliardi di dollari in perdite dovute a compromissione della posta elettronica aziendale (BEC) nel 2025, con l'86% di questi fondi trasferiti tramite bonifico bancario o ACH. Un'email contraffatta che colpisca un pagamento di royalty o un contratto con un fornitore di un oleodotto può dirottare somme ingenti prima che qualcuno se ne accorga. Gli stati interni che producono la maggior parte di questa energia sono anche quelli con la postura DMARC più debole, il che colloca l'esposizione esattamente dove si muove il denaro.

Washington e Oregon ospitano alcune delle maggiori aziende tecnologiche e aerospaziali del mondo, insieme ai fornitori, appaltatori e partner di ricerca che gravitano intorno a esse. La catena di fornitura aerospaziale di Boeing, le reti di produzione di semiconduttori attorno a Intel e Micron, e i giganti del cloud e del software con sede a Seattle dipendono tutti dalle email per ordini d'acquisto, specifiche di progettazione e istruzioni di pagamento. Questi sono esattamente i brand che gli aggressori vogliono impersonare di più. I 62 domini di Washington e Oregon fermi a p=none dispongono di report DMARC che mostrano tentativi di contraffazione in tempo reale. Semplicemente non agiscono sui dati.

L'industria delle patate e dei latticini dell'Idaho, la produzione di grano e bestiame del Montana, i settori delle mele e del vino di Washington e le esportazioni agricole dell'Oregon collegano una rete di coltivatori, trasformatori, distributori e fornitori che opera via email. Contratti su materie prime, conferme di spedizione e istruzioni di pagamento transitano ogni giorno nelle caselle di posta. Un dominio contraffatto che colpisca un silo per cereali, una cooperativa lattiero-casearia o un distributore alimentare può dirottare pagamenti o inserire istruzioni fraudolente nella catena di fornitura. I 182 domini del Nordovest fermi a p=none stanno osservando tutto questo nei loro report senza bloccarlo.

È qui che i numeri del Nordovest sono più difficili da difendere. La F.E. Warren Air Force Base del Wyoming e la Malmstrom Air Force Base del Montana gestiscono due delle tre ali missilistiche nucleari Minuteman III del paese. L'Alaska ospita la Joint Base Elmendorf-Richardson e il sistema di difesa Ground-based Midcourse a Fort Greely, elemento centrale della difesa missilistica del territorio nazionale statunitense. L'Idaho National Laboratory guida la ricerca federale sull'energia nucleare. Appaltatori della difesa, partner di ricerca e agenzie federali che operano in questi stati inviano email legate ad approvvigionamenti, logistica e programmi sensibili. I tassi di applicazione del 25% del Montana e del 26% del Wyoming, combinati con tassi di assenza di record del 23% e del 30%, sono tra i più bassi mai registrati da Red Sift, e appartengono a stati in cui un dominio contraffatto che colpisca la catena di fornitura della difesa non è solo un tentativo di phishing. È un rischio per la sicurezza nazionale.

Google e Yahoo hanno iniziato a richiedere il DMARC per i mittenti di massa a partire da febbraio 2024. Microsoft ha seguito a maggio 2025 con la propria applicazione per i mittenti ad alto volume verso indirizzi Outlook, Hotmail e Live.com. I messaggi non conformi vengono ora rifiutati senza appello. Per le organizzazioni del Nordovest che inviano fatture energetiche, ordini d'acquisto aerospaziali, conferme agricole o corrispondenza finanziaria, una policy DMARC assente o debole significa che questi messaggi potrebbero non arrivare mai a destinazione. I 94 domini privi di qualsiasi record DMARC sono i più esposti, ma anche i 182 fermi a p=none sono a rischio man mano che l'applicazione si irrigidisce presso tutti i principali provider di posta.

Lo standard PCI DSS 4.0.1 impone il DMARC alle organizzazioni che gestiscono dati di carte di pagamento, il che coinvolge il commercio al dettaglio, i servizi finanziari e le aziende energetiche in tutta la regione. La NIS2 si applica a qualsiasi azienda del Nordovest con operazioni o clienti nell'UE. Gli assicuratori informatici stanno inasprendo i requisiti, e alcuni escludono i risarcimenti per BEC destinati a organizzazioni prive di un'autenticazione email di base. Per gli appaltatori della difesa in Wyoming, Montana e Alaska, i framework CMMC e NIST raccomandano già il DMARC come controllo di base. Il basso tasso di applicazione della regione non è un segno che queste pressioni non si applichino. È un segno che molte organizzazioni non hanno ancora agito di conseguenza.

Le organizzazioni del Nordovest affrontano un insieme di pressioni: frodi nelle transazioni energetiche, attacchi mirati alla catena di fornitura aerospaziale e dei semiconduttori, complessità agricola e sicurezza delle installazioni difensive. Red Sift OnDMARC è pensato per questa complessità.

• Applicazione in 6-8 settimane: I progetti DMARC gestiti manualmente richiedono in media circa 32 settimane. OnDMARC riduce questo tempo a 6-8 settimane automatizzando l'identificazione delle fonti, la configurazione di SPF e DKIM e i controlli di prontezza per l'applicazione. Per le 136 organizzazioni del Nordovest ferme a p=quarantine, l'ultimo passo verso reject potrebbe richiedere settimane, non mesi.
• SPF dinamico per elenchi complessi di mittenti: Le organizzazioni del Nordovest tendono ad avere lunghi elenchi di mittenti email autorizzati: piattaforme di trading energetico, sistemi ERP aerospaziali, strumenti di logistica agricola, sistemi finanziari e piattaforme di marketing. I record SPF hanno un limite rigido di 10 lookup DNS, e le organizzazioni complesse superano rapidamente questo limite. Il Dynamic SPF di Red Sift gestisce automaticamente questo aspetto, mantenendo valida l'autenticazione senza gestione manuale dei record.
• Reportistica chiara su ogni dominio: OnDMARC converte i report aggregati e forensi grezzi del DMARC in una dashboard che mostra ogni servizio che invia email per conto dei tuoi domini. I team di sicurezza e conformità ottengono visibilità immediata su cosa è autorizzato, cosa non supera l'autenticazione e cosa deve essere corretto. Nessuna analisi XML. Nessuna congettura.
• Monitoraggio continuo per i settori regolamentati: Le organizzazioni operanti nei settori energetico, aerospaziale, della difesa, dei servizi finanziari e agricolo affrontano tutte requisiti costanti di audit e conformità. OnDMARC fornisce monitoraggio e avvisi continui, in modo che l'applicazione resti valida anche quando vengono aggiunti nuovi mittenti, i domini cambiano proprietario o l'infrastruttura evolve a seguito di fusioni e acquisizioni.

Con un tasso di applicazione del 31%, il Nordovest è la regione con il punteggio più basso mai studiata da Red Sift, dietro al Nordest (35%) e all'Heartland (36%). Il 44% del Washington dimostra che il percorso funziona. Il 25% del Montana mostra quanta strada debbano ancora percorrere alcuni stati. Gli stati costieri devono completare ciò che hanno iniziato, e gli stati interni devono cominciare. Per le 412 organizzazioni che non hanno ancora raggiunto la piena applicazione, Red Sift OnDMARC può colmare il divario tra l'esposizione al rischio della regione e la sua attuale postura di sicurezza email.