Il 61% delle organizzazioni del Sud-Est degli Stati Uniti non è protetto dagli attacchi di phishing

Red Sift ha analizzato 600 domini appartenenti alle organizzazioni più grandi di sei stati del Sud-Est, scoprendo che solo 236 (39%) hanno raggiunto la piena applicazione DMARC. Questo è il settimo e ultimo capitolo dell'analisi regionale di Red Sift sull'adozione del DMARC negli Stati Uniti, e il Sud-Est si posiziona esattamente nella fascia intermedia. La regione è il motore manifatturiero e logistico del paese, sede dell'aeroporto più trafficato al mondo, del più grande hub merci dell'emisfero occidentale, di un cluster di stabilimenti automobilistici e delle reti di pagamento che elaborano gran parte della spesa con carta del paese. Nonostante ciò, il 61% delle principali organizzazioni della regione non blocca le email contraffatte. Analisi simili su altre regioni condotte da Red Sift includono il Nordest (35%), il Mid-Atlantic (44%), il Sud-Ovest (40%), il Heartland (36%), il North Central (41%) e il Nord-Ovest (31%).

• Solo 236 domini su 600 (39%) nei sei stati del Sud-Est hanno raggiunto l'applicazione del DMARC (p=reject), posizionando la regione nella fascia intermedia tra le sette studiate da Red Sift
• 157 domini (26,2%) hanno politiche p=none, che monitorano ma non intervengono contro le email contraffatte
• 145 domini (24,2%) si trovano a p=quarantine, vicini alla piena protezione ma senza aver completato il passaggio a reject
• 62 domini (10,3%) non hanno alcun record DMARC pubblicato
• Georgia e Tennessee sono in testa a pari merito con il 45% di applicazione. Mississippi e South Carolina sono all'ultimo posto con il 35%. La Florida detiene il conteggio più alto di quarantine nello studio, con 32

Red Sift ha analizzato 100 domini delle principali organizzazioni in ciascuno dei sei stati del Sud-Est: Alabama, Florida, Georgia, Mississippi, South Carolina e Tennessee. Con il 39% di applicazione, la regione si posiziona davanti al Nordest (35%), all'Heartland (36%) e al Nord-Ovest (31%), e dietro al Mid-Atlantic (44%), al North Central (41%) e al Sud-Ovest (40%). È l'immagine di una regione americana media: la maggior parte delle organizzazioni ha iniziato, poche hanno finito.

Il dato principale nasconde un problema familiare. Mentre il 39% ha raggiunto p=reject, un altro 50% dei domini della regione è diviso tra p=none e p=quarantine, pubblicati ma non protetti. Si tratta di organizzazioni che hanno completato il lavoro di configurazione e si sono fermate prima della politica che effettivamente blocca la posta contraffatta. Solo il 10,3% non ha alcun record DMARC, il secondo tasso più basso di assenza di record nella serie, il che indica che il problema del Sud-Est non è la consapevolezza. È il completamento del lavoro.

Il divario tra gli stati è ristretto. Georgia e Tennessee guidano la regione con il 45%, la Florida si attesta al 40%, e Alabama, Mississippi e South Carolina si raggruppano tra il 35% e il 36%. Nessuno stato è del tutto insufficiente, e nessuno si è distaccato nettamente dal gruppo.

• Georgia (45% di applicazione): La Georgia guida a pari merito la regione con 45 domini a p=reject e il tasso più basso di assenza di record nello studio, pari a 7. Atlanta ancora una delle economie aziendali più solide del Sud, sede di Coca-Cola, Delta Air Lines, The Home Depot, UPS e Southern Company, oltre all'aeroporto più trafficato al mondo e al porto di Savannah in rapida crescita. La Georgia elabora inoltre una quota significativa dei pagamenti elettronici del paese attraverso il cluster di aziende fintech noto come Transaction Alley. 28 domini hanno p=none, 20 sono a p=quarantine e solo 7 non hanno alcun record. Per uno stato che gestisce una parte importante delle transazioni con carta negli Stati Uniti, un'autenticazione solida è un requisito minimo, e la Georgia dà l'esempio, sebbene il 55% delle sue principali organizzazioni non abbia ancora raggiunto l'applicazione.
• Tennessee (45% di applicazione): Il Tennessee è a pari merito con la Georgia in testa, con 45 domini a p=reject. Lo stato ospita l'hub globale di FedEx a Memphis, una delle più grandi operazioni di trasporto merci al mondo, il cluster sanitario di Nashville guidato da HCA Healthcare, una base manifatturiera automobilistica in crescita che comprende Nissan, Volkswagen e GM, e l'Oak Ridge National Laboratory, un sito di ricerca di punta del Department of Energy. 26 domini hanno p=none, 20 sono a p=quarantine e 9 non hanno alcun record. Portare all'applicazione il restante 55% in un hub logistico e sanitario di questa portata rafforzerebbe significativamente la regione.
• Florida (40% di applicazione): La Florida ha 40 domini a p=reject e il conteggio più alto di quarantine nello studio, pari a 32. La sua economia comprende turismo, banche e finanza, immobiliare, sanità, agricoltura e un settore spaziale commerciale in forte crescita attorno al Kennedy Space Center e a Cape Canaveral, e ospita lo U.S. Central Command e lo Special Operations Command presso la MacDill Air Force Base. 19 domini hanno p=none, 32 sono a p=quarantine e 9 non hanno alcun record. Quei 32 domini in quarantine raccontano la storia dello stato. Se la Florida li spostasse a reject, il suo tasso di applicazione salirebbe dal 40% al 72%, il più alto di qualsiasi stato della serie al di fuori di New York.
• Alabama (36% di applicazione): L'Alabama ha 36 domini a p=reject. Huntsville è diventata uno dei cluster aerospaziali e della difesa più densi del paese, sede del Marshall Space Flight Center della NASA, del Redstone Arsenal e di un importante campus dell'FBI, mentre gli stabilimenti automobilistici di Mercedes-Benz, Honda, Hyundai e Toyota, insieme al porto di Mobile, guidano la produzione e il commercio. 29 domini hanno p=none, 26 sono a p=quarantine e 9 non hanno alcun record. I 26 domini in quarantine sono a portata di applicazione.
• Mississippi (35% di applicazione): Il Mississippi ha 35 domini a p=reject e il tasso più alto di assenza di record nello studio, pari a 17. L'economia dello stato si basa su agricoltura, manifattura, energia e costruzione navale, con Ingalls Shipbuilding a Pascagoula che costruisce navi da guerra per la U.S. Navy. 26 domini hanno p=none, 22 sono a p=quarantine e 17 non hanno alcun record. Per uno stato con una significativa presenza di costruzione navale militare, il 17% delle sue principali organizzazioni prive di qualsiasi record DMARC rappresenta il divario più evidente della regione.
• South Carolina (35% di applicazione): La South Carolina ha 35 domini a p=reject. Lo stato è diventato un polo manifatturiero, sede dello stabilimento più grande al mondo di BMW a Spartanburg, della linea 787 di Boeing a North Charleston e di Volvo, oltre al porto di Charleston e a una forte presenza militare presso Joint Base Charleston, Fort Jackson e Parris Island. 29 domini hanno p=none, 25 sono a p=quarantine e 11 non hanno alcun record. Con 54 domini fermi a none o quarantine, il percorso verso un tasso di applicazione più elevato è breve.

*Dalle precedenti analisi regionali di Red Sift. Dimensioni del campione e metodologia coerenti tra gli studi.

Le 145 organizzazioni ferme a p=quarantine sono vicine al traguardo. Hanno completato il lavoro DNS, identificato i propri mittenti e configurato SPF e DKIM. Il passaggio da quarantine a reject richiede in genere dalle 6 alle 8 settimane. Sono 145 domini in cui un progetto breve porta a termine un lavoro già quasi completo.

La Florida si distingue con 32 domini in quarantine, il conteggio più alto tra tutti gli stati dello studio. Segue l'Alabama con 26 e la South Carolina con 25. Se la Florida da sola spostasse i suoi domini in quarantine a reject, lo stato salirebbe al 72% di applicazione, trainando verso l'alto anche la media regionale. L'infrastruttura è già in atto in tutta la regione. Ciò che manca è l'ultima modifica alla politica.

Il Sud-Est è il luogo dove l'America costruisce, spedisce e muove denaro. Un'email contraffatta in questa regione può deviare il pagamento di un fornitore, reindirizzare merci, introdurre frodi in una rete di pagamenti o colpire un'installazione militare. La concentrazione di infrastrutture manifatturiere, logistiche e finanziarie rende la posta in gioco particolarmente elevata.

Il Southern Auto Corridor attraversa direttamente questa regione. Mercedes-Benz, Honda, Hyundai e Toyota in Alabama, Nissan, Volkswagen e GM in Tennessee, e BMW e Volvo in South Carolina ancorano una densa rete di fornitori che opera con tempistiche just-in-time. Un singolo stabilimento si affida a centinaia di fornitori, e ordini di acquisto, calendari di spedizione e istruzioni di pagamento viaggiano tutti tramite email. Un dominio contraffatto che si finge un produttore o un fornitore di primo livello può reindirizzare un pagamento importante o interrompere una linea di produzione prima che qualcuno se ne accorga. Con la maggior parte dei domini della regione ancora lontani dall'applicazione, quella catena di fornitura è esposta esattamente nei punti in cui è più automatizzata.

Il Sud-Est è la spina dorsale logistica del paese. FedEx gestisce il suo super hub globale da Memphis, UPS ha sede ad Atlanta, e i porti di Savannah, Charleston, Mobile, Jacksonville e Miami gestiscono una vasta quota del commercio statunitense. La prenotazione del trasporto merci, la documentazione doganale e la fatturazione dei vettori sono processi gestiti tramite email che coinvolgono somme rilevanti e scadenze ristrette. L'IC3 dell'FBI ha registrato 3,04 miliardi di dollari in perdite legate al business email compromise (BEC) nel 2025, con l'86% di quei fondi trasferiti tramite bonifico o ACH. Un'email di spedizione o fattura contraffatta indirizzata a uno spedizioniere o a un operatore portuale può reindirizzare un pagamento in pochi minuti.

La Transaction Alley della Georgia elabora una parte significativa dei pagamenti con carta della nazione attraverso aziende come Global Payments e Fiserv. Le infrastrutture di pagamento sono tra gli obiettivi più attraenti per l'impersonificazione, perché un'email contraffatta convincente può inserirsi direttamente nel percorso del movimento di denaro. Il tasso di applicazione del 45% della Georgia guida la regione, ma un polo dei pagamenti di questa importanza dovrebbe puntare molto più in alto, e il 55% delle principali organizzazioni non ancora a reject rappresenta un'esposizione reale in un settore dove la fiducia è il prodotto.

Il Sud-Est ha un peso importante per la sicurezza nazionale. Huntsville, in Alabama, ospita il Marshall Space Flight Center della NASA e il Redstone Arsenal, la Florida ospita il Kennedy Space Center e gli U.S. Central e Special Operations Commands presso MacDill, Ingalls Shipbuilding nel Mississippi costruisce navi da guerra della Marina, e la South Carolina ospita la linea 787 di Boeing e diverse basi militari. Contraenti della difesa, partner di ricerca e agenzie federali in questi stati inviano email legate ad approvvigionamenti, logistica e programmi sensibili. Un dominio contraffatto che colpisce questa catena di fornitura non è solo un tentativo di phishing, è un rischio per la sicurezza nazionale, il che rende più difficile accettare il tasso di applicazione intermedio della regione.

Google e Yahoo hanno iniziato a richiedere il DMARC per i mittenti bulk nel febbraio 2024. Microsoft ha seguito nel maggio 2025 con la propria applicazione per i mittenti ad alto volume verso indirizzi Outlook, Hotmail e Live.com. I messaggi non conformi vengono ora rifiutati direttamente. Per le organizzazioni del Sud-Est che inviano fatture di produzione, conferme di spedizione, istruzioni di pagamento o corrispondenza con i clienti, una politica DMARC assente o debole significa che quei messaggi potrebbero non arrivare mai. I 62 domini senza alcun record DMARC sono i più esposti, ma anche i 302 a none o quarantine sono a rischio, man mano che l'applicazione si irrigidisce presso ogni principale provider di caselle di posta.

Il PCI DSS 4.0.1 impone il DMARC alle organizzazioni che gestiscono dati di carte di pagamento, il che colpisce direttamente i grandi settori regionali del commercio al dettaglio, delle banche e dei pagamenti. Il NIS2 si applica a qualsiasi azienda del Sud-Est con operazioni o clienti nell'UE. Gli assicuratori cyber stanno irrigidendo i requisiti, con alcuni che escludono i risarcimenti per BEC per le organizzazioni prive di un'autenticazione email di base. Per i contraenti della difesa in Alabama, Florida, Mississippi e South Carolina, i framework CMMC e NIST già raccomandano il DMARC come controllo di base. Il tasso di applicazione intermedio della regione non è un segno che queste pressioni non si applichino. È un segno che molte organizzazioni non hanno ancora agito di conseguenza.

Con il Sud-Est completato, Red Sift ha ora misurato l'applicazione del DMARC in sette regioni degli Stati Uniti. Il modello è notevolmente coerente. L'applicazione regionale varia da un minimo del 31% nel Nord-Ovest a un massimo del 44% nel Mid-Atlantic, e nessuna regione ha superato la maggioranza. Il 39% del Sud-Est si colloca nel mezzo di quella fascia. L'unico luogo in cui appare una chiara maggioranza è a livello cittadino, dove le principali organizzazioni di New York raggiungono il 73%, un promemoria che i centri commerciali densi e fortemente regolamentati si muovono più velocemente del paese nel suo insieme.

Tre risultati si confermano in ogni regione studiata:

• La maggior parte delle organizzazioni ha iniziato. I record DMARC pubblicati sono la norma quasi ovunque. Il tasso di assenza di record è salito significativamente sopra il 12% solo negli stati interni meno popolati del Nord-Ovest. La consapevolezza non è il problema.
• Il divario è l'ultimo miglio. In ogni regione, un ampio blocco di organizzazioni si trova a p=none o p=quarantine, monitorando la contraffazione senza bloccarla. Hanno svolto la maggior parte del lavoro e si sono fermate appena prima della protezione.
• L'applicazione segue la densità commerciale. Le regioni e le città con forte presenza finanziaria, di pagamenti e di settori regolamentati sono in testa. Le aree con molte risorse ma rurali restano indietro.

La conclusione dopo sette studi è netta. Negli Stati Uniti, la maggior parte delle principali organizzazioni non blocca ancora le email contraffatte, indipendentemente dalla regione. Il lavoro che resta da fare raramente consiste nel partire da zero. Consiste nel finire.

Il Sud-Est conferma lo stesso punto verso cui l'intera serie ha convergito: iniziare il DMARC è facile, finirlo è dove le organizzazioni si bloccano. Red Sift OnDMARC esiste per portare i domini oltre quella linea finale e mantenerli lì, il che ha un peso concreto in una regione le cui fabbriche, reti di trasporto merci, sistemi di pagamento e programmi di difesa passano tutti attraverso la casella di posta.

• Arriva a reject più velocemente: La parte lenta di un'implementazione DMARC raramente è attivare la politica finale, è identificare prima tutti i mittenti legittimi. OnDMARC automatizza questa scoperta e configurazione, trasformando un progetto che normalmente supera i sette mesi in poche settimane di lavoro. Per i 145 domini del Sud-Est bloccati a quarantine, questa è la differenza tra finire questo trimestre e finire l'anno prossimo.
• Domina liste di mittenti complesse: Un singolo produttore o operatore logistico può autorizzare decine di servizi, dai sistemi ERP di stabilimento alle piattaforme di trasporto merci ai processori di pagamento, e l'SPF tradizionale si rompe nel momento in cui supera dieci ricerche DNS. Dynamic SPF mantiene automaticamente validi quei record, così l'autenticazione non fallisce silenziosamente ogni volta che un nuovo strumento entra nello stack.
• Trasforma i report in decisioni: I dati DMARC arrivano come XML denso che pochi team hanno il tempo di leggere. OnDMARC li rappresenta come un quadro in tempo reale di ogni servizio che invia email come il tuo dominio, colmando il divario tra avere i report e sapere cosa correggere.
• Mantieni la protezione attiva: Nei settori soggetti a controlli costanti e frequenti acquisizioni, l'applicazione non è un compito da svolgere una sola volta. OnDMARC monitora continuamente e segnala i cambiamenti non appena si verificano, così un dominio che raggiunge reject lo mantiene attraverso nuovi fornitori, riorganizzazioni e le fusioni comuni nella base automobilistica e logistica della regione.

Con un'applicazione al 39%, il Sud-Est rispecchia il paese al cui centro si trova: la maggior parte delle organizzazioni ha iniziato il lavoro e si è fermata prima di finirlo. Georgia e Tennessee mostrano la strada al 45%, e i 32 domini in quarantine della Florida mostrano quanto rapidamente uno stato possa risalire. Per le 364 organizzazioni della regione che non hanno ancora raggiunto la piena applicazione, Red Sift OnDMARC può colmare il divario tra il livello attuale della sicurezza delle loro email e quello richiesto dallo scenario delle minacce.