Solo il 40% delle principali organizzazioni del Sud-Ovest blocca le email contraffatte

Red Sift ha analizzato 500 domini appartenenti alle organizzazioni più importanti di cinque stati del Sud-Ovest, scoprendo che solo 201 (40%) hanno raggiunto la piena applicazione del DMARC. Il Sud-Ovest ospita le più grandi aziende tecnologiche al mondo, le aree metropolitane in più rapida crescita del paese, il comando militare statunitense del Pacifico e un settore del gioco d'azzardo e dell'ospitalità che gestisce miliardi in transazioni finanziarie ogni anno. Nonostante questa concentrazione di bersagli di alto valore, il 60% delle principali organizzazioni della regione non blocca le email contraffatte. Ricerche simili condotte da Red Sift su altre regioni includono il Nord-Est (35%) e il Medio Atlantico (44%).

• Solo 201 domini su 500 (40%) nei cinque stati del Sud-Ovest hanno raggiunto l'applicazione del DMARC (p=reject)
• 138 domini (27,6%) adottano policy p=none che monitorano ma non intraprendono alcuna azione contro le email contraffatte
• 114 domini (22,8%) si trovano a p=quarantine, vicini alla protezione completa ma senza aver completato il passaggio a reject
• 47 domini (9,4%) non hanno alcun record DMARC pubblicato
• La California guida la regione con un'applicazione del 53%. Le Hawaii sono all'ultimo posto con il 29%

Red Sift ha analizzato 100 domini delle principali organizzazioni in ciascuno dei cinque stati del Sud-Ovest: Arizona, California, Hawaii, Nevada e Utah. I risultati mostrano una regione con ampie variazioni tra gli stati e un divario significativo tra l'importanza economica del Sud-Ovest e la sua postura di sicurezza email.

Su tutti i 500 domini, il 40% ha raggiunto p=reject, il livello di policy DMARC che blocca attivamente le email contraffatte. Questo pone il Sud-Ovest davanti al Nord-Est (35%) ma dietro il Medio Atlantico (44%) nel confronto continuo tra regioni condotto da Red Sift.

• California (53% in applicazione): La California guida il Sud-Ovest con 53 domini a p=reject, il secondo tasso di applicazione più alto tra i singoli stati registrato da Red Sift dopo New York (73%). Lo stato ospita le più grandi aziende tecnologiche al mondo, importanti istituzioni finanziarie, l'industria dell'intrattenimento e il settore agricolo più produttivo del paese. 27 domini adottano p=none e 20 si trovano a p=quarantine. Nessun dominio nel campione californiano è privo di un record DMARC, l'unico stato dello studio con un tasso di N/D dello 0%. Il tasso di applicazione del 53% è solido, ma lo stato che ospita la Silicon Valley dovrebbe fissare lo standard, non fermarsi appena sopra la metà.
• Arizona (45% in applicazione): L'Arizona è al secondo posto con 45 domini a p=reject. Phoenix è una delle aree metropolitane in più rapida crescita del paese, con un settore tecnologico in forte espansione, importanti sistemi sanitari e una significativa presenza militare, tra cui la base aerea di Luke. 32 domini adottano p=none, il tasso più alto dello studio. Solo 3 sono privi di un record DMARC. Quei 32 domini a p=none raccolgono report DMARC ma non agiscono su di essi. I dati arrivano. Nessuno li legge.
• Nevada (39% in applicazione): Il Nevada ha 39 domini a p=reject. Solo Las Vegas genera decine di miliardi di dollari all'anno nel settore del gioco d'azzardo, e il settore dell'ospitalità dello stato gestisce enormi volumi di transazioni finanziarie, dati dei clienti e pagamenti ai fornitori via email. 24 domini adottano p=none, 25 si trovano a p=quarantine e 12 non hanno alcun record DMARC. I 25 domini in quarantena sono vicini all'obiettivo. Hanno già svolto il lavoro sul DNS. Il passaggio a reject è un progetto breve, non uno nuovo.
• Utah (35% in applicazione): L'Utah ha 35 domini a p=reject e il numero più alto di domini in quarantena dello studio, con 33. Il corridoio tecnologico "Silicon Slopes" lungo il Wasatch Front ha attratto importanti aziende tecnologiche e un settore dei servizi finanziari in crescita. 18 domini adottano p=none e 14 non hanno alcun record. Quei 33 domini in quarantena rappresentano il punto di forza qui. Hanno identificato i propri mittenti, configurato SPF e DKIM e impostato una policy di quarantena. Il passaggio finale a reject potrebbe richiedere solo poche settimane.
• Hawaii (29% in applicazione): Le Hawaii si trovano all'ultimo posto con 29 domini a p=reject e il numero più alto di domini a p=none dello studio, pari a 37. Lo stato ha anche il tasso di N/D più alto, con 18 domini privi di qualsiasi record DMARC. Le Hawaii ospitano lo U.S. Indo-Pacific Command, una delle installazioni militari strategicamente più importanti al mondo, insieme a importanti operazioni turistiche e di ospitalità che gestiscono dati sensibili di clienti e informazioni finanziarie. Il divario tra l'importanza strategica dello stato e la sua postura di autenticazione email è difficile da spiegare.

Le 114 organizzazioni che si trovano a p=quarantine sono vicine all'obiettivo. Hanno già svolto il lavoro sul DNS, identificato i propri mittenti e configurato SPF e DKIM. Il passaggio da quarantine a reject richiede in genere dalle 6 alle 8 settimane. Sono 114 domini in cui un breve progetto completa un lavoro già in gran parte concluso.

Il Sud-Ovest si basa su settori in cui un'email contraffatta può innescare frodi via bonifico, compromettere operazioni classificate o esporre milioni di dati dei clienti. La diversità economica della regione rende il rischio più difficile da vedere, ma non meno grave.

La California è il centro globale del settore tecnologico. Le aziende con sede qui costruiscono le piattaforme, l'infrastruttura cloud e gli strumenti di sicurezza da cui dipende il resto del mondo. Un'email contraffatta proveniente da una grande azienda tecnologica può compromettere le catene di fornitura, distribuire malware attraverso canali affidabili o raccogliere credenziali da milioni di utenti. Il tasso di applicazione del 53% della California guida la regione, ma con 47 domini ancora incapaci di bloccare le email contraffatte, lo stato che definisce la fiducia digitale non protegge pienamente se stesso. Il settore tecnologico in crescita di Phoenix in Arizona e il corridoio Silicon Slopes dell'Utah affrontano la stessa esposizione con un'infrastruttura di sicurezza meno matura.

Il settore del gioco d'azzardo e dell'ospitalità del Nevada genera decine di miliardi di dollari di fatturato annuo. Istruzioni per bonifici, verifiche degli account dei giocatori, pagamenti ai fornitori e adempimenti normativi viaggiano tutti via email. L'IC3 dell'FBI ha riportato perdite per 2,77 miliardi di dollari legate al BEC nel 2024, e quasi 8,5 miliardi di dollari persi complessivamente tra il 2022 e il 2024. Un'email contraffatta da un operatore di casinò a un'istituzione finanziaria, o da una catena di resort a un organizzatore di eventi aziendali, può spostare cifre a sei o sette zeri prima che qualcuno se ne accorga. L'applicazione del DMARC blocca l'impersonificazione prima che raggiunga la casella di posta.

Le Hawaii ospitano lo U.S. Indo-Pacific Command, il più grande comando combattente unificato delle forze armate statunitensi, insieme a numerose installazioni della Marina, dell'Esercito, dell'Aeronautica e dei Marines. Appaltatori della difesa, fornitori di logistica e agenzie governative che operano nello stato inviano email legate a programmi classificati, appalti e operazioni di intelligence. Un dominio contraffatto che colpisce questa catena di fornitura non è solo un tentativo di phishing. È un rischio per la sicurezza nazionale. Il tasso di applicazione del 29% delle Hawaii e il tasso di N/D del 18% lasciano lacune significative in uno degli stati strategicamente più sensibili del paese.

Google e Yahoo hanno iniziato a richiedere il DMARC per i mittenti di massa nel febbraio 2024. Microsoft ha seguito nel maggio 2025. Dalla fine del 2025, Google emette ora errori di rifiuto permanente per i messaggi non conformi. Per le organizzazioni del Sud-Ovest che inviano conferme finanziarie, comunicazioni ai giocatori, corrispondenza militare o aggiornamenti ai fornitori, una policy DMARC assente o debole significa che quei messaggi potrebbero non arrivare mai.

Il PCI DSS 4.0.1 impone il DMARC alle organizzazioni che gestiscono dati delle carte di pagamento, un requisito che colpisce direttamente il settore del gioco d'azzardo del Nevada e il settore e-commerce della California. Il NIS2 si applica a qualsiasi azienda del Sud-Ovest con operazioni o clienti nell'UE. Gli assicuratori informatici stanno inasprendo i requisiti, e alcuni escludono i risarcimenti per BEC per le organizzazioni prive di un'autenticazione email di base. Per gli appaltatori della difesa della regione in Arizona e Hawaii, questi requisiti si sovrappongono ai framework CMMC e NIST che già raccomandano il DMARC come controllo di base.

Le organizzazioni del Sud-Ovest affrontano una combinazione di pressioni: reputazione del settore tecnologico, regolamentazione del gioco d'azzardo e dell'ospitalità, requisiti della catena di fornitura militare e rapida crescita organizzativa nelle aree metropolitane in espansione della regione. Red Sift OnDMARC è stato progettato per questa complessità.

• Applicazione in 6-8 settimane: I progetti DMARC manuali richiedono in media circa 32 settimane. OnDMARC riduce questo tempo a 6-8 settimane automatizzando l'identificazione delle fonti, la configurazione di SPF e DKIM e i controlli di prontezza per l'applicazione. Per le 114 organizzazioni del Sud-Ovest che si trovano a p=quarantine, il passaggio finale a reject potrebbe richiedere settimane, non mesi.
• SPF dinamico per elenchi complessi di mittenti: Le organizzazioni del Sud-Ovest tendono ad avere lunghi elenchi di mittenti email autorizzati: piattaforme di marketing, sistemi di fidelizzazione dei giocatori, strumenti di approvvigionamento militare, piattaforme CRM, motori di prenotazione per l'ospitalità e altro ancora. I record SPF hanno un limite rigido di 10 ricerche DNS, e le organizzazioni complesse superano rapidamente questo limite. Il Dynamic SPF di Red Sift gestisce questo aspetto automaticamente, mantenendo valida l'autenticazione senza gestione manuale dei record.
• Report chiari su ogni dominio: OnDMARC converte i report aggregati e forensi grezzi del DMARC in una dashboard che mostra ogni servizio che invia email per conto dei tuoi domini. I team di sicurezza e conformità ottengono visibilità immediata su ciò che è autorizzato, ciò che non supera l'autenticazione e ciò che deve essere corretto. Nessuna analisi XML. Nessuna congettura.
• Monitoraggio continuo per i settori regolamentati: Le organizzazioni del settore del gioco d'azzardo, dei servizi finanziari, della difesa e della tecnologia affrontano tutte requisiti costanti di audit e conformità. OnDMARC fornisce monitoraggio e avvisi continui, così l'applicazione resta salda anche quando vengono aggiunti nuovi mittenti, i domini cambiano proprietario o l'infrastruttura evolve attraverso fusioni e acquisizioni.

Il 40% di applicazione nel Sud-Ovest si colloca tra il Nord-Est (35%) e il Medio Atlantico (44%), ma non è dove la regione dovrebbe essere. Il 53% della California dimostra che il percorso funziona. Il 29% delle Hawaii mostra quanta strada debbano ancora percorrere alcuni stati. Per le 299 organizzazioni che non hanno ancora raggiunto la piena applicazione, Red Sift OnDMARC può colmare il divario tra l'esposizione al rischio della regione e la sua attuale postura di sicurezza email.