Report DMARC FTSE 250: il 39% delle principali aziende del Regno Unito non blocca ancora le email contraffatte

Red Sift ha analizzato i record DMARC di tutte le 250 società costituenti il FTSE 250, l'indice delle maggiori società a media capitalizzazione quotate nel Regno Unito. 152 di esse (60,8%) hanno raggiunto il pieno enforcement DMARC a p=reject. Le altre 98 no. Ciò significa che il 39% delle maggiori mid-cap del Regno Unito lascia ancora spazio a chiunque voglia inviare email che sembrino provenire da loro.

Il dato complessivo è migliore rispetto a quanto osservato negli Stati Uniti. La serie regionale statunitense di Red Sift ha rilevato tassi di enforcement DMARC del 35% nel Nordest, 44% nel Mid-Atlantic, 40% nel Sudovest, 36% nell'Heartland, e 41% negli stati del North Central. Il FTSE 250 è avanti. Ma essere avanti rispetto a un livello basso è ancora lontano dall'essere un traguardo raggiunto.

• 152 organizzazioni su 250 del FTSE 250 (60,8%) hanno raggiunto l'enforcement DMARC a p=reject
• 47 organizzazioni (18,8%) applicano politiche p=none che monitorano il traffico ma non intraprendono azioni contro le email contraffatte
• 33 organizzazioni (13,2%) si trovano a p=quarantine, inviando i messaggi sospetti nello spam anziché bloccarli del tutto
• 18 organizzazioni (7,2%) non hanno pubblicato alcun record DMARC
• 98 delle maggiori società a media capitalizzazione del Regno Unito (39,2%) non hanno ancora raggiunto il pieno enforcement

DMARC (Domain-based Message Authentication, Reporting and Conformance) è lo standard di autenticazione email che indica ai server di posta ricevente cosa fare quando un messaggio non supera i controlli SPF o DKIM. Esistono tre livelli di policy:

• p=none è solo monitoraggio. Il proprietario del dominio riceve i report, ma la posta non autenticata viene comunque consegnata.
• p=quarantine invia la posta sospetta nello spam.
• p=reject blocca del tutto la posta non autenticata, prima che raggiunga la casella di posta.

Solo p=reject offre protezione completa contro lo spoofing. Qualsiasi altra impostazione è parziale.

Tra i 250 domini del FTSE 250 analizzati, la distribuzione è fortemente orientata verso l'enforcement, il che è una buona notizia. La cattiva notizia è la lunga coda. Quasi un'azienda su cinque del FTSE 250 ha configurato DMARC ma si è fermata a p=none, l'equivalente di installare una telecamera a circuito chiuso senza mai controllarne le registrazioni. Un altro 13% si trova a p=quarantine, vicino alla protezione completa ma non ancora del tutto. E 18 organizzazioni, tra cui nomi noti al grande pubblico, non hanno pubblicato affatto un record DMARC.

Il FTSE 100 ottiene la maggior parte dei titoli sulla sicurezza. Banche, grandi compagnie petrolifere e giganti farmaceutici dispongono di team di sicurezza completi, supervisione del rischio informatico a livello di consiglio di amministrazione e budget adeguati. Il FTSE 250 è diverso.

Le 250 società a media capitalizzazione includono costruttori edili, rivenditori regionali, gestori di fondi, fornitori della difesa, produttori alimentari e brand di consumo che inviano milioni di email transazionali all'anno. Sono abbastanza grandi da rappresentare bersagli di impersonificazione di alto valore, e abbastanza piccole perché i team di sicurezza siano spesso sotto organico. Il divario tra la maturità del FTSE 100 e quella del FTSE 250 è dove operano gli attaccanti.

È questo che rende interessante il tasso di enforcement del 60,8%. È ben al di sopra di quanto osservato nei dataset regionali statunitensi, ma quei campioni includono organizzazioni del settore pubblico e società più piccole. Una tendenza indica che le mid-cap del Regno Unito, in generale, prendono DMARC più sul serio rispetto ai loro equivalenti statunitensi, probabilmente guidate da:

1. Le linee guida dell'NCSC. Il National Cyber Security Centre (NCSC) del Regno Unito raccomanda DMARC a p=reject da anni e lo ha reso un'aspettativa predefinita per i domini del settore pubblico attraverso il programma Active Cyber Defence a partire dal 2016. I team di sicurezza del settore privato prendono spunto dallo stesso approccio.
2. La pressione dei fornitori di caselle di posta. I requisiti per i mittenti bulk di Google, Yahoo e Microsoft introdotti dal 2024 riguardano chiunque invii messaggi a consumatori all'interno di questi ecosistemi. I brand di consumo di media capitalizzazione hanno sentito quella pressione per primi.
3. Le richieste della supply chain. Molte aziende del FTSE 250 fanno parte della catena di fornitura di clienti FTSE 100, che richiedono sempre più spesso DMARC come parte delle verifiche sui fornitori.

Anche con questi progressi, il dato più interessante è che il 39% dell'indice non blocca le email contraffatte. Si tratta di organizzazioni con team di sicurezza adeguati, comitati di audit e obblighi di divulgazione. Il divario non è di capacità. È di priorità.

Questa è la categoria di non-enforcement più numerosa. Si tratta di aziende che hanno svolto la parte più difficile. Hanno pubblicato un record DMARC, configurato il reporting e (nella maggior parte dei casi) impostato SPF e DKIM per le loro principali fonti di invio. Semplicemente, non hanno mai completato il lavoro.

Il passaggio da p=none a p=reject è il punto in cui i progetti DMARC si bloccano. Il motivo è operativo, non tecnico. Per applicare l'enforcement in sicurezza, è necessario conoscere ogni servizio legittimo che invia posta per proprio conto, configurare ciascuno affinché si autentichi correttamente, e verificare che nulla si interrompa quando si attiva la policy. Per un'impresa mid-cap con automazione del marketing, sistemi HR, fornitori di payroll, piattaforme CRM e strumenti di supporto di terze parti che inviano tutti email, ottenere questa visibilità manualmente è difficile.

Le organizzazioni bloccate a p=none ricevono report che non hanno tempo di leggere. Stanno pagando per un controllo che non utilizzano. E presentano la stessa superficie di attacco delle organizzazioni senza alcun DMARC, perché agli attaccanti non importa della policy. A loro importa solo se la posta contraffatta riesce a passare.

p=quarantine è la posizione parziale più difendibile. La posta sospetta finisce nello spam, il che significa che la maggior parte degli utenti non la vede mai. Ma "la maggior parte" non è "tutti", e i filtri antispam aziendali sono incoerenti. Una fattura contraffatta che finisce nella cartella indesiderata per un destinatario potrebbe finire nella posta in arrivo per un altro, a seconda del fornitore della casella di posta, delle impostazioni dell'utente e della reputazione dell'IP mittente.

La quarantena è anche dove gli attaccanti testano la loro consegna. Se una campagna riesce ad atterrare costantemente nelle cartelle spam, può essere perfezionata per migliorare il posizionamento nella posta in arrivo. Reject chiude del tutto questa porta.

Le 33 aziende del FTSE 250 in quarantena sono tipicamente a una sola decisione di progetto dall'enforcement. Hanno svolto il lavoro per validare i loro mittenti. Semplicemente non hanno ancora compiuto il passo finale.

Questa è la categoria più preoccupante, e attraversa trasversalmente i vari settori. Le 18 includono aziende nell'edilizia, nel retail, nell'ospitalità, nella produzione alimentare e nella manifattura industriale. Diverse sono brand rivolti ai consumatori che inviano email transazionali a milioni di clienti nel Regno Unito.

Senza un record DMARC, non esiste alcuna policy che i server di posta ricevente possano applicare. Chiunque può inviare email dichiarando di provenire da questi domini, e non c'è alcun segnale per il destinatario che il messaggio sia non autorizzato. SPF e DKIM potrebbero essere in atto, ma senza DMARC che li unisca con una policy pubblicata, nessuno dei due standard previene effettivamente lo spoofing.

Per i brand rivolti ai consumatori, questa è anche una questione di protezione del brand. I consumatori del Regno Unito ricevono ogni giorno email di phishing che impersonano queste organizzazioni. Alcune di queste email riescono a passare. Alcune convertono.

Tre cose sono cambiate negli ultimi 18 mesi, rendendo il divario del 39% più costoso di quanto non fosse in passato.

L'enforcement dei fornitori di caselle di posta. Google, Yahoo e Microsoft ora richiedono DMARC per i mittenti bulk. Le email di marketing provenienti da domini senza un record DMARC valido finiscono sempre più spesso nello spam o vengono respinte. Il costo di non fare nulla non è teorico. Si misura in termini di deliverability e di pipeline commerciale.

L'espansione normativa. NIS2 si applica alle organizzazioni del Regno Unito che operano nell'UE. Il prossimo Cyber Security and Resilience Bill del Regno Unito, annunciato nel King's Speech del luglio 2024, dovrebbe ampliare l'ambito delle entità regolamentate e inasprire i requisiti di reporting. L'autenticazione email è fondamentale per entrambi.

Le perdite da BEC. L'IC3 dell'FBI ha riportato 3 miliardi di dollari di perdite globali dovute a business email compromise nel 2025. I dati di UK Finance stimano le frodi da pagamenti push autorizzati, di cui il BEC è una componente significativa, a 459 milioni di sterline nel 2023. DMARC a p=reject è il singolo controllo più efficace per fermare la fase di impersonificazione che rende possibile il BEC.

Per le 98 organizzazioni del FTSE 250 non ancora a p=reject, il percorso da seguire è chiaro:

1. Controlla la tua configurazione attuale. Utilizza strumenti gratuiti, incluso Red Sift Investigate per verificare la tua attuale configurazione DMARC, DKIM, SPF e altro ancora.
2. Verifica i tuoi invii attuali. Utilizza i report aggregati DMARC per mappare ogni servizio che invia email per tuo conto. La maggior parte delle imprese mid-cap scopre tra 30 e 60 servizi di cui non era a conoscenza.
3. Autentica ogni fonte legittima. Configura SPF e DKIM per ciascuna, e rafforza l'allineamento.
4. Monitora i report. Conferma che la posta autenticata venga accettata e che quella non autenticata sia visibile. Risolvi eventuali errori.
5. Passa a p=quarantine, poi a p=reject.p=quarantine, poi a p=reject. I rollout graduali riducono il rischio di interrompere la posta legittima.

Gli strumenti sono maturati. Quello che una volta era un progetto di sei-dodici mesi ora richiede sei-otto settimane con la piattaforma giusta.

Red Sift OnDMARC automatizza la scoperta, la configurazione e il monitoraggio continuo necessari per raggiungere e mantenere l'enforcement. Dynamic SPF appiattisce automaticamente le catene di lookup. La dashboard di reporting evidenzia i problemi per fonte di invio. E il monitoraggio continuo individua le deviazioni nel momento stesso in cui viene aggiunto un nuovo servizio.

Metodologia: Red Sift ha analizzato i record DNS pubblicati per i 250 domini appartenenti alle società costituenti il FTSE 250 a partire da maggio 2026. I record verificati includono SPF, DKIM e DMARC. La classificazione della policy si basa sul valore p= nel record DMARC pubblicato. Le organizzazioni senza un record DMARC pubblicato sono classificate come N/A. Quando un dominio ha pubblicato un record DMARC ma non è stato possibile recuperare una policy valida, il record è classificato come policy non trovata.