Il 43% delle principali organizzazioni di Washington D.C. è vulnerabile al phishing

• 57 domini (57%) hanno raggiunto l'enforcement DMARC (p=reject), lasciando il 43% esposto
• 21 domini (21%) adottano politiche p=none che monitorano ma non intervengono contro le email contraffatte
• 20 domini (20%) si trovano in quarantine, vicini alla protezione completa ma senza aver completato il passaggio a reject
• 2 domini (2%) non hanno pubblicato alcun record DMARC

Washington D.C. ha un problema con il DMARC difficile da ignorare, considerato il ruolo della città nel definire gli standard di cybersecurity per il resto del paese.

L'analisi di Red Sift su 100 domini appartenenti alle principali organizzazioni di D.C. ha rilevato che 57 (57%) hanno raggiunto p=reject, il livello di policy DMARC che blocca attivamente le email contraffatte. Questo pone D.C. davanti a Boston (50,5%) ma ben dietro New York (72,7%) nel confronto tra città condotto da Red Sift.

I restanti 43 domini si suddividono in tre gruppi. 20 si trovano a p=quarantine, dove le email contraffatte vengono inviate nello spam ma non bloccate del tutto. Queste organizzazioni hanno completato la maggior parte del lavoro tecnico, e il passaggio all'enforcement richiede in genere dalle 6 alle 8 settimane. 21 domini adottano p=none, il che significa che hanno pubblicato un record DMARC che però non impedisce alle email fraudolente di arrivare nelle caselle di posta. E 2 domini non hanno alcun record DMARC.

Questo divario del 43% è significativo per una città che ospita CISA, NIST, la NSA e le agenzie federali che definiscono l'agenda di cybersecurity sia per il governo che per il settore privato. D.C. è il luogo dove vengono scritte le regole. Ma una quota significativa delle sue principali organizzazioni non le rispetta.

D.C. si trova all'intersezione tra governo, lobbying, appalti per la difesa e politica. Ognuno di questi settori dipende dalla comunicazione via email affidabile. E ognuno di essi è un bersaglio privilegiato per gli attacchi di impersonificazione.

I rapporti governativi, gli appalti, il coordinamento delle politiche e il lobbying dipendono tutti fortemente dall'email. Gli attaccanti BEC lo sanno bene. Un'email contraffatta inviata da un fornitore governativo a un'agenzia federale, o da uno studio di lobbying a un ufficio del Congresso, può innescare bonifici, esporre informazioni sensibili o compromettere trattative in corso. L'IC3 dell'FBI ha riportato 2,77 miliardi di dollari di perdite dovute a BEC nel 2024, e quasi 8,5 miliardi di dollari persi complessivamente tra il 2022 e il 2024. La concentrazione di D.C. di comunicazioni ad alto valore e basate sulla fiducia la rende un bersaglio molto appetibile.

La Binding Operational Directive 18-01 della CISA ha richiesto alle agenzie federali di implementare il DMARC in modalità enforcement già nel 2017. Le linee guida del NIST raccomandano il DMARC come controllo fondamentale per la sicurezza delle email. L'ironia è che, mentre il governo federale ha guidato l'adozione del DMARC nelle proprie agenzie, la più ampia comunità imprenditoriale di D.C., inclusi appaltatori, società di consulenza e aziende che collaborano con il governo, non ha tenuto il passo. Un'agenzia federale con un DMARC solido resta comunque vulnerabile se il dominio di un fornitore fidato può essere contraffatto.

Google e Yahoo hanno iniziato a richiedere il DMARC per i mittenti di massa a febbraio 2024. Microsoft ha seguito a maggio 2025. Alla fine del 2025, Google ora emette errori di rifiuto permanente per i messaggi non conformi. Per le organizzazioni di D.C. che inviano aggiornamenti sugli appalti, documenti politici, inviti a eventi o comunicazioni agli stakeholder, una policy DMARC assente o debole significa che questi messaggi potrebbero non arrivare mai a destinazione.

Il PCI DSS 4.0.1 impone il DMARC alle organizzazioni che gestiscono dati di carte di pagamento. La NIS2 si applica a qualsiasi azienda di D.C. con operazioni o clienti nell'UE. E gli assicuratori informatici stanno inasprendo i requisiti, con alcuni che escludono i risarcimenti per BEC per le organizzazioni prive di autenticazione email di base. Per gli appaltatori della difesa e le aziende di servizi governativi di D.C., il DMARC sta diventando un requisito contrattuale, non solo una best practice.

Le organizzazioni di D.C. operano in un contesto unicamente complesso: requisiti di conformità governativa, catene di comunicazione con più stakeholder, flussi di informazioni classificate e sensibili, ed ecosistemi di fornitori che spaziano tra settore pubblico e privato. Red Sift OnDMARC è stato progettato proprio per questa complessità.

• Enforcement in 6-8 settimane: I progetti DMARC manuali richiedono in media circa 32 settimane. OnDMARC accelera questo processo a 6-8 settimane automatizzando l'identificazione delle fonti, la configurazione SPF e DKIM e i controlli di prontezza per l'enforcement. Per le 20 organizzazioni di D.C. in quarantine, l'ultimo passo verso reject potrebbe richiedere solo poche settimane.
• SPF dinamico per elenchi di mittenti estesi: Le organizzazioni di D.C. tendono ad avere lunghi elenchi di mittenti email autorizzati: portali governativi, piattaforme CRM, strumenti di gestione eventi, servizi di marketing e altro ancora. I record SPF hanno un limite rigido di 10 lookup DNS, ed è facile superarlo in un ambiente complesso. L'SPF dinamico di Red Sift gestisce questo automaticamente, mantenendo valida l'autenticazione senza gestione manuale dei record.
• Reportistica chiara su ogni dominio: OnDMARC converte i report aggregati e forensi grezzi del DMARC in una dashboard che mostra ogni servizio che invia email per conto dei tuoi domini. I team di sicurezza e conformità ottengono visibilità immediata su ciò che è autorizzato, ciò che fallisce l'autenticazione e ciò che deve essere corretto. Nessuna analisi XML. Nessuna congettura.
• Monitoraggio continuo per le organizzazioni che non possono permettersi derive: Gli appaltatori governativi e le aziende regolamentate affrontano requisiti continui di audit e conformità. OnDMARC fornisce monitoraggio e avvisi continui, così l'enforcement rimane saldo anche quando vengono aggiunti nuovi mittenti, i domini cambiano proprietario o l'infrastruttura evolve attraverso fusioni e acquisizioni.

D.C. definisce lo standard di cybersecurity per il resto del paese. Il 57% delle organizzazioni già in enforcement ha dimostrato che è possibile. Per il restante 43%, il divario tra politica e pratica è qualcosa che Red Sift OnDMARC può colmare.