أكثر من نصف أكبر المنظمات في ماساتشوستس تظل معرضة للاستهداف بالبريد الاحتيالي والانتحال لأنها لم تطبق معيار المصادقة الذي سيوقفه. تكشف تحليلات أمان سيبراني حديثة عن رقم دقيق لهذا التعرض، والنتائج يجب أن تثير قلق كل مالك عمل وفريق تسويق وفريق أمان يرسل رسائل بريد إلكتروني من نطاق شركة.
النتائج: الأغلبية لا تزال معرضة للخطر
أظهر استعراض المنظمات الـ 100 الأكبر في ماساتشوستس، بما فيها الشركات والمنظمات غير الربحية والوكالات الحكومية، أن فقط 42% منها طبقت معيار المصادقة المعروف باسم DMARC بالكامل، وفقاً لشركة الأمن السيبراني Red Sift.
وفقاً لـ Axios Boston، التوزيع عبر عينة ماساتشوستس واضح جداً:
- 26% لديها بعض التطبيق قيد التنفيذ، مثل عزل رسائل البريد المريبة.
- 28% لا تطبق
DMARCعلى الإطلاق - إنها تراقب وتبلغ عن رسائل البريد المزيفة بشكل سلبي فقط. - 4% ليس لديها بروتوكول أمان بريد إلكتروني على الإطلاق.
ينطبق هذا النمط على ما وراء ماساتشوستس. حللت Red Sift 700 نطاق عبر سبع ولايات ووجدت أن 43% منها لم تطبق أو لا تملك بروتوكولات DMARC، بينما أبلغت فقط 35% عن التطبيق الكامل.
هذه الفجوة مهمة بشكل خاص في ماساتشوستس، التي تقع في مركز الرعاية الصحية الأمريكية والتكنولوجيا الحيوية والتعليم العالي والخدمات المالية والدفاع - الصناعات التي تعتمد بشكل كبير على البريد الإلكتروني في الاتصالات القائمة على الثقة والمخاطر العالية.
"إذا كنت ترسل بريداً إلكترونياً، فأنت هدف"، وفقاً لـ Brian Westnedge، نائب الرئيس للتحالفات والشراكات في Red Sift.
لماذا التطبيق "الجزئي" غير كافٍ
DMARC - Domain-based Message Authentication, Reporting and Conformance - هي سياسة DNS تخبر خوادم البريد المستقبلة بما يجب أن تفعله مع الرسائل التي تفشل في فحوصات المصادقة. يمكنها رفض أو عزل رسائل البريد المنتحلة، مما يضمن أن الرسائل التي تصل إلى صندوق الوارد تأتي فعلاً من المنظمة التي تدعي تمثيلها.
المشكلة هي أن نشر سجل DMARC ليس هو نفس تطبيقه. تنشر العديد من الشركات سجلات DMARC بسياسة p=none - هذا يوفر الرؤية لكن لا يوقف رسائل البريد المنتحلة من الوصول إلى صناديق الوارد.
تختار العديد من المنظمات حلاً وسطاً بترك DMARC في وضع الحجر الصحي، حيث لا يتم رفض الرسائل غير المصرح بها بل يتم إرسالها إلى مجلدات البريد العشوائي بدلاً من ذلك. ومع ذلك، يحذر الخبراء من أن هذا ليس حماية حقيقية - يمكن للمستخدمين، وغالباً ما يفعلون، استرجاع الرسائل من مجلدات الرسائل غير المرغوبة، خاصة إذا بدت وكأنها تأتي من جهات اتصال موثوقة. هذا يخلق خطراً مستمراً لنجاح البريد الاحتيالي أو الاحتيال.
أزمة المصادقة الأوسع
ليست دراسة ماساتشوستس حالة استثنائية - فهي تعكس مشكلة منهجية عالمية. يشير تحليل الربع الثاني من 2025 إلى أن فقط حوالي 18% من أكثر 10 ملايين نطاق يتم زيارتها في العالم تنشر سجل DMARC صحيح، وحوالي 4% فقط تطبق سياسة رفض كاملة.
ظهرت فجوة نضج واضحة: الشركات الكبرى تتحرك نحو المزيد من التطبيق، بينما تبقى العديد من الشركات سريعة النمو عالقة في وضع المراقبة فقط. حتى بين شركات Fortune 500، وصل الاعتماد إلى 475 من أصل 500 شركة، لكن أكثر من 80% وصلت إلى سياسات على مستوى التطبيق - مما يعني أنه حتى في المستوى الأعلى، واحد من كل خمسة لم يتجاوز عتبة التطبيق.
المخاطر المالية شديدة. يبلغ Gartner أن مدفوعات compromise البريد الإلكتروني للعمل (BEC) تجاوزت عتبة 6 مليارات دولار في 2024، وصندوق الوارد لا يزال "سطح الهجوم الأكثر انتشاراً" لأن الموظفين يجب أن يتفاعلوا مع الأطراف الخارجية عبر بروتوكولات قديمة وغير آمنة. وفي الوقت نفسه، وصل متوسط تكلفة خرق يتعلق بالبريد الاحتيالي إلى 4.88 مليون دولار في 2025.
وفقاً لتقرير التهديدات 2026 من Cloudflare، 46% من جميع رسائل البريد الإلكتروني تفشل في التحقق من DMARC، مما يسلط الضوء على مقدار حركة المرور غير المصرح بها التي لا تزال تتدفق عبر الأنظمة العالمية.
موفرو صناديق البريد يفرضون القضية
الضغط لتطبيق DMARC لم يعد اختيارياً - فهو الآن يأتي مباشرة من المنصات التي تسلم البريد الإلكتروني. يتطلب Google و Yahoo (فبراير 2024) و Microsoft (مايو 2025) و La Poste (سبتمبر 2025) الآن مصادقة SPF و DKIM و DMARC لمرسلي البريد الإلكتروني بكميات كبيرة.
في أكتوبر 2025، تقاعد Google عن لوحة معلومات Postmaster Tools القديمة وأطلقت Postmaster Tools v2، مما حول التركيز من "السمعة" إلى "حالة الامتثال"، وتقيم المرسلين باستخدام نموذج ثنائي - تغيير أساسي في كيفية توصيل Google لصحة المرسل. يعني النموذج الثنائي أن الامتثال الجزئي يعطي نفس نتيجة عدم الامتثال: الفشل.
لم تطبق ما يقرب من نصف أكبر أصحاب العمل في بوسطن تطبيق أمان البريد الإلكتروني الكامل، مما يترك العديد من المؤسسات المحلية معرضة لهجمات البريد الاحتيالي والانتحال للعلامات التجارية. بوسطن الآن متأخرة عن مدن أخرى مماثلة مثل مدينة نيويورك وواشنطن دي سي من حيث الاعتماد، حتى مع أصبح من الأسهل توسيع نطاق تهديدات البريد الإلكتروني باستخدام الذكاء الاصطناعي.
ما يعنيه هذا
بالنسبة لأصحاب الأعمال والمسوقين وفرق النمو، تحذيرات Red Sift هي تحذير مباشر بشأن قابلية التسليم وسلامة العلامة التجارية.
لطالما حسنت فرق التسويق من معدلات الفتح والنقر والتحويل والمقاييس الأخرى. بموجب نموذج إنفاذ Google، لا يهم أي من هذه المقاييس إذا لم يصل بريدك الإلكتروني أبداً إلى صندوق الوارد.
التأثير التجاري للمصادقة الضعيفة واسع النطاق: تقليل وضع الرسائل في صندوق الوارد، وتآكل سمعة المرسل، وحظر الرسائل في خوادم استقبال رئيسية، والخسارة المالية المباشرة من السرقة وخدع الفواتير.
بينما تغطي عينة ماساتشوستس جزءاً صغيراً فقط من شركات الولاية، تلاحظ Red Sift أن الدراسة توفر نظرة على وضع أمان البريد الإلكتروني الذي تمتلكه الشركات فعلاً - وإذا لم تتبن أكبر منظمات الولاية حماية أقوى بالكامل، فمن المرجح أن الشركات الصغيرة التي تملك موارد تكنولوجيا معلومات أقل لم تفعل ذلك أيضاً.
الطريق إلى الأمام راسخة: الانتقال من p=none إلى p=quarantine إلى p=reject، التأكد من أن كل منصة إرسال تابعة لجهات خارجية مصرح بها، ومراقبة تقارير DMARC المجمعة بشكل مستمر. يجب على الشركات اعتماد أمان البريد الإلكتروني المصرح به والآلي والموجه للهوية لحماية نطاقاتها والحفاظ على قابلية التسليم والحفاظ على ثقة العملاء.
فجوة الإنفاذ قابلة للقياس. العواقب حقيقية. الحل متاح - لكن فقط للمنظمات التي تتخذ إجراء الآن.
