Più della metà delle più grandi organizzazioni del Massachusetts rimane esposta a phishing e domain spoofing, perché non ha implementato pienamente lo standard di autenticazione email che potrebbe bloccarli. Una nuova analisi di cybersecurity quantifica questa esposizione, e i risultati dovrebbero preoccupare ogni imprenditore, marketer e team di sicurezza che invia email da un dominio aziendale.
I Risultati: La Maggioranza Rimane Vulnerabile
Un'analisi delle 100 più grandi aziende, organizzazioni no profit e istituzioni pubbliche del Massachusetts rivela che solo il 42% ha implementato pienamente lo standard di autenticazione email noto come DMARC, secondo la società di cybersecurity Red Sift.
Secondo Axios Boston, la situazione nel campione del Massachusetts è netta:
- 26% ha implementato controlli parziali, come la quarantena di email sospette.
- 28% non applica
DMARCaffatto, si limita al monitoraggio passivo e alla segnalazione di email falsificate. - 4% non ha alcun protocollo di sicurezza email in atto.
Il pattern si ripete oltre il Massachusetts. Red Sift ha analizzato 700 domini in sette stati e ha trovato che il 43% non aveva implementato o non disponeva di protocolli DMARC, mentre solo il 35% ha dichiarato un'implementazione completa.
Questo divario è particolarmente significativo nel Massachusetts, che è il fulcro di sanità, biotecnologie, istruzione superiore, servizi finanziari e difesa negli Stati Uniti, settori dove la comunicazione basata sulla fiducia e ad alto valore si affida pesantemente all'email.
"Se invii email, sei un bersaglio", afferma Brian Westnedge, Vice President of Alliance and Partnerships presso Red Sift.
Perché l'Implementazione "Parziale" Non Basta
DMARC (Domain-based Message Authentication, Reporting and Conformance) è una policy DNS che indica ai server di posta in ricezione cosa fare con i messaggi che non superano i controlli di autenticazione. Può respingere o mettere in quarantena email falsificate, assicurando che i messaggi che arrivano nella inbox provengano effettivamente dall'organizzazione che dichiarano di rappresentare.
Il problema è che pubblicare un record DMARC non è la stessa cosa che implementarlo. Molte aziende pubblicano record DMARC con una policy di p=none. Questo fornisce visibilità ma non blocca le email falsificate dall'arrivare nella inbox.
Molte organizzazioni si accontentano di un compromesso lasciando DMARC in modalità quarantena, dove i messaggi non autenticati non vengono respinti ma inviati alle cartelle spam. Tuttavia, gli esperti avvertono che questo non è una vera protezione: gli utenti possono, e spesso lo fanno, recuperare messaggi dalle cartelle spam, soprattutto se sembrano provenire da contatti fidati. Questo crea un rischio persistente di phishing o frode riusciti.
La Crisi Più Ampia dell'Autenticazione
Lo studio del Massachusetts non è un'anomalia: riflette un problema sistemico globale. L'analisi del Q2 2025 indica che solo circa il 18% dei 10 milioni di domini più visitati al mondo pubblica un record DMARC valido, e solo intorno al 4% implementa pienamente una policy di reject.
È emerso un chiaro divario di maturità: le grandi imprese si muovono verso l'implementazione, mentre molte aziende in crescita rimangono bloccate in modalità monitoraggio passivo. Persino tra le aziende Fortune 500, l'adozione ha raggiunto 475 su 500 aziende, ma più dell'80% aveva raggiunto policy di livello implementazione, il che significa che anche al vertice, una su cinque non aveva superato la soglia di implementazione.
Le puntate finanziarie sono severe. Gartner riferisce che i pagamenti per compromessi email aziendali (BEC) hanno superato la soglia di 6 miliardi di dollari nel 2024, e la inbox rimane "la superficie di attacco più diffusa" perché i dipendenti devono interagire con estranei su protocolli vecchi e insicuri. Nel frattempo, il costo medio di una violazione correlata a phishing ha raggiunto 4,88 milioni di dollari nel 2025.
Secondo il threat report 2026 di Cloudflare, il 46% di tutte le email non supera la convalida DMARC, evidenziando quanto traffico non autenticato scorra ancora attraverso i sistemi globali.
I Provider di Mailbox Forzano il Tema
La pressione per implementare DMARC non è più opzionale: proviene direttamente dalle piattaforme che consegnano email. Google, Yahoo (febbraio 2024), Microsoft (maggio 2025) e La Poste (settembre 2025) ora richiedono autenticazione SPF, DKIM e DMARC per i mittenti di email in massa.
A ottobre 2025, Google ha ritirato il dashboard legacy di Postmaster Tools e ha lanciato Postmaster Tools v2, spostando l'attenzione da "Reputazione" a "Compliance Status", valutando i mittenti usando un modello binario, un cambiamento fondamentale in come Google comunica la salute del mittente. Il modello binario significa che la conformità parziale produce lo stesso risultato della non conformità: fallimento.
Quasi la metà dei più grandi datori di lavoro di Boston non ha implementato l'implementazione completa della sicurezza email, lasciando molte istituzioni locali esposte ad attacchi di phishing e usurpazione di brand. Boston ora rimane indietro rispetto a città gemelle come New York City e Washington, D.C. sull'adozione, anche mentre le minacce email diventano più facili da scalare usando l'AI.
Cosa Significa
Per imprenditori, marketer e team di crescita, i risultati di Red Sift sono un avvertimento diretto sulla consegna e la sicurezza del brand.
I team di marketing hanno a lungo ottimizzato per tassi di apertura, tassi di clic e metriche di conversione. Secondo il modello di implementazione di Google, nessuna di queste metriche ha importanza se l'email non raggiunge mai la inbox.
L'impatto commerciale di un'autenticazione debole è ampio: ridotta consegna nella inbox, reputazione del mittente erosa, blocco delle email presso i server di ricezione principali e perdita finanziaria diretta da furti di credenziali e truffe fatturali.
Mentre il campione del Massachusetts copre solo una frazione delle aziende dello stato, Red Sift nota che l'indagine offre uno spaccato della postura di sicurezza email che le aziende hanno effettivamente in atto, e se le organizzazioni più grandi dello stato non hanno pienamente adottato protezioni più forti, è probabile che le piccole aziende con meno risorse IT non l'abbiano fatto neanche.
Il percorso da seguire è ben consolidato: passare da p=none a p=quarantine a p=reject, assicurarsi che ogni piattaforma di invio di terze parti sia autenticata, e monitorare continuamente i report aggregati di DMARC. Le aziende devono adottare una sicurezza email autenticata, automatizzata e incentrata sull'identità per proteggere i propri domini, mantenere la consegna e preservare la fiducia dei clienti.
Il divario di implementazione è misurabile. Le conseguenze sono reali. La soluzione è disponibile, ma solo per le organizzazioni che agiscono ora.
