Mais de metade das maiores organizações de Massachusetts continuam expostas a ataques de phishing e falsificação de domínios, porque não implementaram totalmente o padrão de autenticação de email que poderia impedi-los. Uma nova análise de cibersegurança quantifica essa exposição com precisão, e os resultados devem alarmar todos os proprietários de negócios, profissionais de marketing e equipes de segurança que enviam email sob um domínio corporativo.
Os Resultados: A Maioria Ainda Exposta
Uma análise das 100 maiores corporações, organizações sem fins lucrativos e agências públicas de Massachusetts mostra que apenas 42% implementaram totalmente o padrão de autenticação de email conhecido como DMARC, conforme a empresa de cibersegurança Red Sift.
De acordo com Axios Boston, a distribuição na amostra de Massachusetts é alarmante:
- 26% têm algum nível de implementação, como quarentena de emails questionáveis.
- 28% não implementam
DMARCem absoluto, apenas monitoram passivamente e reportam emails falsos. - 4% não têm nenhum protocolo de segurança de email em funcionamento.
O padrão se repete além de Massachusetts. Red Sift analisou 700 domínios em sete estados e descobriu que 43% não haviam implementado ou não possuíam protocolos DMARC, enquanto apenas 35% relataram implementação completa.
Essa lacuna é especialmente significativa em Massachusetts, que é o centro de saúde, biotecnologia, ensino superior, serviços financeiros e defesa nos EUA, setores onde a comunicação de alto risco baseada em confiança depende fortemente do email.
"Se você envia email, é um alvo", diz Brian Westnedge, Vice-Presidente de Alianças e Parcerias da Red Sift.
Por Que "Alguma" Implementação Não É Suficiente
DMARC ("Domain-based Message Authentication, Reporting and Conformance") é uma política DNS que instrui os servidores de email receptores sobre o que fazer com mensagens que falham nas verificações de autenticação. Pode rejeitar ou quarentenar emails falsos, garantindo que as mensagens que chegam à caixa de entrada realmente provêm da organização que afirmam representar.
O problema é que publicar um registro DMARC não é o mesmo que implementá-lo. Muitos negócios publicam registros DMARC com uma política de p=none, o que fornece visibilidade mas não impede que emails falsos cheguem às caixas de entrada.
Muitas organizações fazem um compromisso deixando DMARC em modo de quarentena, onde mensagens não autenticadas não são rejeitadas, mas enviadas para pastas de spam. No entanto, especialistas alertam que isso não é uma verdadeira proteção, pois os utilizadores podem e frequentemente conseguem recuperar mensagens de pastas de lixo, especialmente se parecem vir de contactos confiáveis. Isso cria um risco persistente de phishing ou fraude bem-sucedidos.
A Crise Mais Ampla de Autenticação
O estudo de Massachusetts não é uma anomalia, reflete um problema sistémico global. A análise do segundo trimestre de 2025 indica que apenas cerca de 18% dos 10 milhões de domínios mais visitados do mundo publicam um registro DMARC válido, e apenas 4% implementam totalmente uma política de rejeição.
Um claro desfasamento de maturidade surgiu: as grandes empresas avançam para a implementação, enquanto muitas startups de crescimento rápido ficam presas no modo monitorização. Mesmo entre empresas da Fortune 500, a adoção atingiu 475 de 500 empresas, mas mais de 80% alcançaram políticas de implementação, o que significa que até no topo, uma em cada cinco não ultrapassou o limiar de implementação.
Os riscos financeiros são severos. A Gartner relata que os pagamentos por compromisso de email comercial (BEC) ultrapassaram a marca de 6 mil milhões de dólares em 2024, e a caixa de entrada continua a ser "a superfície de ataque mais prevalente" porque os colaboradores devem interagir com terceiros através de protocolos antigos e inseguros. Entretanto, o custo médio de uma violação relacionada com phishing atingiu 4,88 milhões de dólares em 2025.
Conforme o relatório de ameaças de 2026 do Cloudflare, 46% de todos os emails falham na validação DMARC, mostrando quanto tráfego não autenticado ainda flui através dos sistemas globais.
Fornecedores de Caixa de Entrada Forçam a Questão
A pressão para implementar DMARC deixou de ser opcional, agora vem diretamente das plataformas que entregam email. Google, Yahoo (fevereiro 2024), Microsoft (maio 2025) e La Poste (setembro 2025) agora exigem autenticação SPF, DKIM e DMARC para remetentes de email em massa.
Em outubro de 2025, o Google retirou o dashboard legado do Postmaster Tools e lançou o Postmaster Tools v2, mudando o foco de "Reputação" para "Estado de Conformidade", avaliando remetentes usando um modelo binário, uma mudança fundamental em como o Google comunica a saúde do remetente. O modelo binário significa que conformidade parcial gera o mesmo resultado que nenhuma conformidade: falha.
Quase metade dos maiores empregadores de Boston não implementou conformidade total de segurança de email, deixando muitas instituições locais expostas a ataques de phishing e suplantação de marca. Boston agora fica para trás de cidades irmãs como Nova Iorque e Washington, D.C. na adoção, mesmo conforme as ameaças de email se tornam mais fáceis de escalar usando IA.
O Que Isso Significa
Para proprietários de negócios, profissionais de marketing e equipas de crescimento, os resultados da Red Sift são um aviso direto sobre entregabilidade e segurança de marca.
Equipas de marketing há muito que otimizam taxas de abertura, taxas de clique e métricas de conversão. Sob o modelo de implementação do Google, nenhuma dessas métricas importa se seu email nunca chegar à caixa de entrada.
O impacto comercial de uma autenticação fraca é amplo: colocação reduzida na caixa de entrada, reputação de remetente enfraquecida, emails bloqueados nos principais servidores receptores e perda financeira direta por roubo de credenciais e fraudes de fatura.
Embora a amostra de Massachusetts cubra apenas uma fração das empresas do estado, Red Sift observa que a pesquisa oferece uma visão da postura real de segurança de email que os negócios têm em funcionamento, e se as maiores organizações do estado não adotaram totalmente proteções mais fortes, é provável que pequenos negócios com menos recursos de TI também não tenham.
O caminho adiante está bem estabelecido: progredir de p=none para p=quarantine para p=reject, garantir que cada plataforma de envio de terceiros seja autenticada, e monitorar contínuamente relatórios agregados DMARC. As empresas devem adotar segurança de email autenticada, automatizada e baseada em identidade para proteger seus domínios, manter a entregabilidade e preservar a confiança do cliente.
A lacuna de implementação é mensurável. As consequências são reais. A solução está disponível, mas apenas para organizações que atuam agora.
