Le secteur de la santé constitue un maillon particulièrement fragile de l'écosystème numérique italien. Seuls 12,8 % des domaines du secteur de la santé appliquent le protocole DMARC avec un paramètre « reject », tandis que 25 %, soit un quart du secteur, ne disposent d'aucune infrastructure DMARC. À cela s'ajoute l'absence de MTA-STS dans 98,1 % des cas, ce qui rend les dossiers médicaux des patients et les canaux de communication cliniques internes extrêmement vulnérables aux interceptions malveillantes et à l'usurpation de domaine.
Les établissements bancaires et financiers italiens se placent en tête du pays en matière de maturité des politiques de sécurité, 41,7 % d'entre eux appliquant une politique stricte de rejet. Cependant, cette défense en profondeur est considérablement compromise par un taux d'absence de 100 % pour le protocole MTA-STS. Cela signifie que, si les tentatives d'usurpation d'identité entrantes sont fortement restreintes, le trafic transactionnel sortant, les journaux de messagerie SWIFT internes et les instructions de virement circulent sans cryptage obligatoire au niveau de la couche de transit.
Les domaines de l'administration publique italienne affichent un excellent niveau de conformité de base, 96 % d'entre eux ayant mis en place SPF opérationnels. Cependant, seuls 14,4 % d'entre eux appliquent une politique de rejet préventive. Plus important encore, 33,3 % (1 sur 3) des entités du secteur public ne disposent d'aucune défense DMARC. Combiné à un taux d'adoption de 0 % pour MTA-STS et à un faible taux de 0,8 % pour DNSSEC, les canaux de communication destinés aux citoyens restent très vulnérables à l'usurpation d'identité.
Les réseaux universitaires et de recherche présentent des surfaces d'attaque vastes et dispersées. Bien qu'elles affichent un taux de conformité de 85,8 % SPF , seules 10,2 % des établissements d'enseignement ont atteint le niveau « p=reject ». De plus, 25 % d'entre eux n'ont pas du tout mis en œuvre le protocole DMARC, et pas moins de 96 % ne disposent pas du protocole MTA-STS, exposant ainsi la propriété intellectuelle issue de la recherche universitaire et les dossiers des étudiants à un risque d'exfiltration systématique.
En tant que principaux gardiens du débat public, les réseaux médiatiques italiens sont confrontés à une grave menace pour leur crédibilité. À l'heure actuelle, seuls 11,3 % des domaines du secteur fonctionnent avec un paramètre « reject », et près de 25 % ne disposent d'aucun cadre DMARC. À cela s'ajoute un taux de déploiement de MTA-STS nul, ce qui permet aux acteurs malveillants d'usurper facilement l'identité de sources d'information de premier plan pour mener des campagnes coordonnées de désinformation ou de phishing.
Les opérateurs de télécommunications gèrent des infrastructures de facturation clients très étendues. Alors que 17,8 % d'entre eux ont adopté une politique de rejet, 30,2 % ne disposent pas d'une entrée DMARC dans leurs enregistrements DNS. Conjugué à un taux d'incomplétude de 98,6 % concernant le MTA-STS, les alertes de validation des abonnés, les avis de facturation et les comptes administratifs restent extrêmement vulnérables à la manipulation.
Les réseaux logistiques constituent l'épine dorsale du commerce local, mais c'est dans ce secteur que l'on observe les scores de sécurité les plus faibles en Italie. Un pourcentage alarmant de 3,3 % des domaines utilise une configuration « p=reject » opérationnelle, tandis que 33,3 % ne disposent d'aucun paramètre DMARC. Conjuguées à une absence totale de MTA-STS, les opérations de facturation de la chaîne d'approvisionnement restent extrêmement exposées aux tentatives d'interception de factures.
Les secteurs de l'énergie fournissent des services nationaux essentiels, mais présentent d'importantes lacunes en matière de politique de sécurité. Alors que 94,8 % d'entre eux ont mis en place des mesures de sécurité de base ( SPF, seuls 22,1 % appliquent activement la politique « p=reject », et 25 % ne disposent d'aucune architecture DMARC. De plus, 98,7 % ne disposent pas du chiffrement MTA-STS, ce qui crée des vecteurs d'attaque pour les notifications d'ingénierie malveillantes ciblant les ressources périphériques.
