La maggior parte degli istituti finanziari dispone di DMARC. Quasi nessuno è protetto.

Il dato chiave: il problema delle adozioni è (quasi) risolto

Cominciamo con la buona notizia, perché vale la pena sottolinearla: il settore dei servizi finanziari ha adottato il DMARC più rapidamente rispetto a quasi tutti gli altri settori. Nei paesi oggetto dello studio di PowerDMARC, il settore bancario e quello dei servizi finanziari si collocano costantemente tra i primi uno o due settori a livello nazionale per il semplice fatto di disporre di un record DMARC, ben davanti al commercio al dettaglio, alla sanità o alla pubblica amministrazione nella maggior parte dei mercati.

• Belgio: secondo il “Belgium DMARC Report 2025” di PowerDMARC, gli istituti finanziari sono “i chiari leader nell’adozione di misure di sicurezza per la posta elettronica ”, con solo 1 su 12 che non dispone affatto di un record DMARC.
• Germania: secondo il rapporto DMARC 2025 di PowerDMARC dedicato alla Germania, il settore bancario “fa da apripista” a livello nazionale in materia di sicurezza delle e-mail.
• Norvegia: secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Norvegia, il settore dei servizi finanziari registra un’adozione di DMARC “quasi universale”, con solo il 6,8% dei domini privi di qualsiasi record.
• Stati Uniti: Il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS negli Stati Uniti per il 2026 ha rilevato che l’adozione complessiva di DMARC a livello nazionale si attesta al 95,8% su oltre 900 domini, risultando di fatto quasi universale, con il settore bancario e finanziario tra quelli che contribuiscono maggiormente a tale dato.
• Canada: il settore bancario registra uno dei tassi di mancata adozione più bassi del Paese, con solo l’8,0% dei domini privi di qualsiasi record DMARC, secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Canada del 2026.
• Polonia: secondo il rapporto “Poland DMARC & MTA-STS Adoption Report 2026” di PowerDMARC, nel settore bancario e finanziario l’83,7% dei domini dispone di un record DMARC, sebbene un significativo 16,3% ne sia ancora del tutto privo.
• Francia: il settore bancario è in testa rispetto a tutti gli altri per quanto riguarda l’adozione dei record, con solo il 7,6% dei domini privi di un record DMARC, secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Francia del 2026.

Esplora i rapporti sull'adozione di DMARC per paese

Motivi alla base degli elevati tassi di adozione nel 2026

L'elevato tasso di adozione del DMARC da parte degli istituti finanziari non è frutto del caso. La pressione normativa su questo settore si è intensificata nel corso degli anni e ora si manifesta contemporaneamente da diverse direzioni.

• A partire dal 31 marzo 2025, la versione 4.0.1 dello standard PCI DSS ha reso i controlli anti-phishing un requisito obbligatorio, anziché una semplice best practice, per tutte le organizzazioni che trattano dati relativi alle carte di pagamento. In base a tale norma, DMARC, SPF e DKIM sono opzioni raccomandate per soddisfare tali requisiti.
• Negli Stati Uniti, la “Safeguards Rule” della FTC si è estesa in modo discreto fino a coprire una gamma di attività finanziarie molto più ampia di quanto la maggior parte delle persone creda.
• Le autorità nazionali di vigilanza finanziaria, da Riyadh a Ottawa, hanno diffuso lo stesso messaggio attraverso i propri mandati in materia di sicurezza dei domini.
• A tutto ciò si sono aggiunte le pressioni esercitate dai principali provider di posta elettronica. Da febbraio 2024, Google e Yahoo richiedono che qualsiasi dominio che invii più di circa 5.000 email al giorno pubblichi almeno un record DMARC con p=none e SPF e DKIM allineati, pena il rifiuto della posta o il suo invio diretto nella cartella spam. Microsoft ha adottato la stessa linea per i mittenti che inviano grandi volumi di email a indirizzi Outlook e Hotmail. Per una banca che invia estratti conto e avvisi di routine a milioni di clienti Gmail e Yahoo, nemmeno questa è più un’opzione facoltativa.

La realtà dei fatti: l’applicazione delle norme è ben lontana dall’essere effettiva

È qui che la storia prende una svolta. Se si va oltre i dati di primo piano relativi a un singolo Paese, lo stesso quadro emerge ovunque PowerDMARC abbia analizzato il settore: il settore bancario è solitamente all’avanguardia a livello nazionale in materia di applicazione delle norme, ma anche questa leadership lascia esposta una quota consistente del settore.

• Stati Uniti: il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS negli Stati Uniti per il 2026, che ha analizzato oltre 900 domini, indica che il tasso complessivo di applicazione della regola “p=reject” a livello nazionale è pari al 49,0%, il più alto tra tutti i paesi inclusi nel benchmarking di PowerDMARC; un risultato che il rapporto attribuisce in parte ai “primi obblighi normativi e al contesto ad alto rischio” in settori quali quello bancario e sanitario. Nello specifico, nel settore bancario e finanziario, la correttezza dell’SPF si attesta al 90,9%, mentre l’adozione dell’MTA-STS, che protegge i messaggi in transito, è solo del 3,0%.
• Canada: il settore bancario è in testa a livello nazionale per quanto riguarda l’applicazione delle norme, con il 42,0% di messaggi respinti, secondo il rapporto “Canada DMARC & MTA-STS Adoption Report 2026” di PowerDMARC, che ha analizzato 555 domini. Lo stesso rapporto rileva che l’8,0% dei domini del settore bancario non dispone di alcun record DMARC e illustra chiaramente il divario: «Il restante 58,0%, compresi quelli con stato “None” o “Quarantine”, rimane esposto a sofisticati attacchi di spoofing che possono portare a frodi finanziarie su larga scala e alla perdita della fiducia dei clienti».
• Norvegia: il settore dei servizi finanziari si attesta al 44,7% (p=reject), risultando il secondo settore più forte dopo quello sanitario (55,6%), secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Norvegia.
• Arabia Saudita: il settore bancario regolamentato dalla SAMA, la parte dell’economia saudita soggetta alla vigilanza più rigorosa, ha raggiunto un tasso di applicazione vicino al 50%, nonostante il tasso complessivo di applicazione a livello nazionale, considerando tutti i settori, si attesti appena al 18,4%, secondo il rapporto di PowerDMARC sull’adozione degli standard DMARC e MTA-STS in Arabia Saudita.
• Polonia: secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Polonia del 2026, il settore bancario registra il più alto tasso di applicazione tra tutti i settori polacchi, pari al 40,8% (p=reject); tuttavia, il 16,3% dei domini bancari non presenta ancora alcun record DMARC e l’adozione di MTA-STS nel settore si attesta allo 0%.
• Francia: il settore bancario è chiaramente in testa a livello nazionale, con una percentuale di rigetti pari al 63,3%, secondo il rapporto di PowerDMARC sull’adozione di DMARC e MTA-STS in Francia del 2026. Ciononostante, il 7,6% dei domini bancari francesi non dispone di alcun record DMARC e, come in Polonia, l’adozione di MTA-STS nel settore si attesta allo 0%.

Mettendo questi dati a confronto, emerge un andamento che si ripete in sei paesi e in un’ampia gamma di contesti normativi: il settore bancario è costantemente quello in cui le norme vengono applicate al meglio o quasi a livello nazionale, collocandosi in genere tra il 40% e la fascia bassa del 60% in termini di p=reject. Ciò significa però che tra circa un terzo e il 60% degli istituti finanziari continua a non bloccare immediatamente le e-mail contraffatte.

C'è un dato davvero incoraggiante che vale la pena sottolineare in modo imparziale. Lo studio condotto da dmarcian sulle prime 100 banche mondiali per fatturato ha rilevato progressi concreti e misurabili tra il 2021 e il 2025:

• Un calo del 74% dei domini privi di qualsiasi record DMARC.
• Un calo del 52% dei domini ancora bloccati su p=none.
• Un aumento del 50% nel tasso di rifiuto.

Quella parte che nessuno tiene in considerazione: oltre le megabanche

Quasi tutte le ricerche condotte da DMARC sui servizi finanziari, compresi i dati sopra riportati, prendono in esame lo stesso ristretto segmento del settore: le maggiori banche statunitensi, le prime 100 banche mondiali per fatturato, quella manciata di istituzioni abbastanza grandi da risultare visibili in una scansione dei domini a livello nazionale. Si tratta di una piccola frazione di ciò che le autorità di regolamentazione intendono effettivamente quando parlano di “istituzione finanziaria”.

A chi si applica effettivamente la “Safeguards Rule” della FTC

Dal 2024, la “Safeguards Rule” della FTC si applica a una popolazione molto più ampia, definita in base all’attività svolta piuttosto che alla tipologia di istituzione:

• Concessionari automobilistici che organizzano o agevolano il finanziamento
• Agenti ipotecari
• Consulenti finanziari e consulenti di investimento registrati
• Professionisti che si occupano della compilazione delle dichiarazioni dei redditi
• Agenti di recupero crediti e istituti di credito che concedono prestiti a breve termine

In sostanza, qualsiasi azienda che fornisca servizi finanziari e raccolga dati personali dei clienti può rientrare nell’ambito di applicazione di questa norma. Ciò potrebbe includere, ad esempio, una concessionaria automobilistica regionale che gestisce le richieste di prestito tramite una casella di posta condivisa, e non solo una grande banca nazionale.

Non esistono studi specifici sull’applicazione del DMARC tra queste aziende, ma il quadro generale è preoccupante. Il “2025 Global DMARC Adoption Report” di EasyDMARC ha rilevato che solo il 7,7% dei primi 1,8 milioni di domini di posta elettronica a livello mondiale era completamente protetto con una politica “p=reject”. Ciò significa che circa il 92% era ancora privo di protezione.

In sintesi:

Molte aziende del settore finanziario potrebbero disporre di record DMARC, ma sono ben poche quelle che sono passate alla fase di applicazione delle misure di sicurezza e, molto probabilmente, rimangono vulnerabili allo spoofing.

I domini .BANK sono obbligatori. La maggior parte dei domini .com delle banche non lo è.

C’è un dettaglio strutturale che fa apparire questa lacuna nell’applicazione non tanto come un limite tecnico, quanto piuttosto come una scelta. Qualsiasi dominio registrato sotto i domini di primo livello .BANK o .INSURANCE è sempre stato tenuto a pubblicare DMARC come condizione per la registrazione. Da novembre 2023, tale requisito è stato ulteriormente rafforzato: fTLD, l’operatore di registro per tali TLD, ha aggiunto il Public Suffix Domain DMARC ai sensi della RFC 9091, che impone l’autenticazione a livello dello stesso registro. In pratica, una politica p=reject è di fatto obbligatoria per ogni dominio su .BANK o .INSURANCE.

Nel frattempo, il dominio .com standard di quella stessa istituzione, quello rivolto ai clienti e che compare effettivamente nella maggior parte delle e-mail inviate ai clienti, non è soggetto a tale requisito e, secondo i dati sopra riportati, viene applicato, nella migliore delle ipotesi, circa la metà delle volte.

Questo contrasto costituisce la prova più evidente del fatto che l’applicazione della normativa sia un problema tecnico e operativo risolto nel momento stesso in cui diventa obbligatoria. Ciò significa che non si tratta di una lacuna in termini di capacità, bensì di una lacuna a livello di politiche e di definizione delle priorità.

Perché il divario persiste (non è per ignoranza)

Le ragioni addotte dalle banche per mantenere il valore p=none non derivano da una mancanza di conoscenza. Secondo l’analisi di Red Sift, le ragioni sono la complessità operativa e l’avversione al rischio:

• Una grande banca instrada le e-mail attraverso centinaia di soggetti terzi legittimi: piattaforme di marketing, sistemi di gestione dei mutui, generatori di estratti conto, fornitori di documenti relativi ai prestiti.
• Passare direttamente allo stato "p=reject" rischia di bloccare il documento relativo al prestito o la busta paga di un cliente se anche solo uno di quei mittenti non è correttamente autenticato.
• Per una banca, un’e-mail legittima bloccata costituisce di per sé un incidente, che si manifesta immediatamente, mentre un’e-mail contraffatta che rimane inattiva rappresenta un rischio che rimane invisibile finché non viene scoperto.

Si tratta di una preoccupazione fondata, ma è proprio questo il problema che l’implementazione standard e graduale di DMARC è stata concepita per risolvere. Il percorso che va da p=none a monitoring, poi a p=quarantine e infine a p=reject esiste proprio per consentire a un’organizzazione di identificare ogni mittente legittimo prima di bloccare qualsiasi messaggio.

Cosa dovrebbe significare il termine “protetto” per un istituto finanziario nel 2026

Oggi, una soglia minima ragionevole per qualsiasi istituto finanziario si presenta così:

• Il DMARC è applicato con impostazione p=reject su tutti i domini in grado di inviare comunicazioni finanziarie o di essere utilizzati per l'impostazione fraudolenta di tali comunicazioni, non solo sul dominio aziendale principale.
• La copertura è estesa ai domini inattivi e alle registrazioni difensive, non solo a quelli utilizzati attivamente per la posta dei clienti.
• Un inventario delle fonti di invio che venga effettivamente mantenuto aggiornato, in modo che i fornitori terzi non perdano silenziosamente la sincronizzazione dopo l'implementazione iniziale.

La versione 4.0.1 dello standard PCI DSS ha reso obbligatori i controlli anti-phishing per i soggetti che trattano dati delle carte di pagamento a partire da marzo 2025. La “Safeguards Rule” della FTC copre già una gamma di attività finanziarie molto più ampia di quanto la maggior parte delle aziende non bancarie creda. Nessuna delle due norme considera un record con valore “p=none” come conforme, e lo stesso dovrebbe valere per qualsiasi istituzione che voglia definirsi protetta.

È proprio questo il circolo vizioso che il titolo mette in luce. Un’istituzione può affermare in tutta onestà di “avere il DMARC” pur mantenendo il valore p=none, ed essere esattamente esposta allo spoofing quanto un’istituzione che non dispone affatto di un record.

In che modo PowerDMARC contribuisce a colmare il divario

Passare da p=none a p=reject è un processo, non un semplice cambio di impostazione, ed è proprio qui che la maggior parte degli istituti finanziari si blocca. La piattaforma di PowerDMARC è stata progettata proprio per facilitare questa transizione specifica:

• Visibilità prima dell’applicazione delle misure: le informazioni sulle minacce in tempo reale individuano tutti i domini e i soggetti terzi che inviano e-mail per conto di un’istituzione, consentendo ai team di sicurezza di individuare chi deve essere autorizzato prima che un singolo messaggio venga bloccato.
• Autenticazione gestita: i servizi SPF, DKIM, DMARC, MTA-STS e BIMI in hosting consentono a un team di passare dalle fasi di monitoraggio a quelle di applicazione delle misure di conformità grazie a una dashboard in tempo reale, anziché dover tenere traccia manualmente dei record DNS su fogli di calcolo.
• Allineamento con i requisiti esistenti: poiché DMARC è un controllo specificato nella norma PCI DSS v4.0.1, l’implementazione che porta una banca a impostare il parametro “p=reject” soddisfa anche un requisito che gli ispettori stanno già verificando.
• Rilevamento delle minacce assistito dall'intelligenza artificiale: finalizzato a individuare i modelli di phishing e BEC nel settore finanziario, come le istruzioni di bonifico contraffatte o le fatture false dei fornitori, prima ancora che raggiungano la casella di posta elettronica.

Ciò elimina la scusa secondo cui l'applicazione delle norme sarebbe troppo complessa o troppo rischiosa per poter procedere.

Pensieri finali

Il settore dei servizi finanziari ha affrontato la questione dell’adozione più rapidamente di quasi qualsiasi altro settore esistente. Non ha però risolto il problema dell’applicazione delle norme, e le istituzioni meno propense a farle rispettare sono anche quelle che difficilmente compariranno mai in uno studio. I dati forniti dallo stesso FBI mostrano cosa c’è in gioco nel frattempo: il rapporto annuale IC3 2025 dell’FBI ha registrato per la prima volta nella sua storia oltre 1 milione di denunce relative a crimini informatici, per un totale di 20,877 miliardi di dollari di perdite, con un aumento del 26% rispetto al 2024. Il phishing è stato il tipo di reato più segnalato, e il solo fenomeno del Business Email Compromise ha rappresentato 3,05 miliardi di dollari del totale.

Ciò che manca, nella maggior parte delle organizzazioni, non è una soluzione, bensì la decisione a livello organizzativo di metterla effettivamente in pratica. Se vuoi scoprire qual è la situazione attuale dei domini della tua organizzazione, il Domain Analyzer gratuito di PowerDMARC te lo mostrerà in meno di un minuto!

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• La maggior parte degli istituti finanziari dispone di DMARC. Quasi nessuno è protetto. - 22 luglio 2026
• Che cos’è la “fatica da MFA” (push bombing)? - 21 luglio 2026
• Caso di studio DMARC MSP: come Adoptive Technologies fornisce ai clienti una sicurezza centralizzata della posta elettronica grazie a PowerDMARC - 17 luglio 2026