Rapporto sull'adozione di DMARC e MTA-STS negli Stati Uniti 2026

Noi di PowerDMARC abbiamo analizzato la situazione dell'autenticazione delle e-mail nei domini statunitensi e abbiamo notato due cose: l'adozione del DMARC è in aumento, ma la sua applicazione rimane disomogenea, mentre l'MTA-STS è notevolmente in ritardo. È proprio in questo divario che persistono i rischi di spoofing e downgrade. 

Washington D.C. rimane l'epicentro della politica globale in materia di sicurezza informatica, ma con l'avvicinarsi del 2026 il divario tra mandato e attuazione si sta ampliando. Nonostante l'intensificazione delle linee guida federali, come "Shields Up" della CISA  e iniziative nazionali più ampie in materia di sicurezza informatica, gli Stati Uniti rimangono il terreno di gioco principale per le truffe basate sull'intelligenza artificiale e le frodi Business Email Compromise (BEC), che lo scorso anno sono costate all'economia oltre 2,9 miliardi di dollari l'anno scorso.

Questa analisi di PowerDMARC rivela che il Paese ha affrontato il problema dell'autenticazione dell'identità (SPF/DMARC), ma ha lasciato pericolosamente esposti la sicurezza del livello di trasporto (MTA-STS) e l'integrità della zona (DNSSEC).

Richiesta di rapporto - Adozione del DMARC negli Stati Uniti

"*" indica i campi obbligatori

Questo campo è a scopo di convalida e deve essere lasciato invariato.
Nome*

Vulnerabilità specifiche del settore e performance negli Stati Uniti

Per fornire una base di riferimento chiara, ecco la situazione generale della sicurezza negli Stati Uniti in tutti gli oltre 900 domini prima di addentrarci nei settori industriali specifici.

SPF

USA SPF

DMARC

USA-DMARC-Square

MTA-STS

USA MTA-STS

DNSSEC

Logo BIMI

Metriche sulla sicurezza delle e-mail negli Stati Uniti

Metrico Tasso di adozione
Correttezza SPF 95.7%
Adozione del DMARC 95.8%
DMARC p=rifiuta 49.0%
Adozione MTA-STS 1.7%
Adozione del protocollo DNSSEC 18.0%
Iniziare 15 giorni di prova

1. Settore bancario e finanziario: infrastrutture ad alta efficacia esecutiva

Stati Uniti statunitensi sono all'avanguardia nel Paese in materia di applicazione delle norme, ma l'enorme volume di attacchi, in particolare l'ondata di phishing del 2024 ai danni di JPMorgan che ha fruttato 100 milioni di dollari, dimostra che anche piccole lacune possono avere conseguenze catastrofiche.

Metrico Tasso di adozione
Correttezza SPF 90.9%
DMARC p=rifiuta 66.7%
Nessun record DMARC 7.6%
Adozione MTA-STS 3.0%
Adozione del protocollo DNSSEC 22.7%
Adozione SPF nel settore bancario

Il rischio critico

Dirottamento delle conferme SWIFT. Con un 97,0% nel MTA-STS, trilioni di conferme di bonifici bancari viaggiano attraverso percorsi non crittografati. Gli aggressori possono intercettarle durante il transito per identificare la modifica non autorizzata prima che la banca o il cliente si rendano conto della violazione.

La soluzione PowerDMARC

Automatizzato Hosting MTA-STS. Forziamo tutto il transito delle e-mail su canali crittografati TLS 1.2+, riducendo in modo significativo il rischio di downgrade e intercettazione grazie all'applicazione del protocollo TLS per la consegna in entrata e alla richiesta di conformità alle politiche tramite MTA-STS. Ciò contribuisce a supportare le comuni aspettative di governance per il trasporto sicuro delle e-mail e le comunicazioni con i fornitori.

2. Governo: obbligatorio ma vulnerabile

Le agenzie federali sono il punto di riferimento per il DMARC, ma il persistere di attacchi alla catena di approvvigionamento simili a quelli di SolarWinds evidenzia un enorme divario di visibilità nella sicurezza dei trasporti.

Metrico Tasso di adozione
Correttezza SPF 97.7%
DMARC p=rifiuta 80.1%
Nessun record DMARC 2.3%
Adozione MTA-STS 3.4%
Adozione del protocollo DNSSEC 54.5%

Il rischio critico

Credenziale Spoofing. Mentre 80,1% applica p=rifiuto, il restante 19,9% consente agli attori statali di falsificare credenziali .gov ufficiali, aggirando la fiducia dei cittadini per distribuire malware o raccogliere informazioni personali sensibili. La scarsa adozione di MTA-STS mette inoltre a rischio la sicurezza della posta in arrivo.

La soluzione PowerDMARC

Conformità SCuBA automatizzata per .gov. La nostra piattaforma automatizza i rigorosi requisiti di autenticazione delle e-mail previsti dalla norma CISA BOD 25-01. Forniamo una dashboard centralizzata per trasferire i domini .gov a DMARC p=reject senza alcun sovraccarico manuale, garantendo che gli ambienti cloud federali soddisfino i requisiti di sicurezza SCuBA per Microsoft 365 e Google Workspace senza il rischio di interrompere il flusso di posta legittimo.

3. Assistenza sanitaria: il fianco scoperto dell'HIPAA

La violazione subita da Change Healthcare nel 2024 ha dimostrato che gli operatori sanitari sono presi di mira tramite mittenti terzi falsificati. Nonostante il crescente utilizzo dell'autenticazione a più fattori (MFA), l'e-mail rimane un anello debole.

Metrico Tasso di adozione
Correttezza SPF 94.9%
DMARC p=rifiuta 64.6%
Nessun record DMARC 1.3%
Adozione MTA-STS 1.3%
Adozione del protocollo DNSSEC 11.4%

Il rischio critico

Fughe di PHI Transit. 98,7% del traffico e-mail nel settore sanitario non è crittografato durante il transito. Ciò consente agli hacker di intercettare le informazioni sanitarie protette (PHI) direttamente dalla rete, causando multe salate ai sensi dell'HIPAA e la sottrazione dei dati dei pazienti.

La soluzione PowerDMARC

Forniamo un percorso gestito per la piena applicazione di DMARC e MTA-STS, garantendo che ogni cartella clinica in uscita sia crittografata tramite MTA-STS ospitato.

Prenota una dimostrazione

4. Energia e servizi pubblici: rischi legati alla tecnologia operativa

Dopo l'attacco Post-Colonial Pipeline, il settore energetico statunitense ha rafforzato la propria OT (tecnologia operativa), ma la posta elettronica aziendale rimane un bersaglio attivo per gli attacchi ransomware.

Metrico Tasso di adozione
Correttezza SPF 96.8%
DMARC p=rifiuta 51.6%
Nessun record DMARC 3.2%
Adozione MTA-STS 1.6%
Adozione del protocollo DNSSEC 6.5%
Adozione del protocollo DNSSEC nel settore energetico

Il rischio critico

Pivot da phishing a OT. Solo 51,6% del settore energetico blocca le frodi. Gli aggressori utilizzano "avvisi di emergenza sulle apparecchiature critiche" contraffatti per indurre gli ingegneri a cliccare su link dannosi, colmando il divario tra la casella di posta aziendale e la rete elettrica fisica.

La soluzione PowerDMARC

Ottimizzazione dei record. Proteggiamo le comunicazioni operative contro i tentativi di phishing applicando rigorose DMARC e ottimizzando i record SPF complessi per rimanere entro i limiti di ricerca DNS.

5. Istruzione: La raccolta della proprietà intellettuale

I campus americani sono obiettivi di grande valore per il furto di proprietà intellettuale, eppure mantengono i tassi di applicazione della legge più bassi del Paese.

Metrico Tasso di adozione
Correttezza SPF 96.6%
DMARC p=rifiuta 30.3%
Nessun record DMARC 2.2%
Adozione MTA-STS 3.4%
Adozione del protocollo DNSSEC 12.4%

Il rischio critico

Raccolta dei dati di accesso all'università. DMARC basso p=rifiuto (30,3%) consente agli hacker di falsificare gli accessi .edu, ottenendo l'accesso a database di ricerca del valore di milioni di dollari e ai registri finanziari degli ex studenti.

La soluzione PowerDMARC

Semplifichiamo l'adozione e l'applicazione delle misure di sicurezza, aiutiamo a gestire migliaia di sottodomini dipartimentali da un'unica dashboard, riducendo drasticamente i tentativi di phishing riusciti in tutto il campus.

6. Media: l'amplificatore della disinformazione

Le redazioni combattono le fake news, ma i loro domini di posta elettronica vengono spesso utilizzati per diffonderle tramite firme contraffatte.

Metrico Tasso di adozione
Correttezza SPF 96.7%
DMARC p=rifiuta 30.4%
Nessun record DMARC 5.5%
Adozione MTA-STS 0.4%
Adozione del protocollo DNSSEC 3.3%
Logo BIMI

Il rischio critico

Furto di identità della fonte. Con MTA-STS quasi pari a zero (0,4%) e una bassa applicazione del DMARC, le comunicazioni private dei giornalisti con fonti sensibili sono visibili a chiunque monitori la rete e le loro firme possono essere facilmente contraffatte per diffondere notizie false.

La soluzione PowerDMARC

Integrità della fonte. Spostiamo i domini dei media su p=reject, assicurando che solo i giornalisti verificati possano inviare e-mail dal dominio della redazione, preservando la fiducia nel marchio in un'era di guerre informative.

Iniziare 15 giorni di prova

7. Telecomunicazioni: calamita per le truffe agli abbonati

Gli operatori proteggono le loro reti ma lasciano le loro caselle di posta elettronica completamente aperte, alimentando l'epidemia di SIM swap che costa agli americani miliardi ogni anno.

Metrico Tasso di adozione
Correttezza SPF 96.6%
DMARC p=rifiuta 41.4%
Nessun record DMARC 8.0%
Adozione MTA-STS 2.3%
Adozione del protocollo DNSSEC 12.6%

Il rischio critico

Frodi di fatturazione e appropriazione indebita di account. Elevati tassi di "No-DMARC" (8,0%) consentono ai truffatori di inviare avvisi di fatturazione falsi che sembrano legittimi, inducendo gli utenti a rivelare i codici 2FA necessari per lo scambio di SIM.

La soluzione PowerDMARC

SIM-Phish Slamming. La nostra piattaforma applica p=reject su tutti i domini dei carrier e ospita MTA-STS per proteggere i flussi di fatturazione automatizzati, rendendo difficile per i truffatori utilizzare il nome del carrier contro i propri abbonati.

8. Trasporti e logistica: il compromesso della catena di approvvigionamento

Le compagnie aeree e le reti ferroviarie devono affrontare il problema del "reindirizzamento logistico", in cui manifesti falsificati portano al furto di merci e al reindirizzamento delle forniture di carburante.

Metrico Tasso di adozione
Correttezza SPF 90.2%
DMARC p=rifiuta 42.4%
Nessun record DMARC 1.1%
Adozione MTA-STS 0.0%
Adozione del protocollo DNSSEC 12.0%

Il rischio critico

Furto di manifesto in testo semplice. A 100,0% in MTA-STS significa che ogni manifesto di carico inviato via e-mail non è crittografato. Gli aggressori possono intercettare i valori delle spedizioni e le rotte per coordinare il furto fisico o digitale di merci "just-in-time".

La soluzione PowerDMARC

Canali logistici a prova di frode. Forniamo hosting MTA-STS con un solo clic che protegge il livello di trasporto, garantendo che i dati sensibili relativi alla spedizione siano crittografati end-to-end, prevenendo interruzioni man-in-the-middle innescate tramite e-mail.

Sotto il cofano: quattro punti deboli strutturali

Il divario di implementazione p=none

Il 46,8% dei domini statunitensi ha DMARC ma non ne garantiscono l'applicazione (p=nessuna o p=quarantine). L'attuale stato p=none non ha la capacità di rimediare, permettendo agli aggressori di continuare a falsificare marchi affidabili mentre l'organizzazione si limita a osservare l'attività nei registri.

"Una politica DMARC impostata su p=none fornisce solo segnalazioni e visibilità sui tentativi di spoofing, senza bloccarli. Sebbene l'alto tasso di adozione negli Stati Uniti sia incoraggiante, è necessario passare a una politica DMARC di p=reject per prevenire attivamente l'uso non autorizzato delle e-mail. Senza l'applicazione di questa politica, i domini di posta elettronica rimangono vulnerabili".

Maitham Al Lawati, CEO, PowerDMARC

“Lo vediamo continuamente nelle aziende Fortune 500: aggiungono un nuovo strumento di marketing e improvvisamente le loro e-mail di fatturazione iniziano a rimbalzare. Il limite di 10 ricerche è un tetto massimo nel DNS. Senza ottimizzazione SPF come l'appiattimento o le macro per comprimere questi record, l'espansione del tuo stack digitale compromette inevitabilmente la deliverability delle tue e-mail".

Yunes Tarada, Responsabile della fornitura dei servizi, PowerDMARC

Complessità SPF su larga scala

Mentre il 95,7% dei domini ha un SPF, il restante 4,3% presenta configurazioni errate critiche. Nelle complesse aziende statunitensi, ciò deriva spesso dal raggiungimento del limite di 10 lookup per le query DNS, che fa sì che le e-mail legittime provenienti da fornitori terzi (CRM, sistemi HR) non superino l'autenticazione e scompaiano.

MTA-STS: Il deficit di crittografia

Con 98,3% di esposizione su tutta la linea, gli Stati Uniti hanno un gap di controllo quasi totale per quanto riguarda la sicurezza dei trasporti. Senza MTA-STS, gli aggressori possono eseguire "attacchi di downgrade", costringendo i server di posta elettronica ad abbandonare la crittografia e a trasmettere i messaggi in testo semplice, leggibile da chiunque monitori la rete.

"La crittografia standard delle e-mail (STARTTLS) è opportunistica: richiede la crittografia ma non la impone. MTA-STS è un modo per applicare il blocco del trasporto. Con quasi tutto il traffico statunitense esposto, è banale per un aggressore rimuovere la crittografia e leggere le comunicazioni aziendali sensibili in transito".

Ayan Bhuiya, responsabile del turno operativo e di consegna, PowerDMARC

"Le organizzazioni investono molto nella costruzione della fiducia nel marchio, ma un singolo dirottamento DNS può distruggerla in pochi secondi. Il protocollo DNSSEC funge da guardiano della vostra identità digitale, garantendo che quando i clienti vi contattano, si connettano con la vostra vera identità. Non è più solo un protocollo IT, ma un livello fondamentale della gestione della reputazione del marchio".

Ahona Rudra, Responsabile marketing, PowerDMARC

DNSSEC: le fondamenta deboli

DNSSEC è abilitato solo sul 18,0% dei domini. Senza di esso, il sistema di directory di Internet (DNS) è privo di protezione. Attaccanti sofisticati sponsorizzati dallo Stato possono dirottare il DNS , reindirizzando l'intero flusso di posta elettronica di un'azienda verso un server non autorizzato senza che il mittente o il destinatario se ne accorgano.

Contattateci

Benchmarking globale: gli Stati Uniti nel contesto

PaeseSPF CorrettoAdozione del DMARCDMARC p=rifiutaMTA-STS (Crittografia)Adozione del protocollo DNSSEC
Stati Uniti 🇺🇸95.7%95.8%49.0%1.7%18.0%
Paesi Bassi 🇳🇱92.4%88.5%41.2%14.5%59.0%
Svezia 🇸🇪85.0%77.9%29.9%2.9%25.9%
Norvegia 🇳🇴85.2%83.1%29.0%2.8%45.6%
Australia 🇦🇺91.5%78.4%26.5%3.1%6.8%
Arabia Saudita 🇸🇦80.6%54.4%18.4%0.2%11.9%
Giappone 🇯🇵95.0%74.6%9.2%0.5%2.1%

Analisi: La posizione degli Stati Uniti sulla scena mondiale

I dati di benchmarking relativi al periodo 2025-2026 rivelano che gli Stati Uniti sono attualmente il leader mondiale nella difesa attiva, vantando il più alto tasso di p=rifiuto dell'applicazione del 49,0%. Questo dato è significativamente più alto rispetto a economie digitali consolidate come l'Australia (26,5%) o il Giappone (9,2). Il successo degli Stati Uniti è in gran parte dovuto alle normative introdotte in anticipo rispetto ad altri paesi e all'ambiente ad alto rischio che caratterizza i settori bancario e sanitario.

Tuttavia, gli Stati Uniti devono affrontare un problema di "Technical Tail". Sebbene l'adozione di SPF e DMARC sia ormai quasi universale (95,0%+), il Regno dei Paesi Bassi supera significativamente gli Stati Uniti nella crittografia avanzata, con 14,5% di adozione di MTA-STS rispetto al modesto 1,7%. PowerDMARC colma questo divario di implementazione fornendo l'implementazione automatizzata delle politiche, pur mantenendo la gestione delle eccezioni per i mittenti legacy critici.

Inoltre, con l'adozione del protocollo DNSSEC pari solo al 18,0%, gli Stati Uniti rimangono più vulnerabili al sofisticato dirottamento DNS rispetto alla Norvegia (45,6%). Questo divario evidenzia l'attenzione strategica degli Stati Uniti nel contrastare il phishing (DMARC), a scapito degli investimenti nella resilienza delle infrastrutture (DNSSEC/MTA-STS). Affinché gli Stati Uniti mantengano la loro leadership nella sicurezza informatica, la fase successiva dovrà andare oltre la semplice verifica dell'identità e orientarsi verso la crittografia totale e l'integrità dell'ecosistema globale della posta elettronica.

Conclusione: dalle metriche all'azione

I dati sono chiari: gli Stati Uniti dispongono delle specifiche tecniche e dei registri fondamentali, ma devono ancora passare dal monitoraggio passivo all'applicazione attiva delle norme sul trasporto. Sebbene l'SPF sia onnipresente e l'adozione del DMARC sia in forte aumento, il mancato raggiungimento dell'applicazione (p=rifiuto) e della sicurezza del livello di trasporto (MTA-STS) rimane una vulnerabilità da miliardi di dollari.

Le organizzazioni statunitensi non possono permettersi di aspettare la prossima direttiva operativa vincolante della CISA o un incidente catastrofico di compromissione delle e-mail aziendali (BEC) per passare dal monitoraggio alla protezione. PowerDMARC colma questo "divario di implementazione" fornendo:

Percorsi di applicazione automatizzati: Migrazione sicura delle aziende Fortune 500 e delle PMI da p=none a p=reject senza bloccare le comunicazioni aziendali critiche.

Semplificazione dell'infrastruttura: Superamento del "limite di 10 ricerche" con ottimizzazione SPF, hosting MTA-STS e convalida dei record DNSSEC in un'unica dashboard cloud-native.

Conformità normativa: Supporto alla conformità agli standard PCI-DSS 4.0, HIPAA e CISA semplificando la protezione anti-phishing e proteggendo le comunicazioni e-mail.

Prenota una demo Contattateci

Prospettiva PowerDMARC

"Gli Stati Uniti sono attualmente il principale laboratorio per phishing basato sull'intelligenza artificiale phishing basato sull'intelligenza artificiale. Sebbene i team IT americani siano eccellenti nella pubblicazione dei record, spesso sono paralizzati dal timore di bloccare la posta legittima. Nel 2026, un approccio basato esclusivamente sul monitoraggio equivale essenzialmente a una resa di fronte a sofisticate tecniche di spoofing. Il passaggio a una difesa attiva non è solo un aggiornamento della sicurezza, ma è essenziale per proteggersi da violazioni sofisticate".

Team PowerDMARC

Trasforma oggi stesso la visibilità in difesa

I tassi di adozione negli Stati Uniti dimostrano che le basi sono pronte; ora è il momento di dare il via. In un contesto in cui l'intelligenza artificiale è in grado di imitare perfettamente il tono di voce di un dirigente, affidarsi esclusivamente alla "visibilità" non è sufficiente.

Non lasciare che il tuo dominio rimanga una "frontiera non protetta". Passa dal monitoraggio passivo alla protezione attiva prima che la prossima ondata di attacchi coordinati colpisca il tuo settore.

Contatta PowerDMARC per iniziare il tuo percorso verso l'applicazione.

Prova di 15 giorniPrenota una demo