Większość instytucji finansowych korzysta z protokołu DMARC. Prawie żadna z nich nie jest jednak chroniona.

Najważniejsza liczba: Problem adopcji został (prawie) rozwiązany

Zacznijmy od dobrych wiadomości, bo warto o tym wspomnieć: branża usług finansowych wprowadziła standard DMARC szybciej niż niemal każda inna branża. We wszystkich krajach objętych badaniem PowerDMARC sektor bankowości i usług finansowych konsekwentnie plasuje się w czołówce – na pierwszym lub drugim miejscu – pod względem samego posiadania rekordu DMARC, znacznie wyprzedzając w większości rynków branżę detaliczną, opiekę zdrowotną czy sektor publiczny.

• Belgia: instytucje finansowe są „zdecydowanymi liderami we wdrażaniu zabezpieczeń poczty elektronicznej ” – tylko 1 na 12 z nich nie posiada w ogóle rekordu DMARC, jak wynika z raportu PowerDMARC „Belgium DMARC Report 2025”.
• Niemcy: sektor bankowy „wyznacza tempo” w zakresie bezpieczeństwa poczty elektronicznej w skali kraju – wynika z raportu PowerDMARC „Germany DMARC Report 2025”.
• Norwegia: według raportu PowerDMARC pt. „Norway DMARC & MTA-STS Adoption Report” w sektorze usług finansowych wdrożenie protokołu DMARC jest „prawie powszechne”, a tylko 6,8% domen nie posiada żadnego wpisu.
• Stany Zjednoczone: Raport firmy PowerDMARC pt. „United States DMARC & MTA-STS Adoption Report 2026” wykazał, że ogólny wskaźnik wdrożenia protokołu DMARC w kraju wyniósł 95,8% w ponad 900 domenach, co oznacza praktycznie powszechne stosowanie tego protokołu, a wśród sektorów mających największy wpływ na ten wynik znalazły się bankowość i finanse.
• Kanada: w sektorze bankowym odnotowuje się jeden z najniższych wskaźników braku wdrożenia w całym kraju – zaledwie 8,0% domen nie posiada żadnego rekordu DMARC, jak wynika z raportu PowerDMARC pt. „Canada DMARC & MTA-STS Adoption Report 2026”.
• W Polsce, zgodnie z raportem PowerDMARC „Poland DMARC & MTA-STS Adoption Report 2026”, 83,7% domen z sektora bankowości i finansów posiada wdrożony rekord DMARC, choć aż 16,3% nadal nie posiada go wcale.
• Francja: sektor bankowy przoduje wśród wszystkich innych branż pod względem wdrażania rekordów DMARC – zaledwie 7,6% domen nie posiada rekordu DMARC, jak wynika z raportu PowerDMARC pt. „France DMARC & MTA-STS Adoption Report 2026”.

Zapoznaj się z raportami dotyczącymi wdrażania standardu DMARC w poszczególnych krajach

Przyczyny wysokiego wskaźnika adopcji w 2026 roku

Wysoki poziom wdrożenia protokołu DMARC w instytucjach finansowych nie jest dziełem przypadku. Presja regulacyjna wywierana na ten sektor narastała od lat i obecnie dociera z kilku stron jednocześnie.

• Zgodnie z normą PCI DSS w wersji 4.0.1, od 31 marca 2025 r. środki ochrony przed phishingiem staną się obowiązkowe, a nie tylko zalecaną praktyką dla każdej organizacji przetwarzającej dane kart płatniczych. W ramach tej normy jako opcje pozwalające spełnić te wymagania zaleca się stosowanie protokołów DMARC, SPF i DKIM.
• W Stanach Zjednoczonych zakres obowiązywania przepisów FTC dotyczących zabezpieczeń został po cichu rozszerzony i obejmuje obecnie znacznie szerszy zakres działalności finansowej, niż większość ludzi zdaje sobie sprawę.
• Krajowe organy nadzoru finansowego – od Rijadu po Ottawę – propagują ten sam przekaz w ramach swoich programów dotyczących bezpieczeństwa domen.
• Do tego wszystkiego doszły jeszcze wymagania głównych dostawców usług pocztowych. Od lutego 2024 roku Google i Yahoo wymagają, aby każda domena wysyłająca ponad około 5 000 wiadomości e-mail dziennie opublikowała co najmniej rekord DMARC o wartości p=none wraz z dopasowanymi rekordami SPF i DKIM – w przeciwnym razie istnieje ryzyko, że wiadomości zostaną odrzucone lub trafią bezpośrednio do folderu spam. Microsoft podjął podobne działania w odniesieniu do nadawców wysyłających duże ilości wiadomości na adresy Outlook i Hotmail. Dla banku wysyłającego rutynowe wyciągi i powiadomienia do milionów użytkowników Gmaila i Yahoo nie jest to już opcjonalne.

Prawda: Egzekwowanie przepisów jest dalekie od ideału

W tym miejscu historia nabiera innego obrotu. Jeśli spojrzeć poza ogólne dane dotyczące poszczególnych krajów, wszędzie tam, gdzie firma PowerDMARC badała ten sektor, widać ten sam schemat: sektor bankowy zazwyczaj wyprzedza gospodarkę krajową pod względem egzekwowania przepisów, a nawet ta przewaga sprawia, że znaczna część sektora pozostaje narażona na zagrożenia.

• Stany Zjednoczone: Raport PowerDMARC pt. „Wdrożenie standardów DMARC i MTA-STS w Stanach Zjednoczonych do 2026 r.”, w ramach którego przeanalizowano ponad 900 domen, wskazuje, że ogólny wskaźnik egzekwowania odrzucania wiadomości (p=reject) w skali kraju wynosi 49,0% – jest to najwyższy wynik spośród wszystkich krajów objętych badaniem porównawczym PowerDMARC. Raport przypisuje ten wynik częściowo „wczesnym wymogom regulacyjnym oraz środowisku obarczonemu wysokim ryzykiem” w sektorach takich jak bankowość i opieka zdrowotna. W samym sektorze bankowości i finansów poprawność SPF wynosi 90,9%, podczas gdy wskaźnik wdrożenia standardu MTA-STS, który chroni wiadomości podczas przesyłania, wynosi zaledwie 3,0%.
• Kanada: sektor bankowy przoduje w kraju pod względem wskaźnika odrzuconych wiadomości (42,0%), jak wynika z raportu PowerDMARC „Canada DMARC & MTA-STS Adoption Report 2026”, w którym przeanalizowano 555 domen. W tym samym raporcie odnotowano, że 8,0% domen sektora bankowego nie posiada żadnego rekordu DMARC, a lukę tę opisano wprost: „pozostałe 58,0%, w tym domeny z ustawieniami »None« lub »Quarantine«, pozostają narażone na wyrafinowane ataki spoofingowe, które mogą prowadzić do ogromnych oszustw finansowych i utraty zaufania klientów”.
• Norwegia: udział sektora usług finansowych wynosi 44,7% (p = odrzucone) i jest to drugi pod względem wielkości sektor po sektorze opieki zdrowotnej (55,6%), zgodnie z raportem PowerDMARC dotyczącym wdrażania standardów DMARC i MTA-STS w Norwegii.
• Arabia Saudyjska: sektor bankowy podlegający regulacjom SAMA, będący najściślej nadzorowaną częścią saudyjskiej gospodarki, osiągnął poziom wdrożenia wynoszący blisko 50%, mimo że ogólny wskaźnik wdrożenia we wszystkich sektorach kraju wynosi zaledwie 18,4%, jak wynika z raportu PowerDMARC pt. „Saudi Arabia DMARC & MTA-STS Adoption Report”.
• Polska: sektor bankowy wykazuje najwyższy wskaźnik wdrożenia spośród wszystkich polskich sektorów – 40,8% odrzuconych wiadomości – zgodnie z raportem PowerDMARC „Poland DMARC & MTA-STS Adoption Report 2026”, jednak 16,3% domen bankowych nadal nie posiada żadnego rekordu DMARC, a wskaźnik wdrożenia MTA-STS w tym sektorze wynosi 0%.
• Francja: sektor bankowy jest tu zdecydowanym liderem krajowym, osiągając wskaźnik odrzuconych wiadomości na poziomie 63,3%, zgodnie z raportem PowerDMARC „France DMARC & MTA-STS Adoption Report 2026”. Mimo to 7,6% francuskich domen bankowych nie posiada żadnego rekordu DMARC, a podobnie jak w Polsce wskaźnik wdrożenia MTA-STS w całym sektorze wynosi 0%.

Gdy zestawimy te dane obok siebie, wyłania się pewna prawidłowość, która utrzymuje się w sześciu krajach i w bardzo zróżnicowanych warunkach regulacyjnych: sektor bankowy jest niezmiennie najlepiej lub niemal najlepiej egzekwowanym sektorem w skali krajowej, osiągając zazwyczaj wyniki w przedziale od 40% do nieco poniżej 60% w przypadku wskaźnika p=reject. Oznacza to jednak, że od około jednej trzeciej do 60% instytucji finansowych nadal nie blokuje od razu fałszywych wiadomości e-mail.

Jest jeden naprawdę budujący wynik, o którym warto uczciwie wspomnieć. Badanie przeprowadzone przez dmarcian, dotyczące 100 największych banków na świecie pod względem przychodów, wykazało rzeczywisty, wymierny postęp w latach 2021–2025:

• Spadek o 74% liczby domen, które nie posiadają żadnego wpisu DMARC.
• Liczba domen, które nadal pozostają w stanie „p=none”, spadła o 52 %.
• Wzrost o 50% w przypadku przyjęcia hipotezy o odrzuceniu.

To, czego nikt nie mierzy: poza megabankami

Prawie każde badanie DMARC dotyczące usług finansowych, w tym przytoczone powyżej dane, skupia się na tym samym wąskim segmencie branży: największych bankach amerykańskich, 100 największych banków świata pod względem przychodów oraz nielicznych instytucjach na tyle dużych, by pojawić się w wynikach skanowania domen krajowych. Stanowi to zaledwie niewielką część tego, co organy regulacyjne faktycznie mają na myśli, mówiąc o „instytucjach finansowych”.

Kogo faktycznie obejmuje przepis FTC dotyczący zabezpieczeń

Od 2024 r. przepis FTC dotyczący zabezpieczeń ma zastosowanie do znacznie szerszej grupy podmiotów, określonej raczej na podstawie rodzaju działalności niż typu instytucji:

• Salony samochodowe, które organizują lub ułatwiają uzyskanie finansowania
• Pośrednicy kredytów hipotecznych
• Doradcy finansowi i zarejestrowani doradcy inwestycyjni
• Osoby zajmujące się rozliczeniami podatkowymi
• Firmy windykacyjne i pożyczkodawcy udzielający pożyczek do wypłaty

Zasadniczo przepis ten może dotyczyć każdej firmy świadczącej usługi finansowe i gromadzącej dane osobowe klientów. Może to obejmować nie tylko duży bank o zasięgu ogólnokrajowym, ale także regionalny salon samochodowy, który rozpatruje wnioski kredytowe za pośrednictwem wspólnej skrzynki odbiorczej.

Nie przeprowadzono żadnego szczegółowego badania dotyczącego wdrażania protokołu DMARC w tych przedsiębiorstwach, jednak ogólny obraz sytuacji budzi niepokój. Z raportu „2025 Global DMARC Adoption Report” firmy EasyDMARC wynika, że jedynie 7,7% spośród 1,8 miliona największych domen pocztowych na świecie było w pełni chronionych za pomocą polityki „p=reject”. Oznacza to, że około 92% z nich pozostawało nadal bez ochrony.

Podsumowując:

Wiele firm z branży finansowej może posiadać rekordy DMARC, jednak znacznie mniej z nich przeszło do etapu egzekwowania tych zasad i najprawdopodobniej nadal są narażone na ataki typu spoofing.

Domeny .BANK muszą być egzekwowane. Większość domen bankowych .com nie podlega egzekwowaniu.

Istnieje tu pewien szczegół strukturalny, który sprawia, że luka w egzekwowaniu zasad wygląda mniej jak ograniczenie techniczne, a bardziej jak świadomy wybór. Każda domena zarejestrowana w domenach najwyższego poziomu .BANK lub .INSURANCE zawsze musiała publikować DMARC jako warunek rejestracji. Od listopada 2023 r. wymóg ten został rozszerzony: fTLD, operator rejestru tych domen najwyższego poziomu, dodał funkcję Public Suffix Domain DMARC zgodnie z RFC 9091, która wymusza uwierzytelnianie na samym poziomie rejestru. W praktyce polityka p=reject jest faktycznie obowiązkowa dla każdej domeny w strefach .BANK lub .INSURANCE.

Tymczasem zwykła domena .com tej samej instytucji, przeznaczona dla klientów – ta, która faktycznie pojawia się w większości wiadomości e-mail wysyłanych do klientów – nie podlega takiemu wymogowi i, zgodnie z powyższymi danymi, jest egzekwowana co najwyżej w około połowie przypadków.

Ten kontrast stanowi najwyraźniejszy dowód na to, że egzekwowanie przepisów staje się rozwiązanym problemem technicznym i operacyjnym w momencie, gdy staje się obowiązkowe. Oznacza to, że nie jest to luka w zdolnościach, lecz luka w polityce i ustalaniu priorytetów.

Dlaczego ta przepaść wciąż istnieje (nie chodzi o niewiedzę)

Powody, dla których banki utrzymują ustawienie p=none, nie wynikają z braku wiedzy. Jak wynika z analizy Red Sift, przyczyną są złożoność operacyjna oraz niechęć do ryzyka:

• Duży bank przekazuje wiadomości e-mail za pośrednictwem setek legalnych podmiotów zewnętrznych: platform marketingowych, systemów obsługi kredytów hipotecznych, generatorów wyciągów oraz dostawców dokumentacji kredytowej.
• Przejście od razu do statusu „p=reject” grozi zablokowaniem dokumentu kredytowego klienta lub zawiadomienia o wynagrodzeniu, jeśli choćby jeden z tych nadawców nie zostanie prawidłowo uwierzytelniony.
• Dla banku zablokowanie prawidłowej wiadomości e-mail stanowi swego rodzaju incydent, który ujawnia się natychmiast, podczas gdy sfałszowana wiadomość e-mail pozostająca w stanie „p=none” stanowi zagrożenie, które pozostaje niewidoczne, dopóki nie zostanie wykryte.

To poważny problem, ale właśnie po to opracowano standardowe, stopniowe wdrażanie protokołu DMARC. Ścieżka od ustawienia p=none, przez monitoring, p=quarantine, aż po p=reject istnieje właśnie po to, aby organizacja mogła zidentyfikować każdego wiarygodnego nadawcę, zanim zablokuje jakąkolwiek wiadomość.

Co pojęcie „chroniony” powinno oznaczać dla instytucji finansowej w 2026 roku

Obecnie rozsądny próg minimalny dla każdej instytucji finansowej wygląda następująco:

• DMARC jest egzekwowany z ustawieniem p=reject w odniesieniu do każdej domeny, z której można wysyłać komunikaty finansowe lub która może zostać sfałszowana w celu wysłania takich komunikatów – nie tylko w przypadku głównej domeny korporacyjnej.
• Zakres obejmuje nie tylko domeny aktywnie wykorzystywane do obsługi poczty klientów, ale także domeny zaparkowane i rejestracje defensywne.
• Wykaz źródeł wysyłkowych, który jest faktycznie na bieżąco aktualizowany, dzięki czemu dostawcy zewnętrzni nie wypadają po cichu z systemu po początkowym wdrożeniu.

Zgodnie z normą PCI DSS w wersji 4.0.1 od marca 2025 r. podmioty przetwarzające dane kart płatniczych mają obowiązek wdrożenia środków zabezpieczających przed phishingiem. Przepisy FTC dotyczące zabezpieczeń (FTC Safeguards Rule) obejmują już znacznie szerszy zakres podmiotów z branży finansowej, niż zdaje sobie sprawę większość firm niebędących bankami. Żadna z tych norm nie uznaje rekordu o wartości „p=none” za zgodność z wymogami, i żadna instytucja, która chce nazywać się zabezpieczoną, nie powinna tego robić.

W ten sposób zamyka się ten cykl. Instytucja może szczerze twierdzić, że „posiada DMARC”, mając ustawioną wartość p=none, i być narażona na spoofing w takim samym stopniu, jak ta, która nie ma żadnego wpisu.

W jaki sposób PowerDMARC pomaga wypełnić tę lukę

Przejście od stanu „p=none” do „p=reject” to proces, a nie proste przełączenie, i właśnie na tym etapie większość instytucji finansowych napotyka trudności. Platforma PowerDMARC została stworzona z myślą o tym konkretnym przejściu:

• Wgląd przed podjęciem działań: Informacje o zagrożeniach w czasie rzeczywistym ujawniają wszystkie domeny i podmioty zewnętrzne wysyłające wiadomości w imieniu instytucji, dzięki czemu zespoły ds. bezpieczeństwa mogą sprawdzić, komu należy udzielić autoryzacji, zanim jakakolwiek wiadomość zostanie zablokowana.
• Zarządzane uwierzytelnianie: hostowane rozwiązania SPF, DKIM, DMARC, MTA-STS i BIMI pozwalają zespołowi przejść przez etapy monitorowania i egzekwowania za pomocą panelu kontrolnego pokazującego aktualny stan zgodności, zamiast ręcznego śledzenia arkuszy kalkulacyjnych z wpisami DNS.
• Zgodność z obowiązującymi wymogami: Ponieważ DMARC stanowi konkretny środek kontroli określony w standardzie PCI DSS v4.0.1, wdrożenie tej technologii, w wyniku którego bank ustawia parametr „p=reject”, spełnia jednocześnie wymóg, który audytorzy już obecnie sprawdzają.
• Wykrywanie zagrożeń wspomagane sztuczną inteligencją: Ma na celu wykrywanie schematów phishingu i oszustw typu BEC w sektorze finansowym, takich jak sfałszowane polecenia przelewu czy fałszywe faktury dostawców, zanim w ogóle trafią one do skrzynki odbiorczej.

To eliminuje wymówkę, że egzekwowanie przepisów jest zbyt skomplikowane lub zbyt ryzykowne, by podjąć dalsze działania.

Przemyślenia końcowe

Sektor usług finansowych szybciej niż niemal jakikolwiek inny wdrożył odpowiednie rozwiązania. Nie rozwiązał jednak kwestii egzekwowania przepisów, a instytucje, które najrzadziej je egzekwują, są jednocześnie tymi, które najrzadziej pojawiają się w badaniach. Własne dane FBI pokazują, jaka jest w międzyczasie stawka: w rocznym raporcie FBI IC3 za rok 2025 po raz pierwszy w historii odnotowano ponad milion zgłoszeń dotyczących cyberprzestępstw, których łączna wartość strat wyniosła 20,877 mld dolarów, co stanowi wzrost o 26% w porównaniu z rokiem 2024. Najczęściej zgłaszanym rodzajem przestępstwa było phishing, a same ataki typu „business email compromise” stanowiły 3,05 mld dolarów z tej łącznej kwoty.

W większości instytucji nie brakuje rozwiązania. Brakuje natomiast decyzji organizacyjnej, by faktycznie z niego skorzystać. Jeśli chcesz sprawdzić, jak faktycznie wygląda sytuacja domen Twojej instytucji, bezpłatne narzędzie Domain Analyzer firmy PowerDMARC pokaże Ci to w mniej niż minutę!

• O
• Latest Posts

Ahona Rudra

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Ahona jest Marketing Managerem w PowerDMARC, z ponad 5-letnim doświadczeniem w pisaniu na tematy związane z cyberbezpieczeństwem, specjalizującym się w bezpieczeństwie domen i poczty elektronicznej. Ahona posiada dyplom ukończenia studiów podyplomowych w zakresie dziennikarstwa i komunikacji, umacniając swoją karierę w sektorze bezpieczeństwa od 2019 roku.

Latest posts by Ahona Rudra (zobacz wszystkie)

• Większość instytucji finansowych korzysta z protokołu DMARC. Prawie żadna z nich nie jest jednak chroniona. – 22 lipca 2026 r.
• Czym jest zmęczenie MFA (bombardowanie push)? – 21 lipca 2026 r.
• Studium przypadku DMARC MSP: Jak firma Adoptive Technologies zapewnia klientom scentralizowane zabezpieczenia poczty elektronicznej dzięki PowerDMARC – 17 lipca 2026 r.