2026-07-20 · RESEARCH · Il team di Offensive Technology

Quanto sono esposti all'email spoofing i domini più trafficati al mondo?

Risposta breve: Abbiamo preso i 1,000 domini più trafficati su Internet, ne abbiamo risolti 994 e abbiamo letto i loro record DNS pubblici per l'autenticazione dell'email. 41.5% non pubblica alcuna policy DMARC di enforcement, il che significa che le email che contraffanno il loro dominio nella riga From non vengono rifiutate o messe in quarantena su tale base e possono raggiungere le caselle di posta. Poco meno del 30% (29.6%) non pubblica alcun record DMARC, e un altro 11.9% ne pubblica uno impostato solo sul monitoraggio (p=none), che osserva lo spoofing senza fermarlo. I controlli più approfonditi sono ancora più rari: 13.6% usa DNSSEC e 3.2% annuncia MTA-STS. Ogni numero qui proviene da query DNS pubbliche e passive che abbiamo eseguito noi stessi su un elenco pubblicato dei siti principali. Nessun host è stato contattato, nulla è stato scansionato. Ecco esattamente come lo abbiamo misurato, e cosa dimostra e non dimostra.

I risultati in un grafico

Per ogni dominio ci siamo posti quattro domande pubbliche. Pubblica un record SPF? Pubblica un record DMARC, e la policy è effettivamente di enforcement? La zona è firmata con DNSSEC? Annuncia MTA-STS? Le risposte diminuiscono rapidamente man mano che i controlli diventano più severi:

L'unico numero che conta: DMARC di enforcement

L'email ha tre noti record di autenticazione, ed è facile scambiare la presenza di alcuni di essi per una protezione completa. SPF (RFC 7208) elenca quali server possono inviare email per un dominio. DKIM (RFC 6376) firma un messaggio in modo che il destinatario possa verificare che non sia stato alterato. Nessuno dei due, da solo, protegge l'indirizzo che un essere umano legge effettivamente.

Ecco la vulnerabilità usata da un attaccante. SPF convalida il mittente della busta, il Return-Path nascosto utilizzato durante la consegna, non l'indirizzo From mostrato nel client email. Un messaggio può superare i controlli SPF per un dominio usa e getta controllato dall'attaccante pur mostrando il vostro dominio nella riga From. DKIM aiuta solo se qualcosa verifica che la firma sia allineata con il dominio visibile e rifiuta l'email in caso contrario. Il record che lega l'autenticazione all'indirizzo From visibile e dice ai destinatari cosa fare in caso di errore è DMARC (RFC 7489).

DMARC ha tre impostazioni di policy, e la differenza tra di esse è ciò che fa davvero la differenza:

• p=reject dice ai destinatari di rifiutare l'email che fallisce l'autenticazione. Questa è l'impostazione che blocca effettivamente la contraffazione del dominio.
• p=quarantine dice ai destinatari di trattare l'email non autenticata come sospetta, inoltrandola in genere allo spam. Si tratta comunque di enforcement, sebbene più debole di reject.
• p=none dice ai destinatari di non fare nulla se non inviare report al proprietario del dominio. Le email contraffatte arrivano comunque a destinazione. È un semplice monitoraggio, non una difesa.

Quindi la vera domanda non è "questo dominio ha il DMARC", ma "il suo DMARC applica effettivamente un enforcement". Considerando come enforcement solo quarantine e reject, si qualifica il 58.5% dei domini che abbiamo risolto. Il restante 41.5% è la popolazione esposta: nessun record, oppure un record che si limita a monitorare.

Leggete le ultime tre righe insieme. Si ottiene quel 41.5%: le email contraffatte recanti il loro dominio non vengono bloccate dal DMARC. Vale la pena dire chiaramente che l'adozione di SPF è più alta, al 73.7%, proprio perché SPF è il record che le persone configurano per primo ritenendolo un lavoro completato. Non è però il record che impedisce a qualcuno di impersonarli con un cliente o con il team finanziario, che è l'attacco che abbiamo descritto nella nostra guida su cosa possono vedere gli attaccanti sulla vostra azienda.

I livelli più profondi sono quasi inesistenti

Due ulteriori controlli rafforzano l'email e il DNS oltre al trio SPF-DKIM-DMARC, e sono entrambi rari anche tra i domini più trafficati.

DNSSEC (RFC 4033 e specifiche correlate) firma crittograficamente le risposte DNS in modo che un resolver possa rilevare una risposta contraffatta. Abbiamo considerato un dominio come firmato quando la sua zona padre pubblicava un record DS. Solo il 13.6% lo faceva. DNSSEC costituisce la base per schemi email più solidi come DANE, quindi la sua rarità limita il livello di sicurezza che la maggior parte di questi domini può raggiungere.

MTA-STS (RFC 8461) consente a un dominio di indicare ai server mittenti di richiedere TLS durante la consegna delle email, contrastando gli attacchi di downgrade e l'intercettazione tra mail server. Solo il 3.2% lo annunciava. Abbiamo verificato unicamente l'annuncio DNS (il record _mta-sts TXT) ed evitiamo deliberatamente di recuperare il file di policy via HTTPS, poiché ciò tratterebbe di connettersi all'host del dominio, una linea che non valichiamo per motivi di ricerca.

Come lo abbiamo misurato

Uno scettico dovrebbe essere in grado di ricreare questo studio da zero, quindi ecco l'intero metodo senza nulla di nascosto.

• La popolazione. Abbiamo utilizzato la Tranco list (lista 64YYX, generata 19 July 2026), una classifica dei siti principali orientata alla ricerca che calcola la media di diversi provider nell'arco di 30 giorni per resistere a manipolazioni giornaliere. È pubblicata, provvista di versione e citabile in modo permanente, il che conta di più per la riproducibilità rispetto all'elenco di un singolo vendor. Si veda tranco-list.eu e il relativo articolo accademico NDSS 2019.
• Il campione. I primi 1,000 domini di tale elenco. 994 sono stati risolti verso name server attivi; 6 non lo sono stati e sono stati esclusi, portando il denominatore a 994.
• Le query. Per ogni dominio, quattro query DNS passive tramite dig verso resolver ricorsivi pubblici: TXT sul dominio per SPF, TXT su _dmarc.<domain> per DMARC (analizzando il tag p=), DS sul dominio per DNSSEC e TXT su _mta-sts.<domain> per l'annuncio MTA-STS.
• Cosa non abbiamo fatto. Non abbiamo mai inviato email, aperto connessioni a server di posta, recuperato file di policy né scansionato nulla. La lettura di un record DNS pubblico è una semplice consultazione, non una scansione attiva. È il medesimo confine tra una verifica e un reato che regola ogni incarico che svolgiamo.
• Cosa abbiamo conservato. Solo conteggi aggregati e percentuali. I risultati per singolo dominio sono rimasti in memoria per la durata dell'esecuzione e non sono mai stati scritti su disco. Nessun dominio viene citato. Non è stato raccolto alcun dato personale; i domini e i relativi record DNS non sono dati personali e non abbiamo raccolto indirizzi email.

Cosa questo non dimostra

Limiti trasparenti, perché un numero senza le sue avvertenze è solo marketing.

• È un'istantanea. Il DNS cambia quotidianamente. Queste cifre descrivono il 20 July 2026, non un trend. Un dominio oggi impostato su p=none potrebbe essere in fase di implementazione e passare all'enforcement il mese prossimo.
• Si limita al solo DNS. Abbiamo analizzato le policy pubblicate, non le email consegnate. Un grande gestore di posta può strutturare difese a livelli che il DNS non mostra. DMARC è semplicemente il segnale pubblico standardizzato su cui i destinatari agiscono concretamente, motivo per cui è il parametro corretto da misurare su larga scala.
• I domini in cima alla lista non sono solo domini di posta. Una parte dei domini più trafficati è composta da CDN, endpoint API e infrastrutture che non inviano mai email interattive. Per questi, l'assenza di DMARC rappresenta un rischio reale inferiore, poiché nessuno si aspetta messaggi da essi. Rimane comunque una lacuna: la postura raccomandata per un dominio che non invia posta è un record MX nullo unitamente a DMARC reject, e un attaccante può comunque contraffare email a nome di qualsiasi dominio che non applichi l'enforcement.
• L'impostazione p=none è diffusa per un motivo. L'implementazione del DMARC parte dal monitoraggio, in modo che un'organizzazione possa individuare i propri mittenti legittimi prima di iniziare a rifiutare i messaggi. Consideriamo p=none come privo di enforcement poiché, operativamente, le email contraffatte non vengono bloccate finché il dominio rimane in tale stato. Questa è una constatazione sullo stato delle cose, non un giudizio sul proprietario.
• DMARC a livello organizzativo. La lista Tranco è filtrata sui domini registrati, quindi abbiamo verificato la policy nella sede corretta, ovvero sul dominio organizzativo. I singoli sottodomini possono differire.

Perché interessa a un attaccante, e perché dovrebbe interessare anche a voi

La contraffazione di dominio non è nulla di esotico. Un'email che sembra provenire dall'indirizzo di fatturazione di un'azienda, inviata al responsabile amministrativo dell'azienda stessa o a un cliente per chiedere la modifica delle coordinate bancarie, è uno dei vettori d'ingresso più affidabili per un'intrusione. Nessun sistema viene violato; un'identità viene presa in prestito semplicemente perché un record DNS non è mai stato impostato su reject. Quando il 41.5% dei domini più frequentati su Internet lascia tale record privo di enforcement, la tecnica continua a funzionare perché la difesa è opzionale e spesso tralasciata.

La soluzione è semplice e perlopiù gratuita. Pubblicare SPF e DKIM, quindi implementare DMARC e passarlo gradualmente da p=none a p=quarantine fino a p=reject man mano che i report confermano i mittenti effettivi. La parte difficile non è mai la modifica del DNS; è capire quali sorgenti di invio si rischierebbe di compromettere applicando l'enforcement e avere la certezza di averle individuate tutte. Questa è una valutazione di merito, la stessa necessaria per capire quali delle vostre superfici esposte contino davvero e quali siano solo rumore.

Esposizione all'email spoofing: risposte rapide

Quale percentuale dei principali domini è soggetta a email spoofing?

Nella nostra verifica del July 2026 sui 1,000 domini più trafficati (994 risolti), il 41.5% non pubblicava alcuna policy DMARC di enforcement, quindi le email che contraffanno il loro dominio nella riga From visibile non vengono rifiutate o messe in quarantena su tale base. Circa il 29.6% non aveva alcun record DMARC e un altro 11.9% pubblicava una policy p=none limitata al solo monitoraggio.

Avere un record SPF blocca l'email spoofing?

No, non da solo. SPF autorizza i server per il mittente della busta, non per l'indirizzo From visualizzato dall'utente. Solo il DMARC impostato su quarantine o reject vincola l'autenticazione al dominio From visibile e indica ai destinatari di agire in caso di errore.

DMARC p=none è sufficiente?

No, non per bloccare lo spoofing. p=none riguarda unicamente il monitoraggio: i destinatari inviano report ma non intraprendono alcuna azione, quindi le email contraffatte continuano ad arrivare. È un'ottima prima fase, ma finché la policy non passa a quarantine o reject non impedisce il furto d'identità.

Come posso verificare l'autenticazione email del mio dominio?

Leggete il vostro DNS pubblico: dig TXT yourdomain.com per SPF, dig TXT _dmarc.yourdomain.com per DMARC e la sua policy p=, dig DS yourdomain.com per DNSSEC e dig TXT _mta-sts.yourdomain.com per MTA-STS. Si tratta di consultazioni passive di record da voi pubblicati, quindi l'operazione è sicura e gratuita.

Letture correlate

• Quanti domini principali limitano chi può emettere i loro certificati? Lo stesso metodo DNS passivo, applicato ai record CAA.
• Cosa possono effettivamente vedere gli attaccanti sulla vostra azienda?
• Check, scan o pentest completo?
• Quanto costa un penetration test?