80,9% delle attività locali può essere impersonato via email
Un'email del tuo commercialista ti chiede di pagare la fattura di questo mese su un nuovo conto bancario. Se il tuo server di posta riesce a capire che è falsa dipende da alcuni record pubblici che il commercialista pubblica. Li abbiamo letti per 6.937 attività locali in 10 paesi in ottobre 2026.
Studio di Guglielmo Paesano, fondatore di AIGROW · dati con licenza CC BY 4.0
- Domini analizzati
- 6.937
- Paesi
- 10
- Città
- 30
- Tipi di attività
- 10
- Nessun record DMARC
- 3.458
Chiunque può inviare email a nome di un'attività locale? Per la maggior parte, sì. In ottobre 2026 AIGROW ha letto i record DMARC e SPF pubblici di 6.937 domini di attività locali in 10 paesi. 80,9% non pubblicava alcun record che chieda ai server di posta riceventi di rifiutare ogni email falsificata, quindi un messaggio che dichiara di provenire da loro può arrivare nella casella di posta di un cliente.
Risultati
Ogni dominio è letto una sola volta, dal DNS pubblico. Può essere impersonato significa che il verificatore gratuito di email spoofing lo considera falsificabile.
80,9% dei domini delle attività locali analizzati può essere impersonato via email: 5.611 su 6.937.
3.458 non hanno alcun record DMARC, 2.093 ne hanno uno impostato su p=none, che chiede report ma non ferma nulla, e 60 hanno un record errato o applicato solo a una parte della posta. 1.266 (18,2%) chiedono ai server riceventi di mettere in quarantena o rifiutare ogni messaggio falsificato.
Dei 5.611 domini che possono essere impersonati, 4.159 pubblicano SPF e 1.573 di questi lo chiudono con -all, l'impostazione rigida.
SPF elenca i server autorizzati a inviare per un dominio e controlla l'indirizzo di ritorno nascosto nel messaggio. Il mittente che vede il cliente viene verificato solo quando DMARC chiede al server ricevente di far corrispondere i due indirizzi. Nel campione, 5.329 domini su 6.937 pubblicano SPF.
Per paese, la quota va da 72,2% nei Paesi Bassi a 94,3% in Italia.
Per tipo di attività, va da 72,5% (avvocati) a 89,2% (ristoranti). I commercialisti, i cui clienti agiscono sulle email che riguardano i pagamenti, si fermano a 74,2%.
Paese per Paese
Quota dei domini di ogni paese per policy DMARC, tre città per paese, dai più esposti.
| Paese | Domini | Nessun DMARC | p=none | Quarantena | Rifiuto | Non valido | Può essere impersonato |
|---|---|---|---|---|---|---|---|
| Italia | 546 | 43,8% | 49,3% | 3,5% | 2,6% | 0,9% | 94,3% |
| Francia | 717 | 64,7% | 22,3% | 8,1% | 4,7% | 0,1% | 87,7% |
| Canada | 766 | 56,3% | 28,9% | 10,1% | 4,3% | 0,5% | 86,2% |
| Stati Uniti | 629 | 61,2% | 23,1% | 8,9% | 6,7% | 0,2% | 84,7% |
| Spagna | 689 | 51,1% | 31,2% | 13,2% | 3,8% | 0,7% | 83,3% |
| Australia | 659 | 51,9% | 28,7% | 10,5% | 8,3% | 0,6% | 81,6% |
| Regno Unito | 651 | 43,8% | 31,8% | 10,1% | 14,3% | 0,0% | 77,1% |
| Germania | 996 | 43,4% | 29,2% | 7,6% | 19,7% | 0,1% | 73,2% |
| Svizzera | 618 | 53,1% | 19,4% | 16,5% | 10,8% | 0,2% | 72,8% |
| Paesi Bassi | 666 | 30,0% | 41,4% | 15,9% | 11,9% | 0,8% | 72,2% |
Per tipo di impresa
Quota dei domini di ogni tipo di attività per policy DMARC, tutti e dieci i paesi insieme, dai più esposti.
| Tipo di attività | Domini | Nessun DMARC | p=none | Quarantena | Rifiuto | Non valido | Può essere impersonato |
|---|---|---|---|---|---|---|---|
| Ristoranti | 1.190 | 57,8% | 30,5% | 5,7% | 5,6% | 0,3% | 89,2% |
| Parrucchieri | 940 | 57,4% | 26,9% | 8,4% | 6,3% | 1,0% | 85,5% |
| Hotel | 997 | 47,3% | 32,0% | 11,8% | 8,6% | 0,2% | 80,2% |
| Veterinari | 411 | 42,6% | 36,7% | 9,0% | 11,2% | 0,5% | 80,0% |
| Dentisti | 806 | 47,1% | 31,6% | 12,9% | 7,9% | 0,4% | 79,5% |
| Officine meccaniche | 549 | 55,9% | 22,2% | 11,7% | 10,0% | 0,2% | 78,7% |
| Architetti | 451 | 49,7% | 28,4% | 11,8% | 10,2% | 0,0% | 78,5% |
| Agenzie immobiliari | 653 | 37,4% | 38,4% | 11,3% | 12,3% | 0,6% | 77,0% |
| Commercialisti | 275 | 49,1% | 24,0% | 11,6% | 14,5% | 0,7% | 74,2% |
| Avvocati | 665 | 44,1% | 27,8% | 13,7% | 14,4% | 0,0% | 72,5% |
Come terminano i record SPF
L'ultimo termine di un record SPF dice al ricevente cosa fare con la posta proveniente da un server non elencato nel record. Tutti i 6.937 domini.
| Record SPF | Domini | Condividi | Può essere impersonato |
|---|---|---|---|
| Termina con -all, l'impostazione rigida | 2.293 | 33,1% | 1.573 |
| Termina con ~all, segnalata ma accettata | 2.842 | 41,0% | 2.401 |
| Termina con ?all, nessuna indicazione | 155 | 2,2% | 150 |
| Termina con +all, tutti i server autorizzati | 3 | 0,0% | 3 |
| Nessun termine all | 36 | 0,5% | 32 |
| Errato o duplicato | 53 | 0,8% | 50 |
| Nessun record SPF | 1.555 | 22,4% | 1.402 |
Come è stato condotto lo studio
- Le attività
- Attività censite su OpenStreetMap entro 6 km dal centro di 30 città, tre per ogni paese, in 10 tipi di attività, ciascuna con un proprio sito web. Si legge il dominio di quel sito. Al massimo 40 per tipo di attività e città, scelte con un hash fisso del dominio, così una nuova esecuzione sceglie le stesse. Le città: Stati Uniti (New York, Chicago, Los Angeles), Regno Unito (Londra, Manchester, Birmingham), Canada (Toronto, Vancouver, Montréal), Australia (Sydney, Melbourne, Brisbane), Francia (Parigi, Lione, Marsiglia), Germania (Berlino, Monaco di Baviera, Amburgo), Italia (Milano, Roma, Torino), Paesi Bassi (Amsterdam, Rotterdam, Utrecht), Spagna (Madrid, Barcellona, Valencia), Svizzera (Zurigo, Berna, Losanna).
- Catene escluse
- OpenStreetMap elencava 34.647 domini distinti. 728 di questi compaiono in più di una città, segno di una catena o di una directory, e sono stati esclusi. Un dominio elencato con due tipi di attività nella stessa città conta una sola volta.
- La lettura
- Letti il 28 ottobre 2026 tramite i resolver pubblici 1.1.1.1, 8.8.8.8, con il codice del verificatore gratuito di email spoofing: il record DMARC del dominio, o del suo dominio padre se ne è privo, il record SPF con i suoi include e redirect, e il record MX. I 47 domini per cui il DNS pubblico non ha risposto sono esclusi da ogni conteggio.
- Può essere impersonato
- Il verificatore considera un dominio falsificabile quando nulla di ciò che pubblica chiede ai riceventi di fermare la posta falsificata: nessun record DMARC, una policy none, un record errato o duplicato, una quarantena applicata solo a una parte della posta, oppure un record SPF che autorizza qualsiasi server a inviare. Parzialmente protetto significa reject applicato solo a una parte della posta, oppure sottodomini lasciati scoperti. Protetto significa quarantine o reject su tutta la posta.
- Ciò che il DNS non mostra
- I record dicono cosa un dominio chiede ai server riceventi. Non mostrano se un dato server rispetti la richiesta, se l'attività firmi la posta con DKIM (una chiave di firma si trova solo sotto un nome scelto dal mittente), né se un malintenzionato usi invece un dominio dall'aspetto simile. 951 dei 6.937 domini non hanno un record MX e potrebbero non inviare posta affatto; sono conteggiati con gli altri, perché a chi falsifica non serve che il vero dominio riceva qualcosa.
- Solo conteggi
- Nessun sito web è stato aperto e nessun server di posta contattato. I dati contengono conteggi per paese e tipo di attività, mai il nome di un'attività o un dominio: un elenco di attività la cui email può essere falsificata sarebbe un elenco di bersagli. Un paese e tipo di attività con meno di 10 domini è escluso dal CSV. Business data © OpenStreetMap contributors, ODbL 1.0.
Dati e citazione
Guglielmo Paesano, AIGROW. Quante attività locali possono essere impersonate via email, ottobre 2026, aigrow.gg/research/email-spoofing-2026. Le cifre e i dati sono pubblicati con licenza CC BY 4.0: riutilizzali citando un link a questa pagina.
Per la stampa: Guglielmo Paesano, fondatore di AIGROW e autore dello studio, risponde alle domande via email all’indirizzo hello@aigrow.gg.
L'autore: Guglielmo Paesano ha fondato AIGROW, che realizza il verificatore gratuito di email spoofing con cui questo studio legge i domini, e configura DMARC per le piccole imprese.
Qualcuno può inviare email a nome della tua attività?
Il verificatore gratuito legge i tuoi record DMARC, SPF e DKIM e ti indica i record esatti da pubblicare. Se preferisci che ce ne occupiamo noi, il servizio di configurazione DMARC costa 149 €, una tantum.
Edizione del mese: ottobre 2026 · dati con licenza CC BY 4.0