El Informe de Adopción de DMARC y MTA-STS de Estados Unidos 2026 de PowerDMARC, elaborado a partir de más de 900 dominios en las principales industrias, situó la adopción nacional de DMARC en 95,8% y la aplicación nacional de DMARC, una política de p=reject, en 49,0%. El sector bancario y financiero superó esa base nacional, con cerca del 60% de los dominios de servicios financieros en aplicación, una ventaja de 17 puntos sobre el promedio global. Dentro del sector, la corrección de los registros SPF se sitúa en 90,9%. La cobertura del informe este mes hizo que la banca y las finanzas parecieran uno de los sectores con mejor desempeño en autenticación de correo en Estados Unidos.
Una investigación aparte cuenta una versión menos cómoda de la misma historia. El análisis de Red Sift sobre los bancos más grandes de EE. UU. encontró que menos de la mitad aplica p=reject, y casi un tercio se queda en p=none, publicando un registro pero sin tomar acción ante los fallos. Esa es una población distinta a la muestra más amplia de servicios financieros de PowerDMARC, pero es la población que más importa: los bancos más grandes, más reconocibles y más suplantados del país.
Dos Cifras, Un Sector, Ninguna Contradicción
Ambos hallazgos pueden ser ciertos a la vez, y entender por qué importa más que tomar partido. Un promedio de sector elevado por una larga cola de bancos comunitarios y cooperativas de crédito bien administradas es algo distinto de la tasa de aplicación en el puñado de marcas nacionales que aparece en más kits de phishing que cualquier otra industria. Las instituciones financieras representan más de la mitad de todos los ataques de phishing rastreados globalmente, y el Anti-Phishing Working Group ha registrado volúmenes trimestrales de ataques por encima de 989.000, el máximo jamás medido. Los atacantes no se distribuyen uniformemente en la lista de dominios de un sector. Se concentran en los nombres que un destinatario de phishing reconocerá al instante, y esos son desproporcionadamente los bancos más grandes, justamente los que Red Sift encontró rezagados.
MTA-STS Es la Mitad Olvidada de la Historia
El informe de PowerDMARC saca a la luz una segunda brecha que recibe menos atención que la aplicación. MTA-STS, que protege el correo contra la interceptación y la degradación durante el tránsito, tiene apenas 3,0% de adopción en banca y finanzas, apenas por encima del 1,7% del promedio nacional. Un banco puede aplicar DMARC del lado de recepción y aun así dejar la capa de transporte de su propio correo saliente expuesta a un ataque de degradación de tipo intermediario que ni SPF, ni DKIM, ni DMARC están diseñados para detectar. La autenticación de correo responde quién tiene permiso para enviar como su dominio. No responde si la conexión que transportó ese correo estuvo protegida en el camino.
Por Qué el Costo de Equivocarse Es Mayor en el Sector Financiero
La investigación de IBM sobre el Costo de una Filtración de Datos sitúa la filtración promedio en servicios financieros en unos 6 millones de dólares, muy por encima del promedio entre industrias, y un correo suplantado sigue siendo el punto de entrada más barato hacia ese desenlace para un atacante. Un cliente que recibe una instrucción de transferencia fraudulenta, una alerta de fraude falsa o un restablecimiento de contraseña suplantado que parece venir de su banco no está sopesando probabilidades. Está actuando sobre la confianza en una marca que ha pasado décadas construyéndola. Cada registro DMARC sin aplicar en un banco importante es una invitación permanente para que alguien tome prestada esa confianza sin costo.
Qué Deben Hacer las Instituciones Financieras
No lean un promedio de sector como una afirmación sobre su propio dominio. Una tasa de aplicación del 60% en servicios financieros significa que cerca de cuatro de cada diez dominios financieros siguen expuestos, y el tamaño de su institución no los coloca automáticamente del lado correcto de esa división. Verifiquen su propia política directamente.
Avancen de p=none a p=quarantine y luego a p=reject con un calendario definido, no de forma indefinida. Casi un tercio de los bancos grandes en los datos de Red Sift sigue solo en modo de monitoreo. Un registro DMARC sin aplicación no detiene nada. Solo les dice, después del hecho, quién lo intentó.
Agreguen MTA-STS junto con DMARC, no después. Con 3,0% de adopción en un sector tan frecuentemente atacado, MTA-STS es la brecha que la mayoría de las instituciones financieras ni siquiera ha empezado a cerrar. Protege una parte distinta de la ruta del correo que la autenticación, y ambas son necesarias.
Traten sus informes agregados de DMARC como una herramienta de protección al cliente, no solo como un control de seguridad. Cada dominio suplantado que revelan sus informes es un dominio enviando fraude a personas que confían lo suficiente en su marca como para abrir el correo.
La Conclusión
Los servicios financieros se ven fuertes frente a un promedio nacional y débiles frente al estándar que realmente importa, que es si los bancos concretos que los clientes reconocen por su nombre han cerrado la puerta. Una tasa de aplicación de sector diecisiete puntos por encima del promedio es un progreso real, y no cambia el hecho de que los atacantes se concentran en los nombres más grandes y más confiables, que es exactamente donde la aplicación es hoy más débil. Las instituciones con más reconocimiento de marca que proteger son las que tienen más razones para dejar p=none este año, no menos.
Excello Mail ayuda a las instituciones financieras a pasar de un registro DMARC publicado a una aplicación real de p=reject, cerrando la brecha de suplantación que pone en juego la confianza de los clientes y la posición regulatoria. Regístrese gratis en Excello Mail y vea exactamente dónde está su dominio hoy.