Nota lista para publicar
Redactada en pirámide invertida y con las citas ya atribuidas. Puedes publicarla tal cual, editarla o tomar solo el dato.
El 70% de 1194 dominios españoles de sectores esenciales no impide que un tercero envíe correo en su nombre
Siete de cada diez dominios de una muestra de 1194 empresas españolas de sectores esenciales no tienen configurada la protección que impide a un tercero enviar correo electrónico haciéndose pasar por ellas, según un análisis publicado hoy por ALTRUIA. En términos absolutos, 834 de los 1194 dominios analizados permitirían que un remitente ajeno escribiera a sus clientes o proveedores usando su propia dirección.
El análisis se apoya en comprobaciones externas y pasivas de información pública: los registros DNS que cualquier persona puede consultar. No se ha accedido a ningún sistema privado ni se ha enviado correo a ninguna de las organizaciones analizadas.
El detalle muestra que el problema no es solo de ausencia, sino de configuraciones a medio terminar: un 32% de los dominios no tiene publicada ninguna política de autenticación, y otro 38% la tiene publicada únicamente en modo observación, es decir, recogiendo información pero sin llegar a bloquear los correos fraudulentos. A ello se suma que un 50% no presenta una firma digital detectable en su correo saliente.
Por sectores, la exposición es similar en los dos con muestra suficiente para publicarse: energía (71% sobre 531 dominios), sanidad (69% sobre 663 dominios).
«Lo llamativo no es que sea un fallo difícil de corregir, sino justo lo contrario: se arregla publicando unos registros en el dominio y no cuesta dinero. Sigue abierto porque nada falla mientras tanto. El correo entra y sale con normalidad, y nadie revisa una puerta que no chirría.»¿Por dónde sigo?
Todo lo que publicamos sobre esto, ordenado por lo que quieras hacer.
Quiero saber si estoy expuesto
- Comprobar mi dominio · gratis, sin registro
- ¿Pueden mandar correos haciéndose pasar por mi empresa?
Quiero entender qué me obliga
Quiero arreglarlo
La suplantación exacta de dominio es la técnica que sostiene el llamado fraude de la factura, en el que un tercero escribe a los clientes de una empresa, en nombre de esa empresa, comunicando un cambio de número de cuenta. Para el receptor, el mensaje procede de una dirección auténtica.
«Conviene decir también lo que esto no resuelve. Cerrar el dominio propio no impide que alguien registre un dominio parecido, ni que suplante solo el nombre visible. Cierra una puerta concreta, que además es la más fácil de cerrar y la que casi nadie tiene cerrada.»
Los datos agregados, la metodología completa y el desglose por sector están publicados en www.altruia.es/ciberseguridad/informe y pueden reutilizarse citando la fuente. Cualquier empresa puede comprobar gratuitamente la exposición de su propio dominio, con el mismo método, en www.altruia.es/ciberchequeo.
Datos por sector
Solo se publican los sectores con al menos 30 dominios en la muestra. Por debajo de ese umbral, el porcentaje diría más del azar que de la realidad.
| Sector | Dominios | Suplantables | % | Sin política | Solo observa |
|---|---|---|---|---|---|
| Energía | 531 | 379 | 71% | 31% | 40% |
| Sanidad | 663 | 455 | 69% | 33% | 36% |
| Total muestra | 1194 | 834 | 70% | 32% | 38% |
Segunda nota: la pyme frente a las grandes
Mismo método, muestra distinta y mucho mayor. Es el corte con más recorrido: permite comparar dos realidades y da desglose por 26 sectores y 33 provincias.
El 84% de 9217 pymes españolas no impide que un tercero envíe correo en su nombre, 14 puntos peor que las grandes
El 84% de 9217 pymes españolas analizadas no impide que un tercero envíe correo electrónico haciéndose pasar por ellas, según un censo publicado por ALTRUIA. La cifra contrasta con la de las empresas de sectores esenciales medidas con el mismo método, donde la exposición baja al 70%: una diferencia de 14 puntos.
El análisis se apoya en una consulta pública de los registros DNS de cada dominio. No se ha accedido a ningún sistema privado ni se ha enviado correo a las empresas analizadas. Un dominio se cuenta como expuesto cuando no publica una política que ordene bloquear los mensajes que no superan la autenticación.
Por sectores, los más expuestos de la muestra son academias (93% sobre 835 dominios), gimnasios (90% sobre 106 dominios), residencias (90% sobre 31 dominios). El desglose completo cubre 26 sectores y 33 provincias con muestra suficiente para publicarse.
«La pyme no está peor porque lo haga peor, sino porque nadie se lo ha contado. La empresa grande tiene quien le lleve el correo; la peluquería o la gestoría de la esquina no. Y el arreglo es el mismo y no cuesta dinero.»
La exposición no equivale a haber sufrido un ataque: mide que la puerta está abierta, no que haya entrado nadie. Los datos agregados, por sector y provincia, están en www.altruia.es/ciberseguridad/estudio/pymes, y la herramienta con la que se han obtenido se publica entera en www.altruia.es/ciberseguridad/como-lo-medimos para que cualquiera reproduzca la cifra.
Datos de la pyme en CSV Ver el censo completo
Tercera nota: el ENS que el pliego exige
El corte con más interés periodístico y el único que no puede replicar un proveedor de seguridad: cruza 13,344 pliegos de contratos públicos leídos uno a uno con la exposición medida de quien ganó esos contratos.
El 74% de las empresas a las que un pliego público les exige el Esquema Nacional de Seguridad no impide la suplantación de su correo
El 74% de las empresas adjudicatarias de contratos públicos cuyo pliego exige expresamente el Esquema Nacional de Seguridad no publica una configuración capaz de impedir que un tercero envíe correo electrónico en su nombre, según un análisis de ALTRUIA sobre 299 compañías. La cifra procede de comprobaciones externas realizadas únicamente sobre información pública.
El análisis parte de 13,344 pliegos descargados de la Plataforma de Contratación del Sector Público, de los que 1,405 exigen el Esquema con cita literal en el texto —mencionar la norma no equivale a obligar a cumplirla—. De los 1,149 adjudicatarios identificados, el estudio mide las 299 de las que fue posible confirmar el dominio corporativo, repartidas en 199 órganos de contratación.
El resultado no depende de un único contratante: excluyendo al organismo que más aporta a la muestra, la cifra pasa del 74% al 73% sobre 220 empresas. En el censo general de 15,802 dominios medidos con el mismo método, la exposición es del 84%.
«El Esquema cubre mucho más que el correo, y desde fuera solo se ve una parte. Pero es la parte que cualquiera puede comprobar en diez segundos, incluido quien quiera suplantar a esa empresa ante su propio cliente público.»
El estudio no afirma que ninguna empresa incumpla el Esquema Nacional de Seguridad ni que haya sufrido un ataque: mide exposición externa, no incidentes ni cumplimiento documental. La muestra no es aleatoria —son las empresas cuyo dominio pudo confirmarse, habitualmente las de mayor presencia pública—, por lo que la cifra debe leerse como un suelo. Los agregados están en www.altruia.es/ciberseguridad/estudio/ens-y-contratos-publicos y el método completo en www.altruia.es/metodologia.
Datos del ENS en CSV Ver el estudio completo
Metodología, en tres líneas
- Se parte de 1194 dominios de empresas españolas de sectores esenciales y se consulta, por DNS público, su configuración de autenticación de correo.
- Un dominio se cuenta como suplantable cuando no publica una política que ordene rechazar o poner en cuarentena los mensajes que no superan la autenticación; es decir, cuando un correo falsificado con su dominio llegaría igualmente a la bandeja de entrada.
- Todas las comprobaciones son externas y pasivas, reproducibles por cualquiera con herramientas públicas. No se envía correo a las organizaciones analizadas ni se accede a sistemas privados.
La metodología ampliada está en el informe público. Y si quieres comprobar la cifra por tu cuenta en vez de creértela, en www.altruia.es/ciberseguridad/como-lo-medimos publicamos la herramienta con la que la medimos —dominio público, sin dependencias— junto al registro de nuestras propias correcciones. Que sepamos, ningún fabricante del sector publica su instrumento de medida.
Cómo citar
Si citas el dato en un titular, la formulación correcta es «el 70% de una muestra de 1194 dominios españoles» y no «el 70% de las empresas españolas»: la muestra no es representativa del conjunto del país y no queremos que lo parezca.
Contacto
Para ampliar datos, pedir un desglose concreto, contrastar una cifra o una entrevista: info@altruia.es. Respondemos el mismo día. Si necesitas un corte por un sector o un territorio que no esté publicado, dilo: si la muestra da para sostenerlo, lo calculamos; y si no da, te lo diremos en lugar de improvisar un número.
Comprueba cualquier dominio
El mismo método del informe, aplicado a un dominio concreto. Gratis, sin registro y sin tocar ningún sistema. Útil también para verificar los datos de esta página por tu cuenta.
Abrir el comprobador¿Necesitas el dato con otro corte?
Por comunidad, por sector o por tamaño. Déjanos tu teléfono y te lo damos, con la metodología para que lo puedas comprobar.