Nota lista para publicar
Redactada en pirámide invertida y con las citas ya atribuidas. Puedes publicarla tal cual, editarla o tomar solo el dato.
El 70% de 1194 dominios españoles de sectores esenciales no impide que un tercero envíe correo en su nombre
Siete de cada diez dominios de una muestra de 1194 empresas españolas de sectores esenciales no tienen configurada la protección que impide a un tercero enviar correo electrónico haciéndose pasar por ellas, según un análisis publicado hoy por ALTRUIA. En términos absolutos, 835 de los 1194 dominios analizados permitirían que un remitente ajeno escribiera a sus clientes o proveedores usando su propia dirección.
El análisis se apoya en comprobaciones externas y pasivas de información pública: los registros DNS que cualquier persona puede consultar. No se ha accedido a ningún sistema privado ni se ha enviado correo a ninguna de las organizaciones analizadas.
El detalle muestra que el problema no es solo de ausencia, sino de configuraciones a medio terminar: un 32% de los dominios no tiene publicada ninguna política de autenticación, y otro 38% la tiene publicada únicamente en modo observación, es decir, recogiendo información pero sin llegar a bloquear los correos fraudulentos. A ello se suma que un 51% no presenta una firma digital detectable en su correo saliente.
Por sectores, la exposición es similar en los dos con muestra suficiente para publicarse: energía (71% sobre 531 dominios), sanidad (69% sobre 663 dominios).
«Lo llamativo no es que sea un fallo difícil de corregir, sino justo lo contrario: se arregla publicando unos registros en el dominio y no cuesta dinero. Sigue abierto porque nada falla mientras tanto. El correo entra y sale con normalidad, y nadie revisa una puerta que no chirría.»
La suplantación exacta de dominio es la técnica que sostiene el llamado fraude de la factura, en el que un tercero escribe a los clientes de una empresa, en nombre de esa empresa, comunicando un cambio de número de cuenta. Para el receptor, el mensaje procede de una dirección auténtica.
«Conviene decir también lo que esto no resuelve. Cerrar el dominio propio no impide que alguien registre un dominio parecido, ni que suplante solo el nombre visible. Cierra una puerta concreta, que además es la más fácil de cerrar y la que casi nadie tiene cerrada.»
Los datos agregados, la metodología completa y el desglose por sector están publicados en www.altruia.es/informe-suplantacion y pueden reutilizarse citando la fuente. Cualquier empresa puede comprobar gratuitamente la exposición de su propio dominio, con el mismo método, en www.altruia.es/ciberchequeo.
Datos por sector
Solo se publican los sectores con al menos 30 dominios en la muestra. Por debajo de ese umbral, el porcentaje diría más del azar que de la realidad.
| Sector | Dominios | Suplantables | % | Sin política | Solo observa |
|---|---|---|---|---|---|
| Energía | 531 | 378 | 71% | 31% | 40% |
| Sanidad | 663 | 457 | 69% | 33% | 36% |
| Total muestra | 1194 | 835 | 70% | 32% | 38% |
Segunda nota: la pyme frente a las grandes
Mismo método, muestra distinta y mucho mayor. Es el corte con más recorrido: permite comparar dos realidades y da desglose por 27 sectores y 34 provincias.
El 85% de 9889 pymes españolas no impide que un tercero envíe correo en su nombre, 15 puntos peor que las grandes
El 85% de 9889 pymes españolas analizadas no impide que un tercero envíe correo electrónico haciéndose pasar por ellas, según un censo publicado por ALTRUIA. La cifra contrasta con la de las empresas de sectores esenciales medidas con el mismo método, donde la exposición baja al 70%: una diferencia de 15 puntos.
El análisis se apoya en una consulta pública de los registros DNS de cada dominio. No se ha accedido a ningún sistema privado ni se ha enviado correo a las empresas analizadas. Un dominio se cuenta como expuesto cuando no publica una política que ordene bloquear los mensajes que no superan la autenticación.
Por sectores, los más expuestos de la muestra son academias (93% sobre 883 dominios), gimnasios (92% sobre 121 dominios), farmacias (92% sobre 191 dominios). El desglose completo cubre 27 sectores y 34 provincias con muestra suficiente para publicarse.
«La pyme no está peor porque lo haga peor, sino porque nadie se lo ha contado. La empresa grande tiene quien le lleve el correo; la peluquería o la gestoría de la esquina no. Y el arreglo es el mismo y no cuesta dinero.»
La exposición no equivale a haber sufrido un ataque: mide que la puerta está abierta, no que haya entrado nadie. Los datos agregados, por sector y provincia, están en www.altruia.es/suplantacion-pyme-espana, y la herramienta con la que se han obtenido se publica entera en www.altruia.es/metodologia para que cualquiera reproduzca la cifra.
Datos de la pyme en CSV Ver el censo completo
Metodología, en tres líneas
- Se parte de 1194 dominios de empresas españolas de sectores esenciales y se consulta, por DNS público, su configuración de autenticación de correo.
- Un dominio se cuenta como suplantable cuando no publica una política que ordene rechazar o poner en cuarentena los mensajes que no superan la autenticación; es decir, cuando un correo falsificado con su dominio llegaría igualmente a la bandeja de entrada.
- Todas las comprobaciones son externas y pasivas, reproducibles por cualquiera con herramientas públicas. No se envía correo a las organizaciones analizadas ni se accede a sistemas privados.
La metodología ampliada está en el informe público. Y si quieres comprobar la cifra por tu cuenta en vez de creértela, en www.altruia.es/metodologia publicamos la herramienta con la que la medimos —dominio público, sin dependencias— junto al registro de nuestras propias correcciones. Que sepamos, ningún fabricante del sector publica su instrumento de medida.
Cómo citar
Si citas el dato en un titular, la formulación correcta es «el 70% de una muestra de 1194 dominios españoles» y no «el 70% de las empresas españolas»: la muestra no es representativa del conjunto del país y no queremos que lo parezca.
Contacto
Para ampliar datos, pedir un desglose concreto, contrastar una cifra o una entrevista: info@altruia.es. Respondemos el mismo día. Si necesitas un corte por un sector o un territorio que no esté publicado, dilo: si la muestra da para sostenerlo, lo calculamos; y si no da, te lo diremos en lugar de improvisar un número.
Comprueba cualquier dominio
El mismo método del informe, aplicado a un dominio concreto. Gratis, sin registro y sin tocar ningún sistema. Útil también para verificar los datos de esta página por tu cuenta.
Abrir el comprobador