Estudio de suplantación empresarial en España 2026
El 61% de las pymes españolas son vulnerables a la suplantación de identidad. Analizamos 10.167 dominios. Comprueba el tuyo gratis.
Hemos analizado 10.167 dominios corporativos en España para medir si alguien puede enviar correos haciéndose pasar por esas empresas. La muestra cubre desde micropymes hasta multinacionales.
La mayoría tiene la puerta abierta. Esta suplantación permite enviar email con la dirección real de la empresa, sin entrar en sus sistemas.
El estudio revisa SPF, DKIM y DMARC, los tres controles que deciden si el dominio acepta o rechaza correo falso. La transformación digital avanza. La seguridad básica del correo, no tanto.
Cómo clasificamos cada dominio
Cada web entra en uno de tres niveles, según si se puede suplantar el correo de forma fiable:
- Alto riesgo: se puede suplantar.
- Riesgo medio-alto: a veces se puede, según el destinatario.
- Protegidos: el dominio rechaza el correo que no sale de sus servidores.
El 61% está en alto riesgo
61,36% (6.238 empresas). No tienen DMARC o la política no bloquea nada. Un ciberdelincuente puede enviar correos usando su dominio exacto (@suempresa.com) sin que los filtros habituales lo detecten. Es el escenario del fraude del CEO y del BEC.
Otro 16% tiene la puerta a medias
15,77% (1.603 empresas). Configuraciones parciales o permisivas (p=none, errores de sintaxis). Hay un intento de protección, pero no basta contra un ataque dirigido. En la práctica, que el correo falso llegue o no depende del proveedor del destinatario.
Solo 2 de cada 10 están protegidas
22,88% (2.326 empresas) han blindado su identidad digital. Sus dominios rechazan el correo que no sale de servidores autorizados.
Si sumamos alto y medio, el 77% de las empresas analizadas son vulnerables a que su marca se use para estafar a clientes, proveedores o a su propia plantilla.
Comprueba si tu empresa está en ese 61%
No hace falta esperar a un incidente. En análisis de dominio ves en 30 segundos el nivel de spoofing de tu correo, gratis y sin tecnicismos.
Cerrar SPF, DKIM y DMARC reduce la suplantación del dominio. No evita que un empleado haga clic en un phishing que sí pase los filtros. Eso se mide con One Shot: 30 días de simulacros. Si nadie cae, no pagas.
Informe completo
El PDF incluye metodología, repositorio de dominios analizados y muestras. Es gratuito.
Preguntas frecuentes
- ¿Qué habéis medido exactamente?
- Analizamos 10.167 dominios corporativos españoles. Miramos si SPF, DKIM y DMARC impiden que alguien envíe correo usando el dominio de la empresa sin permiso.
- ¿Qué significa estar en el 61% de alto riesgo?
- Que un atacante puede enviar correos con la dirección real de la empresa (@suempresa.com) y que muchos filtros no lo van a parar. Es el escenario típico del fraude del CEO y del BEC.
- ¿Por qué habláis de 61% y de 77%?
- El 61,36% está en alto riesgo. Otro 15,77% tiene protección a medias. Juntos, el 77% de las empresas analizadas son vulnerables a que usen su marca para estafar.
- ¿Cómo compruebo si mi dominio está en ese grupo?
- En /analisis/ puedes auditar tu dominio en unos 30 segundos, sin conocimientos técnicos. Si sale vulnerable, el siguiente paso es cerrar SPF, DKIM y DMARC, y medir si el equipo caería igual con One Shot.