80,9% de los negocios locales se pueden suplantar por correo electrónico
Un correo de tu contable te pide que pagues la factura de este mes en una nueva cuenta bancaria. Que tu servidor de correo sepa que es falso depende de unos pocos registros públicos que publica el contable. Los leímos para 6937 negocios locales en 10 países en octubre 2026.
Estudio de Guglielmo Paesano, fundador de AIGROW · datos bajo licencia CC BY 4.0
- Dominios analizados
- 6937
- Países
- 10
- Ciudades
- 30
- Tipos de negocio
- 10
- Sin registro DMARC
- 3458
¿Puede alguien enviar correo en nombre de un negocio local? En la mayoría de los casos, sí. En octubre 2026, AIGROW leyó los registros DMARC y SPF públicos de 6937 dominios de negocios locales en 10 países. 80,9% no publicaban ningún registro que pida a los servidores de correo receptores rechazar todo correo falsificado, así que uno que diga venir de ellos puede llegar a la bandeja de entrada de un cliente.
Resultados
Cada dominio se lee una vez, desde el DNS público. Se puede suplantar significa que el verificador gratuito de suplantación de correo considera el dominio falsificable.
80,9% de los dominios de negocios locales que analizamos se pueden suplantar por correo electrónico: 5611 de 6937.
3458 no tienen ningún registro DMARC, 2093 tienen uno en p=none, que pide informes y no bloquea nada, y 60 tienen un registro defectuoso o aplicado solo a parte de su correo. 1266 (18,2%) piden a los servidores receptores que pongan en cuarentena o rechacen todo mensaje falsificado.
4159 de los 5611 que se pueden suplantar sí publican SPF, y 1573 de ellos lo terminan en -all, la opción estricta.
SPF enumera los servidores autorizados a enviar correo de un dominio y comprueba la dirección de retorno oculta en el mensaje. El remitente que ve el cliente solo se comprueba cuando DMARC pide al servidor receptor que ambos coincidan. En toda la muestra, 5329 de 6937 dominios publican SPF.
Por país, el porcentaje va de 72,2% en los Países Bajos a 94,3% en Italia.
Por tipo de negocio, oscila entre 72,5% (abogados) y 89,2% (restaurantes). Los contables, cuyos clientes actúan según los correos sobre pagos, están en 74,2%.
País por país
Porcentaje de dominios de cada país según su política DMARC, tres ciudades por país, de más a menos expuesto.
| País | Dominios | Sin DMARC | p=none | Cuarentena | Rechazar | No válido | Se puede suplantar |
|---|---|---|---|---|---|---|---|
| Italia | 546 | 43,8% | 49,3% | 3,5% | 2,6% | 0,9% | 94,3% |
| Francia | 717 | 64,7% | 22,3% | 8,1% | 4,7% | 0,1% | 87,7% |
| Canadá | 766 | 56,3% | 28,9% | 10,1% | 4,3% | 0,5% | 86,2% |
| Estados Unidos | 629 | 61,2% | 23,1% | 8,9% | 6,7% | 0,2% | 84,7% |
| España | 689 | 51,1% | 31,2% | 13,2% | 3,8% | 0,7% | 83,3% |
| Australia | 659 | 51,9% | 28,7% | 10,5% | 8,3% | 0,6% | 81,6% |
| Reino Unido | 651 | 43,8% | 31,8% | 10,1% | 14,3% | 0,0% | 77,1% |
| Alemania | 996 | 43,4% | 29,2% | 7,6% | 19,7% | 0,1% | 73,2% |
| Suiza | 618 | 53,1% | 19,4% | 16,5% | 10,8% | 0,2% | 72,8% |
| Países Bajos | 666 | 30,0% | 41,4% | 15,9% | 11,9% | 0,8% | 72,2% |
Por tipo de negocio
Porcentaje de dominios de cada tipo de negocio según su política DMARC, los diez países juntos, de más a menos expuesto.
| Tipo de negocio | Dominios | Sin DMARC | p=none | Cuarentena | Rechazar | No válido | Se puede suplantar |
|---|---|---|---|---|---|---|---|
| Restaurantes | 1190 | 57,8% | 30,5% | 5,7% | 5,6% | 0,3% | 89,2% |
| Peluquerías | 940 | 57,4% | 26,9% | 8,4% | 6,3% | 1,0% | 85,5% |
| Hoteles | 997 | 47,3% | 32,0% | 11,8% | 8,6% | 0,2% | 80,2% |
| Veterinarios | 411 | 42,6% | 36,7% | 9,0% | 11,2% | 0,5% | 80,0% |
| Dentistas | 806 | 47,1% | 31,6% | 12,9% | 7,9% | 0,4% | 79,5% |
| Talleres mecánicos | 549 | 55,9% | 22,2% | 11,7% | 10,0% | 0,2% | 78,7% |
| Arquitectos | 451 | 49,7% | 28,4% | 11,8% | 10,2% | 0,0% | 78,5% |
| Inmobiliarias | 653 | 37,4% | 38,4% | 11,3% | 12,3% | 0,6% | 77,0% |
| Contables | 275 | 49,1% | 24,0% | 11,6% | 14,5% | 0,7% | 74,2% |
| Abogados | 665 | 44,1% | 27,8% | 13,7% | 14,4% | 0,0% | 72,5% |
Cómo terminan los registros SPF
El último término de un registro SPF indica al receptor qué hacer con el correo de un servidor que el registro no enumera. Los 6937 dominios.
| Registro SPF | Dominios | Compartir | Se puede suplantar |
|---|---|---|---|
| Termina en -all, la opción estricta | 2293 | 33,1% | 1573 |
| Termina en ~all, se marca pero se acepta | 2842 | 41,0% | 2401 |
| Termina en ?all, sin postura | 155 | 2,2% | 150 |
| Termina en +all, se permite cualquier servidor | 3 | 0,0% | 3 |
| Sin término all | 36 | 0,5% | 32 |
| Roto o duplicado | 53 | 0,8% | 50 |
| No hay registro SPF | 1555 | 22,4% | 1402 |
Cómo se hizo el estudio
- Los negocios
- Negocios registrados en OpenStreetMap a menos de 6 km del centro de 30 ciudades, tres por país, en 10 tipos de negocio, cada uno con su propio sitio web. Se lee el dominio de ese sitio. Como máximo 40 por tipo de negocio y ciudad, elegidos mediante un hash fijo del dominio para que una nueva lectura elija los mismos. Las ciudades: Estados Unidos (Nueva York, Chicago, Los Ángeles), Reino Unido (Londres, Mánchester, Birmingham), Canadá (Toronto, Vancouver, Montreal), Australia (Sídney, Melbourne, Brisbane), Francia (París, Lyon, Marsella), Alemania (Berlín, Múnich, Hamburgo), Italia (Milán, Roma, Turín), Países Bajos (Ámsterdam, Róterdam, Utrecht), España (Madrid, Barcelona, Valencia), Suiza (Zúrich, Berna, Lausana).
- Cadenas excluidas
- OpenStreetMap registraba 34.647 dominios distintos. 728 de ellos aparecen en más de una ciudad, lo que indica una cadena o un directorio, y se dejaron fuera. Un dominio registrado con dos tipos de negocio en una misma ciudad cuenta una sola vez.
- La lectura
- Lectura realizada (el 28 de octubre de 2026) a través de los resolvedores públicos 1.1.1.1, 8.8.8.8, con el código del verificador gratuito de suplantación de correo: el registro DMARC del dominio, o el de su dominio principal si no tiene, el registro SPF con sus include y redirect, y el registro MX. Los 47 dominios a los que el DNS público no respondió quedan fuera de todos los recuentos.
- Se puede suplantar
- El verificador considera suplantable un dominio cuando nada de lo que publica pide a los receptores que frenen el correo falsificado: sin registro DMARC, una política none, un registro defectuoso o duplicado, cuarentena aplicada solo a parte del correo, o un registro SPF que deja enviar a cualquier servidor. Parcialmente protegido significa reject solo en parte del correo, o subdominios sin cubrir. Protegido significa cuarentena o reject en todo el correo.
- Lo que el DNS no puede mostrar
- Los registros indican lo que un dominio pide a los servidores receptores. No muestran si un servidor concreto sigue esa petición, si el negocio firma su correo con DKIM (la clave de firma solo se encuentra bajo un nombre que elige el remitente) ni si quien falsifica usa un dominio parecido en lugar del real. 951 de los 6937 dominios no tienen registro MX y puede que no envíen correo en absoluto; se cuentan igualmente, porque quien falsifica no necesita que el dominio real reciba nada.
- Solo recuentos
- No se abrió ningún sitio web ni se contactó con ningún servidor de correo. Los datos contienen recuentos por país y tipo de negocio, nunca el nombre de un negocio ni un dominio: una lista de negocios cuyo correo se puede falsificar sería una lista de objetivos. Un país y tipo de negocio con menos de 10 dominios queda fuera del CSV. Business data © OpenStreetMap contributors, ODbL 1.0.
Datos y cita
Guglielmo Paesano, AIGROW. Cuántos negocios locales se pueden suplantar por correo electrónico, octubre 2026, aigrow.gg/research/email-spoofing-2026. Las cifras y los datos se publican bajo CC BY 4.0: reutilízalos con un enlace a esta página.
Para la prensa: Guglielmo Paesano, fundador de AIGROW y autor del estudio, responde a las preguntas sobre el estudio por correo electrónico en hello@aigrow.gg.
Sobre el autor: Guglielmo Paesano fundó AIGROW, que crea el verificador gratuito de suplantación de correo con el que este estudio lee los dominios, y configura DMARC para pequeñas empresas.
¿Alguien puede enviar correo haciéndose pasar por tu negocio?
El verificador gratuito lee tus registros DMARC, SPF y DKIM y te da los registros exactos que debes publicar. Si prefieres que lo hagamos por ti, el servicio de configuración de DMARC cuesta 149 €, con pago único.
Edición de octubre 2026 · datos bajo licencia CC BY 4.0