80,9% van de lokale bedrijven kan via e-mail worden nagebootst
Een e-mail van je accountant vraagt je om de factuur van deze maand op een nieuw bankrekeningnummer te betalen. Of je mailserver kan zien dat die mail vervalst is, hangt af van een paar openbare records die de accountant publiceert. We hebben ze in oktober 2026 uitgelezen voor 6.937 lokale bedrijven in 10 landen.
Onderzoek door Guglielmo Paesano, oprichter van AIGROW · data onder CC BY 4.0
- Uitgelezen domeinen
- 6.937
- Landen
- 10
- Steden
- 30
- Soorten bedrijven
- 10
- Geen DMARC-record
- 3.458
Kan iedereen e-mail versturen onder de naam van een lokaal bedrijf? Voor de meeste bedrijven wel. In oktober 2026 las AIGROW de openbare DMARC- en SPF-records van 6.937 domeinen van lokale bedrijven in 10 landen uit. 80,9% publiceerde geen record dat ontvangende mailservers vraagt elke vervalste e-mail te weigeren, dus een mail die beweert van hen te komen, kan in de inbox van een klant terechtkomen.
Bevindingen
Elk domein is één keer uitgelezen, via openbare DNS. Kan worden nagebootst betekent dat de gratis e-mailspoofingchecker het domein als vervalsbaar aanmerkt.
80,9% van de domeinen van lokale bedrijven die we hebben uitgelezen, kan via e-mail worden nagebootst: 5.611 van de 6.937.
3.458 hebben helemaal geen DMARC-record, 2.093 hebben er een met p=none, wat om rapporten vraagt maar niets tegenhoudt, en 60 hebben een defect record of een record dat maar voor een deel van hun mail geldt. 1.266 (18,2%) vragen ontvangende servers om elk vervalst bericht in quarantaine te plaatsen of te weigeren.
Van de 5.611 domeinen die kunnen worden nagebootst, publiceren er 4.159 wel SPF, en 1.573 daarvan laat dat eindigen op -all, de strikte instelling.
SPF somt de servers op die namens een domein mogen verzenden en controleert het retouradres dat in het bericht verborgen zit. De afzender die een klant ziet, wordt alleen gecontroleerd wanneer DMARC de ontvangende server vraagt beide met elkaar te vergelijken. In de hele steekproef publiceren 5.329 van de 6.937 domeinen SPF.
Per land loopt het aandeel uiteen van 72,2% in Nederland tot 94,3% in Italië.
Per soort bedrijf loopt het uiteen van 72,5% bij advocaten tot 89,2% bij restaurants. Bij accountants, van wie de klanten handelen op basis van e-mails over betalingen, is dat 74,2%.
Per land
Aandeel van de domeinen per land naar DMARC-beleid, drie steden per land, de meest blootgestelde eerst.
| Land | Domeinen | Geen DMARC | p=none | Quarantaine | Weigeren | Ongeldig | Kan worden nagebootst |
|---|---|---|---|---|---|---|---|
| Italië | 546 | 43,8% | 49,3% | 3,5% | 2,6% | 0,9% | 94,3% |
| Frankrijk | 717 | 64,7% | 22,3% | 8,1% | 4,7% | 0,1% | 87,7% |
| Canada | 766 | 56,3% | 28,9% | 10,1% | 4,3% | 0,5% | 86,2% |
| Verenigde Staten | 629 | 61,2% | 23,1% | 8,9% | 6,7% | 0,2% | 84,7% |
| Spanje | 689 | 51,1% | 31,2% | 13,2% | 3,8% | 0,7% | 83,3% |
| Australië | 659 | 51,9% | 28,7% | 10,5% | 8,3% | 0,6% | 81,6% |
| Verenigd Koninkrijk | 651 | 43,8% | 31,8% | 10,1% | 14,3% | 0,0% | 77,1% |
| Duitsland | 996 | 43,4% | 29,2% | 7,6% | 19,7% | 0,1% | 73,2% |
| Zwitserland | 618 | 53,1% | 19,4% | 16,5% | 10,8% | 0,2% | 72,8% |
| Nederland | 666 | 30,0% | 41,4% | 15,9% | 11,9% | 0,8% | 72,2% |
Per soort bedrijf
Aandeel van de domeinen per soort bedrijf naar DMARC-beleid, alle tien landen samen, de meest blootgestelde eerst.
| Soort bedrijf | Domeinen | Geen DMARC | p=none | Quarantaine | Weigeren | Ongeldig | Kan worden nagebootst |
|---|---|---|---|---|---|---|---|
| Restaurants | 1.190 | 57,8% | 30,5% | 5,7% | 5,6% | 0,3% | 89,2% |
| Kapsalons | 940 | 57,4% | 26,9% | 8,4% | 6,3% | 1,0% | 85,5% |
| Hotels | 997 | 47,3% | 32,0% | 11,8% | 8,6% | 0,2% | 80,2% |
| Dierenartsen | 411 | 42,6% | 36,7% | 9,0% | 11,2% | 0,5% | 80,0% |
| Tandartsen | 806 | 47,1% | 31,6% | 12,9% | 7,9% | 0,4% | 79,5% |
| Autogarages | 549 | 55,9% | 22,2% | 11,7% | 10,0% | 0,2% | 78,7% |
| Architecten | 451 | 49,7% | 28,4% | 11,8% | 10,2% | 0,0% | 78,5% |
| Makelaarskantoren | 653 | 37,4% | 38,4% | 11,3% | 12,3% | 0,6% | 77,0% |
| Accountants | 275 | 49,1% | 24,0% | 11,6% | 14,5% | 0,7% | 74,2% |
| Advocaten | 665 | 44,1% | 27,8% | 13,7% | 14,4% | 0,0% | 72,5% |
Hoe de SPF-records eindigen
De laatste term van een SPF-record vertelt een ontvanger wat hij moet doen met mail van een server die het record niet vermeldt. Alle 6.937 domeinen.
| SPF-record | Domeinen | Delen | Kan worden nagebootst |
|---|---|---|---|
| Eindigt op -all, de strikte instelling | 2.293 | 33,1% | 1.573 |
| Eindigt op ~all, gemarkeerd maar geaccepteerd | 2.842 | 41,0% | 2.401 |
| Eindigt op ?all, geen standpunt | 155 | 2,2% | 150 |
| Eindigt op +all, elke server toegestaan | 3 | 0,0% | 3 |
| Geen all-term | 36 | 0,5% | 32 |
| Defect of dubbel | 53 | 0,8% | 50 |
| Geen SPF-record | 1.555 | 22,4% | 1.402 |
Zo is het onderzoek uitgevoerd
- De bedrijven
- Bedrijven die op OpenStreetMap staan, binnen 6 km van het centrum van 30 steden, drie per land, in 10 soorten bedrijven, elk met een eigen website. Het domein van die website is het domein dat is uitgelezen. Maximaal 40 per soort bedrijf en stad, gekozen met een vaste hash van het domein, zodat een nieuwe run dezelfde kiest. De steden: Verenigde Staten (New York, Chicago, Los Angeles), Verenigd Koninkrijk (Londen, Manchester, Birmingham), Canada (Toronto, Vancouver, Montreal), Australië (Sydney, Melbourne, Brisbane), Frankrijk (Parijs, Lyon, Marseille), Duitsland (Berlijn, München, Hamburg), Italië (Milaan, Rome, Turijn), Nederland (Amsterdam, Rotterdam, Utrecht), Spanje (Madrid, Barcelona, Valencia), Zwitserland (Zürich, Bern, Lausanne).
- Buitengesloten ketens
- OpenStreetMap vermeldde 34.647 unieke domeinen. 728 daarvan komen in meer dan één stad voor, wat wijst op een keten of een gids, en zijn buiten beschouwing gelaten. Een domein dat in één stad onder twee soorten bedrijven staat, telt één keer mee.
- De uitlezing
- Uitgelezen in op 28 oktober 2026 via de openbare resolvers 1.1.1.1, 8.8.8.8, met de code van de gratis e-mailspoofingchecker: het DMARC-record van het domein, of van het bovenliggende domein als er geen is, het SPF-record met zijn includes en redirects, en het MX-record. 47 domeinen waarop openbare DNS niet antwoordde, zijn uit alle tellingen weggelaten.
- Kan worden nagebootst
- De checker beschouwt een domein als vervalsbaar wanneer niets van wat het publiceert ontvangers vraagt om vervalste mail tegen te houden: geen DMARC-record, een beleid van none, een defect of dubbel record, quarantaine voor slechts een deel van de mail, of een SPF-record dat elke server laat verzenden. Gedeeltelijk beschermd betekent reject voor slechts een deel van de mail, of subdomeinen die open blijven. Beschermd betekent quarantine of reject voor alle mail.
- Wat DNS niet laat zien
- De records zeggen wat een domein van ontvangende servers vraagt. Ze laten niet zien of een bepaalde server dat verzoek opvolgt, of het bedrijf zijn mail met DKIM ondertekent (een sleutel voor ondertekening staat alleen onder een naam die de afzender zelf kiest), of een vervalser in plaats daarvan een domein gebruikt dat er sterk op lijkt. 951 van de 6.937 domeinen hebben geen MX-record en versturen mogelijk helemaal geen mail. Ze tellen toch mee, want een vervalser heeft het echte domein niet nodig om iets te ontvangen.
- Alleen aantallen
- Er is geen website geopend en geen mailserver benaderd. De data bevat alleen aantallen per land en soort bedrijf, nooit een bedrijfsnaam of domein: een lijst met bedrijven waarvan de e-mail kan worden vervalst, zou een lijst met doelwitten zijn. Een land en soort bedrijf met minder dan 10 domeinen is uit de CSV weggelaten. Business data © OpenStreetMap contributors, ODbL 1.0.
Data en bronvermelding
Guglielmo Paesano, AIGROW. Hoeveel lokale bedrijven kunnen via e-mail worden nagebootst, oktober 2026, aigrow.gg/research/email-spoofing-2026. De cijfers en de data zijn gepubliceerd onder CC BY 4.0: hergebruik ze met een link naar deze pagina.
Voor de pers: Guglielmo Paesano, oprichter van AIGROW en auteur van het onderzoek, beantwoordt vragen erover per e-mail via hello@aigrow.gg.
Over de auteur: Guglielmo Paesano richtte AIGROW op. AIGROW maakt de gratis e-mailspoofingchecker waarmee dit onderzoek de domeinen uitleest, en stelt DMARC in voor kleine bedrijven.
Kan iemand e-mail versturen onder de naam van jouw bedrijf?
De gratis checker leest je DMARC-, SPF- en DKIM-records uit en geeft je de exacte records om te publiceren. Wil je dat liever laten doen, dan kost de DMARC-installatieservice € 149, eenmalig betaald.
Editie oktober 2026 · gegevens onder CC BY 4.0