Pod 80,9% lokalnych firm można się podszyć e-mailem
E-mail od twojego księgowego prosi o zapłacenie tegomiesięcznej faktury na nowe konto bankowe. To, czy twój serwer poczty rozpozna fałszerstwo, zależy od kilku publicznych rekordów, które publikuje księgowy. Sprawdziliśmy je dla 6937 lokalnych firm w 10 krajach (odczyt: październik 2026).
Badanie: Guglielmo Paesano, założyciel AIGROW · dane na licencji CC BY 4.0
- Odczytane domeny
- 6937
- Kraje
- 10
- Miasta
- 30
- Rodzaje firm
- 10
- Brak rekordu DMARC
- 3458
Czy ktoś może wysłać e-mail w imieniu lokalnej firmy? W większości przypadków tak. AIGROW odczytał (październik 2026) publiczne rekordy DMARC i SPF 6937 domen lokalnych firm w 10 krajach. W przypadku 80,9% nie opublikowano żadnego rekordu, który prosiłby serwery pocztowe odbiorców o odrzucanie każdego podrobionego e-maila, więc wiadomość podająca się za ich pocztę może trafić do skrzynki klienta.
Wnioski
Każda domena odczytana raz, z publicznego DNS. „Można się podszyć” oznacza, że bezpłatne narzędzie do sprawdzania podszywania się pod e-mail uznaje domenę za możliwą do podrobienia.
W przypadku 80,9% odczytanych domen lokalnych firm można podszyć się pod nadawcę e-maila: 5611 z 6937.
Rekordu DMARC w ogóle nie ma 3458 domen, rekord ustawiony na p=none, który prosi o raporty i niczego nie blokuje, ma 2093 domeny, a uszkodzony rekord albo stosowany tylko do części poczty ma 60 domen. W przypadku 1266 domen (18,2%) serwery odbiorcze są proszone o kwarantannę lub odrzucenie każdej podrobionej wiadomości.
Spośród 5611 domen, pod które można się podszyć, rekord SPF publikuje 4159, a 1573 z nich kończy go na -all, czyli ustawieniu ścisłym.
SPF wymienia serwery uprawnione do wysyłania poczty w imieniu domeny i sprawdza adres zwrotny ukryty w wiadomości. Nadawca widoczny dla klienta jest sprawdzany tylko wtedy, gdy DMARC prosi serwer odbiorcy o zestawienie obu adresów. W całej próbie SPF publikuje 5329 z 6937 domen.
W podziale na kraje udział waha się od 72,2% w Holandii do 94,3% we Włoszech.
W podziale na rodzaje firm udział waha się od 72,5% (prawnicy) do 89,2% (restauracje). W przypadku księgowych, których klienci reagują na e-maile o płatnościach, wynosi on 74,2%.
Kraj po kraju
Udział domen z każdego kraju według polityki DMARC, po trzy miasta na kraj, od najbardziej narażonych.
| Kraj | Domeny | Brak DMARC | p=none | Kwarantanna | Odrzucanie | Nieprawidłowy | Można się podszyć |
|---|---|---|---|---|---|---|---|
| Włochy | 546 | 43,8% | 49,3% | 3,5% | 2,6% | 0,9% | 94,3% |
| Francja | 717 | 64,7% | 22,3% | 8,1% | 4,7% | 0,1% | 87,7% |
| Kanada | 766 | 56,3% | 28,9% | 10,1% | 4,3% | 0,5% | 86,2% |
| Stany Zjednoczone | 629 | 61,2% | 23,1% | 8,9% | 6,7% | 0,2% | 84,7% |
| Hiszpania | 689 | 51,1% | 31,2% | 13,2% | 3,8% | 0,7% | 83,3% |
| Australia | 659 | 51,9% | 28,7% | 10,5% | 8,3% | 0,6% | 81,6% |
| Wielka Brytania | 651 | 43,8% | 31,8% | 10,1% | 14,3% | 0,0% | 77,1% |
| Niemcy | 996 | 43,4% | 29,2% | 7,6% | 19,7% | 0,1% | 73,2% |
| Szwajcaria | 618 | 53,1% | 19,4% | 16,5% | 10,8% | 0,2% | 72,8% |
| Niderlandy | 666 | 30,0% | 41,4% | 15,9% | 11,9% | 0,8% | 72,2% |
Według rodzaju firmy
Udział domen z każdego rodzaju firm według polityki DMARC, wszystkie dziesięć krajów łącznie, od najbardziej narażonych.
| Rodzaj firmy | Domeny | Brak DMARC | p=none | Kwarantanna | Odrzucanie | Nieprawidłowy | Można się podszyć |
|---|---|---|---|---|---|---|---|
| Restauracje | 1190 | 57,8% | 30,5% | 5,7% | 5,6% | 0,3% | 89,2% |
| Salony fryzjerskie | 940 | 57,4% | 26,9% | 8,4% | 6,3% | 1,0% | 85,5% |
| Hotele | 997 | 47,3% | 32,0% | 11,8% | 8,6% | 0,2% | 80,2% |
| Weterynarze | 411 | 42,6% | 36,7% | 9,0% | 11,2% | 0,5% | 80,0% |
| Dentyści | 806 | 47,1% | 31,6% | 12,9% | 7,9% | 0,4% | 79,5% |
| Warsztaty samochodowe | 549 | 55,9% | 22,2% | 11,7% | 10,0% | 0,2% | 78,7% |
| Architekci | 451 | 49,7% | 28,4% | 11,8% | 10,2% | 0,0% | 78,5% |
| Biura nieruchomości | 653 | 37,4% | 38,4% | 11,3% | 12,3% | 0,6% | 77,0% |
| Księgowi | 275 | 49,1% | 24,0% | 11,6% | 14,5% | 0,7% | 74,2% |
| Prawnicy | 665 | 44,1% | 27,8% | 13,7% | 14,4% | 0,0% | 72,5% |
Jak kończą się rekordy SPF
Ostatni termin rekordu SPF mówi odbiorcy, co zrobić z pocztą z serwera, którego rekord nie wymienia. Wszystkie 6937 domen.
| Rekord SPF | Domeny | Udostępnij | Można się podszyć |
|---|---|---|---|
| Kończy się na -all, czyli ustawieniu ścisłym | 2293 | 33,1% | 1573 |
| Kończy się na ~all, oznaczone, ale akceptowane | 2842 | 41,0% | 2401 |
| Kończy się na ?all, brak stanowiska | 155 | 2,2% | 150 |
| Kończy się na +all, dozwolone wszystkie serwery | 3 | 0,0% | 3 |
| Brak terminu all | 36 | 0,5% | 32 |
| Uszkodzony lub zduplikowany | 53 | 0,8% | 50 |
| Brak rekordu SPF | 1555 | 22,4% | 1402 |
Jak przeprowadzono badanie
- Firmy
- Firmy wpisane do OpenStreetMap w promieniu 6 km od centrum 30 miast, po trzy w każdym kraju, z 10 rodzajów działalności, każda z własną stroną internetową. Odczytujemy domenę tej strony. Maksymalnie 40 firm na rodzaj działalności i miasto, wybrane według stałego skrótu domeny, więc ponowny odczyt wskazuje te same. Miasta: Stany Zjednoczone (Nowy Jork, Chicago, Los Angeles), Wielka Brytania (Londyn, Manchester, Birmingham), Kanada (Toronto, Vancouver, Montreal), Australia (Sydney, Melbourne, Brisbane), Francja (Paryż, Lyon, Marsylia), Niemcy (Berlin, Monachium, Hamburg), Włochy (Mediolan, Rzym, Turyn), Niderlandy (Amsterdam, Rotterdam, Utrecht), Hiszpania (Madryt, Barcelona, Walencja), Szwajcaria (Zurych, Berno, Lozanna).
- Pominięte sieci
- OpenStreetMap zawiera 34 647 odrębnych domen. Pominięto te, które występują w więcej niż jednym mieście, co wskazuje na sieć lub katalog: łącznie 728 domen. Domena wpisana pod dwoma rodzajami działalności w jednym mieście liczy się raz.
- Odczyt
- Odczyt wykonano (28 października 2026) przez publiczne resolvery 1.1.1.1, 8.8.8.8, kodem bezpłatnego narzędzia do sprawdzania podszywania się pod e-mail: rekord DMARC domeny albo jej domeny nadrzędnej, jeśli domena go nie ma, rekord SPF wraz z include i redirect oraz rekord MX. Pominięto we wszystkich zestawieniach 47 domen, na które publiczny DNS nie odpowiedział.
- Można się podszyć
- Narzędzie uznaje domenę za możliwą do podrobienia, gdy nic z tego, co publikuje, nie prosi odbiorców o zatrzymywanie podrobionej poczty: brak rekordu DMARC, polityka none, uszkodzony lub zduplikowany rekord, kwarantanna stosowana tylko do części poczty albo rekord SPF zezwalający na wysyłanie każdemu serwerowi. Częściowa ochrona oznacza reject tylko dla części poczty lub pozostawione bez ochrony subdomeny. Pełna ochrona oznacza quarantine lub reject dla całej poczty.
- Czego DNS nie pokazuje
- Rekordy mówią, o co domena prosi serwery odbiorcze. Nie pokazują, czy dany serwer stosuje się do tej prośby, czy firma podpisuje pocztę kluczem DKIM (klucz podpisu znajduje się tylko pod nazwą wybraną przez nadawcę), ani czy oszust nie używa zamiast tego domeny łudząco podobnej. Rekordu MX nie ma 951 z 6937 domen, więc mogą w ogóle nie wysyłać poczty. Liczymy je razem z resztą, bo oszust nie potrzebuje prawdziwej domeny do odbierania czegokolwiek.
- Same liczby
- Nie otwierano żadnej strony i nie łączono się z żadnym serwerem poczty. Dane zawierają wyłącznie liczby według kraju i rodzaju firmy, nigdy nazwę firmy ani domenę: lista firm, których e-mail można podrobić, byłaby listą celów. Kraj i rodzaj firmy z mniej niż 10 domen pomijamy w pliku CSV. Business data © OpenStreetMap contributors, ODbL 1.0.
Dane i cytowanie
Guglielmo Paesano, AIGROW. Pod ile lokalnych firm można się podszyć e-mailem, październik 2026, aigrow.gg/research/email-spoofing-2026. Wyniki i dane są opublikowane na licencji CC BY 4.0: wykorzystuj je z linkiem do tej strony.
Kontakt dla prasy: Guglielmo Paesano, założyciel AIGROW i autor badania, odpowiada na pytania e-mailowo pod adresem hello@aigrow.gg.
O autorze: Guglielmo Paesano założył AIGROW, które tworzy bezpłatne narzędzie do sprawdzania podszywania się pod e-mail, użyte w tym badaniu do odczytu domen, i konfiguruje DMARC dla małych firm.
Czy ktoś może wysyłać e-maile w imieniu twojej firmy?
Bezpłatne narzędzie odczytuje twoje rekordy DMARC, SPF i DKIM i podaje dokładne rekordy do opublikowania. Jeśli wolisz, żeby ktoś zrobił to za ciebie, usługa konfiguracji DMARC kosztuje 149 €, płatne jednorazowo.
Edycja: październik 2026 · dane na licencji CC BY 4.0