80,9 % av de lokala företagen kan förfalskas via e-post
Ett mejl från din revisor ber dig betala denna månads faktura till ett nytt bankkonto. Om din e-postserver kan avgöra att det är förfalskat beror på några offentliga poster som revisorn publicerar. Vi läste dem för 6 937 lokala företag i 10 länder i oktober 2026.
Studie av Guglielmo Paesano, grundare av AIGROW · data under CC BY 4.0
- Lästa domäner
- 6 937
- Länder
- 10
- Städer
- 30
- Typer av verksamhet
- 10
- Ingen DMARC-post
- 3 458
Kan vem som helst skicka e-post i ett lokalt företags namn? För de flesta, ja. I oktober 2026 läste AIGROW de offentliga DMARC- och SPF-posterna för 6 937 domäner hos lokala företag i 10 länder. 80,9 % publicerade ingen post som ber mottagande e-postservrar att avvisa all förfalskad e-post, så ett mejl som utger sig för att komma från dem kan nå en kunds inkorg.
Resultat
Varje domän är läst en gång, från offentlig DNS. Kan förfalskas betyder att den kostnadsfria kontrollen av e-postförfalskning bedömer domänen som förfalskningsbar.
80,9 % av de lokala företagsdomäner vi läste kan förfalskas via e-post: 5 611 av 6 937.
3 458 saknar helt DMARC-post, 2 093 har en inställd på p=none, som begär rapporter men inte stoppar något, och 60 har en trasig post eller en som bara gäller för en del av deras e-post. 1 266 (18,2 %) ber mottagande servrar att sätta varje förfalskat meddelande i karantän eller avvisa det.
4 159 av de 5 611 som kan förfalskas publicerar faktiskt SPF, och 1 573 av dem avslutar den med -all, den strikta inställningen.
SPF listar de servrar som får skicka för en domän och kontrollerar returadressen som är dold i meddelandet. Avsändaren som en kund ser kontrolleras bara när DMARC ber den mottagande servern att matcha de två. I hela urvalet publicerar 5 329 av 6 937 domäner SPF.
Per land varierar andelen från 72,2 % i Nederländerna till 94,3 % i Italien.
Per typ av verksamhet varierar den från 72,5 % för advokater till 89,2 % för restauranger. Revisorer, vars kunder agerar på mejl om betalningar, ligger på 74,2 %.
Land för land
Andel av varje lands domäner per DMARC-policy, tre städer per land, mest utsatta först.
| Land | Domäner | Ingen DMARC | p=none | Karantän | Avvisa | Ogiltig | Kan förfalskas |
|---|---|---|---|---|---|---|---|
| Italien | 546 | 43,8 % | 49,3 % | 3,5 % | 2,6 % | 0,9 % | 94,3 % |
| Frankrike | 717 | 64,7 % | 22,3 % | 8,1 % | 4,7 % | 0,1 % | 87,7 % |
| Kanada | 766 | 56,3 % | 28,9 % | 10,1 % | 4,3 % | 0,5 % | 86,2 % |
| USA | 629 | 61,2 % | 23,1 % | 8,9 % | 6,7 % | 0,2 % | 84,7 % |
| Spanien | 689 | 51,1 % | 31,2 % | 13,2 % | 3,8 % | 0,7 % | 83,3 % |
| Australien | 659 | 51,9 % | 28,7 % | 10,5 % | 8,3 % | 0,6 % | 81,6 % |
| Storbritannien | 651 | 43,8 % | 31,8 % | 10,1 % | 14,3 % | 0,0 % | 77,1 % |
| Tyskland | 996 | 43,4 % | 29,2 % | 7,6 % | 19,7 % | 0,1 % | 73,2 % |
| Schweiz | 618 | 53,1 % | 19,4 % | 16,5 % | 10,8 % | 0,2 % | 72,8 % |
| Nederländerna | 666 | 30,0 % | 41,4 % | 15,9 % | 11,9 % | 0,8 % | 72,2 % |
Efter företagstyp
Andel av domänerna inom varje typ av verksamhet per DMARC-policy, alla tio länder tillsammans, mest utsatta först.
| Typ av företag | Domäner | Ingen DMARC | p=none | Karantän | Avvisa | Ogiltig | Kan förfalskas |
|---|---|---|---|---|---|---|---|
| Restauranger | 1 190 | 57,8 % | 30,5 % | 5,7 % | 5,6 % | 0,3 % | 89,2 % |
| Frisörsalonger | 940 | 57,4 % | 26,9 % | 8,4 % | 6,3 % | 1,0 % | 85,5 % |
| Hotell | 997 | 47,3 % | 32,0 % | 11,8 % | 8,6 % | 0,2 % | 80,2 % |
| Veterinärer | 411 | 42,6 % | 36,7 % | 9,0 % | 11,2 % | 0,5 % | 80,0 % |
| Tandläkare | 806 | 47,1 % | 31,6 % | 12,9 % | 7,9 % | 0,4 % | 79,5 % |
| Bilverkstäder | 549 | 55,9 % | 22,2 % | 11,7 % | 10,0 % | 0,2 % | 78,7 % |
| Arkitekter | 451 | 49,7 % | 28,4 % | 11,8 % | 10,2 % | 0,0 % | 78,5 % |
| Fastighetsmäklare | 653 | 37,4 % | 38,4 % | 11,3 % | 12,3 % | 0,6 % | 77,0 % |
| Revisorer | 275 | 49,1 % | 24,0 % | 11,6 % | 14,5 % | 0,7 % | 74,2 % |
| Advokater | 665 | 44,1 % | 27,8 % | 13,7 % | 14,4 % | 0,0 % | 72,5 % |
Så slutar SPF-posterna
Den sista termen i en SPF-post talar om för mottagaren vad som ska göras med e-post från en server som posten inte listar. Alla 6 937 domäner.
| SPF-post | Domäner | Dela | Kan förfalskas |
|---|---|---|---|
| Slutar på -all, den strikta inställningen | 2 293 | 33,1 % | 1 573 |
| Slutar på ~all, markeras men accepteras | 2 842 | 41,0 % | 2 401 |
| Slutar på ?all, ingen åsikt | 155 | 2,2 % | 150 |
| Slutar på +all, alla servrar tillåts | 3 | 0,0 % | 3 |
| Ingen all-term | 36 | 0,5 % | 32 |
| Trasig eller duplicerad | 53 | 0,8 % | 50 |
| Ingen SPF-post | 1 555 | 22,4 % | 1 402 |
Så gjordes studien
- Företagen
- Företag som är listade i OpenStreetMap inom 6 km från centrum i 30 städer, tre i varje land, inom 10 typer av verksamhet, alla med en egen webbplats. Det är webbplatsens domän som läses. Högst 40 per typ av verksamhet och stad, valda med en fast hash av domänen så att en ny körning väljer samma. Städerna: USA (New York, Chicago, Los Angeles), Storbritannien (London, Manchester, Birmingham), Kanada (Toronto, Vancouver, Montréal), Australien (Sydney, Melbourne, Brisbane), Frankrike (Paris, Lyon, Marseille), Tyskland (Berlin, München, Hamburg), Italien (Milano, Rom, Turin), Nederländerna (Amsterdam, Rotterdam, Utrecht), Spanien (Madrid, Barcelona, Valencia), Schweiz (Zürich, Bern, Lausanne).
- Kedjor utelämnade
- OpenStreetMap listade 34 647 unika domäner. 728 av dem förekommer i mer än en stad, vilket tyder på en kedja eller en katalog, och utelämnades. En domän som är listad under två typer av verksamhet i samma stad räknas en gång.
- Avläsningen
- Avläst den 28 oktober 2026 via de offentliga resolvrarna 1.1.1.1, 8.8.8.8, med koden från den kostnadsfria kontrollen av e-postförfalskning: domänens DMARC-post, eller dess överordnade domäns när den saknar egen, SPF-posten med include och redirect, samt MX-posten. 47 domäner som offentlig DNS inte svarade för utelämnas ur alla räkningar.
- Kan förfalskas
- Kontrollen kallar en domän förfalskningsbar när inget den publicerar ber mottagare att stoppa förfalskad e-post: ingen DMARC-post, policyn none, en trasig eller duplicerad post, karantän som bara gäller en del av e-posten eller en SPF-post som låter alla servrar skicka. Delvis skyddad betyder avvisa för bara en del av e-posten, eller underdomäner som lämnats öppna. Skyddad betyder karantän eller avvisa för all e-post.
- Vad DNS inte kan visa
- Posterna visar vad en domän ber mottagande servrar om. De visar inte om en viss server följer begäran, om företaget signerar sin e-post med DKIM (en signeringsnyckel hittas bara under ett namn som avsändaren väljer) eller om en förfalskare i stället använder en liknande domän. 951 av de 6 937 domänerna saknar MX-post och skickar kanske ingen e-post alls. De räknas med de andra, eftersom en förfalskare inte behöver den riktiga domänen för att ta emot något.
- Endast antal
- Ingen webbplats öppnades och ingen e-postserver kontaktades. Data innehåller bara antal per land och typ av verksamhet, aldrig ett företagsnamn eller en domän: en lista över företag vars e-post kan förfalskas vore en lista över måltavlor. Ett land och en typ av verksamhet med färre än 10 domäner utelämnas ur CSV-filen. Business data © OpenStreetMap contributors, ODbL 1.0.
Data och källhänvisning
Guglielmo Paesano, AIGROW. Hur många lokala företag kan förfalskas via e-post, oktober 2026, aigrow.gg/research/email-spoofing-2026. Siffrorna och data publiceras under CC BY 4.0: återanvänd dem med en länk till den här sidan.
För pressen: Guglielmo Paesano, grundare av AIGROW och studiens författare, svarar på frågor om studien via e-post på hello@aigrow.gg.
Om skribenten: Guglielmo Paesano grundade AIGROW, som tillhandahåller den kostnadsfria kontrollen av e-postförfalskning som den här studien läser domäner med, och sätter upp DMARC för småföretag.
Kan någon skicka e-post som ditt företag?
Den kostnadsfria kontrollen läser dina DMARC-, SPF- och DKIM-poster och ger dig exakt de poster som ska publiceras. Vill du hellre att vi gör det åt dig kostar DMARC-installationen 149 €, betalas en gång.
Utgåva oktober 2026 · data under CC BY 4.0