Las entidades financieras y los proveedores de banca digital presentan la configuración SPF de referencia más sólida de Bulgaria y las tasas de adopción de DNSSEC más elevadas. Sin embargo, aunque una parte considerable ha avanzado hacia políticas activas de «p=reject» o provisionales de «p=quarantine», sigue existiendo un segmento desprotegido que carece por completo de registros DMARC. Además, la implementación válida de MTA-STS en los servidores de correo de las entidades financieras sigue siendo prácticamente inexistente, lo que deja la correspondencia interbancaria vulnerable a las escuchas durante el tránsito.
Los ministerios estatales, los organismos administrativos y los portales públicos municipales cuentan con una amplia cobertura inicial de SPF. No obstante, el avance en materia de políticas sigue siendo lento, ya que una gran parte de los dominios públicos oficiales siguen sin contar con DMARC o permanecen estancados en el modo pasivo «p=none». La implantación de DNSSEC sigue siendo limitada en los portales administrativos regionales, y el cifrado MTA-STS brilla por su ausencia en casi todos los sistemas de mensajería pública analizados.
Los proveedores de asistencia sanitaria, las redes hospitalarias regionales y los distribuidores farmacéuticos están muy expuestos a la suplantación de identidad. Más de la mitad de los activos del ámbito médico carecen de registros DMARC publicados, mientras que la aplicación activa de la política «p=reject» sigue limitándose a una ínfima fracción de los proveedores. La ausencia casi total de MTA-STS y DNSSEC pone en riesgo la confidencialidad de los pacientes y las comunicaciones clínicas, exponiéndolas a la manipulación durante el tránsito y a la suplantación fraudulenta de la identidad de los médicos.
Las instituciones de educación superior y los centros de investigación académica de toda Bulgaria recurren de forma abrumadora a políticas de supervisión pasiva o sin supervisión alguna. La gran mayoría de las universidades funcionan sin registros DMARC o siguen con el valor p=none, lo que deja los expedientes de los estudiantes, la propiedad intelectual académica y las bases de datos de investigación vulnerables a las estafas de recopilación de credenciales. La adopción de los protocolos criptográficos DNSSEC y MTA-STS sigue siendo insignificante.
Los proveedores de servicios públicos esenciales, los operadores de redes eléctricas y las redes de distribución de energía muestran una sólida coherencia en los valores de referencia del SPF. Sin embargo, una parte significativa de los ámbitos del sector energético sigue sin contar con protección DMARC activa, lo que los deja expuestos a ataques que aprovechan vulnerabilidades en la cadena de suministro. Aunque el sector muestra una ligera adopción del cifrado en el transporte, la gran mayoría de las comunicaciones de las empresas de servicios públicos siguen sin estar protegidas por protocolos MTA-STS.
Los editores de noticias, las cadenas de televisión y los portales de medios digitales búlgaros presentan índices de cumplimiento excepcionalmente bajos. La gran mayoría de los nombres de dominio de los medios de comunicación o bien carecen por completo de DMARC o bien se basan exclusivamente en modos de supervisión pasiva. Esta vulnerabilidad hace que las marcas editoriales y periodísticas de confianza sean susceptibles de sufrir suplantación de identidad y la difusión no autorizada de alertas falsas. La implementación de MTA-STS es prácticamente inexistente en los servidores de las redacciones.
Los proveedores nacionales de telecomunicaciones y los operadores de red muestran una implementación básica encomiable del SPF, junto con una adopción moderada del DNSSEC. Sin embargo, una proporción considerable de los dominios emisores de los operadores siguen funcionando sin aplicar el DMARC, lo que deja a los servicios de atención al cliente de las empresas expuestos a campañas de phishing dirigidas a los usuarios. La cobertura del MTA-STS sigue limitándose a un subconjunto extremadamente reducido de servidores de correo en producción.
Los transportistas regionales, los operadores portuarios del Mar Negro y las empresas de transporte comercial presentan niveles de seguridad dispares. Si bien los registros SPF básicos son habituales, la ausencia generalizada de registros DMARC hace que las notificaciones de envío y la documentación aduanera sean vulnerables a la falsificación de encabezados. El cifrado de tránsito mediante MTA-STS brilla por su ausencia, lo que deja sin cifrar los registros logísticos de las rutas y de la carga en los intercambios de correo.
