El sector sanitario es uno de los más vulnerables dentro del ecosistema digital español. Solo un porcentaje muy reducido de dominios sanitarios aplica políticas estrictas, mientras que una gran parte carece por completo de una arquitectura DMARC. A esto se suma la ausencia casi total de MTA-STS, por lo que los historiales médicos de los pacientes y los canales de comunicación clínica internos siguen siendo muy vulnerables a la interceptación maliciosa y a la suplantación de dominios.
Las entidades bancarias y financieras españolas lideran el país en cuanto a madurez normativa, impulsadas en gran medida por normativas europeas directas como la DORA. Sin embargo, esta defensa en profundidad se ve considerablemente mermada por una tasa generalizada de ausencia de MTA-STS. Esto significa que, si bien el spoofing entrante está muy restringido, el tráfico transaccional saliente, los registros de mensajería interna y las instrucciones de transferencia bancaria suelen circular sin un cifrado obligatorio en la capa de tránsito.
Los dominios de la administración pública española presentan un excelente nivel básico de cumplimiento gracias a la obligación de ajustarse a la ENS. Sin embargo, solo una mínima parte aplica una política de rechazo protectora. Es fundamental destacar que numerosos organismos públicos municipales y regionales carecen por completo de protección DMARC. Si a esto le sumamos las bajas tasas de adopción de MTA-STS y DNSSEC, los canales de comunicación dirigidos a los ciudadanos siguen siendo muy vulnerables a la suplantación de identidad.
Las redes académicas y de investigación presentan superficies de ataque amplias y dispersas. Aunque mantienen una puntuación razonable en la configuración del SPF, solo una pequeña minoría de instituciones educativas ha logrado una aplicación estricta de las normas. Además, muchas han prescindido por completo de la implementación de DMARC y carecen de MTA-STS, lo que expone la propiedad intelectual de la investigación universitaria y los expedientes de los estudiantes a una filtración sistemática de datos.
Como principales guardianes del discurso público, las cadenas de comunicación españolas se enfrentan a una grave amenaza para su credibilidad. En la actualidad, solo una pequeña parte de los dominios del sector cuenta con medidas de protección, y muchos carecen por completo de un marco DMARC. Si a esto le sumamos el escaso uso de MTA-STS, los delincuentes pueden suplantar fácilmente a importantes medios de comunicación para lanzar campañas coordinadas de desinformación o de phishing.
Los operadores de telecomunicaciones gestionan infraestructuras de facturación de clientes cada vez más extensas. Aunque algunos han adoptado una postura más estricta, un gran porcentaje no cuenta con una entrada DMARC en sus registros DNS. Esto, sumado a una grave carencia en MTA-STS, hace que las alertas de validación de suscriptores, los avisos de facturación y las cuentas administrativas sigan siendo muy vulnerables a la manipulación.
Las redes logísticas constituyen la columna vertebral del comercio local, pero registran los índices de seguridad más bajos de España. Un número alarmantemente bajo de dominios utiliza una configuración de protección operativa, mientras que una parte significativa carece por completo de parámetros DMARC. A lo que se suma una grave deficiencia en MTA-STS, las operaciones de facturación de la cadena de suministro siguen estando expuestas de forma crítica a los esquemas de interceptación de facturas.
Los sectores energéticos prestan servicios nacionales esenciales, pero presentan importantes deficiencias normativas según el análisis de NIS2. Aunque un alto porcentaje ha implementado medidas básicas de protección contra el spam (SPF), solo una pequeña parte aplica activamente políticas de rechazo, y muchos carecen por completo de una arquitectura DMARC. Además, la mayoría carece de cifrado MTA-STS, lo que crea vectores de ataque para notificaciones de ingeniería maliciosas dirigidas a los activos periféricos.
