Il settore sanitario rappresenta un ambito particolarmente vulnerabile all'interno dell'ecosistema digitale spagnolo. Solo una percentuale molto ridotta dei domini sanitari applica politiche rigorose, mentre una quota consistente ne è del tutto priva di qualsiasi infrastruttura DMARC. A ciò si aggiunge la quasi totale assenza di MTA-STS, il che rende le cartelle cliniche dei pazienti e i canali di comunicazione clinica interni estremamente esposti al rischio di intercettazioni dolose e di spoofing dei domini.
Gli istituti bancari e finanziari spagnoli sono all'avanguardia nel Paese in termini di maturità normativa, grazie soprattutto alle normative europee dirette come la DORA. Tuttavia, questa strategia di difesa a più livelli è notevolmente compromessa da un'elevata percentuale di casi in cui manca l'implementazione dello standard MTA-STS. Ciò significa che, mentre lo spoofing in entrata è fortemente limitato, il traffico transazionale in uscita, i registri di messaggistica interna e le istruzioni di bonifico spesso circolano senza una crittografia obbligatoria a livello di transito.
I domini della pubblica amministrazione spagnola presentano un eccellente livello di conformità di base grazie all'allineamento obbligatorio con l'ENS. Tuttavia, solo una minima parte di essi applica una politica di rifiuto protettivo. È fondamentale sottolineare che numerosi enti pubblici comunali e regionali sono del tutto privi di difese DMARC. A ciò si aggiungono i bassi tassi di adozione di MTA-STS e DNSSEC, per cui i canali di comunicazione rivolti ai cittadini rimangono altamente vulnerabili alla spoofing.
Le reti accademiche e di ricerca presentano superfici di attacco estese e distribuite. Pur mantenendo un punteggio di configurazione SPF ragionevolmente corretto, solo una piccola minoranza di istituti di istruzione ha raggiunto un livello di applicazione rigoroso. Inoltre, molti hanno del tutto tralasciato l'implementazione del DMARC e non dispongono dell'MTA-STS, esponendo la proprietà intellettuale della ricerca universitaria e i dati degli studenti a un esfiltrazione sistematica.
In qualità di principali custodi del dibattito pubblico, le reti mediatiche spagnole si trovano ad affrontare una grave minaccia alla loro credibilità. Attualmente, solo una minima parte dei domini del settore applica misure di protezione, mentre molti non dispongono affatto di un framework DMARC. Se a ciò si aggiunge una grave carenza nell'implementazione di MTA-STS, i malintenzionati possono facilmente falsificare le identità di importanti testate giornalistiche per lanciare campagne coordinate di disinformazione o di phishing.
Gli operatori di telecomunicazioni gestiscono infrastrutture di fatturazione dei clienti sempre più estese. Sebbene alcuni abbiano adottato un approccio rigoroso, una percentuale significativa non dispone di un record DMARC nei propri record DNS. A ciò si aggiunge una grave lacuna nell'implementazione di MTA-STS, per cui gli avvisi di convalida degli abbonati, le comunicazioni di fatturazione e gli account amministrativi rimangono altamente vulnerabili alla manipolazione.
Le reti logistiche costituiscono la spina dorsale del commercio locale, eppure registrano i punteggi di sicurezza più bassi in Spagna. Un numero allarmante di domini utilizza una configurazione di protezione non funzionante, mentre una parte significativa è completamente priva di parametri DMARC. A ciò si aggiunge una grave carenza nell'implementazione di MTA-STS, per cui le operazioni di fatturazione della catena di approvvigionamento rimangono gravemente esposte a schemi di intercettazione delle fatture.
I settori energetici forniscono servizi nazionali fondamentali, ma presentano notevoli lacune normative secondo l'analisi NIS2. Sebbene un'alta percentuale di essi abbia implementato misure di protezione di base (SPF), solo una piccola parte applica attivamente politiche di rifiuto e molti non dispongono affatto di un'architettura DMARC. Inoltre, la maggior parte non dispone della crittografia MTA-STS, creando così vette di accesso per notifiche di ingegneria malevola che prendono di mira le risorse periferiche.
