De gezondheidszorg vormt een bijzonder kwetsbare sector binnen het Spaanse digitale ecosysteem. Slechts een zeer klein percentage van de domeinen in de gezondheidszorg hanteert een strikt beleid, terwijl een groot deel helemaal geen DMARC-architectuur heeft. Door de vrijwel volledige afwezigheid van MTA-STS blijven medische dossiers van patiënten en interne klinische communicatiekanalen zeer kwetsbaar voor kwaadwillige onderschepping en domeinspoofing.
Spaanse banken en financiële instellingen lopen voorop in het land wat betreft beleidsvolwassenheid, grotendeels dankzij directe Europese regelgeving zoals DORA. Deze meerlaagse beveiliging wordt echter aanzienlijk ondermijnd door het feit dat MTA-STS op grote schaal ontbreekt. Dit betekent dat inkomende spoofing weliswaar sterk wordt beperkt, maar dat uitgaand transactieverkeer, interne berichtenlogboeken en overschrijvingsopdrachten vaak worden verzonden zonder verplichte versleuteling op transitniveau.
De domeinen van de Spaanse overheidsinstanties laten een uitstekend basisniveau van naleving zien dankzij de verplichte afstemming op de ENS. Slechts een klein deel hanteert echter een beleid waarbij ongewenste e-mails worden geweigerd. Cruciaal is dat bij veel gemeentelijke en regionale overheidsinstanties DMARC-beveiliging volledig ontbreekt. In combinatie met de lage acceptatiegraad van MTA-STS en DNSSEC blijven communicatiekanalen met burgers zeer kwetsbaar voor spoofing.
Academische en onderzoeksnetwerken vormen een enorm, verspreid aanvalsoppervlak. Hoewel ze een redelijk correcte SPF-configuratiescore handhaven, heeft slechts een kleine minderheid van de onderwijsinstellingen strikte handhaving gerealiseerd. Bovendien hebben veel instellingen de implementatie van DMARC helemaal overgeslagen en ontbreekt MTA-STS, waardoor intellectueel eigendom van universitair onderzoek en studentendossiers worden blootgesteld aan systematische gegevensdiefstal.
Als belangrijkste poortwachters van het publieke debat worden Spaanse mediabedrijven geconfronteerd met een ernstige bedreiging voor hun geloofwaardigheid. Momenteel hanteert slechts een fractie van de domeinen in de sector strikte beveiligingsmaatregelen, en bij veel ontbreekt een DMARC-raamwerk volledig. In combinatie met een groot tekort aan MTA-STS-implementaties kunnen kwaadwillenden gemakkelijk vooraanstaande nieuwsbronnen namaken om gecoördineerde desinformatie- of phishingcampagnes op te zetten.
Telecombedrijven beheren omvangrijke factureringssystemen voor hun klanten. Hoewel sommige bedrijven inmiddels een handhavingsbeleid hanteren, beschikt een groot deel nog niet over een DMARC-vermelding in hun DNS-records. In combinatie met een ernstige tekortkoming op het gebied van MTA-STS blijven waarschuwingen over abonneeverificatie, factureringsberichten en beheerdersaccounts zeer kwetsbaar voor manipulatie.
Logistieke netwerken vormen de ruggengraat van de lokale handel, maar scoren op het gebied van beveiliging het slechtst in Spanje. Een alarmerend laag aantal domeinen maakt gebruik van een goed functionerende beveiligingsconfiguratie, terwijl een aanzienlijk deel helemaal geen DMARC-parameters heeft. In combinatie met een ernstige tekortkoming op het gebied van MTA-STS blijven factureringsprocessen in de toeleveringsketen ernstig kwetsbaar voor pogingen tot het onderscheppen van facturen.
De energiesectoren leveren essentiële nationale diensten, maar vertonen bij een NIS2-beoordeling aanzienlijke tekortkomingen in het beleid. Hoewel een groot percentage basis-SPF heeft geïmplementeerd, hanteert slechts een klein deel actief een afwijzingsbeleid en beschikt een groot deel helemaal niet over een DMARC-architectuur. Bovendien ontbreekt bij de meeste de MTA-STS-versleuteling, waardoor er toegangsmogelijkheden ontstaan voor kwaadaardige technische meldingen die gericht zijn op randapparatuur.
