Sektor opieki zdrowotnej stanowi wyjątkowo wrażliwą część hiszpańskiego ekosystemu cyfrowego. Tylko niewielki odsetek domen z branży medycznej stosuje rygorystyczne zasady, podczas gdy znaczna część z nich nie posiada żadnej architektury DMARC. W połączeniu z niemal całkowitym brakiem protokołu MTA-STS sprawia to, że dokumentacja medyczna pacjentów oraz wewnętrzne kanały komunikacji klinicznej pozostają bardzo narażone na złośliwe przechwytywanie i fałszowanie domen.
Hiszpańskie instytucje bankowe i finansowe przodują w kraju pod względem dojrzałości polityki bezpieczeństwa, co wynika w dużej mierze z bezpośrednich regulacji europejskich, takich jak DORA. Jednak ta wielopoziomowa ochrona jest znacznie osłabiona przez powszechny brak wdrożenia standardu MTA-STS. Oznacza to, że choć przychodzące ataki typu spoofing są silnie ograniczone, wychodzący ruch transakcyjny, wewnętrzne logi komunikatów oraz zlecenia przelewów często są przesyłane bez wymuszonego szyfrowania na poziomie warstwy tranzytowej.
Domeny hiszpańskiej administracji publicznej charakteryzują się doskonałym poziomem zgodności z podstawowymi wymogami dzięki obowiązkowemu dostosowaniu do standardu ENS. Jednak tylko niewielka część z nich stosuje politykę odrzucania wiadomości w celu ochrony. Co istotne, w wielu gminnych i regionalnych instytucjach sektora publicznego całkowicie brakuje zabezpieczeń opartych na protokole DMARC. W połączeniu z niskim wskaźnikiem wdrażania protokołów MTA-STS i DNSSEC kanały komunikacji z obywatelami pozostają w dużym stopniu podatne na fałszowanie.
Sieci akademickie i badawcze stanowią rozległą, rozproszoną powierzchnię ataku. Chociaż większość instytucji edukacyjnych utrzymuje rozsądny wynik konfiguracji SPF, tylko niewielka mniejszość z nich wprowadziła rygorystyczne egzekwowanie tych zasad. Co więcej, wiele z nich całkowicie pominęło wdrożenie protokołu DMARC i nie posiada wdrożenia MTA-STS, narażając w ten sposób własność intelektualną wynikającą z badań uniwersyteckich oraz dane studentów na systematyczne wycieki.
Jako główni strażnicy dyskursu publicznego hiszpańskie sieci medialne stoją w obliczu poważnego zagrożenia dla swojej wiarygodności. Obecnie jedynie niewielka część domen w tej branży stosuje zabezpieczenia, a wiele z nich w ogóle nie posiada infrastruktury DMARC. W połączeniu z poważnymi brakami we wdrażaniu protokołu MTA-STS złośliwi aktorzy mogą z łatwością podszywać się pod renomowane serwisy informacyjne, aby przeprowadzać skoordynowane kampanie dezinformacyjne lub phishingowe.
Operatorzy telekomunikacyjni zarządzają rozbudowaną infrastrukturą rozliczeniową dla klientów. Chociaż niektórzy z nich przeszli już do etapu egzekwowania standardów, znaczna część z nich nie posiada wpisu DMARC w swoich rekordach DNS. W połączeniu z poważnymi brakami w zakresie MTA-STS, alerty dotyczące weryfikacji abonentów, powiadomienia rozliczeniowe oraz konta administracyjne pozostają w dużym stopniu narażone na manipulacje.
Sieci logistyczne stanowią podstawę lokalnego handlu, a mimo to osiągają najniższe wyniki w zakresie zabezpieczeń w całej Hiszpanii. Niepokojąco niewielka liczba domen korzysta z działającej konfiguracji zabezpieczeń, a znaczna część z nich nie posiada w ogóle parametrów DMARC. W połączeniu z poważnymi brakami w zakresie MTA-STS operacje rozliczeniowe w łańcuchu dostaw pozostają narażone na ataki polegające na przechwytywaniu faktur.
Sektory energetyczne świadczą kluczowe usługi krajowe, jednak w świetle wymogów NIS2 wykazują znaczne luki w zakresie polityki bezpieczeństwa. Chociaż znaczna część z nich wdrożyła podstawowe zabezpieczenia SPF, tylko niewielka część aktywnie stosuje zasady odrzucania wiadomości, a wiele z nich w ogóle nie posiada architektury DMARC. Ponadto w większości przypadków brakuje szyfrowania MTA-STS, co stwarza wektory ataku dla złośliwych wiadomości inżynierii społecznej wymierzonych w zasoby brzegowe.
