Estudio · Datos del 28 de septiembre de 2026
Una de cada cuatro empresas del IBEX 35 no bloquea el correo que suplanta su dominio
En septiembre de 2026, 9 de las 35 empresas del IBEX 35 (26 %) no tienen una política DMARC que bloquee o aparte el correo que suplanta su dominio: 8 están en p=none y 1 no publica registro. El 63 % aplica la política más estricta, p=reject, 25 puntos más que la gran empresa española en su conjunto (38 %).
Dirigido por Thilina Manana, Director de Operaciones y Seguridad de Hard2bit
- no bloquean ni apartan el correo que suplanta su dominio
- 9 de 35 no bloquean ni apartan el correo que suplanta su dominio
- en p=none reciben informes que muestran el problema y no lo bloquean
- 6 de 8 en p=none reciben informes que muestran el problema y no lo bloquean
- tienen la política más estricta (p=reject)
- 63 % tienen la política más estricta (p=reject)
- obliga a cifrar el correo que recibe (MTA-STS)
- 1 de 35 obliga a cifrar el correo que recibe (MTA-STS)
Resultados
¿Qué política DMARC aplican las empresas del IBEX 35?
DMARC es el registro con el que el propietario de un dominio indica qué hacer con los correos que dicen venir de él y no superan las comprobaciones SPF y DKIM. Es la defensa directa contra un correo falso que usa exactamente el dominio de la empresa, la base de muchos fraudes del CEO y de cambio de cuenta bancaria.
Hemos analizado el dominio de correo principal de las 35 empresas que componían el índice el 28 de septiembre de 2026.
- p=reject El receptor rechaza el correo que no supera la comprobación. 22 62,9 %
- p=quarantine El receptor lo aparta, normalmente a la carpeta de spam. 4 11,4 %
- p=none El receptor lo entrega con normalidad; solo se generan informes. 8 22,9 %
- Sin registro No hay política DMARC publicada. 1 2,9 %
Comparativa
Más p=reject que la gran empresa, la misma cola sin proteger
Frente a nuestra radiografía DMARC de 219 grandes empresas españolas del 7 de septiembre de 2026, el IBEX 35 aplica la política más estricta en 25 puntos más (63 % frente a 38 %). La proporción de empresas sin una política que bloquee o aparte el correo falso, en cambio, es prácticamente la misma.
Ven y no bloquean
Seis empresas reciben los informes y siguen en p=none
De las 8 empresas en p=none, 6 publican una dirección para recibir informes agregados (rua). Cada día reciben el detalle de qué servidores envían correo en su nombre, incluidos los que no están autorizados, y aun así no piden a los receptores que los bloqueen.
Lo habitual es que el despliegue se quedara a medias: se publica p=none para observar, aparecen plataformas legítimas sin configurar y el paso a quarantine se aplaza por miedo a perder correo. Los informes ya contienen la información necesaria para terminar.
6 de 8
empresas en p=none reciben informes DMARC. Las otras 2 publican p=none sin ni siquiera recibirlos.
Otras protecciones del correo
SPF, cifrado en tránsito y logotipo verificado
SPF está generalizado. Las protecciones de segunda generación, que exigen cifrado en la entrega o muestran la marca verificada, son todavía excepcionales.
- SPF publicado 35/35 Todas lo publican. 30 terminan en -all (rechazo) y 5 en ~all (marcar como sospechoso).
- SPF al borde del límite 4/35 Con 9 o 10 consultas DNS. Por encima de 10, SPF falla y el correo legítimo puede rebotar.
- BIMI 4/35 Muestra el logotipo verificado en los clientes de correo compatibles.
- TLS-RPT 2/35 Informes sobre fallos de cifrado en la entrega.
- MTA-STS 1/35 Obliga a los servidores remitentes a entregar el correo cifrado y verificado.
DKIM no se incluye como indicador: sus claves se publican bajo nombres (selectores) que cada empresa elige y que no pueden enumerarse desde fuera, así que no encontrarlas no demuestra que falten.
La portada web
La mitad de las portadas no tiene Content-Security-Policy
Además del correo, hemos revisado las cabeceras de seguridad de una única petición a la portada de cada empresa. De las 35, 30 devolvieron la página; las otras 5 respondieron con un bloqueo del cortafuegos o un desafío anti-bot y se han excluido.
-
15/30
Sin Content-Security-Policy
La cabecera que limita qué scripts puede ejecutar la página, la principal defensa del navegador frente a inyecciones.
-
4/30
Sin HSTS
Sin ella, la primera visita puede interceptarse antes de pasar a HTTPS.
-
3/30
Sin protección contra clickjacking
Ni X-Frame-Options ni frame-ancestors: la página puede incrustarse en otra para engañar al usuario.
Qué hacer
Cómo llegar a p=reject sin perder correo legítimo
El orden importa: endurecer la política antes de firmar todos los envíos legítimos es lo que hace rebotar facturas y avisos, y lo que lleva a muchas empresas a quedarse en p=none. Tienes el detalle técnico en nuestra guía para comprobar la seguridad de un dominio.
- 01
Inventariar quién envía en tu nombre
Servidores propios, Microsoft 365 o Google Workspace, CRM, facturación, nóminas, marketing y avisos automáticos. Los informes DMARC (rua) muestran los que faltan.
- 02
Firmar con DKIM todos los envíos legítimos
Cada plataforma con su selector. Es lo que permite que el correo legítimo siga llegando cuando la política se endurece.
- 03
Pasar a quarantine de forma gradual
Con el parámetro pct se aplica primero a una parte del correo y se sube por tramos mientras se revisan los informes.
- 04
Llegar a p=reject
Incluida la política de subdominios (sp) y de subdominios inexistentes (np), para que nadie use un subdominio inventado.
- 05
Cubrir los dominios secundarios
Los que no envían correo necesitan SPF -all y DMARC p=reject igualmente; también se usan para suplantar.
- 06
Proteger el transporte
MTA-STS y TLS-RPT para exigir cifrado en la entrega y enterarte cuando falla.
Comprueba tu dominio en un minuto. El escáner de Hard2bit revisa DMARC, SPF, DKIM, MTA-STS y cabeceras web con los mismos criterios de este estudio.
Abrir el escánerMetodología
Cómo se ha hecho el estudio
Análisis pasivo con información pública, el mismo que puede hacer cualquier persona desde su ordenador. No se ha enviado correo a ninguna empresa ni se ha probado ninguna vulnerabilidad.
- Muestra
- Las 35 empresas del IBEX 35 según la composición publicada el 28 de septiembre de 2026.
- Fecha de los datos
- 28 de septiembre de 2026. Los registros DNS cambian: el estudio es una fotografía de ese día.
- Dominio analizado
- El dominio de correo principal de cada empresa. En 7 empresas se revisaron también dominios secundarios, que no cuentan en los porcentajes: 1 estaba en p=none y 1 sin registro DMARC.
- Correo
- Consultas DNS de los registros MX, SPF (incluido el recuento de consultas anidadas), DMARC, MTA-STS, TLS-RPT y BIMI, y de selectores DKIM habituales.
- Web
- Una petición HTTPS GET a la portada, siguiendo las redirecciones. Se registraron HSTS, Content-Security-Policy, X-Frame-Options y frame-ancestors.
- Anonimato
- Los resultados se publican agregados. No se identifica a ninguna empresa.
Datos abiertos
Descarga los datos y cita el estudio
Los indicadores agregados se publican con licencia Creative Commons Reconocimiento 4.0. Puedes reutilizarlos en artículos, informes y presentaciones citando a Hard2bit y enlazando a esta página.
Cómo citarlo
Manana, T. (2026). Suplantación de correo en el IBEX 35. Hard2bit. Datos del 28 de septiembre de 2026. https://hard2bit.com/estudios/suplantacion-correo-ibex-35/
Periodistas y analistas: para datos adicionales o una entrevista, escríbenos desde la página de prensa.
Preguntas frecuentes
Dudas sobre el estudio y sobre DMARC
Soy responsable de sistemas de una empresa grande y nuestro DMARC está en p=none desde hace meses: ¿cómo paso a reject sin perder correo legítimo?
¿Qué significa que una empresa del IBEX 35 tenga DMARC en p=none?
¿Qué empresas del IBEX 35 no tienen DMARC en reject?
Si mi empresa tiene DMARC en reject, ¿ya no pueden suplantarnos por correo?
¿Cómo se ha hecho el estudio y es legal?
¿Puedo usar los datos del estudio en un artículo o una presentación?
Términos relacionados
Conceptos de nuestro glosario de ciberseguridad que se conectan directamente con este servicio.
¿Tu dominio está en p=none?
Te ayudamos a pasar a p=reject sin perder correo legítimo: inventario de remitentes, DKIM, despliegue gradual y seguimiento de los informes.
Estudio dirigido por Thilina Manana, Director de Operaciones y Seguridad de Hard2bit, con datos del . Publicado el . Hard2bit está certificada en ENS categoría ALTA e ISO 27001.