Observatorio · datos de octubre de 2026

¿Se puede suplantar por correo a las grandes cotizadas de Europa y EE. UU.?

50 de 256 no tienen una política DMARC que impida usar el dominio de su web corporativa para enviar correo falso.

Del resto, 163 lo rechazan, 40 lo mandan a spam y 3 lo apartan solo en parte.

Las empresas de 6 índices bursátiles (IBEX 35, Euro Stoxx 50, FTSE 100, DAX 40, CAC 40 y Dow Jones), medidas cada mes con el mismo motor que el auditor de CyberEscudo. Una empresa que está en dos índices cuenta una vez. Solo registros públicos: no se ha atacado ni contactado a nadie.

Índice a índice

Cada índice tiene su tamaño: compara los porcentajes, no las cifras.

Se puede suplantar

Protegida

Se puede suplantar
Sin política DMARC efectiva: nadie pide a los receptores que rechacen o aparten el correo que falsifica el dominio.
Protegida
reject al 100 %: los receptores rechazan el correo que falsifica el dominio.

¿Influyen el tamaño o la antigüedad?

Empresas que se pueden suplantar, por tramo. Cada empresa cuenta una vez. Capitalización bursátil al cierre del 30 de octubre de 2026, en euros.

Por capitalización bursátil

Por año de fundación

Capitalización: todas las acciones cotizadas por el precio de cierre (no la flotante), de la bolsa principal de cada empresa (BME, London Stock Exchange, Euronext, Deutsche Börse, Nasdaq Nordic; en EE. UU., acciones en circulación declaradas a la SEC y cierre de Nasdaq), pasada a euros con el cambio de referencia del BCE de ese día. Las bolsas no permiten redistribuir sus cifras, así que aquí solo salen los tramos. Año de fundación: el más antiguo entre Wikidata y la ficha de Wikipedia en inglés; en grupos nacidos de fusiones puede ser el de la empresa más antigua.

Es una correlación en 256 empresas, no una causa: las más pequeñas son sobre todo del FTSE 100 y del IBEX 35, así que el país también cuenta. Sin dato de capitalización: 2; sin año de fundación: 4.

Los informes

Cada informe tiene su metodología, sus límites, las cifras completas y un buscador por empresa.

Cómo se hace

Qué se mide
SPF, DMARC y DKIM del dominio de la web corporativa de cada empresa, con el motor del auditor de correo: los mismos pesos, escala y topes que ves al auditar tu dominio. Cómo puntuamos
Cuándo
Una edición al mes por índice, con consultas DNS públicas a Google Public DNS. Una edición publicada no se reescribe nunca y conserva la metodología de su momento: si la metodología cambia, se nota en la edición siguiente, no en las pasadas.
Qué empresas
La composición de cada índice en la fecha de su edición, con la fuente citada en cada informe. El dominio es el de la web corporativa, y cada uno lleva su fuente en el CSV.
Empresas en varios índices
Cuentan en cada índice en el que están, pero una sola vez en el total de esta página, con su medición más reciente.

Para medios

Si citas el observatorio, indica la fuente y la fecha de los datos. Una formulación fiel:

«50 de las 256 grandes cotizadas de Europa y EE. UU. de los índices IBEX 35, Euro Stoxx 50, FTSE 100, DAX 40, CAC 40 y Dow Jones no tienen una política DMARC que impida usar el dominio de su web corporativa para enviar correo falso.» Fuente: CyberEscudo, Observatorio de suplantación (datos de octubre de 2026).

¿Y tu dominio?

El mismo análisis, para el tuyo, en segundos y sin registro. Si te sale algo que arreglar, te ayudo a llegar a p=reject sin perder correo legítimo.

Audita tu dominio Hablemos