Spoofhoundin tutkimus · 2026-11-09
DMARC-tilanne 2026 — Suomi
Yli neljä viidestä suomalaisesta verkkotunnuksesta on alttiina sähköpostiväärennöksille.
Spoofhound tutki suomalaisen verkon: 9 153 sähköpostia vastaanottavaa verkkotunnusta Suomen suosituilta verkkosivustoilta ja kartoitetuilta paikallisyrityksiltä. Ne tarkistettiin samalla moottorilla, jota ilmainen verkkotunnustarkistuksemme käyttää.
Tarkista verkkotunnuksesi — ilmaiseksiTärkein havainto
Yli neljä viidestä sähköpostia vastaanottavasta suomalaisesta verkkotunnuksesta on alttiina väärennöksille. Tarkistetuista 9 153 verkkotunnuksesta 7 600:lla (83,0 %) ei ole pakottavaa DMARC-käytäntöä: tietue puuttuu kokonaan, se on pelkässä seurantatilassa tai se on viallinen. Vastaanottavia postijärjestelmiä ei koskaan ohjeisteta estämään verkkotunnuksen nimissä lähetettyjä väärennöksiä.
Kolme lukua kertoo olennaisen:
- •17,0 % käyttää pakottavaa DMARC-käytäntöä. Suomi jää Argentiinan (19,5 %) ja Yhdysvaltojen (19,4 %) taakse ja on edellä Ranskaa (15,7 %) ja Italiaa (13,4 %). Katso, miten kaikki mittaamamme maat vertautuvat toisiinsa.
- •48,6 %:lta puuttuu DMARC-tietue kokonaan. Osuus on sama kuin Yhdysvalloissa (48,6 %) ja hieman pienempi kuin Taiwanissa (49,3 %). Lisäksi 34,2 % julkaisee tietueen mutta jättää sen tasolle p=none.
- •Pienyritykset: 12,7 %. Suomalaisista yrityksistä, joilla on yhdestä kolmeen toimipaikkaa, 12,7 % käyttää pakottavaa DMARC-käytäntöä. Se on mittaamiemme maiden heikoimpia tuloksia, mutta parempi kuin Italian (9,8 %). Yli puolelta niistä (54,7 %) DMARC-tietue puuttuu kokonaan.
Keskimääräinen suomalainen verkkotunnus saa sähköpostiturvallisuuden kokonaistarkistuksessa 31,5 pistettä sadasta, ja 88,3 %:lla on vähintään yksi korjaamisen arvoinen ongelma.
DMARC suomalaisessa verkossa
83 % sähköpostia vastaanottavista suomalaisista verkkotunnuksista on alttiina väärennöksille
Tarkistetuista 9 153 verkkotunnuksesta 7 600:lla ei ole pakottavaa DMARC-käytäntöä.
Ei DMARC-tietuetta
Pelkkä seuranta (p=none)
Viallinen tai kahdennettu tietue
p=quarantine
p=reject
Punainen: vastaanottajia ei koskaan ohjeisteta estämään väärennöksiä · Vihreä: huijareiden posti asetetaan karanteeniin tai hylätään.
Suurin ryhmä suomalaisista verkkotunnuksista (48,6 %) on niitä, joilta DMARC-tietue puuttuu kokonaan. Niistä 3 129 verkkotunnuksesta, jotka jäävät tasolle p=none, 1 938 (61,9 %) ei pyydä DMARC-raportteja, joten niiden tietue ei estä väärennöksiä eikä kerro niistä kenellekään. Juuri raporteista näkyy jokainen palvelu, joka lähettää postia verkkotunnuksen nimissä. Raporttien lukeminen ja työn loppuun vieminen on juuri sitä, mitä Spoofhound tekee.
Muut suojausmekanismit
| Tarkistus | Havainto | Verkkotunnuksia |
|---|---|---|
| SPF | Ei tietuetta lainkaan: mikä tahansa palvelin missä tahansa voi lähettää verkkotunnuksen nimissä | 810 (8,8 %) |
| SPF | Tietue päättyy +all tai ?all: julkaistu, mutta sallii silti kaikki lähettäjät | 153 (1,7 %) |
| Microsoft 365 DKIM | Molemmat allekirjoitusvalitsimet rikki: lähtevä posti voi epäonnistua todennuksessa jo nyt | 23 |
| MTA-STS | Suojaa saapuvaa postia sieppaukselta: käytössä (näistä 16 vain testitilassa) | 51 (0,6 %) |
| TLS-RPT | Raportoi epäonnistuneet suojatut toimitukset: käytössä | 81 (0,9 %) |
| BIMI | Vahvistettu logo saapuneissa viesteissä: käytössä | 69 (0,8 %) |
SPF-tietue puuttuu alle joka yhdenneltätoista suomalaiselta verkkotunnukselta (8,8 %). Uudemmat standardit ovat tuskin vielä rantautuneet: alle 1 verkkotunnus sadasta käyttää MTA-STS:ää, TLS-RPT:tä tai BIMIä.
Pienyritykset ja suuremmat yritykset
| Joukko | Tarkistettuja verkkotunnuksia | Ei DMARC-tietuetta | Pelkkä seuranta | Pakottava |
|---|---|---|---|---|
| Suomalaiset yritykset, joilla 1–3 toimipaikkaa (kaupat, toimistot, ammatinharjoittajat) | 7 074 | 54,7 % | 32,3 % | 12,7 % |
| Suomalaiset yritykset, joilla 4–9 toimipaikkaa | 146 | 17,8 % | 45,9 % | 36,3 % |
| Suomalaiset yritykset, joilla vähintään 10 toimipaikkaa | 83 | 10,8 % | 49,4 % | 39,8 % |
| Suomen 100 000 suosituimman sivuston joukkoon kuuluvat .fi-sivustot | 194 | 10,8 % | 44,8 % | 44,3 % |
Suuremmat suomalaiset yritykset käyttävät pakottavaa DMARC-käytäntöä noin kolme kertaa todennäköisemmin kuin pienet, mutta useimmat eivät silti käytä: puolet vähintään kymmenen toimipaikan yrityksistä (49,4 %) ja 44,8 % suosituimmista .fi-sivustoista jää tasolle p=none. Pienyrityksiltä tietue useimmiten puuttuu kokonaan, ja 92,3 %:lla niistä on vähintään yksi sähköpostiturvallisuuden ongelma.
Ketkä ovat alttiimpia
Kukkakaupat, kauneushoitolat ja kampaamot suojaavat noin yhden verkkotunnuksen kuudestatoista
Osuus kunkin toimialan sähköpostia vastaanottavista verkkotunnuksista, joilla on p=quarantine tai p=reject (tarkistettujen verkkotunnusten määrä suluissa).
Kukkakaupat (119)
Kauneushoitolat (221)
Kampaamot (440)
Kultasepänliikkeet (76)
Vaatekaupat (263)
Polkupyöräliikkeet (127)
Autokorjaamot (285)
Leipomot (108)
Autoliikkeet (128)
Huonekaluliikkeet (68)
Kiinteistönvälittäjät (100)
Rautakaupat (106)
Tilitoimistot (64)
Yritysten toimistot (947)
IT-yritykset (82)
Sininen: asiakkaiden varoja käsittelevät ammatit · katkoviiva: Suomen keskiarvo (17,0 %).
Kuluttajapalvelut jäävät selvästi kansallisen keskiarvon alle: kukkakaupat (5,0 %), kauneushoitolat (6,3 %) ja kampaamot (6,4 %). Asiakkaiden varoja käsittelevät ammatit eivät pärjää juuri paremmin: kiinteistönvälittäjistä 18,0 % ja tilitoimistoista 20,3 % käyttää pakottavaa käytäntöä, eli lähellä kansallista keskiarvoa. IT-yritykset ovat kärjessä 40,2 %:n osuudella.
Menetelmät
Aineisto. 9 153 suomalaista verkkotunnusta, jotka vastaanottavat sähköpostia (niillä on toimivat MX-tietueet). Ne tulevat kahdesta lähteestä:
- OpenStreetMapiin kartoitetut suomalaiset yritykset, joilla on oma verkkosivusto millä tahansa verkkotunnuspäätteellä: 7 372 verkkotunnusta
- jokainen .fi-verkkotunnus Tranco top 1 million -suosiolistalla: 2 250 sähköpostia vastaanottavaa verkkotunnusta
469 verkkotunnusta esiintyy molemmissa. Sosiaalisen median profiilit, hakemistosivustot ja isännöidyt sivut, joita yritys ei itse hallitse, on jätetty pois. Suomeen kartoitetut yritykset, jotka käyttävät ruotsalaista tai venäläistä verkkotunnusta (.se, .ru), lasketaan kyseisen maan lukuihin.
Tarkistukset. Jokainen verkkotunnus tarkistettiin Spoofhoundin omalla moottorilla, samalla jota ilmainen verkkotunnustarkistus käyttää. Se kattaa SPF:n, DKIM:n (suurten sähköpostipalveluiden, kuten Microsoftin, Googlen, SendGridin, Mailchimpin ja muiden, tunnetut valitsimet), DMARCin, MTA-STS:n, TLS-RPT:n ja BIMIn. Jokainen luku perustuu 2026-11-09 päättyneiden 30 päivän aikana tehtyyn tarkistukseen.
Rehelliset rajoitukset.
- Julkinen sektori. Suomalaiset julkiset organisaatiot käyttävät enimmäkseen tavallisia .fi-verkkotunnuksia, joten pystymme tunnistamaan niistä vain 69 (viranomaisiksi kartoitetut toimistot, 0,8 % otoksesta). Se on liian vähän yritysten kanssa vertailuun, joten tässä raportissa ei ole julkisen sektorin osiota. Ilman niitä pääluku on 16,8 %.
- Otoksen vinouma. Yritysotos kattaa kartoitetut yritykset, joilla on verkkosivusto, mikä painottaa näkyviä, kuluttajille suunnattuja aloja. Toimialakohtaiset luvut perustuvat kukin 64–947 verkkotunnukseen ja vähintään neljän toimipaikan ryhmien luvut kukin alle 150 verkkotunnukseen.
- DKIM. DKIM:n voi vahvistaa vain olemassa olevaksi, ei koskaan puuttuvaksi.
- Mitä ”pakottava” tarkoittaa. p=quarantine tai p=reject itse verkkotunnuksella. Vialliset tietueet lasketaan ei-pakottaviksi, koska vastaanottavat postipalvelimet käsittelevät niitä niin.
Tiedot © OpenStreetMapin tekijät (ODbL) · Tranco-lista: Tranco-tutkimusprojekti.
Mihin kohtaan näissä luvuissa oma verkkotunnuksesi sijoittuu? Selvitä se 30 sekunnissa.
Tarkista verkkotunnuksesi — ilmaiseksi