Έρευνα της Spoofhound · 2026-11-09
Η κατάσταση του DMARC το 2026 — Ελλάδα
Τα τρία στα τέσσερα ελληνικά domains μπορούν να πλαστογραφηθούν μέσω email, και ο δημόσιος τομέας της είναι από τους λιγότερο προστατευμένους που έχουμε μετρήσει.
Η Spoofhound σάρωσε το ελληνικό διαδίκτυο: 7.366 domains που λαμβάνουν email, από δημοφιλείς ελληνικούς ιστότοπους και από χαρτογραφημένες τοπικές επιχειρήσεις και δημόσιους φορείς, ελεγμένα με την ίδια μηχανή που βρίσκεται πίσω από τον δωρεάν έλεγχο domain μας.
Ελέγξτε το domain σας — δωρεάνΤο βασικό εύρημα
Τα τρία στα τέσσερα ελληνικά domains που λαμβάνουν email μπορούν να πλαστογραφηθούν. Από τα 7.366 domains που ελέγξαμε, τα 5.571 (75,6%) δεν έχουν πολιτική DMARC σε επιβολή: είτε δεν έχουν καμία εγγραφή, είτε κάνουν μόνο παρακολούθηση, είτε η εγγραφή τους είναι ελαττωματική. Τα συστήματα αλληλογραφίας των παραληπτών δεν λαμβάνουν ποτέ οδηγία να μπλοκάρουν τα πλαστά μηνύματα που στέλνονται στο όνομά τους.
Τρεις αριθμοί λένε όλη την ιστορία:
- •Το 24,4% επιβάλλει DMARC. Η Ελλάδα βρίσκεται λίγο πίσω από το Ηνωμένο Βασίλειο και την Ταϊλάνδη (και οι δύο στο 24,5%). Οι μικρές επιχειρήσεις επιβάλλουν DMARC σε ποσοστό 22,4%, στο ίδιο επίπεδο με την Ισπανία. Δείτε πώς συγκρίνονται όλες οι χώρες που έχουμε μετρήσει.
- •Ο δημόσιος τομέας: 16,9%. Τα ελληνικά domains Δημοσίου και εκπαίδευσης επιβάλλουν DMARC σπανιότερα από τις ελληνικές μικρές επιχειρήσεις, και ο ελληνικός δημόσιος τομέας είναι από τους λιγότερο προστατευμένους που έχουμε μετρήσει, μαζί με τον δημόσιο τομέα της Νιγηρίας (16,8%). Περισσότερα από τα μισά (52,8%) δεν έχουν καθόλου εγγραφή DMARC.
- •Το SPF είναι το φωτεινό σημείο: μόνο το 3,8% δεν έχει εγγραφή SPF, από τα χαμηλότερα ποσοστά που έχουμε μετρήσει, κάτω από της Ισπανίας (4,9%).
Το μέσο ελληνικό domain συγκεντρώνει 35,1 στα 100 στον πλήρη έλεγχο ασφάλειας email, και το 88,5% έχει τουλάχιστον ένα πρόβλημα που αξίζει να διορθωθεί.
Το DMARC στο ελληνικό διαδίκτυο
Το 76% των ελληνικών domains που λαμβάνουν email είναι εκτεθειμένο σε πλαστοπροσωπία
Τα 5.571 από τα 7.366 domains που ελέγξαμε δεν έχουν πολιτική DMARC σε επιβολή.
Χωρίς εγγραφή DMARC
Μόνο παρακολούθηση (p=none)
Ελαττωματική ή διπλή εγγραφή
p=quarantine
p=reject
Κόκκινο: οι παραλήπτες δεν λαμβάνουν ποτέ οδηγία να μπλοκάρουν τα πλαστά μηνύματα · Πράσινο: τα πλαστά μηνύματα μπαίνουν σε καραντίνα ή απορρίπτονται.
Η μεγαλύτερη ομάδα ελληνικών domains (42,3%) δημοσιεύει εγγραφή DMARC αλλά σταματά στο p=none, και τα 2.125 από αυτά τα 3.115 δεν ζητούν αναφορές DMARC, οπότε η εγγραφή τους ούτε μπλοκάρει τα πλαστά μηνύματα ούτε ενημερώνει κανέναν γι' αυτά. Όταν τα ελληνικά domains επιβάλλουν DMARC, τα περισσότερα σταματούν στο p=quarantine: το 17,2% του συνόλου, έναντι 7,2% με p=reject. Οι αναφορές είναι αυτές που δείχνουν κάθε υπηρεσία που στέλνει email στο όνομα ενός domain. Η ανάγνωσή τους και η ολοκλήρωση της δουλειάς είναι ακριβώς αυτό που κάνει η Spoofhound.
Τα υπόλοιπα μέτρα προστασίας
| Έλεγχος | Εύρημα | Domains |
|---|---|---|
| SPF | Καμία εγγραφή: οποιοσδήποτε διακομιστής, οπουδήποτε, μπορεί να στέλνει ως το domain | 283 (3,8%) |
| SPF | Η εγγραφή τελειώνει σε +all ή ?all: υπάρχει, αλλά ούτως ή άλλως επιτρέπει σε όλους | 214 (2,9%) |
| DKIM του Microsoft 365 | Και οι δύο selectors υπογραφής χαλασμένοι: τα εξερχόμενα μηνύματα μπορεί να αποτυγχάνουν στον έλεγχο ταυτότητας ήδη σήμερα | 13 |
| MTA-STS | Προστατεύει την εισερχόμενη αλληλογραφία από υποκλοπή: σε χρήση (τα 7 από αυτά μόνο σε λειτουργία δοκιμής) | 19 (0,3%) |
| TLS-RPT | Αναφέρει αποτυχίες ασφαλούς παράδοσης: σε χρήση | 27 (0,4%) |
| BIMI | Επαληθευμένο λογότυπο στα εισερχόμενα: ενεργό | 53 (0,7%) |
Σχεδόν κάθε ελληνικό domain δημοσιεύει SPF: μόλις το 3,8% δεν έχει εγγραφή, αν και ένα ακόμη 2,9% δημοσιεύει εγγραφή που τελειώνει σε +all ή ?all, άρα ούτως ή άλλως επιτρέπει κάθε διακομιστή. Τα νεότερα πρότυπα μόλις που έχουν φτάσει: λιγότερα από 1 στα 100 domains χρησιμοποιούν MTA-STS, TLS-RPT ή BIMI.
Μικρές επιχειρήσεις απέναντι στις μεγαλύτερες
| Ομάδα | Domains που ελέγχθηκαν | Χωρίς εγγραφή DMARC | Μόνο παρακολούθηση | Επιβολή |
|---|---|---|---|---|
| Ελληνικές επιχειρήσεις με 1–3 σημεία (καταστήματα, γραφεία, επαγγελματίες) | 3.618 | 36,3% | 40,9% | 22,4% |
| Ελληνικές επιχειρήσεις με 4 ή περισσότερα σημεία | 95 | 7,4% | 49,5% | 43,2% |
| Ελληνικοί ιστότοποι .gr στο top 100.000 της κατάταξης | 283 | 25,1% | 37,8% | 36,7% |
Οι ελληνικές επιχειρήσεις με τέσσερα ή περισσότερα σημεία επιβάλλουν DMARC σε σχεδόν διπλάσιο ποσοστό από τις μικρές, όμως οι μισές από αυτές (49,5%) σταματούν στο p=none. Ακόμη και στους πιο δημοφιλείς ελληνικούς ιστότοπους .gr, το ένα τέταρτο (25,1%) δεν έχει εγγραφή DMARC. Οι μικρές επιχειρήσεις μοιράζονται ανάμεσα σε καμία εγγραφή (36,3%) και p=none (40,9%), και το 90,5% έχει τουλάχιστον ένα πρόβλημα ασφάλειας email.
Δημόσιο απέναντι στις μικρές επιχειρήσεις
Οι δημόσιοι φορείς είναι προφανής στόχος για πλαστά email. Συγκρίναμε τα domains του δημόσιου τομέα που μπορούμε να εντοπίσουμε (domains .gov.gr και .edu.gr, καθώς και γραφεία που είναι χαρτογραφημένα ως δημόσιες υπηρεσίες) με τις μικρές επιχειρήσεις της Ελλάδας:
| Ομάδα | Domains | Χωρίς εγγραφή DMARC | Μόνο παρακολούθηση | p=quarantine | p=reject | Επιβολή |
|---|---|---|---|---|---|---|
| Ελληνικά domains Δημοσίου και εκπαίδευσης | 142 | 52,8% | 30,3% | 9,9% | 7,0% | 16,9% |
| Ελληνικές επιχειρήσεις με 1–3 σημεία | 3.618 | 36,3% | 40,9% | 16,3% | 6,1% | 22,4% |
Στην Ελλάδα, όπως και στη Νιγηρία, ο δημόσιος τομέας επιβάλλει DMARC σπανιότερα από τις μικρές επιχειρήσεις. Περισσότερα από τα μισά domains του δημόσιου τομέα δεν έχουν καθόλου εγγραφή DMARC, έναντι 36,3% των μικρών επιχειρήσεων. Από τα 69 κυβερνητικά domains .gov.gr, το 53,6% δεν έχει εγγραφή και μόνο 2 χρησιμοποιούν p=reject. Ο δημόσιος τομέας της Σιγκαπούρης, από τους ισχυρότερους που έχουμε μετρήσει, επιβάλλει DMARC σε ποσοστό 91,2%.
Ποιοι είναι πιο εκτεθειμένοι
Κανένας ελληνικός κλάδος που μπορούμε να μετρήσουμε δεν προστατεύει ούτε ένα στα τρία domains
Ποσοστό των domains κάθε κλάδου που λαμβάνουν email με p=quarantine ή p=reject (σε παρένθεση τα domains που ελέγχθηκαν).
Βιβλιοπωλεία (71)
Καταστήματα ποδηλάτων (60)
Κοσμηματοπωλεία (64)
Συνεργεία αυτοκινήτων (75)
Καταστήματα επίπλων (89)
Καταστήματα υπολογιστών (84)
Καταστήματα ηλεκτρονικών (72)
Ταξιδιωτικά γραφεία (72)
Καταστήματα ρούχων (222)
Εταιρικά γραφεία (192)
Σούπερ μάρκετ (65)
Διακεκομμένη γραμμή: μέσος όρος Ελλάδας (24,4%).
Οι ελληνικοί κλάδοι βρίσκονται κοντά μεταξύ τους, από τα βιβλιοπωλεία (15,5%) έως τα σούπερ μάρκετ (30,8%). Τα ταξιδιωτικά γραφεία, που εισπράττουν πληρωμές από πελάτες, επιβάλλουν DMARC σε ποσοστό 25,0%, περίπου όσο ο εθνικός μέσος όρος. Στην Ελλάδα είναι χαρτογραφημένοι πολύ λίγοι λογιστές και δικηγορικά γραφεία για να τους παρουσιάσουμε.
Μεθοδολογία
Δείγμα. 7.366 ελληνικά domains που λαμβάνουν email (δημοσιεύουν λειτουργικές εγγραφές MX). Προέρχονται από δύο πηγές:
- ελληνικές επιχειρήσεις και δημόσιοι φορείς χαρτογραφημένοι στο OpenStreetMap με δικό τους ιστότοπο, με οποιαδήποτε κατάληξη domain: 3.781 domains
- κάθε domain .gr στην κατάταξη δημοτικότητας Tranco top 1 εκατομμύριο: 4.051 domains που λαμβάνουν email
466 domains εμφανίζονται και στις δύο. Εξαιρούνται προφίλ κοινωνικών δικτύων, ιστότοποι καταχωρίσεων και φιλοξενούμενες σελίδες που η επιχείρηση δεν ελέγχει.
Έλεγχοι. Κάθε domain σαρώθηκε από τη μηχανή της ίδιας της Spoofhound, την ίδια που βρίσκεται πίσω από τον δωρεάν έλεγχο domain. Καλύπτει SPF, DKIM (γνωστούς selectors που χρησιμοποιούν μεγάλοι πάροχοι email όπως Microsoft, Google, SendGrid, Mailchimp και άλλοι), DMARC, MTA-STS, TLS-RPT και BIMI. Κάθε αριθμός αντιστοιχεί σε σάρωση μέσα στις 30 ημέρες έως τις 2026-11-09.
Τα όρια, με ειλικρίνεια.
- Δημόσιος τομέας. Τα domains Δημοσίου και εκπαίδευσης που μπορούμε να εντοπίσουμε (.gov.gr, .edu.gr και γραφεία χαρτογραφημένα ως δημόσιες υπηρεσίες) είναι 142, το 1,9% του δείγματος, και επιβάλλουν DMARC σε ποσοστό 16,9%. Χωρίς αυτά, το ποσοστό είναι 24,5%. Πολλοί ελληνικοί δημόσιοι φορείς χρησιμοποιούν άλλες καταλήξεις domain και μετρώνται μαζί με όλους τους υπόλοιπους.
- Απόκλιση του δείγματος. Το δείγμα επιχειρήσεων καλύπτει χαρτογραφημένες επιχειρήσεις με ιστότοπο, κάτι που γέρνει προς ορατές δραστηριότητες που απευθύνονται στο κοινό. Τα ποσοστά ανά κλάδο βασίζονται σε 60 έως 222 domains το καθένα, και η ομάδα με τέσσερα ή περισσότερα σημεία σε 95.
- DKIM. Για το DKIM μπορούμε να επιβεβαιώσουμε μόνο ότι υπάρχει, ποτέ ότι λείπει.
- Τι σημαίνει «επιβολή». p=quarantine ή p=reject στο ίδιο το domain. Οι ελαττωματικές εγγραφές μετρώνται ως χωρίς επιβολή, γιατί έτσι τις αντιμετωπίζουν οι διακομιστές αλληλογραφίας των παραληπτών.
Δεδομένα © συντελεστές του OpenStreetMap (ODbL) · λίστα Tranco από το ερευνητικό έργο Tranco.
Πού βρίσκεται το δικό σας domain σε αυτούς τους αριθμούς; Μάθετέ το σε 30 δευτερόλεπτα.
Ελέγξτε το domain σας — δωρεάν