NIEUWS

Kwart van grote Benelux-organisaties laat e-mailspoofing toe

Gepubliceerd: 24 oktober 2026k | Leestijd: 4 minuten

Samengevat: Meer dan een kwart van de grotere organisaties in Nederland, België en Luxemburg beveiligt uitgaande e-mail onvoldoende. Kwaadwillenden kunnen daardoor relatief eenvoudig berichten versturen die van het bedrijfsdomein lijken te komen. Dat blijkt uit de Barometer e-mailbeveiliging 2026 van CyberNovaLabs.io. Het onderzoek keek naar de openbare e-mailbeveiliging van 333 organisaties.

De belangrijkste uitkomst

Van de 309 organisaties die e-mail ontvangen, dwingt 26,9 procent geen DMARC-beleid af. Zij hebben dus geen sluitende bescherming tegen spoofing. Iedereen kan dan e-mails in hun naam versturen. De maatregelen zijn relatief eenvoudig uit te voeren.

Hoe is het onderzoek opgezet?

De onderzoekers selecteerden 333 organisaties. Elke organisatie heeft een hoofdkantoor in Nederland, België of Luxemburg. Elke organisatie heeft minimaal vijftig medewerkers. Elke organisatie heeft een officiële website in Wikidata.

Van deze groep hadden 309 organisaties een actief MX-record. Alleen zij zijn in de e-mailstatistieken meegenomen. De onderzoekers controleerden SPF, DKIM, DMARC, MTA-STS, TLS-RPT en DNSSEC.

Wat zijn SPF, DKIM en DMARC?

SPF, DKIM en DMARC zijn DNS-instellingen. Ze werken samen.

SPF bepaalt welke mailservers namens een domein mogen versturen.

DKIM voorziet e-mails van een digitale handtekening.

DMARC koppelt beide technieken aan een beleid.

Met DMARC bepaalt een organisatie wat ontvangers met valse berichten doen. Het beleid kent drie standen. Met p=none gebeurt er niets. Met quarantine komt het bericht in de spam. Met reject weigert de ontvanger het bericht. Alleen quarantine en reject bieden echte bescherming.

Middelgrote organisaties lopen achter

De cijfers verschillen sterk per organisatiegrootte. Bij organisaties met 50 tot 999 medewerkers is 38,7 procent na te bootsen. Bij 1.000 tot 9.999 medewerkers is dat 18,9 procent. Bij meer dan 10.000 medewerkers is dat 14 procent. Hoe groter de organisatie, hoe beter de bescherming.

Ook bij MTA-STS valt de kleinste groep achterop. Daar dwingt slechts 1,5 procent die standaard af. België scoort in het onderzoek lager dan Nederland.

Waarom is dit relevant? NIS2

De middelgrote organisaties vallen onder NIS2. Zij gelden daar als belangrijke entiteiten. CyberNovaLabs wijst erop dat veilige communicatie en basale cyberhygiëne bij de minimale maatregelen horen. Volgens het bedrijf controleren auditors en klanten e-mailbeveiliging als een van de eerste zaken.

Wat kunnen organisaties nu doen?

Controleer of SPF, DKIM en DMARC aanwezig zijn.

Zet DMARC niet op p=none, maar op quarantine.

Lees de DMARC-rapporten en zoek legitieme afzenders.

Stel een streefdatum in voor p=reject.

Sluit SPF af met -all zodra alle afzenders kloppen.

Deze stappen komen uit algemeen advies van beveiligingsbedrijven, niet uit de Barometer zelf.

Veelgestelde vragen

Wat betekent “geen afgedwongen DMARC-beleid”?
Het domein heeft geen DMARC-record of een record zonder handhaving. Ontvangers weigeren valse berichten dan niet.

Waarom is spoofing gevaarlijk?
Een valse afzender wekt vertrouwen bij ontvangers. Aanvallers gebruiken dat voor phishing en CEO-fraude.

Welke organisaties zijn onderzocht?
Het gaat om 333 organisaties met minimaal vijftig medewerkers. Hun hoofdkantoor staat in Nederland, België of Luxemburg.

Wie voerde het onderzoek uit?
CyberNovaLabs.io publiceerde de Barometer e-mailbeveiliging 2026.

Kort samengevat

26,9 procent van 309 organisaties dwingt geen DMARC af.

Bij 50 tot 999 medewerkers is 38,7 procent na te bootsen.

Grotere organisaties scoren beter dan middelgrote.

NIS2 vergroot de druk op middelgrote organisaties.

De oplossing bestaat uit DNS-instellingen en is relatief eenvoudig.

Bronnen: