Email spoofing: kan iemand mailen in naam van jouw zaak?

In november 2026 hield maar 13,5 procent van de 25.813 Belgische kmo-domeinen die mail ontvangen een vervalste afzender tegen. Bij de andere 86,5 procent kan een oplichter een mail versturen die van info@ en jouw domeinnaam lijkt te komen, en de mailbox van je klant laat die gewoon door. We maten het op 31.123 domeinen, sector per sector.

Zo werkt de vervalsing

Een mail heeft twee afzenders: het adres dat de verzendende server opgeeft, en het adres dat je lezer bovenaan ziet. Dat tweede is vrij in te vullen, net als de afzender op de achterkant van een envelop. Wie een mail vervalst, zet daar het adres van een bakker, een boekhouder of een garage. Dat heet email spoofing. Er komt geen hack aan te pas: je mailbox blijft dicht, alleen je naam wordt geleend.

Drie records in de DNS van je domein zeggen wie wel namens jou mag mailen. Samen heten ze SPF, DKIM en DMARC:

• SPFsomt de servers op die mail mogen versturen voor je domein.
• DKIMondertekent elke mail digitaal. De ontvanger controleert die met een publieke sleutel in je DNS.
• DMARCzegt wat de ontvanger moet doen met een mail die beide toetsen niet haalt: niets doen (p=none), in quarantaine of spam zetten (p=quarantine), of weigeren (p=reject).

Pas met DMARC op quarantine of reject houdt de ontvanger een vervalste mail tegen. DMARC op none is een meetstand: de eigenaar krijgt rapporten, maar de valse mail komt toe. Daarom telt deze studie een domein pas als beschermd bij quarantine of reject. Dat is ook de grens die DNS Belgium, de beheerder van .be, gebruikt in zijn rapporten over e-mailbeveiliging. Wat je eigen domein vandaag zegt, toont onze DMARC-check in een paar seconden.

Een DMARC-record is nog geen bescherming

Van de 25.813 kmo-domeinen die mail ontvangen, had 47,9 procent op 5 november 2026 een DMARC-record. Dat klinkt als een halve overwinning, maar het meeste staat op de meetstand: 71,5 procent van de geldige DMARC-records zegt p=none. Daarna blijft weinig over. 7,9 procent van de domeinen zet verdachte mail in quarantaine, 5,6 procent weigert ze. Samen is dat 13,5 procent, ongeveer een op de 7.

SPF staat er vaker. 82,8 procent van de domeinen met mail heeft een SPF-record, 75,4 procent een SPF dat technisch klopt. Alleen houdt SPF zelf geen vervalsing tegen. SPF toetst het adres van de verzendende server, niet het adres dat je lezer ziet. Zonder DMARC beslist de ontvanger zelf wat hij met een mislukte toets doet, en dat is vaak: toch afleveren. Bij 15,5 procent van de domeinen met mail vonden we SPF noch DMARC, de volledig open deur.

DKIM is moeilijker te tellen, omdat de sleutel onder een zelfgekozen naam staat. Onder de namen die de grote diensten standaard gebruiken, vonden we een DKIM-sleutel bij 29,0 procent van de domeinen met mail. Het echte aandeel ligt hoger. Alle drie in orde, met DMARC op quarantine of reject, vonden we bij 8,3 procent.

Dat de meeste DMARC-records op none blijven staan, heeft een reden. Wie DMARC aanzet, moet eerst weten welke diensten allemaal in zijn naam mailen: de mailbox, de website, het boekhoudprogramma, de nieuwsbrief, het reservatiesysteem. Wie dat niet uitzoekt, durft niet naar reject, uit angst dat zijn eigen facturen geweigerd worden. Een DMARC op none zonder rapportadres zegt dan alleen dat iemand ooit begon. Van de geldige DMARC-records had 57,9 procent geen adres voor rapporten.

Waar je mail binnenkomt, telt mee

Het MX-record van een domein zegt waar de mail binnenkomt, en daaraan zie je welke dienst de mailbox draait. Tussen die diensten liggen grote verschillen, en het grootste zit bij SPF.

Van de domeinen waarvan de mail bij Microsoft 365 binnenkomt, hield in november 2026 21,4 procent een vervalste afzender tegen. Bij Google Workspace was dat 11,6 procent, bij een hostingpakket of andere dienst 9,1 procent. Het hoogst scoort de kleine groep met een beveiligingsfilter voor de mailbox: 36,2 procent. Wie zo'n filter neemt, let al op beveiliging. Het verschil zegt dus iets over wie welke dienst kiest, niet alleen over de dienst zelf.

Bij SPF loopt het nog verder uiteen. Microsoft 365 vraagt een SPF-record wanneer je een eigen domein koppelt, en 93,6 procent van die domeinen heeft er een dat klopt. Bij hostingpakketten is dat 65,9 procent, en bij 23,7 procent staat SPF noch DMARC. Bij zo'n pakket hangt veel af van wat de host standaard in de DNS zet, en bij bijna een kwart bleef het bij een MX zonder enige afzendercontrole.

DMARC zet geen van de grote diensten voor je aan. Microsoft schrijft dat er voor een eigen domein geen beheerscherm voor DMARC bestaat: het record maak je bij je domeinregistrar of DNS-beheerder. Google zegt hetzelfde voor Workspace. Wie je DNS beheert, is dus wie je bescherming aanzet. Weet je niet wie dat is, dan staat het in je factuur voor je domeinnaam of in het contract met je webbouwer; meer over die rollen in website onderhoud en beheer.

Verschillen tussen sectoren

We deelden de domeinen in zeven sectoren, volgens het soort zaak in OpenStreetMap. Zakelijke diensten, zoals boekhouders, advocaten en verzekeraars, springen eruit: 30,5 procent houdt valse mail tegen. In de horeca is dat 8,9 procent, het laagste van alle sectoren. De andere vijf liggen dicht bij elkaar, tussen 11,9 en 14,3 procent.

De sector hangt samen met de maildienst. Van de zakelijke dienstverleners ontvangt 53,5 procent zijn mail via Microsoft 365, in de horeca 17,6 procent. Ook binnen dezelfde dienst blijft er een kloof: bij domeinen op een hostingpakket houdt 18,9 procent van de zakelijke diensten (970 domeinen) valse mail tegen, tegen 7,5 procent in de horeca (5.983 domeinen). Bij Microsoft 365 is het 34,3 tegen 14,3 procent.

Voor een boekhouder of advocaat is een valse mail met een nieuw rekeningnummer precies het scenario van factuurfraude. Waarom die sector beter scoort, meten we niet; een IT-partner die DMARC opvolgt, is een denkbare reden. Een horecazaak mailt reservaties, cadeaubonnen en bevestigingen, vaak via een boekingssysteem dat zelf in naam van de zaak verstuurt. Zo'n zaak heeft dus meer afzenders om in te stellen. Wie een website voor zijn horecazaak laat bouwen, kan de mailinstellingen meteen mee laten nakijken.

Per provincie

Tussen de provincies is de spreiding kleiner dan tussen de sectoren. Van de provincies met minstens 100 domeinen met mail haalt Luik het hoogste aandeel (16,9 procent van 1.729), Luxemburg het laagste (11,3 procent van 707). In Vlaanderen houdt 12,8 procent valse mail tegen, in Wallonië 14,8 procent en in Brussel 15,9 procent. Die drie gewesten liggen minder dan 5 procentpunt uit elkaar; dat noemen we ongeveer gelijk.

Opvallend: Vlaanderen heeft het grootste aandeel domeinen op Microsoft 365 (32,2 procent, tegen 22,6 procent in Wallonië en 21,6 procent in Brussel), maar niet het hoogste aandeel bescherming. De maildienst en de bescherming lopen dus niet over het hele land gelijk op. In Gent, waar we in oktober al een aparte steekproef maten, houdt 13,1 procent van 1.413 domeinen met mail valse mail tegen; dat ligt dicht bij het Belgische cijfer, en de Gentse kmo websites zelf beschreven we in hoe vindbaar is de Gentse kmo.

Fouten die we vaak zagen

Een record hebben is niet hetzelfde als een record dat werkt. Deze fouten maken SPF of DMARC geheel of half nutteloos:

Twee SPF-records op hetzelfde domein is de klassieker: iemand voegt een tweede toe voor de nieuwsbriefdienst in plaats van de bestaande regel uit te breiden. De ontvanger ziet dan een fout en negeert beide. Een SPF dat eindigt op ?all of +all zegt in feite dat elke server mag mailen. Een DMARC zonder rapportadres laat je blind: je ziet niet wie in jouw naam mailt, dus je durft nooit naar reject.

Het gevolg zie je niet alleen bij oplichters. Ook je eigen nieuwsbrief en je offertes lopen vast als de records elkaar tegenspreken. Waarom gewone mail van een kmo in spam belandt, lees je in waarom komt mijn mail in spam.

Domeinen zonder mail

Van de 28.331 domeinen met een bruikbaar antwoord, ontvangen er 2.518 geen mail: ze hebben geen MX-record, of zeggen met een lege MX uitdrukkelijk dat er geen mail binnenkomt. Ook zo'n domein kan als afzender in een valse mail staan. Microsoft raadt voor domeinen die nooit mailen een SPF van v=spf1 -all en een DMARC met p=reject aan. Dat deden er 50, of 2,0 procent.

Dat geldt ook voor extra domeinnamen: dezelfde naam met een andere extensie, een oude naam van voor een fusie, een tikfout die je registreerde zodat niemand anders ze neemt. Hoe je zo'n domeinnaam kiest en wat hij kost, staat in hoe kies je een domeinnaam en wat een domeinnaam kost. Verhuis je een domein naar een andere beheerder, neem de mailrecords dan mee; zie domeinnaam verhuizen.

Wat is er veranderd sinds oktober

In onze meting van oktober 2026 keken we bij 427 werkende kmo-websites ook naar mail. SPF stond toen bij 79,9 procent, DMARC bij 44,3 procent, en een DMARC die echt blokkeert bij 12,4 procent. Deze meting is ruimer. Bij de 23.657 domeinen met een werkende website, de groep die het best met oktober te vergelijken is, vonden we 78,2 procent SPF, 46,1 procent DMARC en 12,7 procent bescherming. Twee weken is te kort om een trend te meten; de cijfers liggen in dezelfde orde, en met een noemer die vijftig keer groter is, liggen ze nu een stuk vaster.

Of de website werkt, maakt voor de mail weinig uit: van de domeinen met mail en een werkende site houdt 13,3 procent valse mail tegen, van die zonder werkende site 14,8 procent. Wel zagen we een verschil volgens de extensie, al zegt de extensie zelf niets over de oorzaak: domeinen op .be halen 12,1 procent (22.058 domeinen), domeinen op .com 20,9 procent (2.750 domeinen).

Waarom dit nu meer weegt

Sinds 2024 eisen Gmail en Yahoo dat elke afzender minstens SPF of DKIM heeft. Wie dagelijks meer dan 5.000 berichten naar Gmail stuurt, heeft van Google alle drie de records nodig, DMARC inbegrepen. Microsoft volgde: sinds 5 mei 2025 belandt mail van zulke grote afzenders zonder die drie records bij Outlook.com in de map Ongewenste e-mail. Een kmo haalt dat volume zelden, maar de nieuwsbriefdienst waarmee ze verstuurt wel, en die vraagt dan dat jouw domein in orde is. Hoe je een nieuwsbrief opzet die aankomt, staat in nieuwsbrief schrijven en in onze e-mailmarketingstrategie.

Ook in België staat het op de agenda. Op 11 december 2025 brachten DNS Belgium en het Centrum voor Cybersecurity België samen DNS-richtlijnen uit, met SPF, DKIM en DMARC als middel tegen e-mailfraude. Febelfin, de koepel van de banken in België, becijferde het verlies door phishing in 2025 op 93 miljoen euro. Een deel van die fraude loopt via mails die van een bekende afzender lijken te komen.

Wat betekent dit voor jouw zaak?

Wie mailt in jouw naam, zonder dat jij het weet, beschadigt je naam bij klanten en leveranciers. Spoofing mail voorkomen gaat met deze stappen, meestal in een paar weken:

1. Kijk wat je domein nu zegt. Vul je domein in onze DMARC-check in. Je ziet meteen of SPF en DMARC er staan en wat ze vragen.
2. Maak een lijst van alles wat in jouw naam mailt. Je mailbox, het contactformulier van je website, je boekhoud- of facturatieprogramma, je nieuwsbriefdienst, je reservatie- of kassasysteem. Vergeet de formulieren niet; daarover meer in spam via je contactformulier.
3. Zet een SPF-record met al die diensten. Een record, niet twee, eindigend op ~all of -all.
4. Zet DKIM aan in elke dienst. Bij Microsoft 365, Google Workspace en de meeste nieuwsbriefdiensten is dat een knop plus twee records in je DNS.
5. Start DMARC op p=none en laat de rapporten naar een eigen adres komen. Volg ze enkele weken. Duikt er een eigen dienst op die faalt, zet die eerst juist.
6. Ga naar quarantine, daarna naar reject. Pas dan houdt je domein een vervalste afzender echt tegen.
7. Bescherm ook de domeinen die niet mailen met v=spf1 -all en een DMARC op reject.

Krijg je een mail van een leverancier met een nieuw rekeningnummer, bel dan naar het nummer dat je al had. Facturen tussen Belgische ondernemingen zijn sinds januari 2026 verplicht elektronisch en gestructureerd, meestal via Peppol, en zo'n factuur reist niet als bijlage in een mail. Hoe ver kmo's daarmee staan, meten we in onze Peppol-telling.

Verstuur je nieuwsbrieven of mailcampagnes, dan horen deze records bij de basis, net zoals een goede lijst. Via onze dienst e-mailmarketing zetten we dat voor je op, en wie zelf begint, vindt een vergelijking van twee gangbare diensten in Mailchimp of Brevo.

Zo hebben we gemeten

We namen alle 31.123 domeinen van Belgische kmo's die in OpenStreetMap een eigen website hebben, dezelfde bron als onze meting van oktober. Op 5 november 2026 vroegen we per domein de MX, de TXT-records en het DMARC-record op, en de DKIM-sleutel onder gangbare namen. We verstuurden geen enkele mail en openden geen website. 2.654 domeinen bestonden niet meer en 138 gaven geen bruikbaar antwoord; die tellen niet mee.

Elke detector controleerden we met de hand. Per detector trokken we 50 willekeurige domeinen, vroegen ze opnieuw op via een andere resolver en beoordeelden ze met apart geschreven regels: de maildienst klopte bij 50 van 50, SPF bij 50 van 50, DMARC bij 50 van 50 en DKIM bij 49 van 50. Voor DKIM controleerden we ook een steekproef van 300 domeinen waar de DNS zegt dat er onder _domainkey niets bestaat; bij 19 daarvan vonden we toch een sleutel.

De DNS zegt wat een domein vraagt, niet wat elke ontvanger ermee doet. Een kmo die alleen via een adres van Gmail of Outlook.com mailt, heeft geen eigen domein om te beschermen en valt buiten deze meting. DKIM is een ondergrens. Bij de vergelijking tussen werkende en niet werkende websites vallen 532 sites weg die een botcontrole toonden; die controle omzeilden we niet. De tellingen per sector, provincie en maildienst staan als CSV bij deze studie, zonder domeinnamen.