DMARC、68.4%のドメインがまだ未施行
원제: DMARC Has Been Public Since 2012. 68.4% of Domains Still Don't Enforce It
왜 중요한가
이메일 도메인 스푸핑 방어의 핵심 표준인 DMARC의 광범위한 미시행은 기업 이메일 사칭 피싱 위협이 여전히 높은 수준임을 보여주며, 이메일 보안 솔루션 시장의 성장 필요성을 뒷받침한다.
이메일 인증 표준 DMARC가 2012년 공개 후 14년이 지났음에도, CipherCue가 2026년 4월~7월 조사한 67,336개 도메인 중 68.4%(46,071개)가 DMARC 레코드 미등록 또는 정책 미시행 상태인 것으로 확인됐다.
보안 서비스 업체 CipherCue는 2026년 4월 14일부터 7월 28일까지 자사 추적 데이터셋에 포함된 67,336개 도메인의 DNS 레코드를 분석한 결과를 7월 28일 공개했다.
분석 결과, 30,362개(45.1%) 도메인은 DMARC 레코드 자체가 없었다. DMARC 레코드를 보유한 도메인 중에서도 완전한 시행 정책인 'p=reject'(인증 실패 메일 차단)를 적용한 도메인은 10,963개(전체의 16.3%, 레코드 보유 도메인의 29.7%)에 불과했다. 'p=quarantine'(스팸함으로 분류)은 10,258개(15.2%), 감시만 하고 차단하지 않는 'p=none'은 15,709개(23.3%)로, 레코드 보유 도메인 중 가장 큰 비중인 42.5%를 차지했다.
CipherCue는 'p=none'이 시행 단계로 넘어가기 전 수주간의 임시 모니터링 단계로 설계되었지만, 상당수 도메인에서 사실상 영구적인 상태가 됐다고 지적했다.
시행 단계로 이행이 지체되는 원인으로는 rua(집계 보고서 수신) 주소의 분산 문제가 꼽혔다. 36,974개 DMARC 레코드에서 추출한 rua 주소를 분석한 결과, 10,268개의 고유 보고 도메인이 확인됐으며, 이 중 79%인 8,113개는 데이터셋에서 단 1회만 등장했다. 보고서가 집중된 사례로는 Proofpoint 1,605건, Cloudflare 1,273건, dmarcian 등이 있었다. CipherCue는 관리자가 수많은 발신 소스를 출처별로 검토해 허용 여부를 판단하는 과정 자체가 시행 이행의 기계적 장벽이 되고 있다고 분석했다.