2026년 4월 16일부터 DMARC는 처음으로 조직의 Bitsight 보안 평가에 포함되며, 연간 알고리즘 업데이트에서 1%의 가중치를 차지합니다. DMARC를 '있으면 좋은' 것으로 취급해온 기업들에게는 이제 보험사, 벤더, 이사회가 사이버 위험을 평가하는 데 의존하는 점수에 측정 가능한 영향을 미칩니다.
변경 사항과 중요성
DMARC는 이제 Bitsight 평가에 1%의 가중치로 기여하며, 이는 손상된 시스템 카테고리에서 재배분됩니다. 이는 이메일 기반 위험 벡터의 필수 3가지를 완성합니다. 발신자 정책 프레임워크(SPF) 도메인, DomainKeys Identified Mail(DKIM) 레코드, 그리고 DMARC입니다.
DMARC 등급은 이전부터 Bitsight 플랫폼 내에서 볼 수 있었지만, 이번 업데이트 전에는 전체 평가에 영향을 주지 않았습니다. DKIM과 SPF는 각각 1%의 가중치를 가지며, DMARC 정책을 구현한 조직은 이제 해당 투자가 Bitsight 평가에 직접 반영되는 것을 볼 수 있습니다.
2026 Bitsight 평가 알고리즘 업데이트는 4월 16일부터 미리보기로 제공됩니다. 투명성을 보장하고 조직들이 준비할 시간을 제공하기 위해 Bitsight는 업데이트가 실시되기 전 3개월의 미리보기 기간을 제공합니다.
이 문제의 중요성은 단순한 1%를 넘어섭니다. 임원실부터 신용 기관, 보험사부터 규제 기관, 컴플라이언스 담당자부터 SOC 분석가까지, Bitsight 보안 평가는 글로벌 상거래의 근간에 짜여 있습니다. 이 플랫폼의 평가 시스템은 침해 가능성과 연관되어 있으며 보험사와 금융 기관에서 널리 사용됩니다. 마케팅 및 성장 팀에게 이는 약한 DMARC 상태가 이제 이메일 전달성뿐만 아니라 사이버 보험료, 벤더 승인, 구매 의사 결정에도 간접적으로 영향을 미칠 수 있다는 뜻입니다.
DMARC가 실제로 하는 역할
DMARC는 이메일 인증 프로토콜로, SPF와 DKIM을 기반으로 도메인 소유자에게 더 큰 이메일 인증 제어 권한을 제공합니다. 여기에는 SPF 또는 DKIM 중 하나가 통과되어야 이메일이 인증된 것으로 간주되도록 요구하는 능력, 인증 실패 시 메일 서버가 취해야 할 조치 지정 (예: 메시지 거부 또는 격리), 수신 메일 서버로부터 인증 통계를 요청하여 구현의 효율성을 검토하는 능력이 포함됩니다.
이메일 마케터에게 이는 직접적인 전달성 영향을 미칩니다. 마케터들은 DMARC가 보안만 향상시키는 것이 아니라 이메일 전달성도 높인다는 것을 깨닫고 있습니다. ISP가 발신자가 강한 인증 상태를 가지고 있음을 보면, 정당한 캠페인이 스팸으로 표시될 가능성이 낮아지며, 이는 이메일 마케팅 성공에 중요합니다.
위험을 야기하는 도입 격차
문제는 대부분의 조직이 아직 완전한 DMARC 적용에 도달하지 못했다는 것입니다. 주요 도메인 중 DMARC 도입률은 2023년 27.2%에서 2025년 47.7%로 증가했으며, 이는 보호된 도메인의 75% 급증을 의미하고, 같은 기간 적용 정책 (격리 및 거부)은 50% 증가했습니다. 이러한 성장은 긍정적으로 보이지만, 적용 세부 사항은 다른 이야기를 전합니다.
유효한 DMARC 도입은 2023년 523,921개 도메인에서 2025년 858,782개, 2026년 초 937,931개로 증가했습니다. 하지만 p=none은 여전히 전 세계적으로 가장 일반적인 정책이며, 많은 조직은 여전히 DMARC를 능동적 보호보다는 가시성을 위해 주로 사용합니다. 2026년에는 525,996개 도메인이 여전히 p=none에 머물러 있습니다.
p=none 정책은 보고 데이터를 생성하지만 스푸핑되거나 인증되지 않은 이메일을 차단하지 않습니다. 상위 1,000만 개 인터넷 도메인을 분석한 결과, DMARC 보고 데이터를 자신에게 전송하는 도메인의 22.9%만이 DMARC 거부 정책을 가지고 있습니다. 새로운 Bitsight 점수 시스템에서, p=none 구성은 완전히 적용된 p=reject 정책보다 낮은 등급을 받을 가능성이 높으며, 적용을 배포한 조직과 배포하지 않은 조직 간의 평가 격차가 외부 점수에서 가시화될 예정입니다.
Bitsight가 DMARC를 평가하는 방식
특정 기준을 충족하는 도메인만 DMARC 결과를 생성합니다. DMARC 레코드로 보호된 도메인, 그리고 MX 레코드와 연결된 DMARC 레코드로 보호되지 않은 도메인입니다. MX 레코드가 있고 DMARC 레코드가 구성되지 않은 경우, 이는 '레코드가 존재하지 않음' 문제와 나쁜(Bad) 등급의 결과를 생성합니다.
관련 도메인이 없는 엔티티의 경우, SPF와 DKIM은 이제 기본값으로 N/A가 되며 평가에 부정적인 영향을 주지 않습니다. 이전에는 이러한 엔티티들이 평가할 도메인이 없음에도 불구하고 기본 등급을 받았습니다.
SPF 및 DKIM과 함께 DMARC를 측정함으로써, Bitsight는 스푸핑 및 피싱에 대한 증거 기반 보호를 드러내는 평가의 능력을 강화하고, 보안 및 위험 팀에게 개선된 이메일 보안 상태를 시연하기 위한 더욱 명확하고 실행 가능한 지표를 제공합니다.
이메일 마케터와 사업가가 지금 해야 할 일
미리보기 기간은 점수 변경 전 격차를 줄일 수 있는 실질적인 기회입니다. 마케팅 및 성장 팀과 가장 관련 있는 단계는 다음과 같습니다:
- 현재 DMARC 레코드를 감시합니다. 발신 도메인에 DNS에 유효한
_dmarcTXT 레코드가 있는지 확인하세요. MXToolbox와 같은 도구를 사용하면 몇 초 안에 확인할 수 있습니다. p=none을 넘어갑니다. 모니터링 전용 정책은 강한 Bitsight 등급을 얻지 못합니다.pct=100의p=quarantine또는p=reject로 이동하세요.pct=100으로 모든 인증 실패에 작용하는 활성 정책 (p=reject또는p=quarantine사용)이 최고 등급을 받기 위해 필요합니다.- 이메일 발신 도메인이 아닌 도메인을 포함한 모든 발신 도메인을 확인하세요. Bitsight는 조직이 이메일에 사용하지 않는 도메인을 포함하여 모든 조직 도메인에 대해 제대로 구성된 SPF 레코드를 찾습니다. 이는 위협 행위자가 조직이 이메일에 사용하지 않는 도메인에서도 이메일을 스푸핑하려고 시도할 수 있기 때문입니다.
- 미리보기 기간이 끝나기 전에 이해관계자에게 설명하세요. 많은 조직이 벤더, 파트너, 이사회, 보험사와 Bitsight 평가를 공유합니다. 미리보기 기간은 이러한 이해관계자에게 설명하고 조정을 보장할 기회입니다.
더 광범위한 데이터는 이것이 왜 중요한지 명확히 합니다. 필수 DMARC 요구 사항이 있는 국가들은 극적으로 다른 피싱 공격 패턴을 보여줍니다. 미국은 성공적인 피싱 전달을 69%에서 14%로 감소시켰지만, 네덜란드와 같이 적용 의무가 없는 국가는 취약성이 97%로 증가했습니다. 규모 있게 이메일 마케팅을 관리하는 모든 조직에게 DMARC 적용의 사업 사례는 이제 보안 논의이자 평가 논의입니다.
