캐나다의 DMARC 시행률은 28.1%에 불과해, 캐나다 도메인 3개 중 1개 미만만 위조된 이메일을 적극적으로 차단하고 있습니다. 2026년 4월 PowerDMARC가 발표한 555개 도메인에 대한 연구에 따른 결과입니다. 캐나다와 가장 비슷한 국가들의 격차는 뚜렷합니다. 미국은 49.0%, 호주는 46.7%의 시행률을 기록하고 있어, 캐나다 기업들이 영어권 시장의 다른 국가들보다 피싱과 도메인 위장에 더 많이 노출되어 있습니다.
이런 결과가 나온 시점이 특히 우려됩니다. IBM의 2025년 데이터 침해 비용 보고서에 따르면 캐나다의 평균 데이터 침해 비용은 CA$6.98백만이며, 피싱 관련 사건은 CA$7.91백만에 달합니다. 마케터와 그로스 팀의 입장에서는 위협이 추상적이지 않습니다. 위조된 발송 도메인은 캠페인 전달률, 브랜드 신뢰도, 발송자 평판을 직접적으로 해치며, 이 중 어떤 것도 빠르게 회복되지 않습니다.
시행 격차: DMARC 도입만으로는 부족한 이유
PowerDMARC의 Canada DMARC and MTA-STS Adoption Report 2026은 핵심 문제를 위험한 "시행 격차"로 설명합니다. 강력한 기초 도입이 실질적인 이메일 보호의 거의 완전한 실패를 가리고 있어, 캐나다 조직의 대다수가 이메일 위조, 피싱, 전송 중 가로채기에 취약하다는 뜻입니다.
이는 전 세계적으로 보이는 패턴입니다. EasyDMARC 2026 DMARC Adoption and Enforcement Report에 따르면, DMARC 레코드를 게시하는 것은 더 이상 실제 기준이 아닙니다. 더 중요한 질문은 조직이 모니터링에서 시행으로 전환했는지 여부입니다. EasyDMARC는 2026년 초 유효한 DMARC 도입이 937,931개 도메인으로 증가했음을 발견했지만, p=none이 여전히 전 세계에서 가장 일반적인 정책으로, 525,996개 도메인이 여전히 DMARC를 능동적 보호가 아닌 가시성만을 위해 사용하고 있습니다.
p=none 정책은 보고 데이터를 수집하지만 위조된 이메일이 받은편지함에 도달하는 것을 막지 않습니다. p=quarantine 또는 p=reject만이 실제로 위장 시도를 차단합니다.
부문별 분석: 통신 및 의료 분야에 주목
PowerDMARC 보고서는 은행, 교육, 정부, 의료, 미디어, 통신, 운송 부문에 걸쳐 성과를 분석하고, 부문 간 상당한 편차를 드러냅니다.
은행은 p=reject에서 42.0%로 전국적으로 시행을 선도하고 있지만, 여전히 58%의 기관이 정교한 위조에 취약합니다. 통신은 34.1%의 도메인이 DMARC 레코드 자체가 없어 가장 노출된 부문이며, 이는 SIM 스왑 및 계정 탈취 사기에서 해당 부문의 역할을 고려할 때 심각한 취약점입니다.
전송 계층 상황도 마찬가지로 우려스럽습니다. 연구된 모든 캐나다 도메인에 걸친 MTA-STS 도입률은 3.2%에 불과해, 96.8%가 중간자 가로채기 및 다운그레이드 공격에 노출되어 있습니다. 의료 및 미디어 부문은 모두 0%의 MTA-STS 도입률을 기록하고 있어, 민감한 환자 기록과 언론 통신이 강화된 TLS 암호화 없이 전송되고 있습니다. DNSSEC 도입률은 9.4%로, 캐나다 도메인의 90% 이상이 DNS 탈취 및 캐시 포이즈닝에 취약합니다.
이메일 마케터와 그로스 팀에게 중요한 이유
약한 인증의 전달률 영향은 이제 이론이 아닌 현실입니다. Microsoft, Google, Yahoo를 포함한 주요 이메일 제공업체는 하루 5,000개 이상의 이메일을 발송하는 조직으로 정의되는 대량 발송자에게 DMARC를 의무화하고 있으며, 이 요구사항은 2026년 표준이 되었습니다. Google의 현재 시행 모델에서 열람률 및 클릭률을 포함한 전통적인 전달률 지표는 이메일이 받은편지함에 도달하지 않으면 의미가 없습니다. 목록 위생 및 제목 줄 최적화에 초점을 맞춘 전통적인 접근 방식은 여전히 관련이 있지만, 이메일이 실제로 도달한다고 가정합니다. 인증이 실패하면 Gmail은 어떤 최적화 작업도 수행하기 전에 메시지를 거부합니다.
마케팅 리더는 이제 전달률이 SPF, DKIM, DMARC 설정으로 시작된다는 것을 이해해야 합니다. IT 또는 보안 팀이 이러한 프로토콜을 올바르게 구현하지 않았거나 마케팅 자동화 플랫폼이 제대로 인증되지 않았다면, 캠페인은 창의성이나 타겟팅과 무관한 이유로 실적이 저조할 것입니다.
모니터링에서 시행으로 가는 경로
p=none으로 설정된 DMARC 정책은 보호가 아닌 통찰력을 제공합니다. 위조 위험은 남아 있으며, 사서함 제공업체는 시행되지 않은 도메인을 완전히 인증된 것으로 취급하지 않습니다.
표준 개선 경로는 세 가지 정책 단계를 따릅니다. p=none은 가시성을 위해, p=quarantine은 의심스러운 이메일을 스팸으로 라우팅하기 위해, p=reject는 이를 완전히 차단하기 위해 사용됩니다. 포괄적인 플랫폼을 사용하는 조직은 일반적으로 6~8주 내에 DMARC 시행을 달성하는 반면, 수동 접근 방식으로는 업계 평균 32주가 소요됩니다.
여전히 p=none인 캐나다 기업의 경우 실질적인 시작점은 마케팅 플랫폼, CRM, 트랜잭션 이메일 제공업체를 포함한 모든 인증된 발송 원본의 전체 감사이며, 정책을 p=quarantine으로 이동하기 전에 실시해야 합니다. 해당 가시성 없이 p=reject로 서둘러 이동하면 합법적인 메일을 차단할 위험이 있으며, 이는 캠페인 전달률을 직접적으로 손상시킵니다.
캐나다 연방 조직은 이메일 관리 서비스 구성 규칙에 따라 SPF, DKIM, DMARC를 구현해야 하므로, 규제 부문 기업은 시행을 선택적 업그레이드가 아닌 컴플라이언스 요구사항으로 취급해야 합니다. 민간 부문 마케터의 경우 비즈니스 사례가 더 간단합니다. 인증된 도메인은 전달되고, 인증되지 않은 도메인은 점점 더 그렇지 않습니다.
