2026년 4월 8일 마이애미에 본사를 둔 블록체인 보안 기업 TrustNFT.io가 발표한 새로운 기술 백서는 'DMARC'(Domain-based Message Authentication, Reporting and Conformance)가 아무리 정교하게 설정해도 해결할 수 없는 기업 이메일 보안의 세 가지 핵심 허점이 있다고 주장합니다. "The Authentication Gap: Why DMARC Alone Is Not Enough"라는 제목의 이 백서는 기업 IT 보안, CISO, 위험 관리 리더십을 대상으로 하며, 기존 인증 스택이 제공하지 못하는 소비자 맞춤형 신뢰 계층으로서 블록체인 기반 도메인 검증의 필요성을 강조합니다. 이메일을 수익 채널로 의존하는 마케터와 그로스 팀에게 이 백서의 발견은 전달성, 브랜드 신뢰도, 캠페인 ROI에 직결된 시사점을 제시합니다.
DMARC가 막지 못하는 세 가지 허점
첫 번째 허점은 유사 도메인 공격입니다. DMARC는 정확한 등록 도메인만 보호하며, 범죄자가 주요 브랜드를 사칭하기 위해 등록한 모조 유사 주소에서 발송된 이메일에 대해서는 전혀 보호를 제공하지 않습니다. 보안 연구원들은 이를 독립적으로 확인했으며, 제대로 된 인증과 강제 시행이 있어도 DMARC는 직접 도메인 스푸핑에만 효과적이며 유사 또는 변형 도메인은 방지할 수 없다고 지적합니다.
단 30일의 모니터링 기간에 TrustNFT Guardian 사용자들은 한 주요 유틸리티 회사를 대상으로 한 네 개의 서로 다른 유사 도메인에서 발생한 피싱 공격을 보고했으며, 이들 모두 자신의 사기 도메인에 대해 DMARC 인증을 통과했습니다. 이 세부사항이 중요합니다. DMARC 검사가 통과한 이유는 사기 도메인이 자체 유효한 레코드를 가지고 있었기 때문입니다. 프로토콜은 정확히 설계된 대로 작동했지만, 피싱 공격은 여전히 성공했습니다.
두 번째 허점은 소비자가 볼 수 있는 신뢰 신호의 부재입니다. DMARC는 완전히 백그라운드에서 작동합니다. 기업이 완벽한 DMARC 강제 시행을 갖추고 있어도 소비자는 배지, 표시, 또는 이메일이 진정한 것임을 확인할 수 있는 눈에 띄는 어떤 신호도 볼 수 없으므로, DMARC를 준수하는 이메일과 정교한 사칭 이메일을 구별할 방법이 없습니다.
세 번째 허점은 실제 채택률입니다. Newswire에 따르면 백서는 포춘 500대 기업 중 50% 미만만이 DMARC 레코드를 발행했으며, 30% 미만만이 가장 보호 수준이 높은 강제 시행 레벨로 설정했다고 주장합니다.
더 넓은 데이터 범위의 실제 모습
채택 현황은 백서가 제시한 것보다 복잡하며, 최근의 다른 연구도 함께 이해할 가치가 있습니다.
EasyDMARC의 2026 DMARC 채택 및 강제 시행 보고서에 따르면, 포춘 500대 채택률은 500개 중 475개 기업에 도달했으며, 80% 이상이 강제 시행 수준의 정책을 갖추고 있습니다. 이는 TrustNFT의 수치와 충돌하지만, 이러한 불일치는 각 데이터셋이 수집된 시기와 '유효한 DMARC 레코드'의 정의 방식 차이에서 비롯된 것으로 보입니다.
두 자료가 동의하는 부분은 포춘 500대 아래의 강제 시행 격차입니다. Inc. 5000 기업의 단 15.2%만이 'p=reject' 강제 시행 수준에 도달했으며, 50% 이상은 가시성은 제공하지만 피싱 공격에 노출되는 모니터링 전용 'p=none' 정책을 사용 중입니다. 더 광범위한 도메인 수준의 데이터는 더욱 심각합니다. 2025년 12월 기준으로 7,330만 개 도메인 샘플 중 단 14.9%만이 DMARC 정책을 시행했으며, 불과 2.5%만이 가장 엄격한 'p=reject' 설정을 적용했고, 전체 도메인의 83.9%는 눈에 띄는 DMARC 레코드를 전혀 보이지 않고 있습니다. Red Sift의 글로벌 DMARC 채택 추적 시스템의 자료입니다.
EasyDMARC는 2026년 보고서에서 DMARC 채택이 광범위해졌지만, 채택 자체만으로는 보호를 보장하지 않는다고 지적합니다. 많은 조직이 기술적 요구사항을 충족하기 위해 DMARC 레코드를 구현했지만, 스푸핑된 이메일을 적극적으로 차단하는 정책으로 진전하지 못했습니다.
이메일 마케터에게 실제적인 결과는 실재합니다. CSC 도메인 보안 연구에 따르면 글로벌 2,000대 브랜드와 유사한 도메인의 80%는 제3자가 소유하고 있으며, 그 중 42%는 이메일 발송을 위해 설정되어 있습니다. 범죄자가 자신의 DMARC 검사를 통과하는 설득력 있는 유사 도메인 이메일을 보낼 때, 피해를 입은 수신자들은 종종 실제 브랜드와의 참여를 완전히 중단합니다.
블록체인 제안
TrustNFT의 백서는 'SPF', 'DKIM', 'DMARC', 그리고 블록체인 검증을 다루는 4계층 구현 로드맵을 포함하며, 각 계층이 무엇을 보호하는지, 전체 스택이 없을 때 어떤 취약점이 남아있는지에 대한 기술적 비교를 제시합니다.
회사의 연구에 따르면, 전체 인증 스택과 블록체인 기반 도메인 검증을 완전히 배포했을 때 성공적인 사칭 공격을 최대 67%까지 줄일 수 있습니다. TrustNFT Verify는 기업이 단일 DNS 레코드 추가를 필요로 하는 프로세스를 통해 블록체인에 발송 도메인을 등록할 수 있게 하며, 완전한 검증은 일반적으로 48시간 내에 완료됩니다.
TrustNFT는 상용 제품을 판매하는 벤더라는 점을 주목할 필요가 있습니다. 67% 수치는 회사 자체 연구에서 나왔으며, 백서는 기술적 주장과 제품 홍보를 모두 담고 있습니다. 이 주장에 대한 독립적인 검증은 아직 없습니다.
이메일 마케터가 얻어야 할 교훈
DMARC는 변할 수 없는 기초입니다. 2025년 피싱 관련 침해의 평균 비용은 약 488만 달러였으며, 정책 수준에서 DMARC를 강제한 미국 조직은 성공적인 피싱 전달을 69%에서 14%로 줄였습니다. EasyDMARC 2025 DMARC 채택 보고서에 따른 것입니다. 이것만으로도 'p=reject'에 도달할 가치가 있습니다.
하지만 TrustNFT 백서는 마케터가 종종 간과하는 무언가를 강조합니다. 인증은 고객에게 눈에 띄지 않습니다. 유사 도메인을 통해 브랜드가 사칭될 때, 구독자들은 그 차이를 구별할 수 없으며, 평판상 손상은 아무리 깨끗한 자신의 DNS 레코드가 있어도 당신에게 떨어집니다.
모든 마케팅 또는 그로스 팀의 즉각적인 우선순위는 명확합니다:
- DMARC 정책을 'p=none'에서 'p=quarantine' 또는 'p=reject'로 변경하기
- 'RUA' 집계 보고를 설정하여 누가 당신을 대신해 이메일을 발송하는지 파악하기
- 브랜드를 대상으로 한 유사 도메인 등록 모니터링하기
- 모든 제3자 발송 플랫폼(ESP, CRM, 거래용 메일)이 'SPF' 레코드에 제대로 포함되어 있고 'DKIM'으로 서명하고 있는지 확인하기
블록체인 검증이 이메일 신뢰 스택의 주류 계층이 될지는 아직 알 수 없습니다. 이미 명확한 것은 'DMARC'는 도메인 생태계 수준에서 브랜드 사칭 문제를 해결하기 위해 설계되지 않았으며, 이를 완전한 솔루션으로 취급하면 고객과 발송인 평판 모두를 위험에 빠뜨린다는 점입니다.
