2026 DMARC 현황 — 대한민국

한국 도메인 열 곳 중 아홉 곳 이상이 이메일 사칭에 노출되어 있습니다.

Spoofhound가 한국 웹을 점검했습니다. 한국의 인기 웹사이트와 지도에 등록된 기업·공공기관 가운데 메일을 수신하는 도메인 4,384개를, 무료 도메인 점검과 같은 엔진으로 확인했습니다.

핵심 수치

메일을 수신하는 한국 도메인 열 곳 중 아홉 곳 이상이 사칭될 수 있습니다. 점검한 4,384개 도메인 중 4,130개(94.2%)는 DMARC 정책을 적용하지 않습니다. 레코드가 아예 없거나, 모니터링만 하거나, 레코드가 잘못되어 있습니다. 수신 메일 시스템은 이 도메인 이름으로 보낸 위조 메일을 차단하라는 지시를 받지 못합니다.

세 가지 수치가 핵심입니다:

•DMARC 적용률 5.8%. 이탈리아(13.4%)의 절반에도 못 미치며, 대만(20.8%)에 크게 뒤처집니다. 우리가 측정한 모든 국가의 비교를 확인하세요.
•열 곳 중 일곱 곳은 DMARC 레코드가 아예 없습니다: 69.2%. 미국(48.6%)과 대만(49.3%)보다 훨씬 높습니다. 레코드가 없으면 인증에 실패한 메일을 어떻게 처리할지 수신 측에 아무 지시도 없습니다.
•정부 .go.kr 도메인: 247개 중 4개. DMARC를 적용한 정부 도메인은 1.6%에 불과하며, 84.6%는 DMARC 레코드가 아예 없습니다.

한국 도메인은 전체 이메일 보안 점검에서 평균 100점 만점에 22.1점을 받았으며(미국 평균은 28.9점), 95.7%는 고칠 만한 문제가 하나 이상 있습니다.

한국 웹의 DMARC 현황

메일을 수신하는 한국 도메인의 94%가 사칭에 노출

점검한 4,384개 도메인 중 4,130개가 DMARC 정책을 적용하지 않습니다.

DMARC 레코드 없음

3,032 · 69.2%

모니터링만 (p=none)

1,091 · 24.9%

잘못되었거나 중복된 레코드

7 · 0.2%

p=quarantine

152 · 3.5%

p=reject

102 · 2.3%

빨간색: 수신 측이 위조 메일 차단 지시를 받지 못함 · 초록색: 사칭 메일이 격리되거나 거부됨.

Spoofhound가 2026-11-10까지 30일 동안 점검한, 메일을 수신하는 한국 도메인 4,384개.

한국 도메인 열 곳 중 일곱 곳은 DMARC 레코드를 게시하지 않았고(69.2%), 4분의 1은 p=none에 머물러 있습니다 (24.9%). p=none 도메인 1,091개 중 절반(543개)은 DMARC 보고서도 요청하지 않아, 위조 메일을 막지도 못하고 누구에게 알리지도 않습니다. p=reject를 사용하는 곳은 2.3%뿐입니다. 도메인 이름으로 메일을 보내는 모든 서비스를 보여주는 것이 바로 이 보고서입니다. 보고서를 읽고 작업을 마무리하는 것이 Spoofhound가 하는 일입니다.

나머지 보안 설정

점검 항목	결과	도메인
SPF	레코드 없음: 어떤 서버든 이 도메인 이름으로 메일을 보낼 수 있음	656 (15.0%)
SPF	레코드가 +all 또는 ?all로 끝남: 게시되어 있지만 모두를 허용함	7 (0.2%)
Microsoft 365 DKIM	두 서명 선택기 모두 오류: 발신 메일이 지금도 인증에 실패할 수 있음	0
MTA-STS	수신 메일을 가로채기로부터 보호: 도입 (이 중 2개는 테스트 모드만)	7 (0.2%)
TLS-RPT	보안 전송 실패를 보고: 도입	6 (0.1%)
BIMI	받은편지함의 인증된 로고: 사용 중	4 (0.1%)

한국 도메인 일곱 곳 중 한 곳(15.0%)은 SPF 레코드가 없고, 624개 도메인은 SPF와 DMARC 레코드가 모두 없습니다. SPF 없이는 자사 메일을 망가뜨리지 않고 DMARC를 적용할 수 없습니다. 새로운 표준은 거의 도입되지 않았습니다: MTA-STS를 쓰는 도메인은 7개, TLS-RPT는 6개, BIMI는 4개입니다.

소상공인과 인기 웹사이트 비교

대상	점검 도메인	DMARC 레코드 없음	모니터링만	적용
사업장이 1–3곳인 한국 기업 (상점, 사무실, 업체)	504	65.3%	28.4%	6.2%
세계 상위 10만 위 안의 한국 .kr 웹사이트	243	46.1%	40.7%	12.3%

한국에서 가장 인기 있는 .kr 웹사이트도 DMARC 적용률은 12.3%에 그칩니다. 소상공인(6.2%)의 두 배지만 여전히 여덟 곳 중 한 곳 정도입니다. 대부분은 레코드가 없거나(46.1%) p=none에 머뭅니다(40.7%). 두 집단 모두 작으므로 수치는 참고용으로만 보십시오.

정부와 소상공인 비교

공공기관은 사칭 메일의 뻔한 표적입니다. 식별할 수 있는 공공 부문 도메인(.go.kr, .ac.kr, .mil.kr 도메인과 지도에 정부 기관으로 등록된 사무소)을 한국 소상공인과 비교했습니다:

대상	도메인	DMARC 레코드 없음	모니터링만	p=quarantine	p=reject	적용
한국 정부·교육 도메인	562	72.6%	22.1%	3.7%	1.2%	5.0%
사업장이 1–3곳인 한국 기업	504	65.3%	28.4%	3.6%	2.6%	6.2%

공공 부문은 표본의 8분의 1을 차지하며, 소상공인보다 나을 것이 없습니다. 중앙·지방 정부의 .go.kr 도메인은 247개 중 4개(1.6%)만 DMARC를 적용하고, 84.6%는 DMARC 레코드가 아예 없습니다. 대학 .ac.kr 도메인은 조금 나아서 288개 중 8.3%입니다.

조사 방법

대상. 메일을 수신하는(작동하는 MX 레코드를 게시한) 한국 도메인 4,384개. 두 가지 출처에서 수집했습니다:

자체 웹사이트가 있으며 OpenStreetMap에 등록된 한국 기업과 공공기관 (도메인 종류 무관): 686개
Tranco 상위 100만 인기 순위에 있는 모든 .kr 도메인: 메일을 수신하는 도메인 3,894개

196개 도메인은 양쪽에 모두 있습니다. 기업이 직접 관리하지 않는 소셜 프로필, 디렉터리 사이트, 호스팅 페이지는 제외했습니다.

점검. 각 도메인은 무료 도메인 점검과 같은 Spoofhound 자체 엔진으로 점검했습니다. SPF, DKIM(Microsoft, Google, SendGrid, Mailchimp 등 주요 이메일 제공업체의 알려진 선택기), DMARC, MTA-STS, TLS-RPT, BIMI를 확인합니다. 모든 수치는 2026-11-10까지 30일 이내의 점검 결과입니다.

솔직한 한계.

표본. 한국 표본은 대부분 인기 순위에서 나왔습니다(4,384개 중 3,894개). 웹사이트와 함께 지도에 등록된 한국 기업이 적기 때문입니다(소상공인 504개). 업종이나 규모별로 나누기에는 너무 적으며, 소상공인 수치는 참고용입니다.
공공 부문. 식별할 수 있는 정부·교육 도메인(.go.kr, .ac.kr, .mil.kr, 지도에 정부 기관으로 등록된 사무소)은 562개로 표본의 12.8%이며, DMARC 적용률은 5.0%입니다. 이를 제외하면 5.9%입니다.
DKIM. DKIM은 있다는 것만 확인할 수 있으며, 없다는 것은 확인할 수 없습니다.
‘적용’의 의미. 도메인 자체의 p=quarantine 또는 p=reject입니다. 잘못된 레코드는 수신 메일 서버가 무시하므로 미적용으로 봅니다.

내 도메인은 이 수치 중 어디에 있을까요? 30초 만에 확인하세요.

내 도메인 무료 점검