엔터프라이즈급 도메인 등록기관이자 브랜드·사기·도메인·도메인네임시스템(DNS) 위협 완화 분야의 세계적 선도 기업인 CSC가 ‘도메인 보안 보고서 2026’을 발표했다. 보고서에 따르면 유니콘 기업(기업가치 10억달러 이상의 비상장 스타트업 또는 비교적 새로운 혁신 기업)이 8개 도메인 보안 역량 중 5개 항목에서 포브스 글로벌 2000 기업보다 높은 점수를 받은 것으로 나타났다. 중간 범위의 도메인 위험 점수를 기록한 유니콘 기업이 글로벌 2000 기업보다 상당히 더 많지만, 유니콘 기업은 레지스트리 잠금 및 DNS 이중화와 같은 고급 보안 프로토콜은 부족한 경향을 보였다.

‘CSC 도메인 보안 보고서 2026’은 △등록기관 유형 △레지스트리 잠금 △인증기관권한부여(CAA) 레코드 △DNS 이중화 △DNS 보안 확장(DNSSEC) △발신자 정책 프레임워크(SPF) △도메인키 식별 메일(DKIM) △도메인 기반 메시지 인증·보고·적합성(DMARC) 등 주요 도메인 보안 기능의 채택 여부를 바탕으로 글로벌 2000 기업의 보안 태세를 분석했다. 올해로 6년째를 맞이한 이 연례 보고서는 또한 글로벌 2000 기업과 세계 상위 100대 유니콘 기업의 도메인 보안 관행을 비교해, 신생 스타트업이 도메인 보안 리스크에 더 민감하게 반응하고 이러한 리스크를 해결하기 위한 올바른 관행을 구현할 능력을 갖췄는지 측정했다.

상위 100대 유니콘 기업의 대다수는 IT 기업이며, 특히 인공지능(AI) 관련 기업이 많다. 유니콘 기업에서 도메인 이름을 관리하는 팀은 DNS 내에서 사용 가능한 보안 프로토콜에 대한 지식이 풍부한 IT 전문가들로 구성됐을 가능성이 높다. 이는 DNS 레코드를 통해 관리되는 많은 보안 기능에서 이들이 앞서는 이유를 설명해 준다. 하지만 DNS 이중화를 사용하는 기업은 1%에 불과하며, 90% 가까이가 단일 클라우드 인프라를 사용하고 있다. 고급 도메인 보안 조치 채택률이 낮은 이유는 일반 소비자용 등록기관을 많이 사용하기 때문일 수 있다. 이들 기관은 특정 도메인 보안 조치를 우선순위에 두지 않거나 아예 제공하지 않는 경우가 많기 때문이다.

빈센트 단젤로 CSC 시니어 디렉터는 “도메인 이름, DNS, 브랜드 신뢰는 온라인 존재의 기본이다. 새로운 AI 및 IT 스택이 부상함에 따라 오랫동안 간과된 의존성은 사이버 리스크를 가중시킬 것”이라고 말했다. 이어 단젤로 디렉터는 “유니콘 기업이 초기에 강력한 도메인 보안 관행을 도입하는 것은 고무적이지만, 아직 해야 할 일이 많다. 이러한 새로운 기술 플랫폼이 확장됨에 따라 사이버 범죄를 줄이고 신뢰와 안전을 강화하며 고객 및 파트너 공급망 전반의 시스템적 리스크를 낮추기 위해 도메인 보안의 우선순위를 지속적으로 유지하는 것이 필수적”이라고 덧붙였다.

CSC의 글로벌 2000 기업 대상 연구에서 도출된 추가적인 주요 인사이트는 다음과 같다.

·반도체 및 은행 업계는 지난 1년 동안 전체 도메인 보안 점수에서 가장 눈에 띄는 상승세를 보이며 각각 순위가 5계단 상승했다. 두 업계의 보안 태세가 급성장한 것은 지난 1년간 AI와 핀테크 기술의 동반 성장과 더불어 지역 정부 및 기관의 사이버 보안 요구가 더욱 엄격해졌기 때문으로 풀이된다.
·엔터프라이즈급 등록기관을 사용하는 글로벌 2000 기업과 일반 소비자용 등록기관을 사용하는 기업 간의 레지스트리 잠금 채택률 격차는 6배 이상이다. 레지스트리 잠금은 도메인 하이재킹에 대한 가장 강력한 방어 수단 중 하나이지만, 이 서비스를 지원하는 데 필요한 리소스로 인해 대부분의 일반 소비자용 등록기관은 이를 제공할 수 없다.
·글로벌 2000 브랜드와 유사한 등록된 웹 도메인인 호모글리프의 88%는 제3자 소유이며 해당 브랜드에 속하지 않는다. 이는 지난해 보고서보다 8% 증가한 수치다. 호모글리프는 위협 행위자가 사기성 웹사이트, 허위 광고, 피싱 이메일 및 소비자를 속이려는 기타 악성 콘텐츠를 통해 신뢰받는 브랜드를 악용하는 데 사용하는 가장 심각한 공격 방법 중 하나다.
·DMARC 채택률은 2020년 39%에서 2025년 80%로 빠르게 증가하며 도메인 보안 조치 중 가장 빠른 성장세를 보였다. 피싱 공격의 양과 복잡성이 증가하고 2024년 10월부터 유럽연합(EU)의 ‘네트워크 및 정보 보안 지침 2(NIS2)’가 시행된 것이 이러한 가속화된 도입의 원동력이 될 수 있다.