Proofpoint：东南亚 Fortune Southeast Asia 500 企业中，每五家仅一家强制部署最强 DMARC 防护

来源机构：Proofpoint　|　原文：Proofpoint: Four in Five of Fortune Southeast Asia 500 Companies Still Leave Customers and Stakeholders Exposed to Email Fraud　|　原文发布：2026-08-27　|　页面性质：中文翻译与摘录（非原创综述）

新加坡 — 2026 年 8 月 27 日 — 全球人因与智能体网络安全领导者 Proofpoint, Inc. 今日发布新研究，揭示东南亚大型企业中持续存在的安全缺口：仅 17% 的 Fortune Southeast Asia 500 企业部署了推荐且最严格的邮件认证级别。随着 AI 生成的钓鱼与商业电子邮件入侵（BEC）攻击在区域内加速蔓延，恰当的邮件认证对于防止网络犯罪分子仿冒企业身份、降低邮件欺诈风险至关重要。

这些发现基于对 Southeast Asia 500 最大 500 家公司的基于域名的消息认证、报告与一致性（DMARC）记录的分析。DMARC 是一项被广泛采用的邮件验证协议，通过在邮件抵达目标收件人之前验证发件人身份，保护域名不被恶意行为者滥用。该系统可检测并阻止域名仿冒——这是钓鱼与商业电子邮件入侵（BEC）的主要技术手段。DMARC 提供三档防护级别——monitor（监测）、quarantine（隔离）、reject（拒绝），其中“reject”是最安全的设置，可主动阻断仿冒邮件送达用户收件箱。

邮件在全球及区域内始终是首要威胁载体。例如，根据 Proofpoint 的 2026 AI and Human Risk Landscape 报告，新加坡 58% 的组织将邮件列为最常见的攻击向量。随着生成式 AI 使网络犯罪分子能够以空前的速度和规模制造更具迷惑性的仿冒与钓鱼攻击，组织需要更强的防御。部署 DMARC 等强邮件认证标准是保护客户、员工与利益相关方免受欺诈通信和域名仿冒的关键一步。

• 仅 17% 的 Fortune Southeast Asia 500 企业强制实施推荐的 DMARC “Reject”策略，以主动阻断欺诈邮件——较 Proofpoint 2024 年分析的 13% 有所上升。
• 整体而言，83% 的企业当前未强制实施推荐的 DMARC 最严级别（reject）。
• 17% 的企业完全没有任何 DMARC 记录，门户大开，极易遭受邮件欺诈与域名仿冒攻击。
• 在 Fortune Southeast Asia 500 上榜的东南亚最大 500 家公司中，其余企业处于 quarantine（隔离，38%）或 monitor（监测，28%）级别。

• 新加坡（Singapore）：以 28% 的严格邮件认证率继续领跑区域，但这一比率自 Proofpoint 2024 年分析以来未有变化。34% 仍处于 quarantine（隔离）模式，10% 仍缺乏任何 DMARC 记录。
• 马来西亚（Malaysia）：严格强制部署改善幅度最大，从 2024 年的 11% 升至当前的 21%。仅 7% 的马来西亚头部企业无任何 DMARC 记录——为区域内最低——另有 55% 处于 quarantine 级别。
• 印度尼西亚（Indonesia）：取得区域内第二大增幅，reject 强制部署率从 10% 升至 18%。44% 采用 quarantine，18% 完全没有任何 DMARC 记录。
• 泰国（Thailand）：无保护域名降幅最显著，无任何 DMARC 记录的比例从 2024 年的 45% 降至当前的 26%。但严格强制部署率仅微升至 12%，且 35% 仍停留在 monitor 级别——仅收集数据而不主动阻断。
• 越南（Vietnam）：从区域内最低起点改善，严格强制部署率从 4% 升至 11%，无任何 DMARC 记录的域名从 37% 降至 24%。38% 仍处于 monitor 级别。越南与菲律宾当前并列区域内最低的严格强制部署率，各为 11%。
• 菲律宾（Philippines）：在严格强制部署方面毫无进展，自 2024 年以来“Reject”率一直停留在 11%，排名从区域内的并列第二滑落至第五。36% 使用 quarantine，23% 无任何邮件认证记录。

“信任是组织最有价值的资产之一，但它仍在被网络犯罪分子、并日益被 AI 驱动的仿冒攻击所利用。我们的研究表明，尽管已有 DMARC 这类经过验证的防护手段，东南亚太多的头部企业仍让其域名暴露于仿冒风险之中，”Proofpoint 东南亚及韩国系统工程负责人 Philip Sow 表示。“在‘Reject’级别强制实施 DMARC，是组织能够阻止欺诈邮件触达客户与员工，同时增强其数字通信信任度的最有效方式之一。”

为保护客户、员工及其他利益相关方提升邮件安全，Proofpoint 建议：

• 核查所有邮件通信的真实性，警惕冒充可信品牌、同事、供应商及利益相关方的潜在欺诈邮件。
• 对任何索要登录凭据、或以不点击链接就暂停服务或账户相威胁的通信保持谨慎。
• 采用抗钓鱼的多因素认证，例如通行密钥（passkeys）。

了解 DMARC 更多信息，请访问：https://www.proofpoint.com/au/threat-reference/dmarc

本分析于 2026 年 7 月进行，数据来源为 Fortune Southeast Asia 500 榜单。

Proofpoint 是 Proofpoint, Inc. 在美国及/或其他国家的注册商标或商号。本文所含其他商标归各自所有者所有。

常见问题（答案均取自上述人类原文章节）

DMARC 的三档（monitor / quarantine / reject）有什么区别？

DMARC 提供三档防护级别。monitor（监测）仅收集并报告认证失败的邮件数据，不采取阻断动作；quarantine（隔离）将未通过认证的邮件放入垃圾邮件或隔离区，用户仍可能看到；reject（拒绝）是最严格的设置，在邮件送达前直接主动阻断仿冒邮件，使其无法进入收件箱。三档强度递增，reject 才能从源头杜绝欺诈邮件触达用户。

为什么 DMARC “Reject”级别最关键？

只有“Reject”级别能在邮件抵达用户前主动丢弃未通过 SPF/DKIM 认证的仿冒邮件，从技术上切断域名仿冒与钓鱼/BEC 攻击的投递路径。quarantine 和 monitor 只能减缓或观测风险，无法阻止欺诈邮件进入收件箱。Proofpoint 指出，强制实施 Reject 是阻止欺诈邮件触达客户与员工、增强数字通信信任度最有效的方式之一。调研显示仅 17% 的 Southeast Asia 500 企业达到这一级别。

东南亚企业的 DMARC 部署为何整体薄弱？

调研显示区域内仅 17% 的企业强制实施最严的 Reject 级别，83% 未达最严级别，17% 甚至完全没有任何 DMARC 记录。各国进度不均：新加坡虽以 28% 领跑但自 2024 年停滞；菲律宾严格部署率自 2024 年以来毫无进展（维持 11%）；越南、菲律宾并列最低（11%）。随着生成式 AI 加速更具迷惑性的钓鱼与仿冒攻击，未部署或仅停留在 monitor/quarantine 的企业域名仍暴露于仿冒风险。

生成式 AI 对本研究的邮件欺诈风险意味着什么？

Proofpoint 指出，生成式 AI 使网络犯罪分子能以空前的速度和规模制造更具说服力的仿冒与钓鱼活动，加剧了域名仿冒与 BEC 风险。邮件在区域内仍是首要威胁载体——其 2026 AI and Human Risk Landscape 报告显示，新加坡 58% 的组织将邮件列为最常见攻击向量。在此背景下，强邮件认证（如 DMARC Reject）是保护客户、员工与利益相关方的关键防线。