Подмена отправителя, каким образом?

Question

[Alister O]

На почтовом сервере настроен spf
В логах вижу что отправитель [e-mail] а в оутлуке отображается учётная запись Корп пользователя, как такое возможно?

Answer 1

[Владимир]

есть MAIL FROM во время smtp сессии - и по нему проверяется spf
а есть поле From: в теле письма.
Чтобы ваш домен так не спуфили - настраивайте spf dkim и dmarc

Comments

[Alister O]

Спасибо, если не сложно можете более менее подходящий линк скинуть.

По теме, письмо проходит спф проверку так как действительно письмо от того домена откуда якобы он и идёт. Получается надо тело письма мне смотреть?

[Владимир]

Получается что во время отправки спамеры используют корректный свой адрес, а потом в уже в теле письма указывают поле From с подменой, и именно это поле показывают мейл клиенты.
В большинстве клиентов можно посомтреть хедеры или все письмо с хедерами плейнтекстом, там вы найдете кто был оригинальным отправителем.
Про настройку - вам нужно гуглить ваш текущий MTA + spf dkim dmarc

[Владимир Дубровин]

Вот здесь достаточно подробно разобрана в первом же пункте ситуация:
https://habr.com/en/company/mailru/blog/338700/

[Alister O]

Владимир Дубровин, впечатлил ваш пост, завтра протестью.

Answer 2

[Александр]

потому что у письма есть поле "from" и почтовым серверам вообще по барабану от кого оно.