「偽・楽天からの注文確認メール」記事へのコメント

From: や Return-Path: 以外はどんな感じ?

[shibuya (17159)]

X-Spam-Flag: YES

みたいなダウトフルないかがわしい痕跡とかもっとあからさまな発信元偽称

Authentication-Results: ${MY.MAILSERVER.DO.MAIN}; spf=hardfail smtp.mailfrom=[e-mail]; dkim=none; dkim-adsp=unknown header.from=[e-mail]; dmarc=fail header.from=[e-mail]

Received: from 95-42-8-56.ip.btc-net.bg (95-42-8-56.ip.btc-net.bg [95.42.8.56])
  by ${MY.MAILSERVER.DO.MAIN} (${MY.MAILSERVER.ALIAS})

Received: from [121.83.199.157] (account [e-mail] HELO eaoyvsl.dhadujsfzlk.org)
  by 89.106.101.57.unicsbg.net (CommuniGate Pro SMTP 5.2.3)
  with ESMTPA id 946088096 for ${MYOWNMAILADRESS} ;
  Thu, 22 Mar 2018 08:16:00 +0200

など(抽出元はそれぞれ別サンプル)の記録とかは残ってましたか?

//

Re:

[ADAM (19147)]

ウチに届いてる奴だと、

Authentication-Results: mx.google.com;
              spf=softfail (google.com: domain of transitioning [e-mail] does not designate XXX.XXX.XXX.XXX as permitted sender) smtp.mailfrom=[e-mail];
              dmarc=fail (p=NONE sp=NONE dis=NONE) header.from=rakuten.co.jp

となってますね。(送信元 IP は一応伏字にしました)
sakura から送信してる模様。

「アカウントが乗っ取られて第三者に注文されたか？」と思わせるメール

Re:From: や Return-Path: 以外はどんな感じ?

[shibuya (17159)]

いちいち全部確かめていないですが

Google (gm なんちゃら)を騙る
さくらインターネットを利用していることをうかがわせる
the Bat! のメイラ、Thunderbirdのメイラ、ほかほかほか…
2つ以上 and 条件のこともあれば条件1つのみ成立、それ以外もあり。

わけ隔てなくほぼ正解判定しているSymantecのNISは賢いと思いました。