Cabeçalhos de e-mail

O campo De (From) de um e-mail é só um texto: quem envia escreve o que quiser ali, inclusive um endereço que não é o seu. Por isso, numa investigação de phishing, ele não serve de prova de origem.

Quem conta a verdade são os cabeçalhos Received. Cada servidor por onde a mensagem passa adiciona um Received no topo, dizendo de quem recebeu e quando. Então a lista fica em ordem invertida: o Received de baixo é o primeiro da jornada (a origem), e o de cima é o último (o servidor que entregou na sua caixa). Para achar de onde o e-mail realmente partiu, leia os Received de baixo para cima e procure o primeiro servidor que não é da sua própria empresa.

Received: from mail.pampamarket.test (mail.pampamarket.test [192.0.2.25]) ...   <- hop interno
Received: from mx.entrega-barata.example ([203.0.113.99]) ...                   <- origem

Duas confirmações ajudam: o endereço entre colchetes no Received mais de baixo é o verdadeiro remetente; e uma linha Received-SPF: fail ou spf=fail indica que aquele endereço não tinha permissão de enviar em nome do domínio escrito no From, ou seja, o From foi forjado.