DMARC rua указывает на отправку почты с competitorDomain.com для ourDomain.com, является ли это (потенциально) вредоносным?

Мы получили несколько отчетов rua, указывающих на то, что один из наших прямых конкурентов отправляет электронные письма с нашим доменом в заголовках “mail from”.

У меня нет доступа к фактическим источникам электронных писем, и у меня нет представления о том, что могло бы это вызвать. Единственное, что приходит на ум, это то, что кто-то в компании конкурента отправляет письма от нашего имени (вывод, который, надеюсь, мы сможем опровергнуть).

Соответствующий раздел отчета rua:

<?xml version="1.0" encoding="UTF-8" ?>
<feedback>
  (...)
  <record>
    <row>
      <source_ip>209.85.220.69</source_ip><!-- mail-sor-f69.google.com -->
      <count>2</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
        <reason>
          <type>local_policy</type>
          <comment>arc=pass</comment>
        </reason>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>[наш домен].com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>[домен конкурента]-com.20150923.gappssmtp.com</domain>
        <result>pass</result>
        <selector>20150923</selector>
      </dkim>
      <spf>
        <domain>[домен конкурента].com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
</feedback>

Итак, мой вопрос:
Что может вызвать это? Есть ли нормальное поведение, которое могло бы вызвать эти отчеты? Является ли это результатом легитимного электронного трафика? Или это признак злонамеренного поведения где-то?

_{Примечание
Я не уверен, что означает этот раздел.}

  (...)
  <reason>
    <type>local_policy</type>
    <comment>arc=pass</comment>
  </reason>
(...)

_{Изучая DMARC `arc`, я начинаю подозревать, что это может быть вызвано переадресацией электронных писем, но `arc` должен гарантировать, что заголовки DKIM все еще доступны для аутентификации? В этом случае переадресованный email не должен был бы “провалить” политику DMARC?}

Если вы уверены, что вся ваша легитимная почта проходит DMARC, включая заголовок FROM домена (example.com) и MAIL FROM (Envelope FROM) домен, такие как em.example.com, в соответствии с тем, что оба имеют example.com в качестве организационного домена, то вы могли бы попробовать более агрессивную политику DMARC с p=quarantine (просит почтовые службы направлять неаутентифицированную почту в спам) или p=reject (просит почтовые службы отклонять любую почту, которая не аутентифицирована).

Вы знаете, сколько электронных писем в неделю, которые не проходят DMARC, скажем, от этого конкурента, отправляется? Есть ли какие-либо из ваших потоков электронной почты, которые вы отправляете, проваливающие DMARC? Есть ли какие-либо из ваших собственных потоков почты, которые не проходят DMARC ИЛИ SPF?

Важно быть очень осторожным при переходе на более агрессивную политику DMARC, но если кто-то, похоже, использует ваш домен, то вы можете рассмотреть возможность отключения этого.

Вы чувствуете себя комфортно, связываясь с этим конкурентом или спрашивая их, есть ли у них какая-то неправильная конфигурация на их стороне, в результате которой они ошибочно используют ваш домен?

1. DKIM pass для [домен конкурента]-com.20150923.gappssmtp.com. Это означает, что SMTP-серверы Google имеют закрытый ключ для селектора DKIM 20150923 по адресу [домен конкурента]-com.20150923.gappssmtp.com. Насколько я знаю, это возможно только если [домен конкурента].com размещен в Google Workspace, который, в свою очередь, должен пройти процесс проверки, завершить который может только владелец домена.
2. SPF pass для [домен конкурента].com, и это означает, что ваш конкурент авторизует сервер-отправитель (Google). Опять же, это может быть настроено только владельцем домена.
3. <header_from> содержит ваш домен.

Это сильное доказательство того, что, да, ваш конкурент пытался отправить два письма, используя ваш домен.