Spam z Celní správy

[StarLink]

Ahoj,
prosím o pomoc s rozborem spamu, který se tváří že přišel z e-mailu servis@celnisprava.gov.cz. V e-mailovém klientu je v Od tato adresa, také se tato adresa vyplní jako příjemce pokud dám odpovědět (viz příloha). Není mi jasné, proč není e-mail odmítnutý na základě SPF. Doména celnisprava.gov.cz má vyplněný SPF záznam, můj smtp server hodnotí SPF záznamy u přijatých e-mailů.
V hlavičce e-mailu je vidět, že e-mail byl ve skutečnosti odeslán z adresy jm@jmmcc.com. Tato doména má také SPF záznam (softfail).

Hlavičky e-mailu:

Kód: [Vybrat]

Return-Path: <jm@jmmcc.com>
Received: from www.mujsmtpserver.cz
by elf with LMTP
id RX4BIvwjnmqwriEApa2lLQ
(envelope-from <jm@jmmcc.com>); Mon, 07 Sep 2026 04:39:56 +0200
Received: from vps.greenmediatechnology.com (vps.greenmedialead.in [103.154.184.159])
(using TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits))
(No client certificate requested)
by www.mujsmtpserver.cz (Postfix) with ESMTPS id 31E0BB8065628
for <obchod@mojedomena.cz>; Mon,  7 Sep 2026 04:39:47 +0200 (CEST)
Received: from vps.greenmedialead.in (unknown [91.188.254.229])
(using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits))
(No client certificate requested)
by vps.greenmediatechnology.com (Postfix) with ESMTPSA id BE712873DD35
for <obchod@mojedomena.cz>; Mon,  7 Sep 2026 06:57:23 +0530 (IST)
From: servis@celnisprava.gov.cz
To: obchod@mojedomena.cz
Subject: =?UTF-8?B?Q2VsbsOtIHNwcsOhdmE=?=
Date: 06 Sep 2026 18:27:23 -0700
Message-ID: <20260906182723.71085F61EC4CF9C6@celnisprava.gov.cz>
MIME-Version: 1.0
Content-Type: text/html;
charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
X-Spam: Yes
Log z RSPAM:

Kód: [Vybrat]

2026-09-07 04:39:56 #1469823(rspamd_proxy) <65ca8c>; proxy; rspamd_task_write_log: id: <20260906182723.71085F61EC4CF9C6@celnisprava.gov.cz>, qid: <31E0BB8065628>, ip: 103.154.184.159, from: <jm@jmmcc.com>, (default: T (add header): [12.30/15.00] [DMARC_POLICY_QUARANTINE(10.50){celnisprava.gov.cz : SPF not aligned (relaxed), No valid DKIM;quarantine;},HFILTER_HELO_IP_A(1.00){vps.greenmediatechnology.com;},FORGED_SENDER(0.30){servis@celnisprava.gov.cz;jm@jmmcc.com;},HFILTER_HELO_NORES_A_OR_MX(0.30){vps.greenmediatechnology.com;},MIME_HTML_ONLY(0.20){},ONCE_RECEIVED(0.20){},R_SPF_ALLOW(-0.20){+a:c;},ARC_NA(0.00){},ASN(0.00){asn:141004, ipnet:103.154.184.0/23, country:IN;},FROM_NEQ_ENVFROM(0.00){servis@celnisprava.gov.cz;jm@jmmcc.com;},FROM_NO_DN(0.00){},MID_RHS_MATCH_FROM(0.00){},MIME_TRACE(0.00){0:~;},MISSING_XM_UA(0.00){},NEURAL_HAM(0.00){-0.909;},PREVIOUSLY_DELIVERED(0.00){obchod@mojedomena.cz;},RBL_SPAMHAUS_BLOCKED_OPENRESOLVER(0.00){103.154.184.159:from;},RCPT_COUNT_ONE(0.00){1;},RCVD_COUNT_ONE(0.00){1;},RCVD_TLS_ALL(0.00){},RCVD_VIA_SMTP_AUTH(0.00){},RECEIVED_SPAMHAUS_BLOCKED_OPENRESOLVER(0.00){91.188.254.229:received;},R_DKIM_NA(0.00){},SURBL_MULTI_FAIL(0.00){vps.greenmediatechnology.com:server fail;},TO_DN_NONE(0.00){},TO_MATCH_ENVRCPT_ALL(0.00){},BAYES_SPAM(0.00){11.47%;},DBL_BLOCKED_OPENRESOLVER(0.00){dundle.com:url;jmmcc.com:from_smtp;vps.greenmedialead.in:rdns;celnisprava.gov.cz:from_mime;celnisprava.gov.cz:mid;}]), len: 6848, time: 4090.816ms, dns req: 40, digest: <80e0a890a0da543daa400bab50d39caf>, rcpts: <obchod@mojedomena.cz>, mime_rcpts: <obchod@mojedomena.cz>
Děkuji

[Reklama]

[McFly]

SPF ověřuje oprávnění odesílajícího serveru vůči doméně uvedené v obálkové adrese zprávy; sám o sobě neověřuje obsah zprávy ani viditelnou adresu v hlavičce From:.

Envelope-from - jm@jmmcc.com
From - servis@celnisprava.gov.cz

[František Ryšánek]

Věcně ta zpráva obsahuje naprosto banální pokus o podvůdek.

Všimněte si v textu těla zprávy (který jste zde neuvedl), že po Vás chtějí, abyste koupil jakousi poukázku za 1200 Kč, a poslal jim od toho "klíček". Naprosto přímočaře Vás chtějí pumpnout. Vaše zpáteční adresa pro odpověď se liší od té, kterou jsem viděl já = pokušitelé asi používají pro sběr medu více emailových schránek.

Ještě jeden alespoň minimálně zajímavý střípek informace je odesílající IP adresa, resp. údajná odesílající a pak ta co mi e-mail skutečně doručila. Vaše "Received" údaje se shodují s mou verzí:

Received: from vps.greenmediatechnology.com (vps.greenmedialead.in [103.154.184.159])
Received: from vps.greenmedialead.in (unknown [91.188.254.229])

Poslední potvrzený hop 103.154.184.159 je patrně skutečně v Indii. Zdálo by se, že funguje jako starý dobrý open relay.

Adresa 91.188.254.229 je podle traceroutu a podle AS-bloku (dle RIPE DB) patrně v Litvě. Teoreticky abuse@balt.net.
Ale pámbůh ví, jestli tahle hlavička není už podvržená, a i pokud není, tak odkud to přišlo ve skutečnosti, skrz to litevské mezipřistání.

Myslím, že Strážci Internetu toho teď budou mít plný inbox...

[mercury116]

Dostal jsem stejny spam a polozil jsem LLM uplne stejnou otazku :-D
U mne se jim nahodou krasne podaril timing, protoze jsem neco objednaval z Ciny, prislo avizo od Zasilkovny o zalozeni trackovaciho cisla a behem hodiny prislo tohle.
Scamovaci technika je tady hodne napadna, kdyby pouzili overenou metodu zadejte cislo karty, abychom mohli strhnout clo ve vysi par korun, vubec bych se nedivil, kdyby jim na to par lidi skocilo...

[LacconePanda]

A co bys chtěl,  aby v SMTP komunikci odesilající dostal po MAIL FROM(případně RCPT TO) odpověď 500 něco? Máš to tak nakonfigurované a  ověřené, že když si sám na port 25 uděláš pentest s textem MAIL FROM harrypotter.com, že se to takto chová? tedy jestli spf kontrola zahazuje přímo na úrovni SMTP. Nepíšeš,co používáš za mailový stack a vlastně ani že máš selfmailhosting(to jsem nějak vydedukoval).  To že to skončí v Spam je pořádku, i když tam nevidím hlavičku X-SPF-results , nebo obecně x-spam-report a x-spam-status


kam na ty spamy chodíte, mě jenom chodí reklamy na tělní pomůcky a mikrofony, ale to je jen nabídka krámů

[Reklama]

[technomaniak]

U mne se jim nahodou krasne podaril timing, protoze jsem neco objednaval z Ciny, prislo avizo od Zasilkovny o zalozeni trackovaciho cisla a behem hodiny prislo tohle.

Ten timing není náhoda(náhodný). Vždycky tyto věci chodí zrovna když jsem měl něco objednaného z Číny nebo USA. Někde v tom řetězci banka-dodavatel-dopravce musí být únik.

[rmrf]

Ten timing není náhoda(náhodný). Vždycky tyto věci chodí zrovna když jsem měl něco objednaného z Číny nebo USA. Někde v tom řetězci banka-dodavatel-dopravce musí být únik.

Nikdy jsem z Číny nic neobjednával a tyhle maily mi přišly taky. Dokonce i na mail do práce, z toho si fakt neobjednávám vůbec nic. Ale - mail je uveden na našich webovkách. Prostě to zkoušejí, zřejmě se občas někdo chytne.

Received: from minesmada.org ([62.72.18.194])
   by cmgsmtp with ESMTPS
Received: from mail.minesmada.org (unknown [91.188.254.229])
   (Authenticated sender: no-reply@minesmada.org)
   by minesmada.org (Postfix) with ESMTPSA id C41111643A7
From: servis@celnisprava.gov.cz
Date: 20 Aug 2026 18:12:00 -0700
Message-ID: <20260820181200.DBCA8BD0FE448BD4@celnisprava.gov.cz>
--
Received: from newyork.hosting-server.cc ([84.246.123.98])
   by cmgsmtp with ESMTPS
Received: from newyork.hosting-server.cc (unknown [91.188.254.229])
   by newyork.hosting-server.cc (Postfix) with ESMTPSA id 1F2C8EE963D
From: servis@celnisprava.gov.cz
Date: 02 Sep 2026 19:30:42 -0700
Message-ID: <20260902193042.5E47E726B6FEAB00@celnisprava.gov.cz>