Spam z Celní správy

[StarLink]

Ahoj,
prosím o pomoc s rozborem spamu, který se tváří že přišel z e-mailu servis@celnisprava.gov.cz. V e-mailovém klientu je v Od tato adresa, také se tato adresa vyplní jako příjemce pokud dám odpovědět (viz příloha). Není mi jasné, proč není e-mail odmítnutý na základě SPF. Doména celnisprava.gov.cz má vyplněný SPF záznam, můj smtp server hodnotí SPF záznamy u přijatých e-mailů.
V hlavičce e-mailu je vidět, že e-mail byl ve skutečnosti odeslán z adresy jm@jmmcc.com. Tato doména má také SPF záznam (softfail).

Hlavičky e-mailu:

Kód: [Vybrat]

Return-Path: <jm@jmmcc.com>
Received: from www.mujsmtpserver.cz
by elf with LMTP
id RX4BIvwjnmqwriEApa2lLQ
(envelope-from <jm@jmmcc.com>); Mon, 07 Sep 2026 04:39:56 +0200
Received: from vps.greenmediatechnology.com (vps.greenmedialead.in [103.154.184.159])
(using TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits))
(No client certificate requested)
by www.mujsmtpserver.cz (Postfix) with ESMTPS id 31E0BB8065628
for <obchod@mojedomena.cz>; Mon,  7 Sep 2026 04:39:47 +0200 (CEST)
Received: from vps.greenmedialead.in (unknown [91.188.254.229])
(using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits))
(No client certificate requested)
by vps.greenmediatechnology.com (Postfix) with ESMTPSA id BE712873DD35
for <obchod@mojedomena.cz>; Mon,  7 Sep 2026 06:57:23 +0530 (IST)
From: servis@celnisprava.gov.cz
To: obchod@mojedomena.cz
Subject: =?UTF-8?B?Q2VsbsOtIHNwcsOhdmE=?=
Date: 06 Sep 2026 18:27:23 -0700
Message-ID: <20260906182723.71085F61EC4CF9C6@celnisprava.gov.cz>
MIME-Version: 1.0
Content-Type: text/html;
charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
X-Spam: Yes
Log z RSPAM:

Kód: [Vybrat]

2026-09-07 04:39:56 #1469823(rspamd_proxy) <65ca8c>; proxy; rspamd_task_write_log: id: <20260906182723.71085F61EC4CF9C6@celnisprava.gov.cz>, qid: <31E0BB8065628>, ip: 103.154.184.159, from: <jm@jmmcc.com>, (default: T (add header): [12.30/15.00] [DMARC_POLICY_QUARANTINE(10.50){celnisprava.gov.cz : SPF not aligned (relaxed), No valid DKIM;quarantine;},HFILTER_HELO_IP_A(1.00){vps.greenmediatechnology.com;},FORGED_SENDER(0.30){servis@celnisprava.gov.cz;jm@jmmcc.com;},HFILTER_HELO_NORES_A_OR_MX(0.30){vps.greenmediatechnology.com;},MIME_HTML_ONLY(0.20){},ONCE_RECEIVED(0.20){},R_SPF_ALLOW(-0.20){+a:c;},ARC_NA(0.00){},ASN(0.00){asn:141004, ipnet:103.154.184.0/23, country:IN;},FROM_NEQ_ENVFROM(0.00){servis@celnisprava.gov.cz;jm@jmmcc.com;},FROM_NO_DN(0.00){},MID_RHS_MATCH_FROM(0.00){},MIME_TRACE(0.00){0:~;},MISSING_XM_UA(0.00){},NEURAL_HAM(0.00){-0.909;},PREVIOUSLY_DELIVERED(0.00){obchod@mojedomena.cz;},RBL_SPAMHAUS_BLOCKED_OPENRESOLVER(0.00){103.154.184.159:from;},RCPT_COUNT_ONE(0.00){1;},RCVD_COUNT_ONE(0.00){1;},RCVD_TLS_ALL(0.00){},RCVD_VIA_SMTP_AUTH(0.00){},RECEIVED_SPAMHAUS_BLOCKED_OPENRESOLVER(0.00){91.188.254.229:received;},R_DKIM_NA(0.00){},SURBL_MULTI_FAIL(0.00){vps.greenmediatechnology.com:server fail;},TO_DN_NONE(0.00){},TO_MATCH_ENVRCPT_ALL(0.00){},BAYES_SPAM(0.00){11.47%;},DBL_BLOCKED_OPENRESOLVER(0.00){dundle.com:url;jmmcc.com:from_smtp;vps.greenmedialead.in:rdns;celnisprava.gov.cz:from_mime;celnisprava.gov.cz:mid;}]), len: 6848, time: 4090.816ms, dns req: 40, digest: <80e0a890a0da543daa400bab50d39caf>, rcpts: <obchod@mojedomena.cz>, mime_rcpts: <obchod@mojedomena.cz>
Děkuji

[Reklama]

[McFly]

SPF ověřuje oprávnění odesílajícího serveru vůči doméně uvedené v obálkové adrese zprávy; sám o sobě neověřuje obsah zprávy ani viditelnou adresu v hlavičce From:.

Envelope-from - jm@jmmcc.com
From - servis@celnisprava.gov.cz

[František Ryšánek]

Věcně ta zpráva obsahuje naprosto banální pokus o podvůdek.

Všimněte si v textu těla zprávy (který jste zde neuvedl), že po Vás chtějí, abyste koupil jakousi poukázku za 1200 Kč, a poslal jim od toho "klíček". Naprosto přímočaře Vás chtějí pumpnout. Vaše zpáteční adresa pro odpověď se liší od té, kterou jsem viděl já = pokušitelé asi používají pro sběr medu více emailových schránek.

Ještě jeden alespoň minimálně zajímavý střípek informace je odesílající IP adresa, resp. údajná odesílající a pak ta co mi e-mail skutečně doručila. Vaše "Received" údaje se shodují s mou verzí:

Received: from vps.greenmediatechnology.com (vps.greenmedialead.in [103.154.184.159])
Received: from vps.greenmedialead.in (unknown [91.188.254.229])

Poslední potvrzený hop 103.154.184.159 je patrně skutečně v Indii. Zdálo by se, že funguje jako starý dobrý open relay.

Adresa 91.188.254.229 je podle traceroutu a podle AS-bloku (dle RIPE DB) patrně v Litvě. Teoreticky abuse@balt.net.
Ale pámbůh ví, jestli tahle hlavička není už podvržená, a i pokud není, tak odkud to přišlo ve skutečnosti, skrz to litevské mezipřistání.

Myslím, že Strážci Internetu toho teď budou mít plný inbox...

[mercury116]

Dostal jsem stejny spam a polozil jsem LLM uplne stejnou otazku :-D
U mne se jim nahodou krasne podaril timing, protoze jsem neco objednaval z Ciny, prislo avizo od Zasilkovny o zalozeni trackovaciho cisla a behem hodiny prislo tohle.
Scamovaci technika je tady hodne napadna, kdyby pouzili overenou metodu zadejte cislo karty, abychom mohli strhnout clo ve vysi par korun, vubec bych se nedivil, kdyby jim na to par lidi skocilo...

[LacconePanda]

A co bys chtěl,  aby v SMTP komunikci odesilající dostal po MAIL FROM(případně RCPT TO) odpověď 500 něco? Máš to tak nakonfigurované a  ověřené, že když si sám na port 25 uděláš pentest s textem MAIL FROM harrypotter.com, že se to takto chová? tedy jestli spf kontrola zahazuje přímo na úrovni SMTP. Nepíšeš,co používáš za mailový stack a vlastně ani že máš selfmailhosting(to jsem nějak vydedukoval).  To že to skončí v Spam je pořádku, i když tam nevidím hlavičku X-SPF-results , nebo obecně x-spam-report a x-spam-status


kam na ty spamy chodíte, mě jenom chodí reklamy na tělní pomůcky a mikrofony, ale to je jen nabídka krámů

[Reklama]

[technomaniak]

U mne se jim nahodou krasne podaril timing, protoze jsem neco objednaval z Ciny, prislo avizo od Zasilkovny o zalozeni trackovaciho cisla a behem hodiny prislo tohle.

Ten timing není náhoda(náhodný). Vždycky tyto věci chodí zrovna když jsem měl něco objednaného z Číny nebo USA. Někde v tom řetězci banka-dodavatel-dopravce musí být únik.

[rmrf]

Ten timing není náhoda(náhodný). Vždycky tyto věci chodí zrovna když jsem měl něco objednaného z Číny nebo USA. Někde v tom řetězci banka-dodavatel-dopravce musí být únik.

Nikdy jsem z Číny nic neobjednával a tyhle maily mi přišly taky. Dokonce i na mail do práce, z toho si fakt neobjednávám vůbec nic. Ale - mail je uveden na našich webovkách. Prostě to zkoušejí, zřejmě se občas někdo chytne.

Received: from minesmada.org ([62.72.18.194])
   by cmgsmtp with ESMTPS
Received: from mail.minesmada.org (unknown [91.188.254.229])
   (Authenticated sender: no-reply@minesmada.org)
   by minesmada.org (Postfix) with ESMTPSA id C41111643A7
From: servis@celnisprava.gov.cz
Date: 20 Aug 2026 18:12:00 -0700
Message-ID: <20260820181200.DBCA8BD0FE448BD4@celnisprava.gov.cz>
--
Received: from newyork.hosting-server.cc ([84.246.123.98])
   by cmgsmtp with ESMTPS
Received: from newyork.hosting-server.cc (unknown [91.188.254.229])
   by newyork.hosting-server.cc (Postfix) with ESMTPSA id 1F2C8EE963D
From: servis@celnisprava.gov.cz
Date: 02 Sep 2026 19:30:42 -0700
Message-ID: <20260902193042.5E47E726B6FEAB00@celnisprava.gov.cz>

[mzs24087]

Při nákupu zboží mimo EU by dotyčného kupujícího kontaktoval zcela jistě dopravce a nikoliv jakási Celní správa neboli dopravce zašle kupujícímu podklady pro celní řízení, přičemž součástí těch podkladů bývá i nafocený přepravní štítek s číslem zásilky, aby si kupující mohl ověřit, že se nejedná o podvod. Aspoň takto to dělá FedEx a UPS (což jsou obvykle přepravní společnosti pro zásilky z USA), resp. DHL a Česká pošta (zásilky z Asie). Výjimkou je Ali, dost často i eBay a Amazon, kteří vše vyřídí automaticky a kupující dostane už rovnou proclenou zásilku.

[StarLink]

SPF ověřuje oprávnění odesílajícího serveru vůči doméně uvedené v obálkové adrese zprávy; sám o sobě neověřuje obsah zprávy ani viditelnou adresu v hlavičce From:.

Envelope-from - jm@jmmcc.com
From - servis@celnisprava.gov.cz

Ano tohle je ono - SPF Alignment:
https://mxtoolbox.com/dmarc/spf/spf-alignment

Kontroluje to ale antispam, v mém případě za to dostal ten e-mail 10.50 bodů:

Kód: [Vybrat]

DMARC_POLICY_QUARANTINE(10.50){celnisprava.gov.cz : SPF not aligned (relaxed)
Zvýším za tuto kontrolu body, aby se tyto e-maily rovnou zahazovaly.

Děkuji všem za pomoc.

[RDa]

Me to chodi taky. SPF implementaci mam svoji, takze to dokazu zpetne zkontrolovat.

LOG (recipient/server anonymizovan):

Kód: [Vybrat]

#request_time=2026-09-07T04:26:14+00:00
request=smtpd_access_policy
protocol_state=RCPT
protocol_name=ESMTP
client_address=103.154.184.159
client_name=vps.greenmedialead.in
client_port=32912
reverse_client_name=vps.greenmedialead.in
server_address=**.**.**.**
server_port=25
helo_name=vps.greenmediatechnology.com
sender=jm@jmmcc.com
recipient=***@***.cz
recipient_count=0
queue_id=
instance=147094.6a9e3ce5.f08c8.0
size=6879
etrn_domain=
stress=
sasl_method=
sasl_username=
sasl_sender=
ccert_subject=
ccert_issuer=
ccert_fingerprint=
ccert_pubkey_fingerprint=
encryption_protocol=TLSv1.2
encryption_cipher=AECDH-AES256-SHA
encryption_keysize=256
policy_context=
compatibility_level=3.11
mail_version=3.11.6
RETEST:

Kód: [Vybrat]

# ./spf-check.php --debug <test-celni-sprava.log
spf?: jmmcc.com
RULES: v=spf1 a mx mx:jmmcc.com ip4:103.154.184.159 ~all
RULE: v=spf1
RULE: a
A/MX: a jmmcc.com/32 ? 103.154.184.159
 ip4: 103.154.184.159/32 ? 103.154.184.159
 ip4: 1738193055..1738193055 ? 1738193055
 ip4: passed
action=OK

Jako nejvetsi prukak vidim v tom, ze si nekdo nastavi do SPF explicitne IPv4 ktera je sdilena VPS ... toho pak utocnici ze sousedni VPS radi vyuziji.

Koukam na ten SPF alignment .... to je zas neco co pak rozbije forward prece, ne. Protoze mam vyslovene jiny sender nez je From: kdyz muj server preposila maily.

[McFly]

Tak mi to nedalo a zkontroloval jsem log postovniho serveru v praci. A je to tam - akorat nas antispam vsechny tyhle e-maily rovnou zahodil, protoze nabraly vysoke spam skore na urovni hardcore spamu... a to jsem si rikal, zda neni na case vymazlemy Spamassassin vymenit za moderni Rspamd. Radeji ne.