https://www.xeams.com/spoofing-with-spf.htm

Sin embargo, donde hay SPF, tambien suele haber DMARC, y con DMARC se comprueba la cabecera FROM, no MAIL FROM.

Saludos

SPF está bastante implementado, pero DMARC y DKIM no tanto (casi nada diría yo).

Incluso hay varios organismos gubernamentales y oficiales Españoles no lo utilizan, con lo que hacer campaña de phishing podría ser muy efectiva.

Interesante el proyecto de Marc Almeida que ha ido analizando cientos de miles de dominios para ver cuáles han implementado políticas de seguridad correctas en sus servidores de correo.

Domain Hunter
https://www.cibernicola.es/domainhunter/