El encabezado, de abajo arriba

Un correo cruza varios servidores antes de llegar al buzón, y cada uno estampa una línea Received encima de la anterior. Por eso se lee de abajo arriba: la línea de más abajo es donde nació el correo, y la de más arriba es el último servidor que lo tocó. A ti te interesa el salto donde el correo entra por primera vez a un servidor de Delta viniendo de fuera: esa es la dirección real de origen, la que escribirás en el escalado, y no tiene por qué parecerse a lo que diga el cuerpo del mensaje.

Abre el laboratorio, mira la cadena de saltos y quédate con el que un servidor de Delta recibió de una máquina que no es suya.

El nombre y la dirección que ves en «De» son como el remitente escrito a mano en un sobre: cualquiera escribe ahí lo que quiera. Lo que de verdad usa el sistema para devolver un correo que rebota es el Return-Path, el sobre real. Cuando el Return-Path apunta a un dominio distinto del que se ve en «De», ya tienes la primera señal de que el correo no es de quien dice ser.

Mira el Return-Path del correo y escribe su dominio —lo que va después de la arroba—.

Hay un tercer campo que suele delatar la intención: el Responder-a (Reply-To). Es a donde va una respuesta cuando la persona le da a «Responder», y el que lo envía lo pone para recibir lo que la víctima escriba de vuelta. Cuando no coincide ni con «De» ni con el Return-Path, es que quien montó el correo quiere la conversación en un buzón suyo.

Escribe el dominio al que iría una respuesta a este correo.

Ya viste tres dominios distintos en un mismo correo: el que se ve en «De», el del sobre y el de la respuesta. Un principiante lee «De» y cree que sabe quién lo mandó.