Cómo ser falsificado: DMARC, DKIM y SPF están configurados correctamente (AFIK)

Question

He estado probando mi política DMARC durante algunas semanas y me encontré con este problema. Fondo:

1. SPF: configuración y funcionamiento
2. DKIM - configurado y funcionando (AFIK)
3. DMARC - configurado y funcionando - buscando alineaciones y rechazo establecido en 100

En su mayor parte, esto está funcionando muy bien. Rechaza a los falsificadores con una sola excepción. Una empresa de creación de vídeos (con un historial de spam) puede falsificar mi correo electrónico cuando navega por Google.

Aquí hay un registro de muestra. Supongamos que "example.com" es mi empresa y "(dominio suplantador).cc" es el falsificador. Entiendo por qué pasar SPF ya que tiene que ver con el reenvío de Google. No entiendo como pasan DKIM.

<record>
    <row>
      <source_ip>209.85.220.41</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>example.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>example.com</domain>
        <result>pass</result>
        <selector>selector1</selector>
      </dkim>
      <spf>
        <domain>(spoofing domain).cc</domain>
        <result>pass</result>
      <spf>
    <auth_results>
  <record>