Sendo falsificado - DMARC, DKIM e SPF estão configurados corretamente (AFIK)

Question

Tenho testado minha política DMARC há algumas semanas e me deparei com esse problema. Fundo:

1. SPF - configuração e funcionamento
2. DKIM - configurado e funcionando (AFIK)
3. DMARC - configurado e funcionando - procurando alinhamentos e rejeições definidas como 100

Na maior parte, isso está funcionando muito bem. Rejeita os spoofers com apenas uma exceção. Uma empresa de criação de vídeo (com histórico de spam) consegue falsificar meu e-mail ao acessar o Google.

Aqui está um exemplo de registro. Suponha que "example.com" seja minha empresa e "(spoofing domain).cc" seja o falsificador. Entendo por que o passe SPF tem a ver com o encaminhamento do Google. Não entendo como eles passam no DKIM.

<record>
    <row>
      <source_ip>209.85.220.41</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>example.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>example.com</domain>
        <result>pass</result>
        <selector>selector1</selector>
      </dkim>
      <spf>
        <domain>(spoofing domain).cc</domain>
        <result>pass</result>
      <spf>
    <auth_results>
  <record>