Письмо пришло «от гендиректора». Разбираем по заголовкам, без песочницы

[andreymal]

Письмо якобы от гендиректора вашей компании, а вылетает с арендованной виртуалки.

Как будто компания не может арендовать виртуалку

Отдельная тонкость про sp=. Если основной домен вы закрыли, а поддомены оставили без политики

...то ничего страшного не случится, потому что по умолчанию sp и np берут значение из p

с pct, начиная с малого процента

Из актуальной спецификации DMARC pct уже удалён

А вообще вы в целом просто сделали то, что уже и так по умолчанию делает любой нормальный антиспам-движок (разве что переход по ссылкам для меня выглядит крайне сомнительно — для спамера это будет сигналом о том, что его письмо действительно дошло)

[zemeroff]

Как будто компания не может арендовать виртуалку

Может и тогда при настройке почтового сервера делает PTR запись с почтовым корп доменом типа mail.corp-hoIding.ru, а мошенник не делает