Как эта электронная почта обходила мои настройки SPF?

Ваша запись SPF определяет всех в мире как разрешенных отправителей:

"v=spf1 mx:... +all"

+ all является важной частью, + означает «разрешено» "и all на самом деле означает" весь Интернет ". Им не нужно было ничего подделывать, их почта действительна согласно вашей записи SPF. Попробуйте вместо этого -all .