Jako ciekawostkę załączam fragment nagłówka fałszywki - interesujący jest ten "return path" - przypominam, to faktura od Ery, nie od Allegro:

Return-Path: <farelkn64@allegro.pl>
Received: from alicegate (host2-27-static.58-79-b.business.telecomitalia.it [79.58.27.2])
	by ----.net (Postfix) with ESMTP id 802DE50D41E
	for <marooned@----.net>; Wed, 30 Jul 2014 09:01:52 +0000 (UTC)
Received: from [132.52.185.58] (helo=zpbnovge.hrdoqzhqobfvaag.ru)
	by alicegate with esmtpa (Exim 4.69)
	(envelope-from )
	id 1MMW21-8737fb-VT
	for marooned@----.net; Wed, 30 Jul 2014 10:06:46 +0100
From: "T-Mobile - faktura" <twoja_f@ktura.t-mobile.pl>