Os links nos e-mails da empresa estão sendo clicados em IPs aleatórios

Fazemos campanhas de phishing para nossos usuários com Lucy Security. Os e-mails incluem um link para uma página de destino. Quando clicado, as estatísticas são enviadas para nossa plataforma de phishing que incluem qual usuário clicou, quando e de qual IP.

Colocamos na lista branca o IP do servidor da Lucy Security em nosso anti-spam (Defender 365) para que a confiança de spam seja definida como -1, anexos e links não sejam verificados etc. Até agora, não recebemos muitos cliques de IPs da Microsoft.

O problema é que recebemos cliques de IPs pertencentes ao Google Fiber, Amazon, Verizon e um monte de outras empresas de telecomunicações nos EUA das quais nunca ouvi falar (estamos no Canadá). Todos esses IPs estão nos EUA. Como isso é possível?

O que eu sinto que deveria estar acontecendo é o seguinte:

1. Lucy envia emails de seu servidor interno para nossas caixas de correio do Exchange (hospedado no Microsoft 365)
2. Os e-mails fazem alguns saltos dentro da Microsoft
3. Todas as medidas anti-spam que colocamos na lista de permissões são ignoradas
4. Os e-mails são entregues em nossas caixas de correio

Isso é exatamente o que parece estar acontecendo ao olhar para os cabeçalhos dos e-mails de Lucy que recebi, e ainda assim recebemos cliques de algum ISP local nos EUA.

Par de notas:

• Eu falsifico endereços ao fazer esses e-mails de phishing. O endereço falsificado é colocado no cabeçalho From, bem como no cabeçalho Return-Path. Eu recebo mais cliques indesejados ao falsificar um endereço de um domínio conhecido (por exemplo, protonmail.com) do que aleatório .
• Não temos funcionários externos, ou seja, todos os nossos usuários estão por trás de nosso único IP público.

O que eu não estou conseguindo aqui? Como esses e-mails estão sendo clicados (pelo que parece ser anti-spams) em algum lugar dos EUA? Alguém tem uma ideia de onde começar a procurar para resolver isso? Deixe-me saber se você precisar de mais informações.