Je confirme ce que dit Bounss. Rien de plus simple en PHP par ex.
Dans un script mail(), on peut mettre n'importe quelle adresse comme expéditeur vu qu'un script n'est que du code sans être pour autant connecté au compte de messagerie, on peut mettre n'importe quoi y compris ce qui ne ressemble à rien du style @@ sans rien de plus qui n'est évidemment pas une adresse valide.
Ne pas se fier à l'expéditeur, à rien sauf à l'ip qui si elle provient de Côte d'Ivoire, vous serez prévenu.. 