Mail.ru подмена поля from, как это возможно и кто виноват?

Всем привет.
На днях(4 августа) получил письмо на почту(mail.ru). Отправитель - help@sberbank.ru. Посмотрел - у них есть такой адрес и он используется. В письме не персонифицированно(уважаемый клиент...) уведомили о блокировке карты в связи с высокой активностью. Для разблокировки попросили прислать фото карты с двух сторон и главную страницу паспорта.

Подумав решил что это похоже на бред, т.к. сбер обычно звонит и вряд ли станет просить такую инфу. Позвонил в сбер, описал ситуацию(видимо это была "первая линия") перевели на "специалиста". Пока описывал ситуацию специалисту и по его просьбе проверял по буквам адрес, нажал ответить и увидел совсем другой адрес в фоме ответа. Сказал адрес специалисту, он поблагодарил за бдительность, посоветовал проверится на вирусы и ничего не отправлять.

Вредоносное ПО я исключаю - т.к. аналогичная ситуация на домашнем и рабочем ПК и на телефоне.
На следующий день создал тикет в mail.ru, где меня так же поблаголарили и ничего не объяснили. Скорее всего просто закрыли тикет.

Хочется понять на чьей стороне уязвимость и как до этой стороны достучаться. Думается что mail.ru, но я очень плох в ИБ - могу ошибаться. И не зря ли я так волнуюсь, оправданны ли мои мысли что это не мелкая проблема и требуют быстой реакции.
Спасибо!

Update:
Из ответов видно что это не уязвимость и я зря паниковал. Еще раз всем спасибо!