Странная попытка взлома через Google Apps (?)

Есть сайт, на котором установлена catch-all переадресация почты, т.е. вся почта, приходящая на несуществующие адреса валится мне на гмейловый ящик.

Сегодня с утра обнаруживаю в ящике такую интересную последовательность писем:

Welcome to Google Apps for Business! - пришло на несуществующий адрес address1@domain.ru. Кто-то зарегистрировал мой домен на Google Apps (никогда не пользовался, неужели он даже подтверждение адреса не спрашивает?)

Письмо от яхи: верифицируйте адрес address2@domain.ru (тоже несуществующий) для подключения гугл-аккаунта к аккаунту яху.

И самое интересное:

Письмо от яхи, что адрес был верифицирован и подключен!

Вопрос - как взломщику удалось прочитать верификационное письмо, отправленное на мой домен, и нажать в нем на ссылку? :confused:

P.S.

Все письма 100% настоящие, не фишинг. Зарегистрированные аккаунты в яху и Google Apps действительно существуют - я смог в них зайти через восстановление пароля (т.к. они зарегистрированы на адреса на моем домене)

ДНС-записи в сохранности, MX указывают на сервера хостера, а не гугла.

Сам сайт тоже в порядке, вредоносного кода в файлах нет, равно как и левых .htaccess-ов и т.п.

Комп чистый, гмайл в Last account activity показывает только мой айпишник