POP3 по-моему как bcc никогда не ставят, она на потоке работает. Так что до юзера файл либо дошел и он его запустил, сработало что-то другое, тогда инцидент и начинаем отрабатывать, либо не дошел и инцидента нет, файл остался в карантине, а отработка такого случая - ну только если в научно-просветительских целях