OpenPGPの「なりすまし」対策について（「暗号データ＋署名」全体を傍受、コピー送信された場合）

暗号化したメールの場合、通常の使い方では「送信の直前に暗号化を行う」ので、「暗号化だけしておいておいたものを、第三者が本人の意志と関係なく配送に乗せてしまう」ということは、よほど厳格性を求められるのでない限り気にしなくていいと思います。理屈の上では、第三者が同じメールを再送することもできますが、メッセージIDや送信時間などが一致すれば「同じメール」であるので、ログ管理などで再送だということは判明します。

一方で、スマートロックのように、常に同じ文言を送る場合、暗号化した結果を再送するというリプレイ攻撃が成立します。このような場合は、認証を受け付ける側が一意なID（nonce）をその都度送って、スマートロック側がそのIDをもとに計算した値を返す、という方法でリプレイ攻撃を防ぐことができます。

暗号化の署名は、現実のサインや、印鑑をデジタル化したものと考えるのがよいかと思います。

つまり、サインや、印鑑と同じく、その内容を誰が書いたかという確認ができます。
しかし持ってきた人が、そのサインや、印鑑を押した人である事は現実でも困難で、
これはデジタル署名も同様です。
そのため、署名は本人確認には使えないという事です。

しかしながら、その文書内に差出人、宛先が書いてあれば、誰が誰に充てて
書いたかというのが分かります。
特に、例えばそこにメールアドレスが書いてあれば異なるメールアドレスからだと
分かってしまいます。

このように、現実のサインや、印鑑と同様に、デジタル署名はその人が書いたことを
確認できますが、その送信者が本人であることをデジタル署名のみでは確認できません。

つまり懸念されている事は、現実世界において、他の人が押印した書類を持って、
その人であること、またはその人の知り合いである事を誤認させるのと
同じような事になります。

そのため電子署名は利用される方は原則的に送信するすべてのメールに
電子署名をする必要があります。
そうすることで、あるメッセージに対する返信に電子署名がない場合は、
なりすましを疑う事が可能になります。

提示されたケースでは、メッセージ作成者＝公開鍵の使用者＋その内容が改ざんされていないことしか確認できません。
よっていわゆるリプライ攻撃による「なりすまし」を防ぐには、maisumakunさんも指摘されているように
メッセージ本文に連番を含ませるなどメッセージの交換手順上での対策が必要です。

ちなみに、不特定多数の初対面の人と安全にメッセージ交換できることが求められる仕組み（たとえば電子メール）では、メッセージ交換で使われている公開鍵が、たしかに送信者（メッセージ作成者）本人だということを確認できる仕組みが必要です。これは一般的に「認証局」が担っています。

参考：電子証明書と認証局

また、ちょっと変わった仕組みとして、公開鍵のフィンガープリントを書籍に印刷して著者＝公開鍵を紐づけた例もあります。
参考：Winnyの技術 フィンガープリント