Eventos sospechosos, presión de buzones y señales del perímetro.
Lo que más te importa para operar el mailserver con criterio.