Spam küldő user azonosítása

Sziasztok,

Szerveremen van jó pár WordPress weboldal, melyeket különböző felhasználók kezelnek.
A problémám az, hogy mostanság megszaporodtak a kifelé menő spam küldések, emiatt rendszeresen tiltó listára kerül a szerver IP.
Elkezdtük logolni a php mail használatot, illetve a mail.log is figyelve van, mégsem találom, hogy ki lehet az a user aki a spameket küldi kifelé.
Elég bosszantó a dolog, mert ugye emiatt a többi user sem tud leveleket küldeni kifelé.
Szóval szeretném az ilyen feltört vagy renitens usereket kiszűrni.

Korábban amikor valamelyik oldalt feltörték, a mailq tele volt kifelé menő levelekkel, és abból egyszerűen beazonosítottam, hogy ki a hibás, letiltottam az oldalt és jeleztem az ügyfélnek a problémát.
Most viszont semmi nyomát nem látom, hogy ki a hibás, php mail log semmi rendellenes használatot nem mutat, mail.log -ban sem látom, hogy valaki kamu címekre tolná tömegével a spameket.
Az egyetlen ami érdekes, hogy munin grafikonon a Firewall résznél megugrott a Packets/second sáv, egy tüskét látok benne ott, ahol a CBL blacklist szerint felkerült a spamlistára.

Van arra ötletetek, hogy miként lehetne hatékonyan elcsípni az ilyen usereket?