Такое ощущение, что у вас открыт релей, то есть через ваш сервер абсолютно любой может послать письмо с любого адреса на любой другой.
По хорошему, снаружи должны приниматься только письма на ваш домен, либо соединения с авторизацией. Уходить наружу должны только письма с вашего домена, и лучше с DKIM-подписью.
Проверьте сервер здесь: https://check.smtp.bz/