спам может еще идти через стандартный компонент Контакты, даже если пункт меню снят с пубикации.
я с таким сталкивался. логи помогли. боты подставляли URL без SEF с вызовом контакта и через него заваливали спамом сайт.
проверьте:, если в компоненте есть карточка - удалите ее.