Como você sabe que essa mensagem veio pelo seu servidor de troca? Se houver malware instalado em uma estação de trabalho e você não bloquear o SMTP de saída, o malware poderá estar fazendo conexões SMTP diretamente e sem tocar em seu servidor Exchange. Você também pode ter um proxy configurado incorretamente ou qualquer outra coisa que esteja sendo usada como retransmissão.
Na minha opinião, o SMTP de saída deve ser bloqueado no perímetro de tudo, exceto seus servidores de e-mail. Se você ainda não estiver bloqueando o SMTP e não tiver nenhuma configuração de registro, não será possível provar nada. Qualquer computador na rede poderia ter feito uma conexão SMTP com o servidor.
Se você está realmente preocupado com isso, você também pode configurar o registro em seu dispositivo de perímetro para registrar pelo menos o primeiro pacote de qualquer comunicação da porta 25.
E-mail é tão fácil de forjar. Também é totalmente possível que você tenha sido bloqueado como spam e a mensagem não tenha sido originada de sua rede. Talvez algum administrador ingênuo do sistema tenha assumido que alguns dos cabeçalhos SMTP eram válidos quando, na verdade, eles eram forjados.