Pueden haber hackeado la cuenta de correo y desde webmail haber puesto una redireccion.
En Horde
Revisar la BD de Horde, buscar dentro de horde_prefs, en pref_name la palabra forward
En Roundcube
find /var/qmail/mailnames -name ‘roundcube.sieve’ -type f -exec grep -i ‘redirect :copy’ {} +