вот пример:

у меня были корп ящики: yura@corp_domain.com, masha@corp_domain.com, olya@corp_domain.com

и ящики yura123@corp_domain.com, masha123@corp_domain.com, olya123@corp_domain.com

сначала посыпался спам на те ящики где нет добавления цифр, потом на ящики с цифрами (неделя-две разницы)

а вот на ящик yura_chainik46@corp_domain.com нечего не приходило год, пока он не написал письмо на взломанный ящик vasya@mail.ru

Вывод:

спаммеры сканят весь инет на наличие почтовых серверов

спаммеры добавляют в спаммлисты ящики из списков полученных при фаззинге логинов SMTP,POP сервера, адресных книг взломанных ящиков, парсинге открытых источников, дампов баз сайтов