任何人想要寄給「網域內已存在的有效帳戶」, 不需要任何密碼就可以寄入, 這是 SMTP RFC-821 的標準機制, 如果你把這個機制設了密碼的話, 那代表全世界的 Mail Server 想要寄進你們網域內的帳號, 都需要你們事先提供密碼, 這顯然是不合理的.

垃圾郵件利用這個漏洞, 只要知道你們的有效帳號, 就一定可以寄得進去, 要防堵這種信件, 只有以下幾種作法:

1. 設定你們的 DNS SPF, 限定可以用你的網域寄信的 IP, 且後面的 Qualifiers 設定為更嚴格的 "-all", 不要用一般常用較鬆散的 "~all", 具體作法請參考:
   防止我公司的 MAIL 不會被設定為 垃圾郵件(SPAM)
   Sender Policy Framework (SPF)

這個原理是: Mail Server 在收件時, 會先檢查 SPF 上面宣稱的來源, 是否與發信者相符? 例如: SPF 上面宣告: 允許 abc.com.tw 網域寄信的 IP 是: 1.2.3.4, 那麼當寄件者不是從 1.2.3.4 發出寄件人是 123@abc.com.tw 的信件時, 就會自動被阻擋掉.

但前提是: 你們家的 UTM/Mail Server 也要認得 SPF 的設定才行, 否則他不會做這種檢查. Exchange Server 至少從 2007 版以後應該可以支援, 但你們用的 UTM 我就不知道了.

2. 使用較嚴格的 Content Filter 來過濾寄入信件. 如果不從來源下手的話, 就要直接檢查信件的內容, 判斷是否為垃圾郵件? 當然這樣做的風險比較高, 容易誤擋正常的郵件.

所以建議不要讓 UTM 做, 除非你的 UTM 有「隔離」垃圾信, 而且事後可以人工「放行」的機制, 讓使用者可以把誤判的信件從垃圾堆裡再撈回來.

Exchange Server 2007 版以後, 如果啟動自己的 Anti-spam 功能的話, 可以做到 Content Filtering, 預設的檢查強度是 7, 你可以往下降到 6 試試看, 若檔不住就再往下調.

用 Exchange 做 Content Filter 的好處是:
他會把垃圾郵件隔離在「垃圾郵件」資料夾內, 用 Outlook 就可以直接看到, 萬一誤判的話, 使用者不需要任何協助, 自己就可以去垃圾堆裏面找回來. 此外, 使用者也可以透過 Outlook 裡面的「白名單」機制, 把誤判的郵件重新設為白名單, 這個設定會被派回 Exchange 上面執行, 下次就不會誤判, 也不需要管理者介入去調整白名單.

在我的經驗裡, Exchange 2010 的 Content Filter 調到 6 的時候, 已經可以擋掉大部分來自中國的垃圾郵件, 每天可能只有不到 1 封信會漏判. 不過, 也有 5% 左右的機會誤判正常的信件 (如果寄信來的郵件伺服器管理員, 沒有依照正確的方法設定相關參數的話, 被擋下來的機率很高).

最簡單方式，就是設定要透過 SMTP 寄出信件時，會進行帳號密碼檢查。當寄件人包含貴公司網址時，SMTP 伺服器會要求檢查帳號密碼，如果無法通過，就會被擋下。
至於所使用設備是否撐得住這樣流量，或者是是否能承受如你所說的數量的攻擊，這我就不知道了。另外，建議注意猜密碼的問題。