LC 1.9.1-r3767 auf Debian 7.9
Auf meiner Installation bleiben nach Entfernen des hakens "Mailbox anlegen" in der Emailverwaltung die zuvor mit der Mailbox verwendeten Login-Daten aktiv.
Im konkreten Fall kam das Passwort des Kunden in Umlauf, der nahm dann den Haken "Mailbox" weg und leitete die Emailadressen nur noch weiter.
Der Login per IMAP/SMTP blieb aber erhalten, so dass der Spamversand noch möglich war.
Das kann man auch gut in den entsprechenden Files für Dovecot usw. nachvollziehen.
Sollten in dem Fall nicht eigentlich die Login-Daten herausgenommen werden?