ciao
domande:
1) il backup?
2) non è che outlook express abbia chiesto se si voleva procedere alla compressione della posta "per risparmiare spazio"?
3) l'utente ha accesso tramite webmail?
4) la sua password, o meglio, quella dell'account, è "strong" oppure banale?
comunque, i log da guardare sono:
/var/log/messages (si vedono eventualmente gli accessi tramite webmail)
/var/log/imap/*
/var/log/imaps/*
Ciao
Stefano