Nein, SMTP läuft nur mit Authentifizierung. Aber es muss ja nicht unbedingt über SMTP gelaufen sein. Die Mails, die Sie mit Absender Ebay oder T-Online-Rechnungsstelle verschickt werden, sind sicherlich auch nicht über SMTP sondern über Sendmail verschickt worden. Der Absender ist hier ja frei wählbar.
Und das kein Kontaktformular vorhanden ist bedeutet nicht gleich, dass sich auf Ihrem Server nicht doch ein veraltetes Skript befindet, über das Spam verschickt werden kann. Es kommt nicht darauf an, dass ein Link auf eine Komponente gesetzt ist, sondern, dass die Datei mit der Sicherheitslücke auf dem Server überhaupt vorhanden ist.