Ciao Nicola,
Forse l'account è ancora compromesso tramite un'autorizzazione dell'app o una regola nascosta, che continua a inviare spam anche dopo una modifica della password e 2FA. Esegui questa pulizia completa una sola volta, da un dispositivo di cui ti fidi.
In Windows aprire Sicurezza di Windows, scegliere Protezione da virus e minacce, quindi Analisi di Microsoft Defender Offline. Riavvia e lascia che finisca.
Da un browser pulito, vai alla pagina di sicurezza del tuo account Microsoft e cambia nuovamente la password con una lunga e univoca. Mantieni attiva la verifica in due passaggi. Sempre nella pagina di sicurezza, scegli Disconnettimi ovunque. In questo modo vengono revocati tutti i token di aggiornamento, quindi tutte le app ancora autenticate vengono espulse. Se vedi le password delle app, eliminale tutte.
Ora apri Informazioni sulla privacy o sulla sicurezza, quindi App e servizi che possono accedere ai tuoi dati. Rimuovi tutte le app che non riconosci, in particolare quelle con accesso a Mail o Contatti.
In Outlook sul Web apri Impostazioni > Regole > posta ed elimina tutte le regole che non hai creato. Apri Mail > Forwarding e assicurati che l'inoltro sia Off e che non sia elencato alcun indirizzo sconosciuto. Apri Mail > Sincronizza e-mail e rimuovi tutti gli account connessi che non utilizzi. Apri Mail > Componi e rispondi e cancella qualsiasi firma strana. Controlla anche i tuoi account e-mail o alias sotto Le tue informazioni e rimuovi tutti gli alias che non hai aggiunto.
Su tutte le tue app di posta elettronica esci e accedi di nuovo. Ciò include Outlook sul PC, Outlook mobile e qualsiasi altro client di posta. Se un'app continua ad accedere senza chiedere la nuova password, rimuovi l'account da quell'app e aggiungilo di nuovo.
Infine eliminare lo spam e Sent Items Drafts quindi monitorare Sent Items per un po '.
Fatemi sapere come va per favore!