乗っ取られてるか意図的かは判断できないとしても、
SPAM発信をしているという報告を受けたら、
そのユーザに対してOP25Bを実施すればいいだけじゃないの？

動的IPであろうと、エッジルータ等で動的に設定するだけ。
メール以外でも迷惑行為や違法行為があればユーザ別に処置すべき。
あくまでもユーザ個別にすべきで、一斉にやるOP25Bはあまりにも適当すぎ。