двойную доставку постфикса в локальный (виртуальный) почтовый ящик и google smtp

Маловероятно за один шаг, но вы можете увидеть, кто вошел в систему, используя w, и вы можете сопоставить время модификации файлов, показанное stat, со временем входа пользователя. Если файл не 777, вы также можете рассмотреть разрешения данного пользователя, чтобы отфильтровать его только для тех, кто может редактировать файл. В противном случае обратитесь к аудиту событий файловой системы.