Probablemente la cuenta no haya sido hackeada, pero la dirección de origen está siendo falsificada. (Es decir, el remitente ha falsificado la dirección de su amigo en la línea from). La línea De en el encabezado de un correo electrónico es aproximadamente tan confiable como la dirección de retorno en un correo físico: técnicamente puede escribir lo que desee allí, independientemente de lo bien que se confunde con la realidad.
Si realmente cree que el correo electrónico de su amigo ha sido pirateado, deberían cambiar la contraseña de esa cuenta de correo electrónico y la contraseña de todas las cuentas vinculadas a esa cuenta de correo electrónico. Si no pueden volver a ingresar a la cuenta, deben comunicarse con el proveedor de correo electrónico.