При всём моём уважении, во-первых, хочу кое-что разъяснить, потому что мне кажется, вы кое-что путаете.
1. Один уровень авторизации, более низкий, по MAC-адресу. Обычно применяется в локалках: а) можно подключить комп, имеющий только конкретный сетевой адрес; б) доступ к Интернет и любым другим протоколам (на внешние ресурсы) - принцип тот же - тот MAC - подключены, не тот - всё, только локальные ресурсы.
2. Второй уровень авторизации - более высокий - пароль на прокси-сервере. Грубо говоря, только веб-сёрфинг по HTTP.
Так вот, может быть один способ, или другой, или вместе.
Согласно первой части вашего вопроса, был п. 1б.
Далее. Вы утверждаете, что стало ещё плюс п. 2.
Такое маловероятно, однако всё же может быть в трёх случаях: 1) вы неправильно определили проблему и/или не всё сказали. 2) человек с большим трафиком - (сис)админ и/или работает у провайдера и/или имеет там завязки. 3) опционально, по желанию клиента, такая услуга иногда предоставляется провайдером и "человек с большим трафиком", видя, что его трафик воруют, ей воспользовался.
Мне сдаётся, что не 3).
Однако, если считать, что не 1), то во-вторых, собственно ответ: снифать трафик чем угодно, что весьма практикуется в локалках. Учитывая, что вы "доросли" до кражи маков и change MAC address такой информации вам достаточно.