WEBサイト「問い合わせフォームから届くのは営業メールばかりで、本当のお客様の連絡が埋もれてしまう」「意味不明な英文や怪しいURLだけのメッセージが毎日のように来る」。会社やお店のホームページを運営していると、こうした悩みはとても身近です。
実はこの問題、単に「受信箱がうるさい」だけでは済まない場合があります。フォームの仕組みを悪用されると、自社のサーバーから見知らぬ第三者へ迷惑メールが送られてしまい、自社の普段のメールまで届かなくなることがあるのです。
この記事では、ホームページの問い合わせフォームを設置している中小企業の経営者・総務担当の方に向けて、スパムと営業メールの違い、放置したときのリスク、今日からできる対策を順番に解説します。専門用語はできるだけかみ砕き、レンタルサーバー会社やGoogle、IPA（情報処理推進機構）などが公開している情報をもとに整理しました。
問い合わせフォームに届く「迷惑な送信」は2種類ある
まず、フォームに届く困った送信は、性質の違う2種類に分けて考えると対策が立てやすくなります。
1. 機械（ボット）による自動送信のスパム
1つ目は、プログラムを使って世界中のフォームに自動で送りつけられるスパムです。英語やでたらめな文字列、怪しいサイトへのURLが入っていることが多く、人間ではなく「ボット」と呼ばれるプログラムが送信しているのが特徴です。
2. 人間が手作業・半自動で送る営業メッセージ
2つ目は、広告やWeb集客、人材紹介などの営業を目的としたメッセージです。文面は丁寧な日本語で、会社名も名乗っているため、一見すると本物の問い合わせと区別がつきにくいのが厄介な点です。
この2つは、効く対策が異なります。ボットのスパムは「機械を見分ける仕組み」で大きく減らせますが、人が送る営業は機械判定ではほとんど止まりません。「技術で止めるもの」と「運用で仕分けるもの」を分けて考えることが、遠回りに見えて一番の近道です。
放置すると危ない「自動返信メール」の悪用
特に注意したいのが、フォームの自動返信メールを悪用した迷惑メールの送信です。
エックスサーバーは2025年3月の注意喚起で、2025年1月頃から、WordPressの問い合わせフォーム用プラグインやPHP・Perlで作られたフォームを悪用し、利用者のサイトを経由して大量のスパムメールが不正送信される事例が急増していると案内しています。ロリポップ！も2022年1月に同様の注意喚起を出しており、特定のサーバーだけの話ではなく、以前から繰り返し起きている手口だといえます。
どういう仕組みで悪用されるのか
エックスサーバーのマニュアルによると、手口はこうです。悪意のある人物が、問い合わせ内容の欄にフィッシングサイトのURLや宣伝文を書き、連絡先の欄にまったく無関係な第三者のメールアドレスを入れて送信します。すると、フォームの自動返信機能が「お問い合わせありがとうございます」というメールを、その第三者に送ってしまいます。入力内容の控えが自動返信に含まれる設定だと、スパムの文面がそのまま届くわけです。
これをプログラムで何百回、何千回と繰り返されると、あなたの会社のサーバーが迷惑メールの送信元になってしまいます。
自社にはね返ってくる3つの影響
エックスサーバーは、不正送信による主な影響として次の点を挙げています。
- 自社のメールアドレスが迷惑メールの送信元として判定される
- 自社が送るメールが相手先で受信拒否される
- メール送信数が上限に達し、自社からメールが送れなくなる
つまり、見積書や請求書、採用の連絡など、日々の大切なメールに支障が出るおそれがあります。迷惑メールを受け取った人から見れば、送り主はあなたの会社のサイトです。信用の問題にもつながるため、「うちは小さい会社だから狙われない」とは考えないほうが安全です。
今日からできる対策①：ボットのスパムを技術で減らす
まずは、ボットによる自動送信を減らす方法です。
reCAPTCHAなどの「ロボット判定」を入れる
最も代表的なのが、Googleが提供するreCAPTCHA（リキャプチャ）です。エックスサーバーも推奨対策の1番目に「reCAPTCHA v3の導入」を挙げています。
Googleの公式ドキュメントによると、reCAPTCHA v3はユーザーに画像選びなどの操作をさせずに、送信ごとに0.0〜1.0の「スコア」を返します。1.0に近いほど人間らしく、0.0に近いほどボットの可能性が高いという判定です。お客様の手間を増やさずに導入できるのが利点です。
なお、画面の隅に表示される「reCAPTCHAのバッジ」を消したい場合は、Googleのプライバシーポリシーと利用規約へのリンクを含む所定の文言をフォームの近くに表示することが条件になっています。デザインの都合で消すときは、この点を忘れないようにしましょう。
reCAPTCHA以外にも、CloudflareのTurnstile（ターンスタイル）のような選択肢があります。公式ドキュメントでは、Cloudflareの配信サービスを使っていないサイトにも埋め込めること、多くの場合パズルなどを見せずに判定できることが説明されています。
自動返信メールの設定を見直す
次に大切なのが、自動返信の見直しです。エックスサーバーは、悪用されやすい自動返信機能を一時的に無効にすることも推奨しています。
ただし、同社のマニュアルでも触れられているとおり、自動返信をやめると、本物のお客様にも受付完了のメールが届かなくなり、不安を与える可能性があります。そこで次のような折衷案も検討しましょう。
- 自動返信を残す場合は、入力内容の控えを載せず、定型文だけにする
- 送信完了画面に「〇営業日以内にご連絡します」など、次の流れをはっきり表示する
- ロボット判定を入れたうえで、送信数が急に増えていないか定期的に確認する
フォームのプログラムを最新に保つ
WordPressのプラグインや、昔ながらのPHP・CGIのフォームは、古いまま放置すると弱点を突かれやすくなります。IPAの「安全なウェブサイトの作り方」では、入力欄の細工によって送信先を勝手に追加され、迷惑メールの中継に使われる「メールヘッダ・インジェクション」という弱点が紹介されており、問い合わせページやアンケートが影響を受けるとされています。
IPAは対策として、宛先や件名などを固定値にし、入力内容はメール本文にだけ出すこと、HTMLの中に宛先を書かないことなどを挙げています。自社で判断が難しい場合は、「いつ・誰が作ったフォームか」を確認し、制作会社に点検を依頼するのが確実です。
今日からできる対策②：営業メールは「運用」で仕分ける
人が送ってくる営業メッセージは、技術だけでは止めきれません。ここは運用ルールで負担を減らします。
フォームの入口で意思表示をする
フォームの上部や送信ボタンの近くに「営業・勧誘目的のご連絡はご遠慮ください」と明記しておきましょう。すべてが止まるわけではありませんが、意思を示すだけでも一定の抑止になります。
あわせて、問い合わせの種類を選ぶ項目（「お見積り」「採用について」「その他」など）を設けると、受け取った側が優先順位をつけやすくなります。営業の方には「その他」を選んでもらう、といった整理も可能です。
メールアドレスを公開するなら一言添える
フォームとは別に、サイトにメールアドレスを載せている会社も多いでしょう。総務省の資料では、広告宣伝メールは原則として事前に同意した相手にしか送れない一方、インターネットでメールアドレスを公表している相手には、例外として同意なしで送れる場合があると説明されています。
ただし、アドレスの公表とあわせて広告宣伝メールの送信をしないよう求める旨を公表している場合は、同意なく送ることはできないとされています。アドレスを掲載するなら、そばに「広告・宣伝メールの送信はお断りします」と添えておくとよいでしょう。
社内の対応ルールを決めておく
最後に、受け取った後のルールです。たとえば次のように決めておくと、担当者が迷わずに済みます。
- 本物の問い合わせ（見積り・予約・取引先からの連絡）は当日中に一次返信する
- 営業メッセージには返信せず、必要なものだけ担当部署に転送する
- 不審なURLや添付ファイルは開かずに削除し、判断に迷ったら相談する
フォーム経由のメッセージにフィッシングサイトへの誘導が含まれていることもあるため、慌ててURLを開かないよう社内で共有しておきましょう。
まずはここから：問い合わせフォーム点検チェックリスト
自社のフォームの状態を確認するために、次の項目をチェックしてみてください。
- フォームにreCAPTCHAなどのロボット判定が入っている
- 自動返信メールに、入力内容の控えがそのまま載らない設定になっている
- WordPress本体・フォームのプラグイン・テーマが最新版になっている
- 誰がいつフォームを作ったか、管理者がわかっている
- 「営業目的のご連絡はご遠慮ください」の表示がある
- 公開しているメールアドレスの近くに、広告メールお断りの表記がある
- 届いた問い合わせへの返信ルールが社内で決まっている
1つでも「わからない」「できていない」があれば、早めの見直しがおすすめです。特に、自動返信の悪用は気づかないうちに進んでいることがあります。「最近、迷惑メールの不達通知が増えた」「取引先にメールが届かないと言われた」といった変化があれば、フォームが原因の可能性も疑ってみてください。
まとめ：フォームは「お客様との大切な入口」
問い合わせフォームは、見込み客と会社をつなぐ大切な入口です。ボットのスパムはロボット判定と自動返信の見直しで減らし、人が送る営業メッセージは表示と社内ルールで仕分ける。この2段構えで、本当に大切なお問い合わせを取りこぼさない状態をつくりましょう。
WEBeffectでは、問い合わせフォームのスパム対策、reCAPTCHAの導入、WordPressやプラグインの更新、自動返信メールの見直しなどをご相談いただけます。「自社のフォームが安全かわからない」「設定画面を見てもよくわからない」という段階でもかまいません。初回のご相談と概算のお見積りは無料です。お気軽に下記よりお問い合わせください。
