問い合わせフォームに迷惑メールが大量に来るときの対策7つ

問い合わせフォームに届く迷惑メールには、英語の宣伝、意味のない文字列、怪しいリンクを書いたものなど、さまざまな種類があります。多くは自社に届くだけですが、なかにはフォームの自動返信を悪用され、自社のサーバーから無関係な第三者に迷惑メールを送らされているものもあります。

迷惑メールの種類と原因を把握すると、手間をかけずに止める方法を迷わず選べます。自動返信を悪用されると、自社のメールが取引先に届かなくなることがあるため、届くだけかどうかの見極めが重要です。

本記事では、まず確かめることの早見表、迷惑メールが届く原因と放置の危険、自社のフォームが悪用されていないかの確かめ方をまとめています。さらに、手間の少ない順に並べた対策7つと、やってはいけないこと、専門家に相談すべき条件も紹介します。

問い合わせフォームに迷惑メールが大量に来るときの早見表

問い合わせフォームに迷惑メールが大量に来るときは、まず自動返信を悪用されていないかを確かめることが重要です。自社に届くだけなら不便で済みますが、自動返信の悪用は自社のメール全体に影響するためです。

ここでは、届いているメールの状態から、考えられる状況と最初にやることを判断する表を紹介します。

届いているメールの状態	考えられる状況	緊急度	最初にやること
「名前」や「本文」にURLや宣伝文があり、アドレス欄が毎回違う	自動返信の悪用（第三者にスパムを送らされている）	高	自動返信を止める
宛先不明などのエラーメールが大量に戻ってくる	自動返信の悪用	高	自動返信を止め、サーバー会社の連絡を確かめる
英語の宣伝や意味のない文字列が届くだけ	ボットによる自動送信	中	reCAPTCHA などを入れる
自社の商品やサービスへの営業の連絡が多い	人が送る営業メール	低	送信完了の画面や入力欄の案内で、営業はお断りと書く

※緊急度は、自社のメールの送信や取引先との連絡への影響の目安です

1行目か2行目に当てはまる場合は、今日のうちに自動返信を止めてください。

問い合わせフォームに迷惑メールが届く原因と放置の危険

問い合わせフォームに迷惑メールが届く原因は、ほとんどがボット（自動でフォームに入力・送信するプログラム）です。ボットはネット上のフォームを自動で探し、手当たり次第に送信するため、規模の小さい会社のHPも対象になります。

ここでは、ボットによる送信と自動返信の悪用の仕組み、放っておくと起きることを紹介します。

ボットが自動でフォームに送信している

フォームに届く迷惑メールの多くは、人ではなくボットが送っています。人とボットを見分ける仕組みがないフォームは、プログラムで簡単に送信できるためです。たとえば、英語の宣伝や、外国のサイトへのリンクを書いたメッセージが、毎日同じ時間帯にまとめて届く場合が該当します。

ただし、ボットの送信が届くだけなら、自社のサーバーが悪用されているわけではありません。

自動返信を悪用され、第三者にスパムを送らされる

自動返信の悪用とは、フォームの連絡先の欄に無関係な第三者のアドレスを入れて送信し、自動返信でその人にスパムを届けさせる手口です。エックスサーバーのマニュアルでは、悪意のある人が問い合わせ内容の欄にフィッシングサイトのURLや宣伝を書き、自動返信がその内容ごと第三者に送ってしまう仕組みが説明されています。

たとえば、自動返信のメールに「お名前」や「お問い合わせ内容」がそのまま書き込まれる設定のフォームは、悪用されやすい状態です。ロリポップ！も2025年3月5日の注意喚起で、手口はロリポップ！に限らず、フォームを置いているほかのサイトも対象になりうるとしています。

放っておくと起きること

フォームの迷惑メールを放っておくと、業務と取引先との連絡に影響が出ます。特に自動返信の悪用は、自社のサーバーが迷惑メールの送り元として扱われるためです。

エックスサーバーとロリポップ！が挙げている影響は、以下のとおりです。

• 契約プランのメール送信数の上限に達し、必要なメールが送れなくなる
• サーバーのIPアドレス（ネット上の住所）の評判が下がり、ブラックリストに登録されるおそれがある
• 無料のメールサービスなどから受信を拒否される
• 本当の問い合わせが埋もれ、返信が遅れる

会社のメールが取引先や Gmail に届かなくなる原因はほかにもあります。メールの設定は会社のメールが Gmail に届かない原因（送信者ガイドライン）を見てください。

自社のフォームが悪用されていないか確かめる方法

対策を選ぶ前に、自社のフォームの仕組みと、悪用の兆候を確かめることが重要です。自動返信があるか、どの部品で作られているかによって、止め方が変わるためです。

ここでは、自社でできる確認を3つ紹介します。

【確認1】フォームの仕組みを把握する

最初に、HPのどこに、何で作ったフォームがあるかを把握します。フォームは問い合わせだけとは限らず、資料請求・採用応募・予約など複数あることが多いからです。

【確認ポイント】

• HPのどこにフォームがあるか（ひとつとは限らない）
• 何で作られているか（WordPress のプラグイン、サーバー会社のフォーム機能、制作会社が作ったプログラム）
• 送信した人に自動返信メールが届くか
• 自動返信メールに、入力された内容がそのまま書き込まれるか

自分のアドレスで実際にフォームを送ってみると、自動返信の有無と中身が分かります。フォームを誰が作ったか分からない場合は、制作会社に確認してください。

【確認2】自動返信の悪用の兆候を見る

届いた迷惑メールの書き方と、サーバー会社からの連絡を確かめます。自動返信の悪用には、ボットが送るだけの迷惑メールとは違う特徴があるためです。

【確認ポイント】

• 「名前」や「本文」の欄に、URLや宣伝文が書かれていないか
• 「メールアドレス」の欄が、毎回違う実在しそうなアドレスになっていないか
• 宛先不明などで戻ってきたエラーメールが大量に届いていないか
• サーバー会社から、大量送信や送信の制限の連絡が来ていないか

ひとつでも当てはまれば、自動返信の悪用を前提に、すぐ対策してください。ロリポップ！は、不正な大量送信を検知した場合に、フォームを表示しないようにしたり、アカウントを止めたりする措置をとることがあるとしています。

【確認3】改ざんの兆候を見る

フォームの迷惑メールそのものは改ざんではありませんが、あわせてHP全体の状態も確かめます。エックスサーバーのマニュアルでも、WordPress・プラグイン・テーマの更新、脆弱性の確認、身に覚えのないファイルがないかの確認が対策として挙げられているためです。

たとえば、フォームに何も入力していないのにメールが送られている場合は、フォーム以外の場所から送信されている可能性があります。ほかの症状も含めた点検はホームページがおかしい？ 改ざんの症状を見分けるチェック表と初動にまとめています。改ざんが見つかった場合の動き方はHPが改ざんされたときに最初にやることを見てください。

問い合わせフォームの迷惑メール対策7つ【手間の少ない順】

問い合わせフォームの迷惑メール対策は、1つに頼らず、手間の少ないものから組み合わせることが効果的です。ボットの手口は変わり続けるため、1つの対策だけでは防ぎきれないことがあるからです。

ここでは、7つの対策の効果と注意点を表で比べたうえで、1つずつ紹介します。

対策	効果	気をつけること
1. 自動返信を止める	第三者へのスパム送信を確実に止める	本当の問い合わせにも受付完了メールが届かない
2. reCAPTCHA を入れる	人とボットを見分け、機械的な送信を防ぐ	設定に Google のアカウントが要る
3. ほかの判定の仕組みを使う	画像のパズルなしでボットを見分ける	フォームの部品が対応しているか確かめる
4. 入力欄を工夫する	単純なボットの送信を減らす	入力しにくくすると問い合わせも減る
5. 受信側でふり分ける	届いた迷惑メールを目に入りにくくする	送信そのものは止まらない
6. 海外からのアクセスを制限する	海外からの機械的な送信を減らす	海外のお客さまが送れなくなる
7. フォームを更新し、使わないフォームを消す	古いプログラムの悪用を防ぐ	制作会社との調整が要ることがある

エックスサーバーは reCAPTCHA の導入、自動返信の無効化の順に、ロリポップ！は自動返信の無効化、reCAPTCHA の導入、海外IPの制限の順に記載しています。自動返信の悪用が疑われるときは、まず自動返信を止めて被害を止め、reCAPTCHA などを入れてから戻す順番が確実です。

【対策1】自動返信を止める

自動返信の悪用が疑われるときは、自動返信を止めることが最も確実です。自動返信が止まれば、第三者のアドレスを入力されても、自社のサーバーからスパムが送られないためです。

WordPress の Contact Form 7（よく使われるフォームのプラグイン）の場合、エックスサーバーのマニュアルでは次の手順が案内されています。

1. 管理画面の「お問い合わせ」→「コンタクトフォーム」で、対象のフォームの「編集」を開く
2. 「メール」タブの「メール (2) を使用」のチェックを外す
3. 「保存」を押す

※2026年10月時点・エックスサーバー マニュアルより

ただし、止めている間は、送信完了の画面に「◯営業日以内に担当者からご連絡します」などと書き、問い合わせた人が不安にならないようにしてください。

【対策2】reCAPTCHA を入れる

reCAPTCHA は、Google が提供する、フォームに送信しているのが人かボットかを見分ける仕組みです。エックスサーバーとロリポップ！がどちらも対策に挙げており、ボットによる大量の送信をまとめて減らせるためです。

エックスサーバーのマニュアルでは、Contact Form 7 に reCAPTCHA（v3）を入れる手順が次のように案内されています。

1. Google reCAPTCHA の管理画面で、「ラベル」「reCAPTCHA タイプ」（「スコアベース（v3）」）「ドメイン」を入れて登録する
2. 表示された「サイトキー」と「シークレットキー」を控える
3. WordPress の管理画面の「お問い合わせ」→「インテグレーション」で reCAPTCHA の設定を開き、2つのキーを入れて「変更を保存」を押す
4. HPの右下に reCAPTCHA のマークが出れば完了

※2026年10月時点・エックスサーバー マニュアルより

Google Cloud の公式ドキュメントでは、reCAPTCHA の Essentials は組織ごとに月10,000件の評価まで無料で、有効な支払い方法の登録が必要とされています（2026年10月時点）。ロリポップ！は reCAPTCHA の設定方法をサポートの対象外としているので、作業に自信がなければ制作会社や保守会社に頼んでください。

【対策3】ほかの判定の仕組みを使う

人とボットを見分ける仕組みは、reCAPTCHA のほかにもあります。たとえば Cloudflare の Turnstile は、訪問者に画像のパズルなどを解かせずに判定する仕組みで、無料のプランがあります（2026年10月時点・Cloudflare 公式サイトより）。

ただし、使っているフォームのプラグインやプログラムが対応しているかを、先に確かめてから選んでください。

【対策4】入力欄を工夫する

入力欄の工夫でも、単純なボットの送信を減らせます。ボットの多くは、決まった形のフォームに機械的に入力するためです。

入力欄の工夫の例は、以下のとおりです。

• 必須の項目を設ける（会社名・電話番号など）
• 本文の文字数に上限を設ける
• 人には見えない入力欄（ハニーポット）を置き、入力された送信をはじく
• 送信用と受信用のメールアドレスを分ける

ただし、入力の手間を増やしすぎると、本当の問い合わせも減ります。項目は必要なものだけにしましょう。

【対策5】受信側でふり分ける

届いた迷惑メールは、メールソフトやメールサービスのフィルタでふり分けられます。本当の問い合わせが埋もれるのを防ぐには、受信側の対策も役に立つためです。

たとえば、サーバー会社の迷惑メールフィルタをオンにする、特定の言葉を含むメールを別のフォルダに移す設定があります。ただし、受信側の対策では送信そのものは止まらないので、自動返信の悪用には効きません。

【対策6】海外からのアクセスを制限する

海外のIPアドレスからのアクセスを制限すると、海外からの機械的な送信を減らせます。ロリポップ！は、不正なアクセスの多くが海外のIPアドレスから来ているとして、.htaccess（サーバーの動きを決める設定ファイル）での制限を検討するよう案内しています。

たとえば、サーバー会社によっては、管理画面に海外からのアクセスを制限する機能があります。ただし、設定を誤るとHP全体が表示されなくなることがあり、海外のお客さまからは送れなくなるので、慣れていなければ専門家に頼んでください。

【対策7】フォームを更新し、使わないフォームを消す

フォームのプラグインやプログラムを新しく保ち、使わないフォームを消すことも対策です。古いフォームのプログラムに脆弱性（ソフトの欠陥）が見つかると、迷惑メールの送信に悪用されることがあるためです。

たとえば、昔のキャンペーンで作ったフォームがHPのメニューから外れたまま、サーバーに残っていることがあります。更新が止まったプラグインは、更新が止まった WordPress プラグインの見分け方と、代わりの探し方を参考に見直してください。

フォームの迷惑メール対策でやってはいけないこと

フォームの迷惑メールに対処するときは、届いたメールへの反応や、中途半端な削除で被害を広げないことが重要です。迷惑メールの中には、フィッシングサイトへのリンクや、無関係な第三者のアドレスが含まれているためです。

ここでは、やってはいけないことを表で紹介します。

やってはいけないこと	困ること
届いたメールのURLを開く	フィッシングサイトや不正なファイルにつながることがある
迷惑メールの送り主に返信する	入力されたアドレスは無関係な第三者のものであることが多く、さらに迷惑をかける
メニューからフォームを外して終わりにする	サーバーにプログラムが残り、URLを知っている人に使われ続ける
自動返信を止めたまま忘れる	本当の問い合わせをした人に受付の連絡が届かないままになる

上記を避け、使わないフォームはファイルごと削除するか、制作会社に止めてもらってください。フォームで受け取った個人情報の守り方は問い合わせフォームから個人情報が漏れないように（Contact Form 7 ほか）で解説しています。

フォームの迷惑メールで専門家に相談すべきとき

自動返信の悪用で業務に影響が出ている場合や、フォームの仕組みが分からない場合は、専門家に相談したほうが早く確実に止められます。フォームの設定とサーバーのメールの状態を、まとめて確かめる必要があるためです。

ここでは、専門家に相談すべき条件を紹介します。

【相談すべき条件】

• サーバー会社から大量送信や送信の制限の連絡が来ている
• 取引先からメールが届かないと言われている
• フォームが何で作られているか分からない
• フォームに入力していないのに、メールが送られている

すでに業務に影響が出ているなら、ひとりで抱え込まずに相談してください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• 問い合わせフォームの迷惑メールには、自社に大量に届くだけのものと、自動返信を悪用されて第三者に送らされるものがある
• 自動返信の悪用は、送信上限やブラックリストで、取引先へのメールまで届かなくなるおそれがある
• 悪用が疑われたら、まず自動返信を止め、reCAPTCHA などを入れてから戻す
• reCAPTCHA の Essentials は月10,000件の評価まで無料。設定に自信がなければ制作会社や保守会社に頼む

まずは自分のアドレスでフォームを送ってみて、自動返信の有無と中身を確かめてください。