お問い合わせフォームに迷惑メールが大量発生——reCAPTCHAだけでは止まらなかった話と、確実に止めた方法

先日、当社サイトのお問い合わせフォームに、1分おきにボットからの迷惑メールが届くという事態が起きました。差出人名も会社名も本文もすべてランダムな英字、しかも同じ内容が2通ずつ——典型的な自動投稿スパムです。この記事では、実際にどう原因を切り分け、どう止めたかを手順ごとに公開します。同じ症状でお困りの方の参考になれば幸いです。

何が起きていたか

届いていたのは、差出人名が「XGAREgdKHqwdsIXUA」のようなランダム英字、フリガナ欄に「PZKDOEtfjEvakJMCD」（本来カナを入れる欄に英字）、依頼内容のチェックボックスが全部オン、本文は意味のないランダム文字列——というメールでした。これが数分おきに連投され、本物の問い合わせが埋もれる状態でした。原因は明確で、フォームにスパム対策が何も入っていなかったこと。ボットにとっては入り放題だったわけです。

対処その1：reCAPTCHA v3を導入——が、止まらない

まず定番の Google reCAPTCHA v3（不可視型・ユーザー操作不要）を導入しました。ところが、設定後も迷惑メールは減りませんでした。

調べて分かったのは、reCAPTCHA v3は「人間らしさ」をスコアで判定する仕組みで、立ち上げたばかりのサイトでは判定が甘く、ボットを取りこぼしやすいということ。実際、ブラウザを自動操作する高度なボットは、正規のスコアを取得して通過してしまっていました。「reCAPTCHAを入れたのに減らない」というご相談は、多くがこのパターンです。

対処その2：ボットが答えられない「クイズ」を追加——これで止まった

そこで、簡単な計算クイズ（例：5 + 3 = ?）をフォームに1問追加しました。答えはサーバー側で照合されるため、ランダム文字列を入れるボットは突破できません。

reCAPTCHA v3（不可視の一次フィルタ）と、クイズ（確実な最終関門）の二段構えにしたことで、自動投稿はほぼ止まりました。

この事例からの学び（中小企業向け）

• reCAPTCHA v3は「入れれば安心」ではない。特に新規サイトは判定が甘く、単体では取りこぼす。
• 確実に止めたいなら、ボットが突破できない「関門」を1つ足す。計算クイズのほか、Cloudflare Turnstileのような対話型チャレンジも有効。
• UXとのバランスを取る。クイズは1問だけ・簡単な計算にとどめ、本物のお客様の手間は最小限に。
• 「問い合わせが来ない」より「迷惑メールに埋もれて見逃す」ほうが機会損失は大きい。フォームは作って終わりではなく、運用で守るもの。

フォームそのものの設計で避けたい落とし穴は フォーム設計でやってはいけない10のこと にもまとめています。あわせてどうぞ。

まとめ

スパム対策は「reCAPTCHAを入れる」だけで終わりがちですが、相手（ボット）の手口によっては、それだけでは止まりません。原因を切り分け、確実な関門を一つ足す——地味ですが、これが一番効きます。

TANTOMAでは、サイト制作だけでなく、こうした公開後の運用トラブル（スパム対策・表示速度・セキュリティ）の改善もお手伝いしています。「フォームに迷惑メールが止まらない」「reCAPTCHAを入れたのに減らない」とお困りなら、お問い合わせ からお気軽にご相談ください。

この記事を書いた人

TANTOMA代表 亀田
大阪のWeb制作・ブランディング会社 TANTOMA 代表。上級ウェブ解析士。880社超の制作・改善に携わり、デザインとデータの両面から中小企業の集客・採用を支援。