問い合わせフォームにスパムが届く原因と対策｜本物のリードを守る

「朝の通知が40件あるが、そのほとんどが海外からの勧誘だ」「本物の問い合わせを探すのに手間取り、返信が半日遅れた」——問い合わせの窓口を持つ部署で広がっている状態です。迷惑な送信の実害は、対応の手間が増えることではありません。担当者が通知を信用しなくなり、本物の連絡が埋もれることです。この記事では、窓口が狙われる仕組みと、対策を足していく順番を整理します。

放置すると本物のリードが埋もれる

スパムの問題を「迷惑だが実害はない」と評価すると、対策が後回しになります。実際の損失は、リードへの対応品質に現れます。BtoBでは問い合わせから最初の連絡までの時間が商談化率に直結するため、この遅れは売上に影響します。

具体的に起きるのは3つです。1つ目は対応の遅れで、大量の通知の中から本物を探す時間が発生します。2つ目は見落としで、スパムに埋もれた本物の問い合わせが処理されずに終わります。3つ目は通知の無効化です。担当者が通知メールを開かなくなり、フォームからの連絡が実質的に機能しなくなります。

加えて、蓄積したデータの質も落ちます。スパムがCRMやMAに自動で登録される設定になっていると、リード数の数字が水増しされます。スパムがリードとして登録されると、リード獲得数という指標そのものが信用できなくなるという問題が起きます。

なぜフォームが狙われるのか

対策を選ぶ前に、何が起きているかを知っておくと判断が早くなります。フォームへの自動送信は、特定の企業を狙ったものではありません。

実行しているのは、Web上を巡回してフォームを探し、見つけたら機械的に送信するプログラムです。送信先を選んでいるわけではなく、フォームが存在するという条件だけで対象になります。そのため、公開したばかりのサイトにも数日でスパムが届き始めます。アクセス数の少ないサイトが対象外になることはありません。

送信の目的は複数あります。バックリンクの獲得、サービスの宣伝、ウイルスを含むファイルの送付、そしてフォームを踏み台にして第三者にメールを送る攻撃です。最後のものは自社が加害者側になるため、対策の優先度が高くなります。スパム対策はリード品質の問題であると同時に、セキュリティの問題でもあるという認識が必要です。

送信の量が急に増えることもあります。ある日を境に件数が10倍になり、翌週には元に戻る。これは特定のプログラムが自社のフォームを対象リストに入れた期間に起きる現象です。件数の急増は自社サイトに何か問題が起きた合図ではなく、外部の事情で変動する性質のものです。慌てて設定を大きく変えるより、記録を取りながら段階的に対策を足す方が安全です。ただし、フォームを踏み台にした送信が疑われる場合は、自動返信の設定を先に止めてください。

届くスパムの3タイプ

届いているものを分類すると、対策の効果が測りやすくなります。タイプによって効く対策が違います。

1つ目は完全な自動送信です。意味の通らない文字列や英文が入り、名前欄にランダムな文字が並びます。このタイプは機械的な判定で高い精度で防げます。2つ目は人が送っている営業メールです。海外の制作会社やSEO業者からの勧誘で、文章として成立しています。

3つ目は、自動と手動の中間です。プログラムで送信しているが、文章はある程度整っており、送信先に合わせた内容が入ります。1つ目は技術で止められ、2つ目は技術では止めにくいという違いを理解しておく必要があります。営業メールを完全に止めることはできず、届いた後の振り分けで対応する領域です。

対策1：ハニーポット

最初に検討すべきなのがハニーポットです。利用者に一切の負担をかけず、実装も軽い手法です。

ハニーポットとは、人間には見えないようにCSSで隠したダミーの入力欄をフォーム内に設ける手法です。スパムを送るプログラムはすべての入力欄を機械的に埋めようとするため、見えないダミー欄に入力があれば人間ではないと判断できます。この判定でフォームの送信をブロックします。

利点は、正規の利用者が何も操作しなくてよいことです。追加の認証もクリックも発生しません。利用者の負担がゼロで一定の効果がある手法から入れるのが順序として正しいという理由で、最初の対策に向きます。多くのフォーム作成ツールやプラグインに標準機能として備わっています。

限界も理解しておく必要があります。ハニーポットの仕組みは知られているため、それを避けて送信するプログラムには効きません。単純な自動送信は止まりますが、精度の高い攻撃には通用しません。それでも入れる価値があるのは、費用が発生せず、利用者への影響もなく、届く件数の一定割合が確実に減るためです。設定を有効にするだけで効果が出るなら、他の対策を検討する前にまず入れておくのが合理的な判断になります。ダミー欄の名前は推測されにくいものにしてください。

対策2：CAPTCHA系と費用の変化

次に検討されるのがCAPTCHA系の仕組みです。ここは近年、費用の条件が変わっている点に注意が必要です。

従来はGoogleのreCAPTCHAが標準的な選択でしたが、Google Cloudへの統合により無料枠が縮小し、従量課金制に移行しているため、一定以上のトラフィックでは有料となるケースが発生しています。以前の情報をもとに「無料で使える」と考えて導入すると、想定外の費用が発生する可能性があります。

加えて、効果の面でも変化があります。AIを利用してCAPTCHAを突破しようとする動きも活発化しており、CAPTCHAだけに頼る構成は以前より弱くなっています。CAPTCHAは対策の1つであって、それだけで完結する手段ではないという前提で組み合わせを考えます。

Turnstileという選択肢

reCAPTCHAの代替として広く使われ始めているのが、Cloudflareが提供するTurnstileです。費用と利用者体験の両面で検討する価値があります。

Turnstileは無料で利用でき、利用者にパズルを解かせない形式です。Contact Form 7では公式に統合機能として提供されており、reCAPTCHAに強い理由がなければTurnstileを選ぶという判断も取りやすくなっています。WordPressでフォームを運用している場合、乗り換えの手間は小さくなります。

選ぶ際の確認点は、自社のフォームツールが対応しているかどうかです。対応していない場合は実装の工数が発生します。いま使っているフォームツールの対応状況を確認してから選ぶのが手戻りを防ぐ順序です。既存の設定を残したまま並行して試せる場合もあります。

対策3：レートリミットとWAF

送信の回数や経路そのものを制限する対策もあります。フォーム側ではなく、サーバーやネットワーク側の対策です。

レートリミットは、同じ送信元から短時間に大量の送信があった場合に制限をかける仕組みです。自動送信は短時間に集中する傾向があるため、この制限が効きます。正規の利用者が1日に何度もフォームを送ることは稀なため、誤って止める確率は低くなります。

WAFは、不正なパターンを含む通信を遮断する仕組みです。フォームだけでなくサイト全体を守る役割を持ちます。フォーム単体の対策とサーバー側の対策は、守る範囲が違うため両方が必要という位置づけです。レンタルサーバーの機能として提供されている場合、設定を有効にするだけで済むことがあります。

対策4：入力内容のパターン判定

届いた内容を見て振り分ける対策もあります。技術で止めきれない営業メールに対して、実務的に効く方法です。

判定に使える条件はいくつかあります。本文に日本語が含まれていない、URLが複数含まれている、特定の語が含まれている。これらの条件で自動的に別フォルダへ振り分ければ、担当者が見る通知を本物に近づけられます。完全に削除せず、別フォルダに退避させるのが安全です。

あわせて、フォームの必須項目を工夫する方法もあります。日本語での入力を前提とした項目を必須にすると、自動送信は通りにくくなります。止めるのではなく振り分ける、という発想に切り替えると打ち手が増えるという考え方です。誤判定があっても、退避先を確認すれば取り戻せます。

振り分けの条件は、実際に届いたものを見ながら少しずつ足していきます。最初から精密な条件を作ろうとせず、明らかなものから1つずつ。1週間に1度、退避先を確認して本物が混ざっていないかを見る運用にすれば、条件の精度を安全に上げられます。3か月ほど続けると、自社に届くスパムの型が見えてきて、条件が安定します。この作業は担当者が変わっても引き継げるよう、設定した条件と理由をメモに残しておいてください。

対策の組み合わせ方

複数の対策をどう組み合わせるかを整理します。1つで完結する手段はないため、複数を重ねるのが前提です。

対策	止められるもの	利用者の負担	導入の手間
ハニーポット	単純な自動送信	なし	小（標準機能が多い）
Turnstile	自動送信の大半	ほぼなし	小〜中
レートリミット	大量送信	なし	中（サーバー設定）
WAF	不正な通信全般	なし	中（契約による）
内容の振り分け	人が送る営業メール	なし	小（メール側の設定）

この表の順に導入するのが実務的です。利用者の負担が小さく導入の手間も小さいものから入れ、効果を見て次を足します。最初から全部を入れると、どれが効いたか分からず、正規の利用者が離脱した場合の原因も特定できません。

AIを利用してCAPTCHAを突破しようとする動きが活発化しているため、ハニーポット、レートリミット、WAF、Bot挙動分析といった他の対策との併用が必要になってきています。1つの手段に依存せず、複数を重ねる構成が現在の前提です。

導入の手順

実際に手を動かす順番を示します。1つずつ入れて効果を確認する形にしてください。

1番目を飛ばさないでください。導入前の件数を記録していなければ、対策が効いたかどうかを判断できません。感覚的に「減った気がする」で終わり、次の判断ができなくなります。

3番目の後の確認も重要です。認証を追加したことで正規の送信が止まる事故は実際に起きます。設定変更のたびに自分でフォームを送信して通ることを確認するという手順を、毎回入れてください。

やりすぎると本物が離脱する

対策を強化する方向には限界があります。強くしすぎると、防ぎたかったものより大きな損失が発生します。

最も避けたいのは、正規の訪問者がフォームを送れずに離脱することです。認証の操作が煩わしい、何度やっても通らない、エラーの理由が分からない。この状態は問い合わせ数の減少として現れます。しかも、離脱した訪問者は連絡してこないため、原因に気づけません。

判断の基準は、正規の利用者が意識せずに通れるかどうかです。スパムを10件減らすために本物を1件失うなら、その対策は損という計算をしてください。入力項目を増やしてスパムを防ぐ方法は、この観点では慎重に扱うべきです。

特に注意したいのは、スマートフォンからの送信です。認証の操作は画面が小さいほど失敗しやすく、通信環境によっては読み込みに時間がかかります。パソコンで確認して問題がなくても、スマートフォンでは通らないという状態が起こりえます。BtoBでも問い合わせの一定割合はスマートフォンから届くため、両方の環境で送信テストを行ってください。移動中に思い立って問い合わせる人を取りこぼす設計は避けたいところです。

自動返信メールの扱い

フォーム送信後の自動返信メールは、スパム対策の観点でも見直す価値があります。設定次第で、自社が加害者になる経路になります。

問題になるのは、入力されたメールアドレスに無条件で自動返信を送る設定です。攻撃者が第三者のアドレスを入力すると、自社のサーバーから無関係な相手にメールが送られます。これが大量に行われると、自社の送信ドメインの評価が落ち、正規のメールが届かなくなる可能性があります。

対策としては、認証を通過した送信のみ自動返信を送る設定にすること、送信の回数に上限を設けることが挙げられます。自動返信は便利な機能だが、無条件に送る設定は見直す対象です。設定画面を一度確認してください。

やりがちな失敗

スパム対策で見られる失敗を挙げます。いずれも善意の判断が裏目に出る形です。

• スパムを自動削除する：誤判定で本物が消えても気づけません。別フォルダへの退避にします
• フォームの入力項目を増やして防ぐ：正規の利用者の離脱が増え、問い合わせ数が減ります
• 対策を一度に全部入れる：どれが効いたか分からず、離脱が起きても原因を特定できません
• 導入後に自分で送信テストをしない：正規の送信が止まっていることに数週間気づかない事例があります

4つ目は最も損害が大きい失敗です。フォームが機能していない期間は、問い合わせがゼロになります。設定を変更した日に必ず自分で送信し、通知が届くことを確認してください。月に1度の定期確認も有効です。

• フォームの送信テストは、社外のメールアドレスからも行う。社内からの送信だけでは経路が異なる場合がある
• スパムの件数は月ごとに変動する。1週間の数字だけで判断せず、1か月単位で見る

効果の測り方

対策の効果は、件数の変化だけでは測れません。見るべき指標を決めておきます。

測るのは3つです。届くスパムの件数、本物の問い合わせの件数、そしてフォームの表示回数に対する送信数の比率です。3つ目が下がっていれば、対策が正規の利用者を止めている可能性があります。

あわせて、担当者が通知を確認しているかも見ます。スパムが減れば通知を開く習慣が戻り、初動が速くなります。最終的に測りたいのは、問い合わせから最初の連絡までの時間です。この時間が短くなっていれば、対策の目的は達成されています。件数の削減はそのための手段にすぎません。

記録の方法は簡単で構いません。月に1度、フォームからの受信件数と、そのうち本物だった件数を数えるだけです。この2つの数字を並べて記録しておけば、対策の効果と再発を数字で追えます。スパムの手法は変わるため、いま効いている対策が半年後も同じ効果を出すとは限りません。数字が悪化したら追加の対策を検討する、という運用にしておけば、気づいたときに手遅れという状況を避けられます。

フォーム以外の入口も同じ設計にする

スパムが届く経路はフォームだけではありません。公開しているメールアドレス、資料ダウンロードの申込、セミナーの申込フォーム。これらも同じ攻撃の対象になります。フォームだけ対策して安心すると、別の経路から同じ問題が起きます。

特に見落とされやすいのが、資料ダウンロードのフォームです。問い合わせフォームには対策を入れたが、資料請求のフォームは別のツールで作っていて対策が入っていない、という状態がよく見られます。サイト上のフォームを一覧にして、それぞれの対策状況を確認してください。数が多い場合は、リードとして登録される経路を優先します。

公開しているメールアドレスも経路になります。サイトに文字列としてアドレスを書いている場合、収集の対象になります。メールアドレスを画像にする、記号を全角にするといった対策は現在では効果が限定的とされています。アドレスを公開せずフォームに集約するほうが、対策を一元化できます。ただし、フォームだけにすると連絡手段が減るため、事業の性質と照らして判断してください。

よくある質問

スパムは完全に止められますか？

自動送信の大半は止められますが、人が送っている営業メールは技術では止まりません。目標は完全な遮断ではなく、担当者が通知を確認できる件数まで下げることです。1日40件のうち38件がスパムという状態を、1日3件のうち1件という状態にできれば、運用としては成立します。ゼロを目指して対策を強化しすぎると、正規の利用者を止める側の損失が大きくなります。

海外からのアクセスを全部止めてもいいですか？

国内のみを対象とする事業なら選択肢になりますが、副作用を確認してください。海外の日本法人からの問い合わせ、出張中の国内企業の担当者からの送信が止まる可能性があります。またサーバーの設定で国単位の制限をかけると、正規の検索エンジンのクロールに影響する場合もあります。まずは他の対策を入れ、それでも収まらない場合の最後の手段として検討するのが順序です。

CRMやMAに自動登録している場合はどうすればいいですか？

認証を通過した送信だけを登録する設定に変更してください。スパムがリードとして登録されると、リード獲得数の指標が水増しされ、ナーチャリングのメールが実在しないアドレスに送られます。到達しないメールが増えると、送信ドメインの評価にも影響します。すでに登録されてしまったデータは、送信元や本文の条件で抽出して整理する作業が必要になります。

まとめ

問い合わせフォームのスパムは、迷惑メールの問題ではなくリード対応の問題です。放置すると本物の問い合わせが埋もれ、担当者が通知を信用しなくなります。対策は1つでは足りず、ハニーポット、認証、レートリミット、内容の振り分けを重ねる構成が前提になります。reCAPTCHAは費用の条件が変わっているため、Cloudflare Turnstileなどの選択肢も併せて検討してください。導入は利用者の負担が小さいものから1つずつ行い、そのたびに自分で送信テストをする。強くしすぎて正規の訪問者を止めるほうが、スパムより大きな損失になります。まずは1週間の受信件数を数え、ハニーポットを有効にするところから着手してください。この2つだけで、状況は測れる形になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。