フォームの自動返信が悪用される｜本物を止めない防ぎ方

フォームの自動返信を悪用から守るには、人の入力では起きない形の送信だけを止めます。
止めた分を記録して後から確認できるようにすれば、本物の問い合わせを止めずに済みます。

当社の問い合わせフォームは2026年10月11日の14時50分から16時7分までの約77分間に、約2,277件の自動送信を受けました。
会社名の欄に詐欺リンクが入り、メール欄には第三者のアドレスが入っていました。
自動返信が詐欺リンクを運ぶ踏み台にされかけた出来事です。

この記事では起きたことと自動返信が悪用される理由を先に書きます。
そのあとに止め方の考え方と、止めすぎていないかを確かめた方法を続けます。
悪用を避けるため、判定ルールの細かい条件は伏せて書きます。

77分間に約2,277件の自動送信があった

2026年10月11日の14時50分から16時7分までの間に、フォームへ約2,277件の送信がありました。
77分は4,620秒なので、平均すると約2秒に1件のペースです。
人が手で入力できる速さを大きく超えています。

送信の中身には次の4つの共通点がありました。

• 会社名の欄にGoogleの共有リンクの形をした詐欺リンクが入っている
• メールアドレスの欄に当社と無関係な第三者のアドレスがある
• 名前の欄は意味のない英数字の並び
• 電話番号の欄に数字ではなく英字が入っている

お客様が自分の連絡先を伝えるために入力する内容とは、どれもかけ離れています。
名前が意味のない英数字、電話欄が英字という形は、人が自分の情報を書くときにはまず起きない組み合わせです。

狙いは当社への問い合わせではなく、メール欄に入れた第三者のアドレスへ当社のフォームから自動返信を届けさせることだと考えられます。
自動返信の本文には送信者が入力した内容が入ります。
会社名の欄に詐欺リンクを入れておけば、当社の正規のアドレスから届くメールの中にそのリンクを載せられます。

この記事を書いている時点で、被害の連絡は届いていない状態です。
ただし第三者のアドレスに実際にどれだけ届いたかは、当社側からは確認しきれない部分があります。
被害を受けた方のアドレスや送信元の情報は、この記事では伏せています。

同じ構造のフォームはWordPressの問い合わせプラグインにも、フォームの作成サービスにもよくあります。
入力欄に自由に文字を入れられて、自動返信の本文に入力内容を差し込める作りであれば、同じことが起きうる状態です。

自動返信が詐欺リンクの踏み台になる3つの理由

自動返信が悪用されるのは、受け取る側が「その会社から届いたメール」として信用してしまうからです。
踏み台になる理由は3つに分けられます。

1つ目の理由は送信元が正規のアドレスであることです。
受け取った人から見ると、メールは当社のドメインから届きます。
迷惑メールのフィルターも、正規のドメインからのメールは通しやすくなります。

2つ目の理由はメールの本文を自由に書き換えられることです。
フォームの入力内容を差し込む作りだと、悪意のある人が会社名やお名前の欄に好きな文字列を入れられます。
リンクの文字列も同じように入ります。

3つ目の理由は宛先も入力できることです。
自動返信は「入力されたメールアドレスに送る」仕組みなので、他人のアドレスを入れればその人にメールが届きます。
本人は何も申し込んでいないのに、突然メールが届く形になります。

悪用された会社の側にも損失が出ます。
大量の自動返信が送られると、当社のメールサーバーの送信元としての評価が下がり、本物のお客様への返信まで迷惑メールに入りやすくなる可能性があります。
これは一般に知られているメール配信のリスクで、当社で実際に起きたかどうかは確認できていない段階です。

お客様に「送信できた」と伝える自動返信は、フォームの大事な機能です。
だから止めるのではなく、悪用できない形に直す方向で考えます。

本物の問い合わせを止めない4つの防ぎ方

当社が選んだ防ぎ方は、人の入力では起きない形だけを止めて、お客様が普通に書く送信は止めないことです。
次の4つを組み合わせました。

1つ目で「形だけ」を止める理由は、内容で止めると本物を巻き込みやすいためです。
たとえば特定の単語を含む送信を止める方法では、問い合わせの文面にその単語が出ただけで本物まで止まります。
人の入力では起きない形に絞れば、止まるのは自動送信に偏ります。

止める仕組みを入れるときに最も大事なのが、2つ目の記録です。
止めた送信を捨ててしまうと、本物を止めたときに誰も気づけなくなります。
当社でも判定が厳しすぎて、本物の問い合わせを止めていた時期が以前ありました。
この経験をふまえて、止めたものは毎回残し、後から人が確認できる形にしています。

3つ目の自動返信の停止は、1つ目をすり抜けた送信への2段目の守りです。
1つ目は本物を止めないように範囲を絞っているので、すり抜ける送信はどうしても残ります。
それでも名前や本文にリンクがあれば自動返信は出ないため、詐欺リンクを運ぶ踏み台にはならずに済みます。

問い合わせ本体を受け取りつつ自動返信だけを止める設計にした点も大事です。
リンクを貼った本物のお客様がいても問い合わせ自体は届くので、返信は人が確認してから送れます。

止まった件数0を確かめる5つの手順

防ぎ方を入れたあとに、本物の問い合わせが止まっていないかを数字で確かめます。
当社は過去の正規の問い合わせを全件、新しい判定にかけ直し、止まった件数が0件だったことを確認しました。
手順は次の5つです。

1. 過去の正規の問い合わせを集める。
   受信メールやフォームの保存データから、実際のお客様からの送信を洗い出します。
   迷惑送信はこの一覧から外します。
2. 新しい判定を過去の分にかける。
   実際の判定の処理に1件ずつ通して、「止める」「通す」を出します。
   目で見て判断せず、処理の結果を使います。
3. 止まった件を1件ずつ見る。
   止まった件が1件でもあれば、どの形が引っかかったかを調べ、判定を緩めます。
4. 迷惑送信の実例をかける。
   10月11日の送信の形を使い、止まることを確かめます。
   止めすぎの確認と、止まらなさの確認は両方必要です。
5. 公開後も止めた記録を定期的に見る。
   過去の問い合わせは過去のものです。
   今後届く本物の問い合わせがどんな形になるかは、前もって全部は読めないためです。

この手順で一番大事なのは、「止めること」より「本物を止めていないこと」を先に確かめる点です。
迷惑送信が止まる仕組みは、強くするほど簡単に作れます。
本物を止めない確認こそ、時間をかける価値があります。

当社の過去の問い合わせは件数が限られます。
全件の再判定で0件だったことは、「ルールが正しい」ことの証明としては弱い結果です。
これまでのお客様の送信が止まらないことまでは確認できました。
そのため公開後も5つ目の記録の確認を続けます。

自分で作る場合の落とし穴は、迷惑送信のサンプルだけで調整することです。
迷惑送信が止まる設定にすると、気づかないうちに本物の送信まで止まる状態になりがちです。
設定を変えるたびに過去の本物の送信とセットで確かめます。

自社のフォームで今日できる6つの点検

自社のフォームに自動返信がある場合は、今日のうちに6つの点検を済ませてください。
専門的な知識がなくても、画面を見れば確認できる項目です。

1. 自動返信の本文を見る。
   お名前や会社名など、入力された内容がそのまま本文に入る作りになっていないかを確認します。
   入力内容がそのまま入る箇所は、悪用される入口になります。
2. 自分のフォームに変な文字を入れて試す。
   名前の欄にURLを入れて送信し、自動返信にそのURLが載るかを見ます。
   テストの宛先には自分が管理するアドレスだけを使います。
3. 送信数の通知を設定する。
   普段と違う数の送信が来たときに気づけるよう、1日の受信数をメールやチャットで通知します。
4. 受信箱で最近の送信を見る。
   意味のない英数字の名前や、見覚えのないアドレスが並んでいないかを確認します。
5. 一般的な対策の有無を確認する。
   ロボットを見分ける認証の仕組みや、短時間の連続送信を制限する仕組みが入っているかを、フォームの設定画面で調べます。
6. 自動返信を残すか決める。
   自動返信が必須でなければ、入力内容を本文に入れない短い定型文にします。
   それだけで悪用の効果は大きく下がります。

5つ目に書いた認証や送信制限は、広く使われている対策で、当社でも検討する選択肢の1つです。
ただし単独では、人の入力を装った送信や、認証を通過する送信を防ぎきれないことがあります。
複数の層を重ねるほうが安全です。

フォームの見直しや、悪用されにくい問い合わせ導線の設計は、ZOOM・電話・メールでご相談いただけます。
ホームページ全体の相談はWeb制作のページからお受けします。

よくある質問

Q1：自動返信は止めたほうがよいですか

止める必要はありませんが、悪用できない形に直してください。
入力内容を本文に差し込まず、リンクを含む送信には返信しないようにすれば、自動返信の利点を残したまま踏み台になるのを防げます。

Q2：ロボット認証だけで十分ですか

単独では足りない場合があります。
認証は有効な対策ですが、突破される場合や、設定が漏れる場合があるためです。
当社は認証に頼らず、送信の形の判定と自動返信の抑止を重ねる考え方をとっています。

Q3：普通に見える送信なら迷惑送信ではないと判断してよいですか

そう判断するのは早すぎます。
悪意のある人が、普通の問い合わせに見える形で送ってくる可能性があるためです。
そのため名前や本文にリンクがある送信には、自動返信を出さない2段目を用意しています。

記事中の数字はすべて、2026年10月11日の当社フォームで確認した値です。
他のフォームで同じ規模の送信が起きるとは限りません。

▶ 関連サービス：ホームページ・LP・ECサイト制作