「問い合わせフォームにたくさん迷惑メールが届いて困っている」
最近、お客様からこのようなご相談をいただきました。
企業のコーポレートサイトに設置しているお問い合わせフォームは、便利な反面、スパムの標的になりやすいことをご存じでしょうか。毎日のように届く大量の迷惑メールは、対応するスタッフの時間を奪うだけでなく、本当に対応すべき「お客様からの声」を見落としてしまうという重大な機会損失を生みます。
さらに深刻なのは、単なる「迷惑」では済まないリスクがあることです。フォームの脆弱性を突かれて自社のサーバーからウイルスが拡散されてしまったり、ドメインがなりすましに利用されたりするなど、気づかないうちに企業が「加害者」になってしまう危険性もゼロではありません。フォームのスパム対策は、単なる業務効率化ではなく、企業を守るための立派なセキュリティ対策なのです。
この記事では、業務に支障をきたすスパムメールを防ぐための効果的な対策方法をご紹介します。
お問い合わせフォームが、スパムに狙われる理由
「うちは有名な大企業でもないし、狙われるような理由がない」
そう思われる方も多いかもしれません。
しかし、スパムを送る側は、企業の規模や有名かどうかを一切気にしていません。彼らは「自動でインターネット上のフォームを探し出し、手当たり次第に文字を書き込むプログラム」を使っています。つまり、人が1件ずつ企業のサイトを探して手で入力しているのではなく、ロボット（BOT）が24時間、無差別に攻撃を仕掛けているのです。なぜ彼らはそんなことをするのでしょうか？
主な目的は3つあります。
- 詐欺サイトや怪しい広告への誘導
- ウイルスを送りつけるため
- 実在する企業のメールアドレス（ドメイン）を乗っ取り、そこからさらに大量の迷惑メールを送り出すため
お問い合わせフォームは、社外の誰もが自由に書き込める窓口です。だからこそ、何の対策もされていないフォームは、彼らにとって「格好の標的」になってしまうのです。
では、具体的にどのような対策を行えばよいのでしょうか。
まずは基本中の基本、BOT対策サービスの導入
スパムを防ぐための最も重要で、かつ「基本中の基本」となるのが、自動でロボットを追い払ってくれるセキュリティシステムの導入です。
昔のホームページで、画像に書かれた歪んだ文字を入力させられたり、「信号機の画像を選んでください」と言われたりした経験はありませんか？これらはユーザーにとって非常に面倒なものでした。しかし、最近のシステムは非常に賢くなっており、ホームページにアクセスしてきたのが「人間か、ロボットか」を裏側で自動的に判定してくれます。お客様（人間）は、チェックボックスにチェックを入れる必要すらありません。いつも通りに入力して送信ボタンを押すだけなので、お客様に一切の手間をかけずにスパムだけをブロックできます。
現在、世の中で広く使われている定番のサービスには、大手IT企業が提供している「Cloudflare Turnstile（クラウドフレア ターンスタイル）」と「Google reCAPTCHA（リキャプチャ）」の2つがあります。どちらも優秀なサービスですが、中小企業の社長様におすすめしたいのは「Cloudflare Turnstile」です。GoogleのサービスreCAPTCHAは、以前は完全無料でしたが、現在は仕様が変わり「月間1万回まで」という制限がついてしまいました（reCAPTCHAの利用条件は今後も変更されることがあります）。もしこれを超えてしまうと、システムがエラーで止まり、お客様からの本当のお問い合わせまで届かなくなってしまうリスクがあります。一方で、Cloudflare Turnstileは制限がなく、完全無料で使い続けることができます。余計なコストや「いつの間にか止まったらどうしよう」という不安がないため、現在のスパム対策のファーストチョイスとなっています。
「難しそうだな」と感じるかもしれませんが、導入の手順は驚くほどシンプルです。
- サービスの公式サイトで、専用のAPIキー（システムを動かすための、自社専用の「合鍵」のようなもの）を発行する
- そのキーを含んだ数行のコード（文字）を、お問い合わせフォームの画面に貼り付ける
これだけで、その日から強力なBOT除けが完成します。もし対応できるスタッフがいなくても、ホームページの制作会社やシステム開発会社に「Cloudflare Turnstileを入れたい」と伝えるだけで、プロならすぐに対応してくれます。もちろん、弊社も対応可能です。
それでもすり抜けてくるスパムを防ぐ「4つの罠（補助対策）」
強力なBOT対策（Cloudflare Turnstileなど）を導入すれば、大半のスパムはシャットアウトできます。しかし、相手も日々進化しており、中には対策をすり抜けてくる賢いBOTも存在します。そこで重要になるのが、「複数の罠を重ねて仕掛けておく（多層防御）」という考え方です。1つの大きな壁だけでなく、すり抜けてきたBOTをさらに捕まえる「4つの補助的な対策」を組み合わせることで、スパムの防御率はさらに高まります。
具体的には、以下のような「BOTの特性を逆手に取った罠」を仕掛けます。
１．ハニーポット（人間には見えない「偽の入力欄」）
BOTは、ホームページの画面を見ているのではなく、WebサイトのHTML構造を読み取っています。そのため、フォーム内に「名前」や「メールアドレス」の欄があると、中身が何であれ手当たり次第に文字を埋め込もうとします。これを利用して、「人間には絶対に見えないけれど、BOTにだけは見えているダミーの入力欄」をコッソリ用意しておきます。もし、その欄に文字が入力されて送信されてきたら、「これはBOTが書いたものだ」と判定して弾くことができます。
２．送信タイミングのチェック（早すぎる送信を弾く）
人間がお問い合わせフォームに文字を入力して送信するまでには、名前を書いて、内容を考えて…と、どんなに短くても数十秒から数分はかかります。一方で、BOTは一瞬（1〜2秒）で全ての項目を埋めて送信ボタンを押します。そこで、「ページを開いてから送信されるまでの時間」をシステムで測っておき、あまりにも短すぎる場合はBOTとみなして拒否します。人間には不可能な「神業レベルの早業」を逆手に取った対策です。
３．レート制限（短時間の「連続投稿」にブレーキをかける）
悪質なBOTの中には、1秒間に何十回、何百回と同じフォームからメッセージを送りつけ、会社のメールボックスをパンクさせようとするもの（連投型スパム）があります。これを防ぐために、「同じパソコン（IPアドレス）からの送信は、5分間に3回まで」といった回数制限（ブレーキ）を設けます。これにより、短時間に大量の迷惑メールが送りつけられる被害を物理的に防ぐことができます。
４．内容ベースのフィルタ（特定のルールで仕分ける）
届いたメッセージの「中身」を見て、あらかじめ決めたルールで自動的に不合格にする方法です。例えば、以下のようなルールを設定します。
「本文に日本語が1文字も含まれていない場合は、送信させない」（海外からの英語やロシア語のスパムを全滅させる）
「特定の怪しいキーワード（投資、暗号資産など）が含まれていたらエラーにする」
その他、近年は自動返信メール機能を悪用したスパムも目立つようになっています。対策として、お問合せを受け付けた時に、自動返信のメールを送らないという手法が有効です。
まとめ：企業の窓口を守るために、今すぐ対策を
お問い合わせフォームのスパム対策は、単なる迷惑メールの割り振りの話ではありません。ウイルス感染やドメインのなりすましといった、企業の信頼を揺るがす大事故を防ぐための重要なセキュリティ投資です。
私たちパパグラムでも、自社のコーポレートサイトをリニューアルするにあたり、今回ご紹介した「Cloudflare Turnstile」の導入や「ハニーポット」「レート制限」といった多層防御の仕組みをしっかりと実装いたしました。自社の窓口だからこそ、万全の体制でお客様を迎えられるようにしています。
「ホームページの制作会社なら、どこに頼んでも同じスパム対策をしてくれるのでは？」と思われるかもしれません。しかし、ここに大きな落とし穴があります。ホームページのデザインやボタンの配置といった「表側の見た目（フロントエンド）」を整えることと、BOTの不正なアクセスを検知してシステムを遮断する「裏側の仕組み（バックエンド）」を構築することは、全く異なる技術です。どんなに素敵なドアを作っても、鍵や防犯センサー（バックエンドの処理）が甘ければ、進化した最新のBOTは簡単にすり抜けてきてしまいます。
バックエンドに強いパパグラムにお任せください
私たち株式会社パパグラムは、Webシステムの「裏側の開発（バックエンド）」に強みを持つシステム開発会社です。単にツールを貼り付けるだけの対策ではなく、御社のホームページのシステム構造を理解し、BOTに突破されない強固なセキュリティプログラムを構築することができます。
「毎日届く迷惑メールにうんざりしている」
「自社のホームページのセキュリティが不安だけど、何から手をつければいいか分からない」
そんな時は、ぜひパパグラムにご相談ください。IT担当者がいない企業様でも、安心して本業に集中できるよう、私たちが裏側からしっかりとサポートいたします。まずは現在のホームページの現状診断から、お気軽にお問い合わせください。
