お問い合わせフォームからのスパム被害に合わないために

2025年1月頃から、Webサイトのお問い合わせフォームなどを介して、大量のスパムメールが不正送信されるケースが増えてきているようです。スパムを放置すると、企業の信頼や業務効率に悪影響を及ぼす可能性があるので是非対策をしておきましょう。

スパムメールの危険性

お問い合わせフォームを介してスパムメールが大量に届くようになると様々なリスクが発生します。具体的にどのような危険性があるのかいくつか事例を紹介します。

問い合わせ対応の負担増加

スパムメールのターゲットになってしまうと、毎日数百を超える不要なメールが送られてくるようになります。そうなると本来必要なお客様からのお問い合わせがスパムメールに埋もれてしまい、対応することができなくなることもあります。また、不要なメールの仕分け作業が発生するなど、担当者の業務負担も増えてしまいます。

企業の信頼低下

お問い合わせフォームの「問い合わせ内容」などの項目に、悪意あるサイトへのURLが入力されていた場合、担当者が誤ってURLをクリックしてしまうなどした際にウィルスに感染してしまうリスクがあります。同様に自動返信メールが送られる仕組みになっていた場合、感染リスクが社外の関係者へも広がってしまいます。

結果としてセキュリティが甘い企業というイメージがついてしまい信頼の低下を招くだけでなく、大切な取引先や新規の見込みのお客様に多大な迷惑をかけることになります。

メールシステムやサーバーへの負荷

お問い合わせフォームへのスパムメールの多くはbotと呼ばれる、特定のタスクを自動的に実行するプログラムが実行しています。一度ターゲットになるとスパムメールは1通や2通では済まず大量に届きます。スパムメールが大量に送信されると、サーバーに負荷がかかりシステムにも悪影響を与えることがあります。場合によっては、サーバーがダウンしてしまいWebサイトが閲覧できない、Webサービスが提供できない、メールが送受信できないなど様々な影響が起こります。

スパムメールの種類

フィッシング詐欺メール

銀行や有名企業を装い、偽のログインページに誘導するものです。

詐欺・なりすましメール

企業の上司や取引先になりすまし、不正送金や情報提供を要求します。

お問い合わせフォーム経由の迷惑メール

お問い合わせフォームを悪用して送られるものです。

ボットによる大量送信スパム

自動プログラム（bot）が短時間で大量に送るものです。

不正送信による主な影響

近年発生している問題は、問い合わせフォームの自動返信機能が悪用され、悪意あるユーザーがお問い合わせフォームを経由して第三者に大量のスパムメールを不正送信していることです。その結果以下のようなリスクをWebサイト運営者が負うことになります。

必須項目と確認画面の設置

botでのお問い合わせへの攻撃は基本的に「入力→即送信」と単純な構造なので、確認画面のワンクッション入れたり、必須項目を多く設けることでbotからのスパムメールを防ぐことができます。

自動返信メールを工夫

botの攻撃対象が第三者だった場合、お問い合わせフォームに第三者のメールアドレスを入力することになります。自動返信メールを実装している場合は返信内容に工夫が求められます。第三者へ悪意あるサイトへのURLが送られてしまうかもしれません。返信メールにお問い合わせ内容は記載しないようにしましょう。

reCAPTCHA（リキャプチャ）を設置

reCAPTCHAは、WebサイトやWebアプリのセキュリティ機能で、不正アクセスやスパム、アカウントの乗っ取りなどを防ぐGoogleのサービスです。v1、v2、v3などのバージョンがありますが、最新のものはv3です。 v1は廃止されましたが、v2は「私はロボットではありません」のチェックボックスが表示されるタイプで今でも見かけます。最新のv3は、ユーザー操作なしでbotか人間かを判定するGoogleのセキュリティ機能を搭載しています。行動データを分析しスコアを算出、このスコアを基にアクセス制限や追加認証の有無を設定することができます。月に最大一万件までは無料なので是非設置したいところです。

reCAPTCHAのお問い合わせフォーム設置でお困りの際は是非私たちにお気軽にご相談ください。

フォーム送信に一定の制限をかける

特定の国・地域からのスパムが多い場合や特定のスパム発信元（IP・ドメイン）が判明している場合には、アクセス元のIP・ドメインを制限することをおすすめします。また、短時間に連続送信できないようにすることも有効な対策のひとつです。

WordPressなどCMSの場合

WordPressなどのCMSを利用している場合は必ず最新版にアップデートしてください。また、レンタルサーバー各社さんがそれぞれ対応方法をWebサイトに掲載しています。是非、そちらを参考に対応してみてください。