※トラブル・失敗から学ぶの2本目です
「知らないうちにフォームが悪用される」タイプの実例として、仕組みと対処を整理します。
もくじ
はじめに
ある日突然、「Agency Help」など身に覚えのない件名で、自分のメールアドレスから自分のメールアドレス宛にメールが届く。
しかも内容は「Hello.」だけ。
このような不可解なメールを受け取ったとき、多くの方が次のように感じます。
- メールアカウントが乗っ取られたのでは？
- 自分のサーバーが攻撃されている？
- 何か重大なセキュリティ事故が起きているのでは？
結論から言うと、ほとんどの場合、深刻な侵入や乗っ取りではありません。
しかし同時に、放置してよい問題でもありません。
この記事では、
「自分から自分に届く謎のメール」が起きる仕組みと、
サイト運営者が取るべき対策を、実例ベースで整理します。
この記事でわかること
- 正体不明メールの仕組み
- フォーム経由スパムの実態
- 安心してよいケース／危険なケースの判断基準
- 今すぐできる現実的な対策
「自分のアドレスから自分に来るメール」は珍しくない
まず知っておいていただきたいのは、
差出人と宛先が同じメールが届くこと自体は、決して珍しくないという事実です。
メールという仕組みは、封筒に書かれた差出人住所のように、
「From欄はいくらでも偽装できる」構造になっています。 ただし今回のケースでは、単純な差出人偽装とは少し事情が異なります。
今回の事例の特徴整理
今回のメールには、次のような特徴がありました。
- 件名は「Re:」や意味不明な英語
- 本文は「Hello.」だけ
- From と To が同じメールアドレス
- Google Cloud（googleusercontent.com）経由の通信履歴
- ロリポップのメールサーバーから正規送信されている
- SPF や DMARC は pass している
- 迷惑メール判定は Yes
これらの情報から、かなり高い精度で原因を特定できます。
結論：このケースは「フォーム悪用による送信」で説明できる可能性が高く、
メールアカウント自体が乗っ取られているケースとは切り分けて考えられます。
Google Cloud上のボットとは何か
「Google Cloudから送られてきた」と聞くと、
Google自身が何かしているように感じるかもしれません。
しかし実態は違います。
Google Cloudは、いわば巨大な貸しサーバーです。
個人・法人・海外業者・スパマーなど、誰でも使えます。
スパム業者は、
- IPアドレスが頻繁に変えられる
- 信頼性が高くブロックされにくい
- 大量送信が容易
といった理由から、Google CloudやAWS上にボットを立てることが非常に多いのです。
重要なのは、
Google Cloud＝攻撃元
あなたのサイト＝侵入口
あなたのメールサーバー＝実行者
という役割分担になっている点です。
この問題は「攻撃者がメールを送った」のではなく、
「フォームを使って、あなたのサイトにメールを送らせた」という構造です。
メールは「直接」送られていない
今回のケースで最も誤解されやすいポイントがあります。
それは、Google Cloudのボットが、あなたに直接メールを送ったわけではないという点です。
実際に起きている流れは次の通りです。
つまり、メールを送ったのは攻撃者ではなく、あなた自身のシステムなのです。
なぜ「自分から自分に」見えるのか
原因は、問い合わせフォームの設計にあります。
多くのフォームでは、次のような設定がされています。
- From（送信元）：フォームで入力されたメールアドレス
- To（宛先）：管理者メールアドレス
これは一見便利ですが、非常に危険です。
ボットがメールアドレス欄に
「info@あなたのドメイン」
と入力すれば、
From: info@あなたのドメイン
To: info@あなたのドメイン
というメールが生成されます。 これが「自分から自分に来た」ように見える正体です。
「Hello.だけ」のメールは何を意味するのか
本文が極端に短いメールには、はっきりした意味があります。
これは、
スパムボットがフォームの生存確認をしている
いわばテスト送信です。
- フォームが存在するか
- 送信できるか
- メールが通るか
これを確認するために、最小限の文字列だけが送られます。
実際、本文が base64 でエンコードされている点も、自動化されたボット特有の挙動です。
「Contactフォームならコメントが入る」は正しい判断か
ここで重要な判断ポイントがあります。
「Contactフォームから送られたメールには、必ず下部に固定コメントが入る設定をしている。
今回のメールにはそれがない。」
この考え方は、論理的にほぼ正しいです。
理由は以下の通りです。
- 固定コメントはユーザー入力ではなくテンプレート
- ボットが削除することはできない
- 正規処理を通れば必ず付与される
したがって今回のメールは、
- その設定済みのContactフォームではない
- 別のフォーム、または未対策フォームの可能性が高い
と判断できます。
よくある「見落とされがちなフォーム」
実務で非常によくあるのが、次のようなケースです。
- 昔作ったLP用の簡易フォーム
- テスト用に作って消し忘れたフォーム
- 非公開ページや下書きページのフォーム
- プラグインの初期サンプルフォーム
- 管理者自身が存在を忘れているフォーム
「このフォームには対策していない」というものが、スパムに真っ先に狙われます。
危険なケースと、安心してよいケースの見分け方
安心してよいケース
- 送信済みに同じメールが存在しない
- 管理画面への不審ログインがない
- メール本文が極端に短い
- フォーム経由が疑われる
注意が必要なケース
- 送信済みに覚えのないメールがある
- 大量に同様のメールが届く
- 管理画面に見覚えのない変更がある 今回の事例は、前者に該当します。
今すぐ行うべき現実的な対策
優先順位（迷ったらこの順）
- Fromを固定（Reply-Toに入力アドレス）
- reCAPTCHA導入
- フォーム棚卸し（存在確認＋設定統一）
- 本文文字数などの軽い制限
Fromアドレスを固定する
最重要対策です。
From: no-reply@あなたのドメイン
Reply-To: フォーム入力メール
これだけで、
「自分から自分に届く」タイプの問題はほぼ消えます。
reCAPTCHAを導入する
v3 または v2 を必ず導入してください。
本文文字数の下限を設ける
10文字未満は送信不可など、簡単でも効果があります。
フォームを棚卸しする
存在するフォームをすべて洗い出し、
設定を統一することが重要です。
棚卸しの手順（実務で確実）
- サイト内検索で「contact」「form」「お問い合わせ」を洗う
- 固定ページ／LP／下書き／テストページも確認する
- プラグイン（Contact Form 7等）のフォーム一覧を確認する
- すべてのフォームで「From固定」「reCAPTCHA」「最低文字数」を統一する
補足：同じようなトラブルが繰り返される場合、
フォームだけでなく「WordPress本体・プラグインの放置」も原因になりがちです。
次の記事で、古いWordPressが引き起こす運用トラブルと対策を整理します。
→ 古いWordPressが引き起こす危険信号！放置してはいけないセキュリティリスクと運用トラブル
まとめ
「自分から自分に届く謎のメール」は、
多くの場合、フォーム悪用スパムという“設計上の問題”です。
侵入や乗っ取りといった深刻な事故ではない一方、
放置するとスパムの踏み台になる可能性があります。
正しい知識を持ち、フォーム設計を少し見直すだけで、この種の問題はほぼ確実に防げます。
「よく分からないから不安」という状態から、
「仕組みが分かって対処できる」状態へ。
この記事がその一助になれば幸いです。
トラブル・失敗から学ぶ読み進め
- 知り合いに安くホームページを作ってもらうと、なぜ後で困るのか
- このページ（フォーム悪用の実態と対処）
- 古いWordPressが引き起こす危険信号（放置リスクと対策）
制作・リニューアル・運営サポートまで含めて、
今の状況に合った選択肢を一緒に整理することもできます。
答えが出ていなくても問題ありません。
まずは迷っていることを、そのまま相談してみることが、
後悔しないホームページ制作への近道です。
