Możliwe że masz infekcję, wtedy maile mogą być wysyłane z pominięciem formularza kontaktowego

Możesz też mieć np. jakiś dodatkowy komponent pozwalający na spamowania, np. coś pozwalającego "powiadomić znajomego" o jakiejś stronie/produkcie itp.

Najszybciej chyba będzie przejrzeć logi serwera pod kątem występowania POST.

A.