Możliwe że masz infekcję, wtedy maile mogą być wysyłane z pominięciem formularza kontaktowego
Możesz też mieć np. jakiś dodatkowy komponent pozwalający na spamowania, np. coś pozwalającego "powiadomić znajomego" o jakiejś stronie/produkcie itp.
Najszybciej chyba będzie przejrzeć logi serwera pod kątem występowania POST.
A.