...la tua pagina php che controlla il form e invia la mail può essere richiamata direttamente ...
...se incolli il suo url sul browser e dai invio da tastiera vedrai che ti arriva una mail vuota...
...devi inserire un controllo all'inizio del codice php che verifichi l'esistenza, ad esempio, di $_POST...
...se $_POST non esiste (e quindi è una falsa sottomissione della pagina) fai un echo di un messaggio di errore...