ちょっと、Formidable を最近使っていないので、Formidable 詳細の仕様がわからないのですが、

・Formidable の必須入力の項目は、Javascript で行われていて、JS を切ったブラウザもしくはメール送信フォームでアクセスが来ている。
・Formidable に直接 POST データを送っているスパム送信ロボットのしわざ

などが考えられます。

この場合 SSL は関係ありませんね。

ありがとうございます。
ということは、お客さんの方ではどうすることもできないということでしょうか。（サーバーに何らかの設定を依頼するなど）
運悪くスパムされただけ、ということでしょうか。また、送信者名がconcrete5-noreplyになっているのは何故でしょう？それともFormidable制作者に質問するべきですか？
お客さんに回答をしないとならないのでアドバイスいただけますと大変助かります。よろしくお願いいたします。

concrete5-noreply は concrete5 のデフォルト設定のFromアドレスです。