Сначала блокировал по ip
если блокировка айпи не помогает, есть вариант вычислять ОС, Устройство (mobile/desktop), а также браузер и версию браузера. так вот, больше всего что ваш "друг" заходит с одного и того же устройства, и присылает все эти данные. Можно их собрать, добавить в if, и если тру - убирать с кнопки type="submit", и ни в коем случае не блокируйте его, он может продолжить с телефона это делать, пусть думает что отправил, а вам письма не будут идти.
В этом случае вам поможет
$_SERVER['HTTP_ACCEPT'] + гугл
