Vierzehnhundertachtunddreißig

Seit kurzem erhalte ich von meiner Website eine zunehmende Zahl von Spam-Bestellungen. Und das trotz Captcha.
Man erkennt sie an unplausiblen Daten und daran, dass einige Angaben nicht vorhanden sind, stattdessen Links auf irgendwelche Webseiten (denen ich natürlich nicht folge), teilweise auch völlig wirre Binärdaten (vermutlich chinesische oder koreanische Unicode-Zeichen).
Zwei oder drei solcher Fake Orders pro Tag würde ich ertragen, ohne Handlungsbedarf zu sehen. Aber es sind einige mehr, und sie drohen echte Bestellungen zu überdecken.
Es scheint, als ob ein Bot die Felder ausfüllt, aber die Captchas von echten Menschen gelöst werden. Javascript scheint disabled zu sein, denn einige Pflichtangaben fehlen, die sonst im Browser client-seitig validiert werden.
Die Bestellungen kommen von unterschiedlichen IP-Adressen, so dass eine deny-Anweisung in der .htaccess nichts nützen würde.

Ich habe jetzt versucht, gewisse POST-Daten server-seitig auszuwerten, und ggf. das PHP-Script abzubrechen. Das hat aber bisher nicht funktioniert.
Eventuell könnte ich auch den Referrer abfragen, oder die Validierung server-seitig ausführen. Ich scheue mich aber noch vor dem Aufwand der Umstellung, da es keine Garantie gibt, dass das dann funktioniert, oder unvorhersehbare Seiteneffekte auftreten könnten. Schließlich habe ich keine Möglichkeit, das unter Realbedingungen zu testen, und kann nur auf Verdacht Code schreiben und abwarten, ob der Spam daraufhin aufhört (oder eventuell auch aus anderen Gründen, so wie die überhäufigen Benachrichtigungen von WordPress, dass jemand per Mail meinem Blog folgt, auch irgendwann nach mehreren Wochen wieder aufgehört haben).