"ça n'a pas l'air d'être un robot"
Je ne sais pas ce dont tu disposes comme données en interne (IP, user-agent, ...), mais pour être allé voir de plus près, je trouve qu'au contraire ça en a tout l'air.

* Trop peu de messages, ce qui laisse présumer que le captcha bien que simple n'est pas cassé suffisamment souvent
* Large plage horaire de prospection.
* Et surtout, des messages (2 sortes) qui, sont formés de la même manière

Ce que tu peux faire :
* passer en validation manuelle, mais ça apporte plus d'inconvénients que d'avantages (notamment, ça coupe l'intérêt de répondre à un message car on ne sait pas si un message n'est pas déjà en attente de validation)
* mettre un captcha plus complexe, mais ça tu le sais déjà. Et si l'utilisateur ne parvient pas à le lire, il suffit de mettre un reload en ajax
* mettre un pot de miel (un faux champ email caché en javascript qui, s'il est rempli, confirme qu'il s'agit d'un robot)
* mettre une validation de commentaire par mail (l'utilisateur doit mettre son adresse email lorsqu'il poste; ça lui envoie un mail avec un lien pour rendre le commentaire visible)

Ce sont des solutions parmi tant d'autres, et certaines sont assez rapides à mettre en place.

Pour tout dire, c'est toi que je soupçonne. Alors une seule réponse : dégage. DÉGAGE ! C'est clair ?