Как спам боты пробираются на закрытую страницу?

Тупо коннектятся сразу к php файлу отправки заявок, они же стандартные у всех, подбираются методом перебора стандартных адресов.

Нет, защита от прямого доступа к внутренним php файлам есть в каждом плагине и выглядит примерно так:

<?php 

if ( ! defined( 'ABSPATH' ) ) exit; 

Contact form 7 популярный, отточенный большим количеством версий с устранениями уязвимостей , плагин, думаю это можно исключить 

А защита  файла обработки есть? Явно же, что плагин не сам обрабатывает полученные данные, а с помощью WP. Итого мы имеем одну точку входа, на которую можно отправлять спам, и это вероятно не файлы плагина. 
Как проверить, посмотреть код - какой файл получает и обрабатывает данные с формы
<form 

• action — адрес, на который будут отправлены данные формы.
• method — метод отправки данных: GET или POST.

Толковый совет 👍. Но в форме может быть относительный путь, а может вообще быть обработка на JS, который в другом файле. Можно просто в консоли разаботчика посмотреть в браузере. Там же можно увидеть и есть ли какая защита, например, токен.

Видимо ты создал страницу для тестов и опубликовал ее, боты зашли в ситемап и нашли ее

Гениально! 

Спасибо всем за ответы