вообще
это сильно... Я бы за такое родителей в школу вызывал бы...
А вообще очень интересно КУДА он отправляет мыло... $_POST['to']... Учитывая что нет на форме объектов с таким именем, то, видимо, усаме бен ладену или дядюшке ахмеду...