エックスサーバーから漏洩のお知らせが来たら？なりすましメール対策と二段階認証の手順

公開日：【公開日：野澤さんが公開時に記入】　最終更新：2026年11月1日

10月の終わりに、エックスサーバーから「【重要】委託先メール配信サービス『ブラストメール』における個人情報の漏洩に関するお詫び」という件名のメールが届いた方もいるのではないでしょうか。

【野澤さんの実体験：このメールについて、お客様から問い合わせや相談を受けたとき】

件名に「漏洩」とあると、ホームページやメールが乗っ取られたのかと心配になります。先にお伝えすると、エックスサーバーの発表では、サーバーやホームページへの影響は確認されていません。気をつけたいのは、漏れた情報を使った「本物らしい偽メール」のほうです。

この記事では、何が起きたのか、自分が対象かどうかの確かめ方、そして偽メールにだまされないために今日できる設定を、順番に説明します。内容は2026年11月1日時点の公式発表をもとにしています。

結論：サーバーは無事。気をつけるのは「名前入りの偽メール」

漏れたのは、エックスサーバーがニュースやキャンペーンの配信に使っていたリストの情報です（メールアドレス、氏名、会社名、利用しているサービス名など）。パスワード、住所、電話番号、クレジットカード情報は含まれていません
エックスサーバーのシステムへの不正アクセスや、契約中のサーバー・サイトへの影響は確認されていません。公式には、パスワードの変更やカードの再発行は「必要ない」とされています
これから、あなたの氏名や契約サービス名が入った偽メールが届くおそれがあります。メールのリンクからログインしないことと、二段階認証の設定で備えられます

何があったのか

エックスサーバーは、ニュースやキャンペーンのお知らせを送るために、株式会社ラクスライトクラウドの「ブラストメール」というメール配信サービスを使っていました。2026年10月21日、このブラストメールが第三者の不正アクセスを受けたと公表され、その後、エックスサーバーが登録していた配信先リストの全件が漏れたことが分かりました。

エックスサーバーが10月29日に更新したお知らせでは、漏れた情報は次のとおりです（人によって含まれる項目は異なります）。

メールアドレス：459,679件
氏名・フリガナ：380,384件
会社名・フリガナ：115,702件
利用サービス名：316,453件
XServerアカウントの登録日、個人・法人の区分、配信希望の状況など

エックスサーバーはブラストメールとのデータ連携を止め、今後は自社で開発したメール配信の仕組みに移る予定だと発表しています。

あなたは対象？確かめる方法

対象になっているのは、ニュースやキャンペーン情報の配信先としてリストに登録されていた人です。今は配信を止めている人や、すでに解約した人も含まれます。一方で、エックスサーバーの利用者全員が対象というわけではありません。

1. 10月29日〜30日に届いたメールを探す

対象の人には、10月29日から30日にかけて、エックスサーバーから個別にメールが送られています。メールの本文に、その人について漏れた項目が書かれています。Gmailなら、検索窓に「ブラストメール」と入れると見つけやすいです。

2. メールが本物かどうか迷ったら

エックスサーバーの正規の送信元は support@xserver.ne.jp と noreply@xserver.ne.jp です。ただし、差出人の表示はまねできてしまうため、これだけでは判断できません。迷ったときは、メールのリンクは使わずに、ブックマークなどいつもの方法でエックスサーバーの公式サイトを開き、お問い合わせフォームから確かめるのが確実です。

3. 制作会社が契約しているときは

ホームページを作った制作会社がサーバーを契約している場合、お知らせは制作会社のメールアドレスに届いています。自分の手元にメールがなくても、サーバーの契約者が誰なのかを一度確かめておくと安心です。正直、ここが分かっていない会社は少なくありません。

対象だったときにやること

メールのリンクからログインしない

いちばん効くのはこれです。「アカウントの確認が必要です」「お支払い情報を更新してください」といったメールが届いても、本文のリンクは押さずに、ブックマークからエックスサーバーを開いてログインします。エックスサーバーは、今回の件でパスワードやカード情報の入力をお願いすることはないと案内しています。

偽物を見分けるときは、次の点を見てください。

ログイン画面のアドレス欄が「https://○○○.xserver.ne.jp/」の形になっているか（○○○の部分は画面によって変わります）
ブラウザに「この接続ではプライバシーが保護されません」などの警告が出ていないか
あなたの氏名やサービス名が正しく書かれていても、それだけで本物と判断しない（今回はその情報自体が漏れています）

XServerアカウントに二段階認証を設定する

二段階認証を設定しておくと、万が一パスワードが知られても、スマホに届く確認コードがなければログインできません。エックスサーバーも、今回の件を受けて設定をすすめています。画面の案内に沿って進めれば、難しい操作はありません。

認証アプリ（Google Authenticatorなど）を使う場合

XServerアカウントにログインし、上部メニューの右端にある［XServerアカウントメニュー］から［ログインセキュリティ］を開く
［二段階認証］の［認証アプリ（TOTP）］で［設定する］を押す
［QRコードを表示］を押し、スマホの認証アプリでQRコードを読み取る
アプリに表示された6桁の数字を入力し、［認証］を押す
表示されたバックアップコードを、紙に書くなどして保管する

SMS（ショートメッセージ）を使う場合は、同じ［二段階認証］の画面でSMS認証の［設定する］を押し、ログインに使う電話番号を入れて、届いたコードを入力します。

バックアップコードは、スマホをなくしたときにログインするための「合鍵」です。パソコンのデスクトップにメモで置くより、紙で保管するほうが安心です。会社で共有のアカウントを使っている場合は、誰のスマホで認証するかも決めておきましょう。

もし偽のページに入力してしまったら

ログインIDやパスワードを入れてしまった場合は、すぐにエックスサーバーの公式サイトからパスワードを再発行してください。カード番号を入れてしまった場合は、カード会社にも連絡します。なお、偽のページを開いただけで、ログイン情報が漏れることはないと案内されています。

手間をかけたくない場合

「サーバーの契約者が誰か分からない」「社員の分も含めて、ログインまわりをまとめて見直したい」という場合は、XROSS Designが確認と設定を代行します。料金は【料金：野澤さんが決める】です。

よくある質問

パスワードは変えたほうがいいですか？

エックスサーバーの案内では、今回の件を理由にパスワードを変える必要はないとされています。ただ、同じパスワードをほかのサービスでも使い回している場合は、この機会に分けておくと、ほかの漏洩が起きたときの被害を小さくできます。

ホームページが改ざんされる心配はありますか？

今回の件で、契約中のサーバーやサイトへの影響は確認されていません。それでも気になる場合は、WordPressが改ざん・乗っ取りされていないか確認する方法で、ご自身でもチェックできます。

エックスサーバーからのお知らせメールを止めたい

XServerアカウントの管理画面で、ニュースやキャンペーン情報の配信希望を解除できます（エックスサーバーのFAQで案内されています）。

社員にも伝えたほうがいいですか？

経理や総務など、サーバー代の支払いやメールの管理を担当している人には伝えておくのがおすすめです。「エックスサーバーを名乗るメールのリンクからはログインしない」の一言だけでも十分です。

まとめ

エックスサーバーの委託先から、配信用リストの情報が漏れました。サーバーやサイトへの影響は確認されていません
10月29日〜30日に届いたメールで、自分が対象か、何が漏れたかを確かめられます
メールのリンクからログインせず、XServerアカウントに二段階認証を設定しておきましょう

サーバーやログインまわりの見直しはXROSS Designへ

XROSS Designでは、サーバーの契約状況の確認、二段階認証の設定、他社で制作されたホームページの管理の引き継ぎまで対応しています。毎月の保守契約で、こうしたお知らせへの対応をまとめてお任せいただくこともできます。保守の内容はWordPressの保守で何をしてくれる？月額費用の相場と依頼先の選び方で紹介しています。

あわせて、自社のホームページがAIの検索でどう紹介されているかは、XROSS CHECK（無料のAI検索チェック）で確かめられます。

お問い合わせはこちら