エックスサーバーの情報漏洩｜ブラストメールへの不正アクセスでメールアドレス459,679件と氏名など 対象と確かめること 2026

エックスサーバー株式会社は2026年10月23日、委託先のメール配信サービス「ブラストメール」への不正アクセスにより、ニュース・キャンペーン情報の配信先として登録していた客の個人情報が漏洩したと発表し、10月29日20時30分の追記でメールアドレス459,679件と、それに付随する氏名や会社名などの件数を公表しました。 ログインパスワード、住所、電話番号、クレジットカード情報などの決済情報は対象に含まれず、エックスサーバーのサーバーや管理画面への不正アクセスも確認されていません。 利用者がまずすることは、エックスサーバーからの個別のメールで自分が対象か確かめることと、契約更新や支払い失敗、ドメイン失効を装った偽のメールのリンクを開かず、XServerアカウントに二段階認証を設定することです。

この記事では、2026年10月30日時点でエックスサーバーとブラストメールの公式発表に載っている内容だけをもとに、漏洩した項目と件数、対象になる人とならない人、偽のメールの見分け方、サイトやメールを仕事で運営している人が取引先に伝えるべきことを順に整理します。

エックスサーバーの情報漏洩で何が起きたか（2026年10月30日時点）

今回の件は、エックスサーバーのレンタルサーバーそのものが攻撃された事案ではありません。 エックスサーバーがメールマガジンの配信に使っていた外部のサービス「ブラストメール」（株式会社ラクスライトクラウドが提供）が第三者に不正アクセスされ、エックスサーバーがそこに登録していた配信先リストが持ち出された、という事案です。 エックスサーバーの公式発表は、配信先リスト（読者データ）の全件が漏洩したとの報告をサービス提供元から受けたと書いています。

エックスサーバーの発表では、表現が「漏洩したことが判明」と言い切りになっています。 第1報（10月23日）の段階では、メールアドレスは「漏洩を確認」、氏名と会社名は「漏洩した可能性あり」と書き分けられていましたが、10月29日の追記で件数と項目が確定しました。 追記の書き出しは次のとおりです。

このたび、サービス提供元から、個人情報の漏洩対象となったお客様の詳細情報を受領し、漏洩件数および漏洩した情報の詳細が判明いたしました。 出典: エックスサーバー株式会社「委託先メール配信サービス「ブラストメール」における個人情報の漏洩に関するお詫びとお知らせ」

対象になるのは、エックスサーバーのサービスを今使っている人、または過去に使っていた人のうち、ニュース・キャンペーン情報の配信を希望してブラストメールに登録されていた人です。 エックスサーバーは「弊社サービスをご利用いただいたすべてのお客様が対象となるものではありません」と明記しています。 つまり、サーバーを契約しているだけで自動的に対象になるわけではなく、お知らせの配信を受け取る設定になっていたかどうかで分かれます。

もう1つ押さえておきたいのは、同じ時期にエックスサーバーが公式サイトや管理画面を一時停止していたことです。 これは PHP の脆弱性（ソフトウェアの弱点のこと）の詳細が公開されるのに合わせた予防的な安全対策で、エックスサーバーは「本対応は弊社サービスに対する不正アクセスの発生に伴うものではございません」と書いています。 管理画面の停止と、ブラストメール経由の情報漏洩は別の話です。 停止の経過は予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせにまとめられています。

公表の経緯（10月21日から10月29日まで）

発表は数日に分けて出ており、日付ごとに分かったことが違います。 いつの時点で何が分かったかを表で並べます。

日時	発表した側	分かったこと
2026年10月20日 21時52分	ラクスライトクラウド	システム監視のアラートを検知し初動対応を開始（ブラストメールの時系列の追記による）
2026年10月21日 0時30分ごろ	ラクスライトクラウド	ブラストメールの管理画面と API を緊急停止。配信は1時ごろから停止
2026年10月21日 16時	エックスサーバー	PHP の脆弱性に備えた予防的な安全対策として公式サイト・管理画面などを一時停止（不正アクセスによるものではないと説明）
2026年10月21日 17時25分	ラクスライトクラウド	第三者による不正アクセスと、契約者情報や一部の配信先リストの持ち出しを公表
2026年10月22日以降	エックスサーバー	管理画面や各種サイトを順次再開
2026年10月23日	エックスサーバー	第1報。メールアドレスの漏洩を確認、氏名と会社名は漏洩した可能性ありと発表
2026年10月29日 12時	ラクスライトクラウド	前報から新たに漏えいが判明した客はいないと報告。サービス再開は11月11日ごろが目標
2026年10月29日 20時30分	エックスサーバー	追記。メールアドレス459,679件と、付随する項目ごとの件数を公表

第1報の時点では、氏名と会社名の漏洩状況、それ以外の項目の有無、対象人数がまだ確認中でした。 10月29日の追記で、XServerアカウントIDや利用サービス名、登録日なども付随して漏洩していたことが分かり、項目が広がっています。 第1報だけを読んで「メールアドレスだけなら大丈夫」と判断した人は、追記の内容で考え直す必要があります。

ブラストメールの側は、10月29日12時の更新で、次回の報告を10月30日12時ごろとしていました。 この記事を書いた2026年10月30日午前の時点では、その次の更新はまだ掲載されていません。 エックスサーバーのお知らせにも、続報が出ればニュースページで案内すると書かれているので、気になる人は同社のニュース一覧を見直してください。

エックスサーバーの発表で、件数の数え方にも注意が必要です。 459,679件は「メール配信先として登録されていたメールアドレスの件数」で、人数ではありません。 同じ人が複数のメールアドレスを登録していれば、その分だけ件数に入ります。

漏洩した情報と、漏洩していない情報

10月29日の追記で公表された件数を、そのまま表にします。 エックスサーバーは「漏洩した情報はお客様によって異なり、以下のすべてが該当するとは限りません」と書いており、1人の客について下の表の全項目が漏れたとは限りません。

漏洩した情報	件数
メールアドレス	459,679件
XServerアカウントID（メールアドレスに付随）	692件
氏名・氏名フリガナ（同）	380,384件
会社名・会社名フリガナ（同）	115,702件
利用サービス名（同）	316,453件
XServerアカウントの登録日（同）	431,076件
個人・法人の区分（同）	431,076件
ニュース・キャンペーン情報の配信希望状況（同）	429,382件

一方で、エックスサーバーがブラストメールに登録しておらず、今回の漏洩の対象に含まれないと明記した情報は次の4つです。

漏洩していない情報（配信先リストに含まれていない）
ログインパスワード
住所
電話番号
クレジットカード情報などの決済情報

この組み合わせから読めるのは、パスワードがそのまま使われて不正ログインされる危険は今回の件では低い一方、本物らしく見える偽のメールを作る材料は揃ってしまった、ということです。 メールアドレスに氏名、会社名、使っているサービス名、アカウントを作った日まで付いていれば、「〇〇株式会社 〇〇様　ご利用中のエックスサーバーの更新について」のように宛名と契約内容を正しく書いた偽のメールが作れます。 XServerアカウントIDが付いていた692件の人は、ログイン画面のID欄まで本物どおりに埋めた偽のページを見せられる可能性もあります。

利用サービス名が含まれていることにも意味があります。 エックスサーバーはレンタルサーバーのほかにドメインや別の名前のサービスも提供しており、どれを使っているかが分かれば、そのサービスに合わせた偽の通知を作れます。 「ドメインの更新に失敗しました」というメールは、ドメインを持っていない人には響きませんが、ドメインを契約している人には本物に見えます。

原因はブラストメールへの不正アクセス（サーバーや管理画面ではない）

エックスサーバーの発表は、原因を「株式会社ラクスライトクラウドが提供する『ブラストメール』において、第三者による不正アクセスと情報漏洩が公表されました」と書き、自社のサーバーや管理画面への不正アクセスによって起きたものではないと説明しています。 エックスサーバーが自社の管理するシステムの中で何かを誤ったという説明ではなく、外部に預けていた配信先リストが、預け先で持ち出されたという構図です。

ブラストメールを提供するラクスライトクラウドのブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告は、2026年10月29日12時の更新で、原因を次のように書いています。

外部の第三者が、弊社の API 用のサーバー 2 台に侵入してコマンドを実行し、そこから弊社の販売管理システムとサービスのデータベースに接続して、データを持ち出しました。 侵入経路の詳細は調査中です。 出典: 株式会社ラクスライトクラウド「ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」

API とは、別のシステムからデータを出し入れするための窓口のことです。 ブラストメールの発表では、販売管理システムから全ての契約者（ブラストメールを契約している会社）の情報が持ち出され、一部の契約者については配信先リストの漏えいも確認したとしています。 契約者情報以外の漏えいが確認された契約は、10月29日12時の時点で345件で、すべてに個別の連絡を終えたと書かれています。 エックスサーバーは、この配信先リストが漏れた契約者の1社にあたります。

ブラストメールは2026年10月21日0時30分ごろから管理画面と API を止め、メールの配信も1時ごろから止めています。 サービスの再開は11月11日ごろを目指しているものの、調査の進み具合で前後する可能性があるとしています。 ラクスライトクラウドは個人情報保護委員会や総務省の関東総合通信局に報告し、警視庁に通報したことも発表しています。

ここで1つ、混同しやすい点を整理しておきます。 ブラストメールの事案では、エックスサーバー以外にも、ブラストメールを使っていた多くの会社や自治体が、それぞれの客の情報について発表を出しています。 件数はそれぞれの会社が自社の配信先として数えたもので、会社をまたいで合計すると、同じ人を重ねて数えることになります。 エックスサーバーの459,679件は、あくまでエックスサーバーが登録していた配信先の件数です。

ブラストメールそのものの事案と、ブラストメールを契約していた事業者がすることは、ブラストメールの不正アクセス｜契約者情報と配信先リストの持ち出しで利用者がすること 2026で別に整理しています。 自分の会社でもブラストメールを使っていた人は、そちらも合わせて確かめてください。

エックスサーバーの対応と、個別メールの案内

エックスサーバーが発表している対応は、次の3つです。

• 本件の発覚後、ブラストメールと自社システムとのデータ連携を停止した
• 今後はブラストメールの利用を終了し、自社開発のメール配信システムへ移行を進める
• 情報管理体制と委託先の管理方法を見直し、再発防止に努める

対象の客には、漏洩した情報をメールで個別に案内するとしています。 10月29日の追記にも「お客様ごとの漏洩した情報は、メールにて個別にご案内いたします」と書かれており、自分のどの項目が漏れたかは、このメールで分かる仕組みです。

一方で、2026年10月30日時点の発表には、補償やお詫びの品、専用のコールセンターの開設についての記載はありません。 記載の無いことを前提に動くのは避け、問い合わせは通常のサポート窓口から行うことになります。 同社のサイトには、窓口への問い合わせが集中して回答が遅れているというお知らせも出ているので、急ぎでない確認はメールの案内を待つほうが確実です。

個別のメールが届いたときに気をつけたいのは、そのメール自体が本物かどうかです。 エックスサーバーの案内が届くのと同じ時期に、エックスサーバーを名乗る偽のメールが届く可能性があります。 本物の案内は、漏洩した項目を知らせるものであって、パスワードの入力や支払い情報の再登録を求める内容ではないはずです。 メールのリンクからログインせず、ブラウザのブックマークや自分で入力した公式サイトのアドレスから XServerアカウントに入り、お知らせを確かめる癖をつけてください。

補償の扱いは、会社ごとに対応が分かれます。 エックスサーバーは補償について発表していないので、この記事でも推測は書きません。

自分が対象かを確かめる方法

自分が対象かどうかは、次の順に確かめます。

1. エックスサーバーから、漏洩した情報を知らせる個別のメールが届いているかを見る。迷惑メールのフォルダも探す
2. エックスサーバーのお知らせメール（ニュース・キャンペーン情報）を受け取っていたかを思い出す。受け取っていた覚えがあれば、対象の可能性がある
3. XServerアカウントに、メールのリンクではなく公式サイトから入り、登録しているメールアドレスとお知らせの配信設定を確かめる
4. 過去に解約したサービスでも、当時お知らせを受け取っていれば対象に含まれる可能性がある。解約済みのアカウントに登録していたメールアドレスの受信箱も確かめる

ここで注意したいのは、過去の利用者も対象に含まれている点です。 エックスサーバーは「現在ご利用中、または過去にご利用いただいたお客様のうち」と書いています。 何年も前にブログを作るために契約し、今はほかのサーバーに移った人でも、お知らせの配信を希望していれば配信先リストに残っていた可能性があります。 今は使っていないメールアドレスで登録していた場合、個別のメールに気づかないこともあります。

外部のサービスでメールアドレスの漏洩を調べる方法もあります。 Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩では、メールアドレスがどの漏洩事案に含まれているかを調べる手順をまとめています。 ただし、今回の件がそうしたサービスに登録されているとは限らないので、エックスサーバーからの個別の案内を一番の手がかりにしてください。

会社でエックスサーバーを契約している場合は、契約の担当者のメールアドレスだけでなく、請求書の送付先や技術担当のアドレスでお知らせを受け取っていたかも確かめます。 会社名・会社名フリガナの件数が115,702件あることから、法人として登録していた客も多く含まれていると読めます。

利用者がすること：偽の更新通知・支払い失敗・ドメイン失効のメールへの備え

今回漏れた情報で一番起こりやすいのは、エックスサーバーを装ったフィッシングメールです。 フィッシングとは、本物そっくりのメールや SMS で偽のサイトに誘い、IDやパスワード、カード番号を入力させて盗む手口のことです。

エックスサーバーは、今回の件とは別に、2026年10月18日から自社を装ったフィッシングメールが出回っていると注意を呼びかけています。 当サービスを装ったフィッシングメールにご注意くださいで公開されている件名の例は、次の3つです。

• 【XServerアカウント】ご利用料金自動更新処理のご連絡
• 【XServer アカウント】■重要■ XServerドメイン更新に関する請求書
• 重要なお知らせ：ドメイン名および関連サービスの更新に失敗しました

本文には「お支払い方法が承認されませんでした」「ドメインを再開するには、お支払い方法を更新してください」「次回のチャージにも失敗した場合、アカウントは自動的にキャンセルされます」といった文が並び、ログインの URL として偽のサイトへのリンクが張られていました。 自動更新の時期や設定の解除方法まで本物の案内に似せて書かれているのが特徴です。

今回の漏洩で、こうしたメールの宛名に本名や会社名、使っているサービス名を正しく入れることができるようになりました。 宛名が正しいことは、本物である証拠になりません。 次の点で見分けます。

確かめる所	見る点
差出人のアドレス	エックスサーバーが案内に使うアドレスは [email protected] と [email protected] と公式に書かれている。ただし差出人は偽装できるので、これだけで本物とは決めない
リンク先の URL	公式サイトと管理ツールの URL は、https で始まり、ドメインの末尾が「.xserver.ne.jp」の形と公式に書かれている。HTMLメールでは表示と違う先へ飛ばせるので、リンクを押さずに公式サイトから入る
求めていること	支払い方法の更新、カード情報の再入力、ログインを急がせる内容は特に疑う
期限の書き方	「24時間以内」「次回失敗でキャンセル」のように急がせる書き方は、偽のメールでよく使われる
ブラウザの警告	「接続の安全性を確認できません」などの警告が出たら閲覧をやめる

エックスサーバーのフィッシングメールへの注意のページは、不審なサイトを開いただけではログイン情報は漏れないが、ログイン情報を入力してしまった場合は、パスワード再発行フォームからすぐに新しいパスワードを再発行するよう案内しています。 支払いの更新を求めるメールが本物かどうか分からないときは、メールのリンクを使わずに XServerアカウントに入り、契約の期限と支払い状況を自分の目で確かめれば、それで判断できます。 期限が先なら、そのメールは無視してかまいません。

カード情報を偽のページに入力してしまった場合は、エックスサーバーではなく、カードの裏面に書かれた発行会社の窓口に連絡して止めてもらいます。 メールの見分け方そのものは、フィッシング詐欺メールの見分け方｜5秒で振り分ける手順と開いた後の対処で手順を詳しく書いています。

電話番号と住所は今回の漏洩に含まれていないので、エックスサーバーを名乗る電話や郵便が今回の件をきっかけに増えるとは言えません。 ただ、同じ人の情報がほかの事案で漏れていれば、組み合わせて使われることはあります。 エックスサーバーを名乗る電話でパスワードや認証コードを聞かれても、答えないでください。

XServerアカウントの二段階認証とログインの見張り

今回の件でログインパスワードは漏れていませんが、偽のメールに引っかかってパスワードを入力してしまうと、その時点でアカウントは危なくなります。 その最後の守りになるのが二段階認証です。 二段階認証とは、パスワードに加えて、スマートフォンのアプリに表示される使い捨ての番号などを入力しないとログインできなくする仕組みのことです。

エックスサーバーのマニュアル二段階認証設定によると、XServerアカウントでは認証アプリ（TOTP）と SMS 認証の2つが使え、両方を設定することもできます。 サーバーパネルは認証アプリだけに対応しています。 XServerアカウントで認証アプリを設定する手順は、次のとおりです。

1. XServerアカウントにログインし、画面上部右端のメニューから「ログインセキュリティ」を押す
2. 「二段階認証」の中にある認証アプリ（TOTP）の「設定する」を押す
3. 「QRコードを表示」を押し、表示された QR コードを認証アプリで読み取る
4. 認証アプリに出た6桁の認証コードを入力し、「認証」を押す
5. 表示されたバックアップコードを保管する

バックアップコードは、スマートフォンを無くしたり機種を変えたりして認証アプリが使えなくなったときに、代わりに入力してログインするための番号です。 マニュアルには、機種変更で認証アプリに登録した認証コードが使えなくなる場合があること、XServerアカウントは SMS 認証やバックアップコードを設定していれば機種変更後もログインを続けられることが書かれています。 サーバーパネルは認証アプリだけなので、機種変更の前に二段階認証を「設定しない」に変えておくよう勧めています。

XServerアカウントには、ほかにも見張りの仕組みがあります。 不審なログイン時の認証は、これまでと違う IP アドレスや端末からログインされたときに、登録メールアドレスに届く認証コードの入力を求める機能で、マニュアルは通常「ON」のまま使うよう強く勧めています。 二段階認証を有効にしている場合はこの認証は行われませんが、不審なログイン時の通知は二段階認証を設定していても届きます。 マニュアルの一覧には「ログイン履歴」と「デバイスの管理」の項目もあるので、知らない端末からのログインが無いかを定期的に見ておくと安心です。

二段階認証の考え方そのものや、ほかのサービスで多要素認証を入れるときの比べ方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で扱っています。 エックスサーバー以外にも、ドメインを管理しているサービスや、サイトの管理画面（WordPress など）にも同じ守りを入れておくと、偽のメール1通で全部を失うことを防げます。

サイトやメールを仕事で運営している人の注意

エックスサーバーは、ブログやホームページを個人で運営する人、在宅で Web 制作やライティングを請け負う人、小さな会社の担当者に広く使われています。 仕事で使っている人は、自分の情報だけでなく、取引先とのやり取りまで含めて考える必要があります。

まず、取引先のサーバーを代わりに契約・管理している場合です。 Web 制作を請け負い、取引先の会社名でエックスサーバーを契約して、お知らせのメールを自分のアドレスで受け取っていた、という形はよくあります。 この場合、取引先の会社名と、契約を管理しているあなたのメールアドレスの組み合わせが漏れている可能性があります。 取引先には、今回の件の公式発表を伝え、エックスサーバーを名乗る更新や支払いのメールが届いても、支払い手続きの前にあなたに確認してもらうよう頼んでおくと、偽のメールで支払ってしまう事故を防げます。

次に、個人情報保護法との関係です。 個人情報保護委員会の漏えい等の対応とお役立ち資料では、不正アクセスなど不正の目的で行われたおそれがある漏えい、1,000人を超える漏えいなどが、委員会への報告が義務になる場合として挙げられています。 今回の件で報告や本人への通知をする立場にあるのは、配信先リストを持っていたエックスサーバーと、その委託先です。 読者自身が預かっている顧客の名簿が漏れたわけではないので、エックスサーバーの件だけを理由に、自分が委員会へ報告する立場になるとは一般には考えにくいです。 ただし、自分の会社でもブラストメールを使っていた場合や、取引先の個人情報をエックスサーバー以外の場所で扱っている場合は事情が変わります。 個別の判断は、取引先との契約の内容や情報の扱い方で変わるので、個人情報保護委員会の相談窓口や、契約で決めた連絡先に確かめてください。

在宅で仕事を受けている人は、取引先から「エックスサーバーの件、うちは大丈夫か」と聞かれることもあります。 答えるときは、公式発表の範囲（対象はお知らせの配信を希望して登録されていた客、パスワードや決済情報は対象外）と、まだ分かっていないことを分けて伝えると、相手も判断しやすくなります。 推測で「問題ありません」と言い切らないことが、信頼を保つうえで大切です。

社内で同じ説明をする役目を任された人は、偽のメールの例を見せて訓練する方法も役に立ちます。 社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドでは、模擬のメールを使った訓練の進め方を紹介しています。

問い合わせ窓口

2026年10月30日時点で、エックスサーバーの発表には、今回の件だけを受け付ける専用の電話番号やメールアドレスは載っていません。 問い合わせは、エックスサーバーの通常のサポート窓口からになります。

窓口	公式サイトに載っている受付
電話（ご契約中のお客様）	平日 10時から18時
メールでのお問い合わせ	24時間365日受付
チャット	平日 10時から18時

電話番号は公式サイトのサポートのページに載っているので、偽のメールに書かれた番号ではなく、自分で公式サイトを開いて確かめてください。 フィッシングの注意のページでも、自分で判断できないメールはお問い合わせフォームから相談するよう案内しています。

ブラストメールの事案そのものについては、ラクスライトクラウドの発表に、ブラストメールのサポート窓口（電話 03-6862-7337、受付は平日10時から17時、土日祝を除く）が載っています。 ただし、エックスサーバーの客の個別の漏洩項目は、エックスサーバーが個別のメールで案内するとしているので、まずはエックスサーバーの案内を待つのが順番です。

窓口に問い合わせるときは、XServerアカウントIDや契約しているサービス名を手元に用意し、届いたメールがあれば件名と受信日時を控えておくと話が早く進みます。 パスワードを窓口に伝える必要はありません。

在宅で働く人がサーバーのアカウントを守るために

フリーランスや在宅ワークの仲介を2004年から続けてきた運営者として見てきた限りでは、仕事の道具になっているアカウントほど、守りが後回しになりがちです。 サーバー、ドメイン、メール、制作したサイトの管理画面は、どれか1つを乗っ取られると、取引先のサイトの改ざんやメールのなりすましまで広がります。 受け手が個人であっても、取引先から見れば預けた仕事の一部であり、守りの甘さは信頼の問題になります。

今回の件から引き出せる、仕事のアカウントの守り方を整理します。

• 仕事で使うアカウントは、ログインのパスワードを使い回さず、二段階認証を必ず設定する
• 契約や支払いの通知は、メールのリンクからではなく、ブックマークした公式サイトから確かめる
• 取引先のサーバーやドメインを代わりに管理しているなら、誰のアカウントで、どのメールアドレスに通知が届くかを一覧にしておく
• 使わなくなったサービスは、お知らせの配信を止めるか、アカウントごと解約する
• 委託先（今回ならメール配信サービス）で事故が起きたとき、自分の情報がどこまで渡っているかを把握しておく

最後の点は、今回の件で特に見えた課題です。 エックスサーバー自身のシステムは攻撃されていなくても、外部のメール配信サービスに預けていたリストから情報が漏れました。 利用者の側から委託先を選ぶことはできませんが、登録したサービスが何社のサービスにつながっているかを意識しておくと、事故の知らせを受けたときに自分が関係するかをすぐ判断できます。

運営者として長く見てきた中でも、継続して仕事を任される人ほど、こうした守りの手間を当たり前のこととして続けています。 仲介手数料が乗らない直接取引では、受け手の手取りが厚くなる分、取引先との信頼を自分で守る比重も大きくなります。 セキュリティの知識を仕事にする道もあり、@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

よくある質問

Q. エックスサーバーを契約していれば全員が情報漏洩の対象ですか？

全員ではありません。エックスサーバーの発表では、対象は現在または過去の利用者のうち、ニュース・キャンペーン情報の配信を希望してブラストメールに登録されていた人です。同社は「すべてのお客様が対象となるものではありません」と明記しています。対象の人には、漏洩した情報がメールで個別に案内されます。

Q. エックスサーバーのログインパスワードは変えたほうがいいですか？

今回の件でログインパスワードは漏洩の対象に含まれていないと公式に書かれています。ただし、ほかのサービスと同じパスワードを使っている場合や、偽のメールのページに入力した覚えがある場合は、パスワード再発行フォームから変更してください。あわせて XServerアカウントに二段階認証を設定すると、パスワードを盗まれてもログインされにくくなります。

Q. エックスサーバーの管理画面が止まったのは情報漏洩のせいですか？

違います。2026年10月21日の公式サイトや管理画面の一時停止は、PHP の脆弱性の公開に備えた予防的な安全対策で、エックスサーバーは不正アクセスによるものではないと説明しています。情報漏洩は、委託先のメール配信サービス「ブラストメール」への不正アクセスによる別の事案です。

Q. エックスサーバーから支払い失敗のメールが届いたらどうすればいいですか？

メールのリンクは押さず、ブックマークした公式サイトから XServerアカウントにログインして、契約の期限と支払い状況を確かめてください。エックスサーバーは「ドメインの更新に失敗しました」などの件名のフィッシングメールが出回っていると注意を呼びかけています。偽のページにカード情報を入力した場合は、カード発行会社に連絡してください。