エックスサーバーの個人情報漏洩とは？ブラストメールの不正アクセスと注意点

エックスサーバーから「ブラストメールで個人情報が漏洩した」というお知らせが届くと、詐欺メールなのか、サイトやクレジットカードは大丈夫なのかと気になりますよね。2026年10月30日に確認したところ、情報漏洩についてはエックスサーバーの公式発表があり、対象者への個別メールも案内されています。

『えぞノオト』のマンマユートです。ただし、公式発表と内容が一致することと、届いたメールそのものが本物であることは別です。今回は、漏洩した情報の範囲、パスワード変更の必要性、これから気をつけたい便乗メールについて整理します。

エックスサーバーの情報漏洩は公式に発表されている

今回の事案は、エックスサーバーがニュースやキャンペーン情報の配信に利用していた外部サービス「ブラストメール」で起きたものです。提供元は株式会社ラクスライトクラウドで、第三者による不正アクセスにより、登録されていた個人情報が外部へ漏洩しました。

エックスサーバーは2026年10月23日にお知らせを掲載し、10月29日の追記で漏洩件数などを公表しています。公式FAQでは、対象となった利用者へ10月29日から30日にかけて、順次メールで個別に案内すると説明しています。

つまり、この時期に情報漏洩のお詫びメールが届くこと自体は、公式の案内と整合します。「情報漏洩を知らせるメールだから詐欺」と決めつけるのも、「公式発表があるからメール内のリンクも安全」と考えるのも避けたいところです。

漏洩したのはどんな情報？全員が同じ項目ではない

2026年10月29日の公式発表では、漏洩したメールアドレスは459,679件です。これはメール配信先として登録されていたアドレスの件数であり、そのまま契約者の人数を示しているわけではありません。

メールアドレスに付随する情報も漏洩していますが、項目は利用者ごとに異なります。以下は事案全体の公表内容であり、メールを受け取った人すべてについて、全項目が漏洩したという意味ではありません。

公表された情報の項目	漏洩件数
メールアドレス	459,679件
XServerアカウントID	692件
氏名・氏名フリガナ	380,384件
会社名・会社名フリガナ	115,702件
利用サービス名	316,453件
XServerアカウントの登録日	431,076件
個人・法人の区分	431,076件
ニュース・キャンペーン情報の配信希望状況	429,382件

同じメールアドレスに複数の情報が付随するため、表の件数を足して被害人数とすることはできません。自分について何が漏洩したのかは、個別の案内で項目を読み、不明な点があれば公式サイトからサポートへ問い合わせる必要があります。

解約済み・メール配信停止済みでも対象になる場合がある

対象となるのは、エックスサーバーの利用者全員ではありません。利用中または過去に利用していた人のうち、ニュース・キャンペーン情報などの配信先として、ブラストメールに情報が登録されていた人です。

公式FAQによると、解約やメール配信停止後の情報は定期的に削除していたものの、削除までの間に情報が残る期間がありました。そのため、すでに解約した人や配信を止めた人も、情報が残っていた場合は今回の対象に含まれます。

「もう契約していないのに届いた」という理由だけでは、不審なメールと判断できないのですね。一方、契約履歴があることだけで送信者の正当性も証明できません。対象かどうか分からない場合は、届いたメールへの返信ではなく、公式窓口で確認しましょう。

パスワード変更やカードの再発行は必要？

エックスサーバーの発表では、ログインパスワード、住所、電話番号、クレジットカード情報などの決済情報はブラストメールに登録しておらず、今回の漏洩対象に含まれていません。

このため、公式FAQでは今回の情報漏洩を理由としたパスワード変更やクレジットカードの再発行は不要としています。お知らせを受け取っただけの段階で、慌ててカードを止めたり、メールに書かれた変更手続きへ進んだりする必要はありません。

ただし、不審なサイトにパスワードやカード情報を入力した場合は別です。それは今回公表された漏洩とは別の経路で、情報を渡してしまった可能性があるためです。「今回の漏洩対象に入っていない」という説明を、その後の操作まで安全という意味に広げないようにしましょう。

また、2026年10月30日に確認した公式FAQでは、この事案に関連するエックスサーバーのシステムへの不正アクセスや、提供サービスへの影響は確認されていません。契約中のサービスは引き続き利用できると案内されています。

名前や利用サービスが書かれたメールにも注意

私が気になるのは、漏洩した氏名やサービス名を使い、本物らしく見せたメールが届く可能性です。自分の名前や契約しているサービスが正しく書かれていると、つい信用してしまいそうですが、それだけでは本人確認の根拠になりません。

公式FAQでも、本件に便乗したメールを含め、エックスサーバーや関連サービスを装うフィッシングメールへの注意を呼びかけています。例えば「情報漏洩の補償を受けるための確認」「アカウント保護のための再登録」といった誘導には慎重な対応が必要です。これらは想定例であり、今回確認されたメールの件名を示すものではありません。

差出人欄に正規のメールアドレスが表示されていても、偽装される場合があります。また、本文に見えているURLと実際のリンク先が違うこともあります。見た目を細かく判定しようとするより、ログインや支払いは普段のブックマークから始めるほうが、迷いを減らせます。

迷惑メールが増えた場合は、利用中のメールサービスの迷惑メールフィルターを活用できます。不審なメールにある「配信停止」のリンクも押さず、正規のニュース配信を止めたい場合は、公式のXServerアカウント管理画面から設定を変更してください。

リンクを開いた・情報を入力した場合の対応

すでにメールを操作した場合は、どこまで行ったかで対応が変わります。受信して読んだだけなのか、リンク先を開いたのか、情報を入力したのかを思い出してください。メールが届いたことだけで、不正ログインや端末の感染が起きたとは判断できません。

行った操作	対応の目安
受信して読んだだけ	メール内から手続きせず、公式サイトで発表を確認する
不審なリンク先を開いた	閲覧を終了し、追加の操作や情報入力をしない
ログイン情報を入力した	公式サイトから速やかにパスワードを変更し、ログイン履歴も確認する
カード情報を入力した	カード会社の公式窓口に、入力した状況を伝えて相談する
ファイルを実行・アプリを導入した	端末のセキュリティ確認も行い、業務端末なら管理者に相談する

エックスサーバーのフィッシング注意喚起では、サイトにアクセスしただけではXServerアカウントのログイン情報は流出しないと説明しています。ただし、ファイルの実行や情報入力なども行った場合は、閲覧だけのケースとは区別する必要があります。

不審なサイトへ入力したパスワードをほかのサービスでも使っていた場合は、使い回し先も見直しましょう。身に覚えのないログインがある、ログインできなくなったなどの異常があれば、公式サイトのサポート窓口へ状況を伝えてください。

二段階認証とログイン履歴を見直そう

今回の漏洩を受け、エックスサーバーは二段階認証の設定を勧めています。これは、通常のパスワードに加えて認証コードなどを使い、ログイン時の安全性を高める仕組みです。設定はメールのリンクからではなく、自分で開いた公式管理画面から進めます。

2026年10月30日に確認したマニュアルでは、XServerアカウントの「ログインセキュリティ」から、認証アプリまたはSMSによる二段階認証を設定できます。サーバーパネルは認証アプリのみの対応です。認証アプリで設定する場合は、表示されるバックアップコードも保管してください。

あわせて、ログイン履歴に身に覚えのない記録がないかも確認したいところです。二段階認証を設定しても、不審なサイトへ認証コードを入力してよいわけではありません。コードを入力する場所も、普段の公式サイトから開いた画面かどうか確かめましょう。

情報漏洩のお知らせは不安になりますが、最初の行動は難しいものではありません。いったんメールを閉じ、いつもの入口から公式のお知らせとアカウントの状態を見る。それでも分からない点や、自分について漏洩した情報の確認が必要な場合は、公式サイトの問い合わせ窓口を利用してください。