エックスサーバーから情報漏洩の案内が届いたら、まず自分が対象になった情報と、必要な対応を確かめましょう。今回公表されたのは、ニュースなどの配信に使っていたブラストメールへの不正アクセスによる漏洩で、エックスサーバーのサーバーや管理画面への侵入が確認されたという発表ではありません。
2026年10月29日の追記では、漏洩したメールアドレスが459,679件と判明し、氏名や利用サービス名などの詳細も公表されました。解約や配信停止を済ませた方も対象に含まれる場合があるため、対象条件から個別通知の確認先、偽メールへ情報を入力したときの対処まで順に確認できます。
この対象条件や対応は、エックスサーバーの10月29日の追記と公式FAQ、ブラストメールの11月3日12時の更新時点の内容です。
エックスサーバーの情報漏洩はブラストメール経由
エックスサーバーの今回の情報漏洩は、外部のメール配信サービスに預けていた配信先情報が持ち出された事案です。ブラストメールを提供するラクスライトクラウドへの不正アクセスが発端で、エックスサーバーは同サービスに登録していた配信先リストの全件が漏洩したと説明しています。
要点「全件」が指すのは登録していた配信先リスト
エックスサーバーのすべての契約者が対象という意味ではありません。現在・過去の利用者のうち、ブラストメールに配信先情報が登録されていた方が対象で、漏洩した項目は個別に確認する必要があります。
サーバーや管理画面への侵入とは分けて考える
この発生場所の違いから、今回の公表だけで、自社ホームページのデータまで流出したと判断しないようにしてください。エックスサーバーは本件に関連した自社システムへの不正アクセスを確認しておらず、契約中のサービスは引き続き利用できると案内しています。
同じ時期の管理画面の停止案内なども気になる場合は、エックスサーバーの管理画面とサイト・メールへの影響を別に確かめると、必要な確認を分けられます。漏洩の対象確認と、自社サイトに生じた異常の確認は、それぞれの案内に沿って進めるのがよいでしょう。
出典:エックスサーバー「委託先メール配信サービス『ブラストメール』における個人情報の漏洩に関するお詫びとお知らせ」(2026年10月29日更新)
利用終了・移行の方針と、提供元の最新状況
エックスサーバーはブラストメールとのデータ連携を停止し、今後は利用を終了して自社開発のメール配信システムへ移行する方針を示しました。これはメール配信の仕組みに関する対応で、利用者へ一律のサーバー移転を求める案内ではありません。
一方、ブラストメールの11月3日12時の更新では、サービス停止が続く中で11月11日頃の再開を目指すとされています。日程は調査や検証により変わる可能性があり、OEM版の再開目途は未定なので、再開済みと考えて手続きを進めないでください。
出典:ブラストメール「ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」(2026年11月3日12時更新)
エックスサーバーの情報漏洩の対象者を確認する
エックスサーバーの情報漏洩の対象は、同社がブラストメールに配信先として情報を登録していた方です。現在の契約やメール配信の設定だけでは対象かどうかを決められず、過去の登録情報が残っていたかも関係します。
解約済み・配信停止済みでも対象に含まれる場合がある
公式FAQによると、解約や配信停止があった情報は定期的に削除されていましたが、手続きから削除までの間に残っていた情報も今回の対象に含まれました。したがって、「もう使っていない」「メールを止めた」だけで対象外とは判断できません。
通知が届いている
個別の漏洩項目を確認し、疑わしい手続きのリンクは使わない。
解約・配信停止済み
過去の情報が残っていれば対象になるため、以前の受信先も確認する。
通知が見つからない
未着だけで対象外と決めず、公式FAQの問い合わせ先で確かめる。
個別通知を探し、分からなければ公式窓口へ確認する
対象者への個別メールは、公式FAQによると10月29日から30日にかけて送付済みです。受信箱に見当たらない場合は、迷惑メールフォルダや以前登録したメールアドレスも確認し、それでも分からなければ公式窓口へ問い合わせましょう。
その際は、公式FAQの「被害が発生した場合や不明な点」の問い合わせフォームから進めます。受信した不審メールへ返信して本人確認を済ませようとしないことも大切で、契約名義や登録先を管理する担当者と確認を合わせてください。
出典:エックスサーバー「委託先メール配信サービス『ブラストメール』におけるお客様の個人情報の漏洩に関するご質問と回答」
ブラストメール経由で漏れた情報と対象外の情報
ブラストメール経由で漏洩したメールアドレスに加え、エックスサーバーは氏名・会社名・利用サービス名などの件数を公表しました。ただし、全員について同じ項目が漏れたわけではなく、自分の範囲は個別通知で確認する必要があります。
公表された漏洩項目と件数(2026年10月29日追記)
| 漏洩項目 | 件数 |
|---|---|
| メールアドレス | 459,679件 |
| XServer アカウントID | 692件 |
| 氏名・氏名フリガナ | 380,384件 |
| 会社名・会社名フリガナ | 115,702件 |
| 利用サービス名 | 316,453件 |
| アカウント登録日 | 431,076件 |
| 個人・法人の区分 | 431,076件 |
| 配信希望状況 | 429,382件 |
表のアカウント登録日はXServerアカウントを登録した日、配信希望状況はニュース・キャンペーン情報を受け取りたいかの設定です。項目ごとの件数には重なりがあるため、表を足し算して被害人数を出すことはできません。
特に459,679件は、メール配信先として登録されていたメールアドレスの件数です。「459,679人」や「459,679社」と読み替えると意味が変わるため、社内へ共有するときも単位を揃えましょう。
パスワード・住所・電話番号・決済情報は今回の対象外
注意対象外の説明は、XServerが預けた配信先情報についてのもの
エックスサーバーはログインパスワード・住所・電話番号・クレジットカード情報などの決済情報をブラストメールに登録しておらず、今回の漏洩対象には含まれないと説明しています。ブラストメールの契約者情報についての発表と、同社の配信先情報についての発表を混同しないようにしましょう。
このため、公式FAQでは本件を理由としたパスワード変更やカード再発行は不要と案内されています。ただし、不審メールから開いた画面に自分で入力した場合は別であり、対象外という説明を理由に対応を見送らないでください。
情報漏洩の通知メールを確認した後にすること
情報漏洩の案内を受け取った後は、漏れた項目の確認と、ログインや支払いの操作を分けると落ち着いて進められます。氏名や利用サービス名が正しく書かれていても、それだけで手続きの依頼が本物とは判断できません。
メールのリンクを使わず、公式サイトを開き直す
エックスサーバーは、漏洩した氏名やサービス名を含む本物に見える偽メールが届くおそれを案内しています。差出人のアドレスや本文中のURLは偽装できるため、個人情報の更新や支払いを促されても、メール内のリンクから入力しないようにしましょう。
具体的には、普段使うブックマークから公式サイトを開き、ログインや支払いが必要ならその画面で確認しましょう。通知が本物か迷うときも、公式FAQから窓口を開いて確認すれば、疑わしいメールへ返信せずに済みます。
この確認方法は、XServerを装ったメールの見分け方でも使えます。迷惑メールにある「配信停止」のリンクにも触れず、配信を止めたい場合は自分で開いたXServerアカウントの管理画面から設定を変更してください。
出典:エックスサーバー「エックスサーバーを装ったフィッシングメールにご注意ください」
すでにパスワードやカード情報を入力した場合
偽サイトへログイン情報を入力した場合は、正規の画面から速やかにパスワードを変更し、身に覚えのないログインがないか確認します。カード情報も入力したならカード会社へ相談する必要があり、今回の漏洩でパスワードやカード情報が対象外だったこととは切り離して動きましょう。
警告漏洩通知を受け取っただけの場合と、偽サイトへの入力後は対応が異なる
今回の漏洩だけを理由とした変更は不要と案内されていますが、自分で偽サイトに入力した情報は別に扱います。疑わしいサイトを閉じ、正規の画面や公式窓口を通じて変更・相談を進めてください。
もし自社ホームページにも表示の異常などがあるなら、ホームページの改ざんに気づいたときの対応に沿って、異変の日時とURLを管理会社へ伝えることから進めてください。本件の漏洩が原因だと決めつけず、別の異常として調べてもらう必要があります。
エックスサーバーの契約担当者と社内で確認しておくこと
XServerの契約を制作会社に任せている場合は、通知を受け取る人と、ホームページを使う人が違うこともあるでしょう。まず契約名義と登録メールの受信先を確かめ、誰が対象確認を進めるかを決めると、社内で同じ確認を重ねずに済みます。
契約先自体が分からないときは、請求書や過去の連絡からたどり、自社ホームページのサーバー契約を調べる手順に沿って担当者へ確認します。パスワードや認証コードを社内の一斉メールに書いて共有しないようにし、契約の確認事項だけを集めてください。
契約を管理する担当者
メールを使う社内の人
ログイン履歴と二段階認証を確認する
不正ログインへの備えとして、公式FAQは二段階認証の設定とログイン履歴の確認を勧めています。二段階認証は、パスワードに加えて認証アプリやSMSのコードを使う方法で、XServerアカウントとサーバーパネルでは設定手順が分かれているため、両方の設定状況を確かめます。
設定を進める際は、XServerの二段階認証とログインできないときの備えも確かめ、バックアップコードを安全に保管しましょう。担当者の交代や端末の紛失時にも管理を続けられるよう、認証できる人が誰かまで社内で把握しておくと安心です。
ログイン履歴は、XServerアカウントの上部メニュー右端から「ログインセキュリティ」を開き、「ログイン履歴」の「さらに読み込み」で直近30件を確認できます。覚えのない記録が見つかった場合はパスワード変更や公式窓口への連絡を進め、履歴があったことだけで本件との因果を断定しないでください。
確認の結果を社内で引き継げる形に残す
ここまで確認したら、対象確認の結果・担当者・未対応の項目を短く記録しておきましょう。個人情報を広く転送するより、誰がどこまで確認したかを残す方が、次の連絡を受けたときの判断に使えます。
- 通知を確認した担当者と確認日を決めた
- 対象か不明な場合の公式問い合わせを依頼した
- 個別通知で案内された項目を担当者が把握した
- 偽サイトへの入力の有無と対応状況を確認した
- 履歴確認・認証設定を行う人を決めた
よくある質問
Qエックスサーバーの全契約者が情報漏洩の対象ですか？
Aエックスサーバーの全契約者が対象ではありません。同社がブラストメールに配信先として情報を登録していた方が対象で、個別の漏洩項目は通知や公式窓口で確認します。
Qエックスサーバーを解約済みでも対象になりますか？
Aエックスサーバーを解約済みでも、ブラストメールから削除される前の情報が残っていた場合は対象に含まれます。メール配信を停止していた場合も同様です。
Q電話番号やログインパスワードも漏れましたか？
Aエックスサーバーは、ログインパスワード・住所・電話番号・クレジットカード情報などの決済情報をブラストメールに登録しておらず、今回の漏洩対象には含まれないと説明しています。
Q情報漏洩の個別メールが届いていなければ対象外ですか？
A情報漏洩の個別メールが見つからないことだけでは、対象外と断定できません。迷惑メールフォルダや以前の登録アドレスも確かめ、不明ならエックスサーバー公式FAQの問い合わせ先へ確認してください。
QXServerのパスワードをすぐ変更する必要がありますか？
AXServerの公式FAQでは、本件だけを理由としたパスワード変更やカード再発行は不要と案内されています。ただし、偽サイトへログイン情報を入力した場合は速やかな変更が必要で、カード情報も入力した場合はカード会社へ相談します。
Qホームページや会社のメールは使い続けられますか？
Aエックスサーバーは、今回の情報漏洩によるサービスへの影響は確認されておらず、契約中のサービスは引き続き利用できると案内しています。自社で別の異常がある場合は、管理担当者へ個別に確認してください。
Q今回の情報漏洩を理由にサーバー移転が必要ですか？
Aエックスサーバーは本件について、利用者へ一律のサーバー移転を求めていません。まず対象や漏洩項目を確認し、自社サイトに別の異常がある場合は契約中の管理会社と対応を決めます。
対象と漏洩項目を確かめ、公式画面から手続きを進める
エックスサーバーの今回の情報漏洩は、委託先ブラストメールから配信先の個人情報が持ち出された事案です。まず個別通知で対象と項目を確かめ、不明なら公式窓口へ確認し、ログインや支払いは普段の経路で公式サイトを開いて進めましょう。
そのうえで、偽サイトに入力した場合の対応と、社内の確認担当まで決めておくと、次の連絡にも対応しやすくなります。受信メールの扱いを社内で揃えるときは、会社のメールセキュリティ対策から、普段の確認手順も見直してみてください。
ホームページやサーバーの管理を整えたい場合は、弊社で必要な範囲と予算に合わせて進め方を調整できます。予算が未定の段階なら、今どこまで管理できているかの確認からでも構いません。