エックスサーバーは2026年10月18日、同社を装ったフィッシングメールが出回っているとして注意を呼びかけ、10月19日に内容を更新しました。偽メールはサーバーパネルのログイン画面によく似た偽サイトへ誘うもので、ログインIDやパスワードを入力すると、サイトの改ざんやメールの不正な送受信などの被害につながるおそれがあります。
エックスサーバーを使っていて、料金の自動更新やドメインの更新についてのメールが届いた人は、リンクを開く前に下の点を確かめてください。偽サイトにログイン情報を入れてしまった場合の手順も後半にあります。
エックスサーバーが公表した偽メールの件名
エックスサーバーのニュースでは、10月19日に確認したメールの件名として次の3つを挙げています。
- 【XServerアカウント】ご利用料金自動更新処理のご連絡
- 【XServer アカウント】■重要■ XServerドメイン更新に関する請求書
- 重要なお知らせ：ドメイン名および関連サービスの更新に失敗しました
本文には「お支払い方法が承認されませんでした」「ドメインを再開するには、お支払い方法を更新してください」といった文があり、ログインURLや手続きのリンクが偽サイトにつながっています。自動更新の時期や解除方法など、本物の案内に似せた説明も入っています。
件名や本文は今後変わることもあります。上の3つに当てはまらないメールでも、下の見分け方で確かめます。
本物かどうかを見分けるポイント
差出人のメールアドレス
エックスサーバーが案内を送るときのメールアドレスは、次の2つです。
- support@xserver.ne.jp
- noreply@xserver.ne.jp
ただし、エックスサーバーは「正しいメールアドレスでも送信元を偽装している場合がある」としています。差出人が正しく見えても、件名や本文に不審な点があれば、本文中のリンクを開いたりログインしたりしないよう求めています。
本文の内容
偽メールには、「アカウントの確認が必要」といった言葉でリンクを開かせようとする内容が書かれています。10月19日に公表された偽メールでも、支払いの失敗や「次回のチャージにも失敗した場合、アカウントは自動的にキャンセルされます」といった文で手続きを急がせています。
リンク先のURL
エックスサーバーの公式サイトや管理ツールのURLは「https://***.xserver.ne.jp/」の形です。メールのリンクを開く場合は、URLの文字列がこの形に合っているかを確かめます。
HTMLメールでは、表示上は「https://***.xserver.ne.jp/」のように見せながら、実際には別のサイトへ誘導することもできます。エックスサーバーはこの点にも注意するよう呼びかけています。
ログイン画面のアドレス欄
XServerアカウントにログインするときは、ブラウザのアドレス欄に次のURLが表示されているかを確かめます。エックスサーバーの注意喚起ページでは、ChromeとFirefoxでの表示例を画像で載せています。
- secure.xserver.ne.jp/xapanel/login/xserver/
サイトを開いたときに、次のような警告がブラウザに表示された場合は、偽サイトの可能性があります。エックスサーバーは、この場合は閲覧をやめるよう求めています。
- 「このWebサイトのセキュリティ証明書には問題があります。」
- 「この接続ではプライバシーが保護されません。」
- 「接続の安全性を確認できません。」
ブラウザの種類やバージョンによっては、これ以外の警告が出ることもあります。その場合も同じように閲覧をやめます。
不審なメールを受け取ったとき
- メールに書かれたURLを開かない。添付ファイルもダウンロードしない
- 本物かどうか自分で判断できない場合は、エックスサーバーのお問い合わせフォームから問い合わせる
偽サイトを開いてしまったとき
すぐにそのページを閉じます。エックスサーバーによると、偽サイトを開いただけでは、XServerアカウントのログイン情報は漏れません。
偽サイトにログイン情報を入力してしまったとき
エックスサーバーは、ログイン情報が第三者に漏れた可能性があるとして、すぐに新しいパスワードを設定し直すよう求めています。入力した情報の種類に合わせて、公式の再設定フォームを使います。
- XServerアカウントのIDとパスワードを入力した：「XServerアカウントパスワード」再設定フォームで、XServerアカウントIDまたは登録メールアドレスを入力します。登録メールアドレスに届く案内に沿って、新しいパスワードを設定します。
- サーバーパネルにサーバーIDとサーバーパスワードを入力した：「サーバーパスワード」再設定フォームから再設定します。サーバーパスワードはメインFTPアカウントのパスワードと同じなので、再設定するとFTPのパスワードも変わります。
再設定フォームは、メールのリンクではなく、エックスサーバーのマニュアル「各種パスワードの再設定」にあるリンクから開きます。
再設定の案内メールが届かない場合は、迷惑メールフォルダーに入っていないかを確かめます。それでも届かないときは、エックスサーバーのよくある質問に問い合わせ先が載っています。
カード情報を入れてしまったとき
偽メールの「お支払い方法を更新してください」といった案内に沿って、偽サイトにクレジットカードの番号などを入れてしまった場合、フィッシング対策協議会は、すぐにカード会社の紛失・盗難の窓口に連絡し、カードの利用停止と、必要に応じて再発行の手続きをするよう求めています。日本クレジット協会は、連絡先としてカードの裏面に書かれた問い合わせ先を案内しています。あわせて利用明細を確かめ、覚えのない利用があれば、すぐにカード会社に連絡します。
確認リスト
- 差出人がsupport@xserver.ne.jpかnoreply@xserver.ne.jpか。正しく見えても、内容が不審ならリンクを開かない
- リンク先のURLが「https://***.xserver.ne.jp/」の形か。HTMLメールでは表示と実際の行き先が違うことがある
- ログイン画面のアドレス欄が「secure.xserver.ne.jp/xapanel/login/xserver/」か
- ブラウザに証明書の警告が出たら、閲覧をやめる
- ログイン情報を入れてしまったら、公式の再設定フォームですぐにパスワードを変える
メールを使っただましの手口は、AIアシスタントを狙うものも出てきています。メールに隠した「AIへの指示」の記事も参考になります。
コメント