2026年10月26日、レンタルサーバーのエックスサーバーは、同社を装ったフィッシングメールが出回っているとして、公式Xで注意を呼びかけました。ドメインの期限切れでサイトが止まると脅し、更新を急がせる内容です。当記事では、10月28日の2回目の注意喚起も含め、偽メールの見分け方と対処を公式情報をもとに解説します。
エックスサーバーを装うフィッシングメールに注意喚起（2026年10月26日）
公式Xで知らされた偽メールの内容
フィッシングメールとは、本物そっくりのメールで偽のサイトに誘導し、IDやパスワードなどをだまし取る手口のことです。エックスサーバーの公式Xは、2026年10月26日現在、同社を装ったフィッシングメールが出回っていることを確認したと発表しました。
投稿に添えられた画像のメールの件名は「【重要】ドメイン有効期限切れに伴うサービス停止のご案内」です。本文では、ドメインの有効期限が間もなく来ると伝え、期限までに更新しないとドメインを失うおそれがあり、ウェブサイトの表示やウェブメールも止まると書いたうえで、「更新手続きURL」へ誘導しています。
エックスサーバーは、メールに書かれたURLにアクセスしないこと、ログイン情報や個人情報を入力しないことを呼びかけています。
【追記】10月28日にも注意喚起、カードの決済情報を入れさせる文面
エックスサーバーの公式Xは、2026年10月28日現在も同じ偽メールが出回っているとして、もう一度注意を呼びかけました。今回は偽メールの本文の見本が添えられています。
件名は同じ「【重要】ドメイン有効期限切れに伴うサービス停止のご案内」です。本文は「ドメインの自動更新の手続きが正常に完了しなかった」と伝え、原因として「クレジットカードの有効期限切れ、または残高不足など」を挙げています。そのうえで、猶予期間を過ぎるとサイトやメールが使えなくなると書き、「手動での更新、または決済情報の更新」を求めて、「更新・決済情報変更リンク」へ誘導しています。
つまり、ログイン情報だけでなく、クレジットカードの情報を入れさせようとする文面です。「カードの期限が切れていたかも」と思い当たる人ほど、リンクを押してしまいやすいので注意してください。
エックスサーバーの呼びかけは前回と同じで、メールに書かれたURLにアクセスしないこと、ログイン情報や個人情報を入力しないことです。あわせて、同社からの正式なメールは、差出人のアイコンにエックスサーバーのロゴが表示されると案内しています（受信環境によってはロゴが表示されない場合もあるとしています）。
10月にはほかの件名の偽メールも
公式ニュースでは、10月18日にも別の件名の偽メールへの注意喚起が出ています（10月19日更新）。料金の自動更新やドメインの更新を装い、「支払いに問題があり更新できなかった」として支払い方法の更新を求める内容です。
なお、10月26日の公式Xと同じ件名の注意喚起は、公式サイトのニュース一覧では見つかりませんでした（2026年10月28日時点・編集部調べ）。
>>【注意喚起】当サービスを装ったフィッシングメールにご注意ください（エックスサーバー 公式）
また同社は10月23日、委託先のメール配信サービスが不正アクセスを受け、ニュースなどの配信を希望した人のメールアドレスなどが漏れたと発表しました。パスワードやクレジットカード情報は含まれておらず、同社のシステムへの不正アクセスは確認されていないとしています。同社はこの件で、同社を装う不審なメールが届くおそれがあるとして注意を呼びかけていますが、今回の偽メールとこの漏洩との関係は発表されていません。
>>【重要】委託先メール配信サービス「ブラストメール」における個人情報の漏洩に関するお詫びとお知らせ（エックスサーバー 公式）
このメールはAIで作られたもの？
「AIを使ったフィッシングなのか」と気になる人もいるかもしれません。結論から言うと、エックスサーバーの発表にはAIについての記載はなく、AIで作られたかどうかは分かっていません。
ただ、一般論として、フィッシング対策協議会は2026年度版のガイドラインで、生成AI（文章を自動で作るAI）を使った自然な文章などで、フィッシングが巧妙になっていると指摘しています。
従来の不自然な日本語や明らかな誤りを手掛かりに判別することが難しくなり、この点についての注意喚起のみでは被害を防ぎきれない状況になっている。
出典：フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」序
つまり、「日本語がおかしくないから本物」とは言えなくなっています。文面ではなく、次に紹介する確かめ方で見分けましょう。
ドメインの期限切れメールに、サイト運営者がだまされやすい理由
ドメインとは、サイトやメールアドレスに使う「〇〇.com」のような住所のことです。期限が切れると、サイトが表示されなくなったりメールが届かなくなったりするおそれがあります。
ブログやお店のサイトを運営している人ほど、「サイトが止まったら困る」という気持ちから、急いでリンクを開きがちです。本物の更新案内も届くため、区別もつきにくくなります。
フィッシング対策協議会は、個人情報を入力する前に一度立ち止まり、本当に必要な手続きか確認するよう呼びかけています。「期限」「停止」といった言葉で急がされたら、まず手を止めましょう。
サーバーの管理画面の情報が盗まれると、サイトの改ざんや迷惑メールの送信に悪用されるおそれがあると、エックスサーバーは説明しています。
▶ 関連記事：PHPに重大な脆弱性、AIが発見に協力！WordPressなどサイト運営者がやること
エックスサーバーの本物のメールか確かめる方法4つ
エックスサーバーの公式ページなどで確認できた確かめ方を、4つにまとめました。
1. メールのリンクは使わず、ブックマークからログインして期限を見る
いちばん確実なのは、メールのリンクを使わず、自分で開いた公式の管理画面で期限を確かめることです。公式マニュアルでは、ログインすると契約中のサーバーやドメインの利用期限を確認できると説明されています。
ログインページは、下の公式マニュアルから一度開いてブックマークしておき、次からはそこから入りましょう。画面で期限が先なら、メールの「期限切れ」は偽物です。
>>エックスサーバー契約管理（エックスサーバー 公式マニュアル）
2. 差出人のアイコンにロゴが出ているか見る
エックスサーバーは、公式Xで見分け方の目安を次のように案内しています。
当社からの正式なメールは、差出人のアイコンにエックスサーバーのロゴが表示されます。
出典：エックスサーバー公式X（2026年10月26日）
ただし、受信するメールアプリによってはロゴが出ない場合もあると、同じ投稿で注意されています。ロゴがないだけで偽物と決めつけず、1の方法とあわせて確かめましょう。
フィッシング対策協議会のガイドラインでも、正規のメールに組織のロゴを表示するしくみ（BIMI）は、対応するメールソフトでしか表示されないと説明されています。ロゴは見分ける目安の1つと考えましょう。
3. 差出人のアドレスとURLを確かめる
エックスサーバーの公式ページでは、同社からの案内メールの差出人は「support@xserver.ne.jp」「noreply@xserver.ne.jp」、公式サイトや管理ツールのURLは「https://***.xserver.ne.jp/」の形だと案内されています。
ただし、差出人は正しいアドレスに見せかけることができ、リンクの表示と本当の行き先が違うこともあると、同じページで注意されています。アドレスやURLは参考にとどめ、1の方法で確かめるのが安全です。
>>エックスサーバーを装ったフィッシングメールにご注意ください（エックスサーバー 公式）
4. 公式サイトの注意喚起と見比べる
エックスサーバーは、確認した偽メールの件名や本文の特徴を、公式ニュースや公式Xで公開しています。公式サイトを自分で開いて見比べ、判断できないときはお問い合わせフォームで相談しましょう。
リンクを開いた・情報を入れてしまったときの対処
状況別に、公式の案内をまとめました。
リンクを開いただけのとき
エックスサーバーの公式ページでは、偽サイトにアクセスしてしまった場合は、すぐに閲覧をやめるよう案内されています。また、アクセスしただけでは、XServerアカウントのログイン情報が流出することはないと説明されています。開いたときにブラウザが警告を表示した場合も、閲覧をやめましょう。
ログイン情報を入力してしまったとき
エックスサーバーの公式マニュアルをもとに、やることをまとめました。
- パスワードをすぐに再設定する（ほかの契約がある場合は、すべてのアカウントで変える）
- ほかのサービスで同じパスワードを使っていたら、そちらも変える
- 「ログインセキュリティ」で、ログイン履歴（直近30件）に身に覚えのないログインがないか確認する
- 二段階認証（パスワードに加えて、認証アプリやSMSのコードで本人確認をするしくみ）を設定し、バックアップコードを保管する（SMSはXServerアカウントのみで、サーバーパネルは認証アプリのみ対応）
- 端末がウイルスに感染していないか、セキュリティソフトなどで確認する
- 心配なときは、エックスサーバーのお問い合わせフォームで相談する
>>各種パスワードの再設定（エックスサーバー 公式マニュアル）
>>XServerアカウント・サーバーパネルへの不正ログインについて（エックスサーバー 公式マニュアル）
▶ 関連記事：Google Authenticatorの同期は危険？Google認証システムのオン・オフのリスクと設定
クレジットカード番号を入力してしまったとき
フィッシング対策協議会は、偽サイトにカード情報を入力してしまった場合、すぐにカード会社の紛失・盗難窓口に連絡し、利用を止めてもらうよう案内しています。必要に応じてカードを再発行し、利用明細に身に覚えのない支払いがないかも確認しましょう。
フィッシングの被害や不安は、消費生活センター（188）や警察相談専用電話「#9110」に相談できます。お金の被害が進んでいるなど緊急のときは110番です。
>>今すぐできるフィッシング対策（フィッシング対策協議会 公式）
偽メールはフィッシング対策協議会に報告できる
フィッシング対策協議会は、フィッシングメールや偽サイトの情報を受け付けています。公式ページのウェブフォームか、報告用のメールアドレスへの転送で報告できます。なお、迷惑メールフォルダに入ったメールは検知済みのため、報告は不要とされています。
【まとめ】「期限切れ」のメールが来たら、ブックマークから管理画面を確かめる
エックスサーバーを装い、ドメインの期限切れでサイトが止まると急がせるフィッシングメールが出回っています。AIで作られたかは分かっていませんが、日本語の自然さでは見分けにくくなっています。メールのリンクは使わず、ブックマークした公式の管理画面で期限を確かめる習慣をつけておきましょう。
※2026年10月28日時点・エックスサーバー（公式X・公式ニュース・サポートページ・マニュアル）、フィッシング対策協議会の公式ページとガイドラインより。偽メールのURLは掲載していません。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月28日時点のものです。
