エックスサーバーを名乗る支払いのメールは、件名だけでは本物と見分けにくい作りになっています。11月4日と5日に保守先へ届いたものは「RE:ドメイン自動更新手続きの未完了に関するお知らせ」「【重要】ドメイン自動更新未完了に伴う利用停止のお知らせ」、10月30日のものは「【support@xserver.ne.jp】:【重要】ご契約ドメインの自動更新におけるクレジットカード決済未完了のお知らせ」という件名でした。10月30日のものは、差出人も11月の2通とは別のアドレスです。担当の方によると、1日に5通ほど届いていたそうです。
このサイトの契約は、サーバーもドメインも2027年6月まで有効で、自動更新にしてあります。つまり、何かを払う時期ではありませんでした。
届いたメールを本物の通知と並べると
わたしたちの手元には、同じサイトに2025年6月に届いた本物の更新通知が1通残っていました。ドメインの更新の案内です。11月4日と5日に届いたメールの原本と並べると、違いは次のとおりです。
| 見る場所 | 11月4日・5日に届いたメール | 本物の更新通知（手元にある2025年6月の1通） |
|---|---|---|
| 差出人のアドレス（＜＞の中） | admin@secure.asarico21.com（表示名は「XServer アカウント」） | support@xserver.ne.jp |
| 届いた先 | info@ で始まるアドレスだけ。宛先の欄は「Recipients」 | 契約のときに登録したアドレス |
| 本文の書き出し | アカウントIDもドメイン名もなく、「お客様のご契約ドメイン」 | 冒頭にXServerアカウントID、件名と本文にドメイン名 |
| リンク | 表示は secure.xserver.ne.jp、実際の飛び先は google.co.jp の転送用のアドレス | ログインしなくても開ける「お支払い専用URL」（secure.xserver.ne.jp） |
| 届いた時期 | 契約の期限より、ずっと前 | 利用期限の約2週間前 |
見落としやすいのは、本物の通知にもリンクが載っていることなんですね。しかも、ログインせずに支払える入口です。ですから「リンクがあるから詐欺」という見分け方は使えません。
もう一つ、届いたメールは、送信元を確かめる認証にも合格していました。ただ、これは送り主が自分で持っているドメインから正しく送った、という意味にとどまります。エックスサーバーから来た証拠にはなりません。
ここで判断が要るのは、お使いのメールソフトで、表示名ではなく＜＞の中のアドレスまで確かめられるかどうかです。表示名は送り主が好きに付けられるもので、今回のメールでは「XServer アカウント」の文字の間に、目に見えない文字まで挟んでありました。
差出人のアドレスだけでは決められない理由
エックスサーバーの公式の案内（2026年11月6日に確認）では、案内を送るアドレスは support@xserver.ne.jp と noreply@xserver.ne.jp の二つとされています。ただし、同じページには次の一文もあります。
なお、正しいメールアドレスでも送信元を偽装している場合があります。
差出人だけで決められないなら、何を合わせて見ればよいか。わたしたちが保守先へお伝えしているのは、届いた先です。本物の通知は、契約のときに登録したアドレスへ届きます。今回のメールは、登録アドレスではない info@ のアドレスにだけ、一斉送信の形で届いていました。
そこで、保守先への案内は次の二つにそろえています。差出人のアドレスが support@ か noreply@xserver.ne.jp であること、そして登録アドレスに届いていること。どちらか一つでも外れていれば、削除してかまいません。二つとも当てはまるときは、リンクは開かずに、そのメールをわたしたちへ転送していただくようお願いしています。
では、期限がまだ先なら全部が詐欺と言えるのか。そうとも限らないんです。ドメインの自動更新は、利用期限日の2か月前から翌年分を引き落とす決まりになっています。また、カードの期限切れなどで自動更新に失敗したときは、登録メールアドレスあてに知らせる、とエックスサーバーのドメインサービスの案内にあります。期限の2か月前を過ぎたころからは、自動更新に失敗したときの本物の案内が届きうる時期に入る、ということです。
この章での判断点は、ご自分の契約の登録アドレスがどれか、いま把握できているかどうかです。
カード番号を入れてしまったら、先に電話するのはカード会社です
10月21日には、別の保守先から、エックスサーバーを名乗るメールのリンク先でカード情報を入れたがエラーになる、という相談がありました。件名は「[XServer ドメイン] お支払い方法の確認に関するご案内」、宛名は「ご契約者様」だけで、本文は48時間以内の手続きを求めていました。リンク先では、どのカードを入れても「無効なカード情報です。別のカードをお試しください」と出て、2枚を入れても通らない、という内容です。
エラーが出たからといって、番号が相手に渡っていないと考える材料にはなりません。このときは、2枚ともカード会社へ連絡して止めてもらい、再発行を頼んでいただくようお伝えしました。このサイトも、サーバーとドメインの期限はまだ先でした。
入れてしまったものによって、連絡する先は変わります。
| 入れてしまったもの | すること |
|---|---|
| 何も入れず、リンクを開いただけ | 公式の案内では「ウェブサイトにアクセスしたのみでは、XServerアカウントのログイン情報が流出することはありません」。開いたページを閉じます |
| カード番号 | カード会社へ連絡し、利用の停止と再発行を頼みます |
| XServerアカウントのIDとパスワード | 公式の案内のとおり、パスワード再発行フォームから、すぐに新しいパスワードにします |
判断が要るのは、相手の画面で入れたのがカード番号だけか、ログインのIDとパスワードまで入れたか、です。両方なら、両方の手当てが要ります。
本物の通知が届く時期
削除して終わりにできるのは、次に本物の通知が届いたとき、それを本物だと分かる状態にしてある場合に限られます。そのために次に来るのは、登録アドレスがいま実際に読まれているかの確認です。担当の方が替わったり、昔のアドレスのままになっていたりすると、本物の通知のほうが誰にも読まれなくなります。更新の案内がいま誰に届いているかの確かめ方は、ドメインの契約が切れてサイトが開かなくなったときの記事に書きました。
その先にあるのが、自動更新の引き落としの時期です。ドメインなら期限の2か月前で、処理は毎月20日から末日にかけて順に行われます。その月には、自動更新に失敗したときの本物の案内が届くことがある、と分かっていれば、届いたときに慌てずに済むと思います。
FAQよくある質問
- Qメールのリンクを開いてしまいました。情報は漏れていますか。
- Aエックスサーバーの公式の案内では「ウェブサイトにアクセスしたのみでは、XServerアカウントのログイン情報が流出することはありません」とされています（2026年11月6日に確認）。開いた先で何も入力していなければ、まずはそのページを閉じます。IDとパスワードを入れていた場合は、パスワード再発行フォームから新しいパスワードにします。
- Q差出人が support@xserver.ne.jp なら、本物と考えてよいですか。
- A公式の案内にも「正しいメールアドレスでも送信元を偽装している場合があります」とあります。差出人に加えて、契約のときに登録したアドレスに届いたかどうかも合わせて見ます。
- Q自動更新にしていれば、支払いの案内は届かないのですか。
- Aカードの期限切れなどで自動更新に失敗したときは、登録メールアドレスあてに知らせる、とエックスサーバーのドメインサービスの案内にあります。期限が先だという理由だけで詐欺と決めることは、わたしたちはしていません。