複数の顧客が被害を訴えていて、かつフィッシングではないと言っているのでサーバー側かも?