polyfill.io残存参照で日本企業サイトに不審ログインダイアログ、無印良品・東芝・象印に注意喚起

「いつもの通販サイトでログイン画面が突然出てきたんだけど、これって正規？」
「うちのサイトもpolyfill.ioを使っていた気がするけど、ユーザーに影響が出ていないか不安…」

チップス

ボス、無印良品とか東芝とか象印のサイトを開くと、いきなりログインダイアログが出るって話聞いたんでしゅけど、これって何が起きてるんでしゅか？

ボス

2024年に侵害されたpolyfill.ioが新管理下で401を返し始めた結果、参照を残したサイトでBASIC認証ダイアログが出ているんだ。サプライチェーンの『置き土産』のような事案だな。

本記事ではpolyfill.io問題の経緯、なぜ日本企業サイトでログインダイアログが出るのか、そしてサイト運営者・利用者の両方が取るべき対応を整理します。

読み終えた時には、ダイアログを見た利用者の正しい対応と、サイト運営者が即時除去で取り戻せる安全性が見えてきます。

事件の概要：polyfill.ioに残された負債

まずは事件の背景と、現在何が起きているのかを整理します。

2024年の侵害から2026年のダイアログ問題へ

polyfill.ioは古いブラウザ向けの互換コードを配信するJavaScriptのCDNサービスで、世界中の多くのサイトで利用されてきました。
2024年2月に中国系の企業がドメインとGitHubアカウントを取得し、同年6月までに10万を超えるサイトで悪意あるリダイレクトを引き起こす侵害が発生した経緯があります。
その後、polyfill.ioは新たな管理下で運用が再開されたものの、現在は401応答を返す状態となり、参照を残しているサイトで意図しないBASIC認証ダイアログが表示される事象が確認されています。

日本企業の主要サイトで注意喚起が相次ぐ

2026年5月末から6月にかけて、日本企業の公式サイトで利用者がログインダイアログに遭遇したという報告が広がりました。
注意喚起を出した代表的なサイトは以下のとおりです。

チップス

大手のサイトでも残っちゃってたんでしゅね…利用者からすると本物の認証画面に見えそうで怖いでしゅ。

ボス

そうだな。ブラウザ標準のBASIC認証ダイアログだから、配色や鍵アイコンが正規っぽく見える。利用者は『普段ログインしないページで出たら無視』を徹底するのが先決だ。

利用者とサイト運営者の取るべき対応

続いて、ダイアログに遭遇した利用者と、サイトを運用する立場のそれぞれが取るべき対策を整理します。

利用者が即座に取るべき行動

BASIC認証ダイアログ自体は、技術的にはサーバから返された認証要求を表示しているだけです。
そのため『万が一資格情報を入力してしまうと、攻撃者管理下のサーバに直接送られる』リスクがあります。
利用者として押さえておきたいポイントは以下のとおりです。

サイト運営者が今夜から取れる対応

サイト運営者にとっては、利用者を守るためにpolyfill.io参照を即時除去するのが最大の責務です。
具体的なアクションは以下のとおりです。

チップス

残骸の参照を取り除くだけじゃなくて、これからのCDN利用も見直さないとなんでしゅね！

ボス

そうだな。経緯と対処の詳細はこの解説記事がよくまとまっている。サードパーティJSの棚卸しと併せて読むといい。

まとめ

polyfill.io問題は、2024年の侵害で広く知られた後も、参照が残り続けるサイトでは今になって新たな問題を引き起こす『サプライチェーン負債』の典型例です。
利用者は不審な認証ダイアログで資格情報を入力しないこと、運営者は参照を即時除去し代替CDNへ移行することが両輪となります。
サードパーティJSの棚卸しと統制設計を見直し、外部依存の負債を持ち越さないWebサイト運用に転換していきましょう。