チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「いつもの通販サイトでログイン画面が突然出てきたんだけど、これって正規？」
「うちのサイトもpolyfill.ioを使っていた気がするけど、ユーザーに影響が出ていないか不安…」
チップスボス、無印良品とか東芝とか象印のサイトを開くと、いきなりログインダイアログが出るって話聞いたんでしゅけど、これって何が起きてるんでしゅか？
ボス2024年に侵害されたpolyfill.ioが新管理下で401を返し始めた結果、参照を残したサイトでBASIC認証ダイアログが出ているんだ。サプライチェーンの『置き土産』のような事案だな。
本記事ではpolyfill.io問題の経緯、なぜ日本企業サイトでログインダイアログが出るのか、そしてサイト運営者・利用者の両方が取るべき対応を整理します。
読み終えた時には、ダイアログを見た利用者の正しい対応と、サイト運営者が即時除去で取り戻せる安全性が見えてきます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
まずは事件の背景と、現在何が起きているのかを整理します。
polyfill.ioは古いブラウザ向けの互換コードを配信するJavaScriptのCDNサービスで、世界中の多くのサイトで利用されてきました。
2024年2月に中国系の企業がドメインとGitHubアカウントを取得し、同年6月までに10万を超えるサイトで悪意あるリダイレクトを引き起こす侵害が発生した経緯があります。
その後、polyfill.ioは新たな管理下で運用が再開されたものの、現在は401応答を返す状態となり、参照を残しているサイトで意図しないBASIC認証ダイアログが表示される事象が確認されています。
2026年5月末から6月にかけて、日本企業の公式サイトで利用者がログインダイアログに遭遇したという報告が広がりました。
注意喚起を出した代表的なサイトは以下のとおりです。
チップス大手のサイトでも残っちゃってたんでしゅね…利用者からすると本物の認証画面に見えそうで怖いでしゅ。
ボスそうだな。ブラウザ標準のBASIC認証ダイアログだから、配色や鍵アイコンが正規っぽく見える。利用者は『普段ログインしないページで出たら無視』を徹底するのが先決だ。
続いて、ダイアログに遭遇した利用者と、サイトを運用する立場のそれぞれが取るべき対策を整理します。
BASIC認証ダイアログ自体は、技術的にはサーバから返された認証要求を表示しているだけです。
そのため『万が一資格情報を入力してしまうと、攻撃者管理下のサーバに直接送られる』リスクがあります。
利用者として押さえておきたいポイントは以下のとおりです。
サイト運営者にとっては、利用者を守るためにpolyfill.io参照を即時除去するのが最大の責務です。
具体的なアクションは以下のとおりです。
チップス残骸の参照を取り除くだけじゃなくて、これからのCDN利用も見直さないとなんでしゅね！
ボスそうだな。経緯と対処の詳細はこの解説記事がよくまとまっている。サードパーティJSの棚卸しと併せて読むといい。
polyfill.io問題は、2024年の侵害で広く知られた後も、参照が残り続けるサイトでは今になって新たな問題を引き起こす『サプライチェーン負債』の典型例です。
利用者は不審な認証ダイアログで資格情報を入力しないこと、運営者は参照を即時除去し代替CDNへ移行することが両輪となります。
サードパーティJSの棚卸しと統制設計を見直し、外部依存の負債を持ち越さないWebサイト運用に転換していきましょう。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
