「自社サイトのソースコードに、何年も前に貼った外部スクリプトのタグが、まだ残っているかもしれない」。そう言われて、すぐに「ない」と言い切れる方は意外と少ないものです。2026年5月末から、国内の有名企業のサイトで、身に覚えのない認証ダイアログ（ログインを求める小窓）が突然表示される事象が相次ぎました。その共通項として浮かび上がったのが、かつて大規模なサプライチェーン攻撃の舞台になった「polyfill.io（ポリフィルアイオー）」という外部サービスです。
polyfill.io問題は、2024年に一度大きく報じられ、ドメインの停止で沈静化したはずでした。それが2026年に入って再び動き出した――いわゆる「再燃」です。この記事では、何が起きたのかを一次情報ベースで時系列に整理したうえで、CDN（コンテンツ配信網。世界中のサーバーから素早くファイルを配る仕組み）を経由したフロントエンド（利用者のブラウザ側で動く部分）のサプライチェーン攻撃が、どういう構造で成立するのかを攻撃者視点で分解します。
そのうえで、SRI（サブリソース完全性）・CSP（コンテンツセキュリティポリシー）・サードパーティスクリプトの棚卸しといった、フロントエンド特有の防御策を、明日から着手できる手順に落とし込みます。攻撃の流れを取り上げるのは、あくまで塞ぐべき穴を見つけるためです。正しく知れば、過度に恐れる必要はありません。落ち着いて、自社サイトの足元を確かめていきましょう。
polyfill.io問題とは｜2024年の元事件と2026年の再燃
まず、何が起きたのかを事実ベースで整理します。polyfill.io は本来、古いブラウザでも新しいJavaScriptの機能を使えるように、不足した機能を補う「polyfill（ポリフィル＝穴埋めコード）」をCDN経由で自動配信してくれる便利なサービスでした。多くのサイトが、HTMLに一行スクリプトタグを貼るだけでこの恩恵を受けていました。その「一行の信頼」が、後に弱点へと変わります。
1. 2024年に何が起きたか（CVE-2024-38526）
2024年2月、polyfill.io のドメインとGitHubアカウントが、中国系の企業 Funnull に取得されました。原作者の Andrew Betts 氏は当時から「このサービスを使い続けないように」と警告を出しています。そして2024年6月25日、セキュリティ企業 Sansec が、配信元の cdn.polyfill.io から悪意あるコードが配られていることを公表しました。この問題には CVE-2024-38526 という識別番号が割り当てられています（CVEは脆弱性に付ける世界共通の通し番号です。詳細はNVD（米国国立脆弱性データベース）を参照してください）。
影響範囲は広く、当時の報道では10万件を超えるサイトが対象となり、一部の調査では38万ものホストがこのドメインを参照していたとされます。JSTOR・Intuit・World Economic Forum といった著名なサイトの名前も挙がりました。配られた不正なコードは、すべての利用者に一律で発火するのではなく、モバイル端末を狙って選別的に作動し、サイト管理者の検知を巧妙に避ける作りになっていたと報告されています。発火すると、利用者は詐欺サイトやギャンブル・アダルト系のサイトへ誘導されました。
この事態を受け、2024年6月27日、ドメイン登録業者（レジストラ）の Namecheap が当該ドメインを「clientHold」（名前解決を止める停止状態）に設定し、攻撃は一旦止まります。あわせて Cloudflare と Fastly が安全な代替ミラーを提供し、緊急避難の受け皿になりました。ここまでが2024年の第一幕です。
2. 2026年、なぜ再び動き出したのか
停止されたはずのドメインが、2026年に再び牙をむきました。複数の報道によると、2026年5月21日にレジストラが Namecheap から GoDaddy へ移管され、所定の手続きを経てドメインが再び有効化されたとされています。一度凍結された名前でも、登録の主体や経路が変われば再活性化しうる――この事実が、放置された外部参照の怖さを物語っています。
2026年5月末から6月にかけて、東芝・無印良品・象印をはじめとする国内サイトで、利用者の操作とは無関係に認証ダイアログが表示される事象が連続して観測されました。技術的には、polyfill.io への参照が残ったままのページで HTTP 401（認証要求）の応答が返り、ブラウザが標準のログイン小窓を出してしまう、という挙動が中心だったと報じられています。2026年6月時点では、本格的な悪性スクリプトの配信や認証情報の窃取そのものは確認されていないとする報道もありますが、ここで安心するのは早計です。
セキュリティ企業 Hudson Rock は2026年3月、Funnull の内部に深く入り込んだ北朝鮮系のIT人材が、この攻撃インフラの運用に関与していると指摘しています（帰属の断定は難しく、あくまで同社の調査報告として捉えてください）。2024年が詐欺サイトへの誘導だったのに対し、2026年はログイン情報を直接抜き取る「クレデンシャルハーベスティング（認証情報の収集）」への進化が懸念されている、という見方も出ています。つまり、いま表示されている認証ダイアログは、より深刻な攻撃の予兆である可能性を含んでいます。だからこそ、「まだ実害が確認されていない」うちに、自社の参照を断つことが大切になります。
CDN汚染はどう成立するか｜フロントエンド攻撃を攻撃者視点で分解
polyfill.io の一件は、単発の不運な事故ではありません。CDN経由で外部スクリプトを読み込むという、現代のWebサイトでごく当たり前の仕組みそのものに潜む構造的な弱点が露呈したものです。攻撃者の立場でこの構造を分解すると、どこを塞げばよいかが見えてきます。
1. 「信頼の委譲」という構造的な穴
自社サイトに `
