運用停止した旧CDNドメインが第三者に再取得、数千サイトで参照残存によるリスクが判明

要点

• 数年前に運用終了し失効していた旧CDNドメインが2025年7月に再取得され、配下の全ホスト名が第三者の管理下に置かれていることが判明した。

• 数千件のWebサイトやリポジトリにハードコードされた参照が残存しており、第三者が訪問者のブラウザへ任意のコンテンツを配信できる状態にある。

• 外部スクリプトの参照放置は、2024年に起きた「polyfill.io」ドメイン買収による不正リダイレクト問題と同様のリスク構造を持つ。

• サーバー側の静的解析や依存関係スキャンでは検知が困難であり、ブラウザ側で不正なスクリプトを把握するCSP（Content Security Policy）の有効性が示されている。

• クレジットカード業界基準「PCI DSS v4.0.1」では、2025年3月末より決済ページにおけるスクリプトの承認や改ざん検知機能の実装が義務化されている。

• かつてコンテンツ配信ネットワーク（CDN：Webコンテンツを高速配信するネットワーク）で利用されていた失効ドメインが第三者によって再取得され、現在も数千のWebサイトやリポジトリから参照され続けている実態が明らかになった。海外テックメディアのThe Hacker Newsが2026年9月18日に報じた。

• 新たなドメイン所有者はワイルドカードDNS（ドメイン配下の全ホスト名を一括指定する設定）を保持しており、過去のホスト名宛てのアクセスがすべて同氏のインフラへと接続される状態になっている。外部アセットの参照を放置したサイトにおいて、訪問者に予期せぬスクリプトが配信される潜在的なリスクが生じている。

放置された外部ドメイン参照と第三者によるインフラ掌握

報道によると、問題となっているドメインは、数年前に運用を停止したCDNがアセット配信に用いていたものだという。ドメインの失効に伴い、2025年7月に第三者が新たに取得した。CDN自体は停止しているものの、数千のWebサイト、ソースコードリポジトリ、ドキュメントには、当該ドメイン配下のホスト名に対する参照がハードコードされたまま残されていた。

現在、新所有者はドメイン全体にワイルドカードDNSを設定しており、配下のホスト名宛ての通信がすべて自らの管理するサーバーへ解決される状態となっている。ルートドメインでは広告が多いメディアダウンローダーページが公開されているが、参照元サイトに対して何を配信するかは現所有者の裁量に委ねられている。外見上エラーが発生しないため、サイト管理者が状況を把握できていない点も指摘されている。

外部スクリプト放置のリスクとクライアントサイド攻撃

外部リソースの参照放置によるセキュリティ問題は、過去にも発生している。2024年6月には、11万以上のWebサイトで組み込まれていた「polyfill.io」ドメインの所有権が移行し、モバイル端末の訪問者に不正なリダイレクトが配信される事案が発生した。これらの事例ではサーバー自体が侵害されたのではなく、過去に埋め込まれた<script>タグが放置されていたことが原因となっている。

外部スクリプトは、サイト本来のファーストパーティコードと同等の実行権限を持つ。HTMLのDOM（Webページの構造を扱う仕組み）や入力フォームの文字列の読み取り、Cookieやローカルストレージの閲覧、外部サーバーへの通信が可能である。そのため、Magecartのようなクライアントサイド攻撃では、サーバー侵入を伴わずに承認済みスクリプトの挙動が変化するだけで情報窃取などの被害につながる。

サーバーサイド検証の死角とブラウザ側での監視

静的解析や依存関係スキャン、ソフトウェア構成分析（SCA）などは、自社でビルド・デプロイする成果物を対象とする。これに対し、サードパーティ製スクリプトは訪問者のブラウザが外部サーバーから直接取得するため、サーバー側のテストでは検出が極めて困難である。

また、悪意あるスクリプトは地域、ユーザーエージェント、リファラ、アクセス時刻などに応じて挙動を変化させることができる。クローラーには無害なファイルを返し、一般ユーザーにのみ不正コードを返すといった偽装も可能だという。

これに対し、コードを実行するブラウザ側での対策としてCSP（Content Security Policy：読み込み可能なリソースを制限する仕組み）が挙げられている。CSPは実行を許可するスクリプトを制限し、未許可のコード実行を遮断・通知する。実環境のブラウザから送信されるアラートにより、特定条件下でのみ作動する不正コードの検知が可能となる。

実環境での検知事例とレポート機能の活用

2026年9月には、セキュリティプラットフォームのReport URIが収集したCSPアラートを通じて、侵害されたECサイト群が検知された。これらのサイトではCMS侵害後にBase64エンコードされたローダーが埋め込まれ、「ClickFix」と呼ばれる手口で偽の人間確認画面を表示し、PowerShellコマンドをクリップボード経由で実行・常駐させる攻撃が行われていた。攻撃者のドメインは一般的な評判判定サービスで「安全」と評価されていたが、実環境のブラウザアラートにより発覚した。

CSPの導入では「Content-Security-Policy-Report-Only」ヘッダーを利用することで、通信の遮断を行わずに違反レポートのみを収集できる。サイトの稼働に影響を与えずに、実行されている外部スクリプトの現状把握が可能である。

PCI DSS v4.0.1によるスクリプト管理の義務化

クレジットカード情報を取り扱うWebサイトでは、セキュリティ基準「PCI DSS v4.0.1」によりスクリプト管理が義務付けられている。

要件6.4.3および11.6.1は2025年3月31日に必須要件へ移行した。決済ページ上の全スクリプトに対する承認、整合性の担保、正当な理由を記した台帳（インベントリ）の作成に加え、ページ内容やHTTPヘッダーの改ざんを検知・警告する仕組みの導入が求められている。適格セキュリティ評価機関（QSA）による監査においても、これらのインベントリや警告機能、ログなどの証跡提示が求められる対象となっている。