東芝と無印良品のウェブサイトで、不審なポリフィルによるログイン画面が表示される

大手テクノロジー企業の東芝と大手小売業者の無印良品は、各社のウェブサイトに表示される不審なログイン画面によって認証情報が盗まれる恐れがあるとして、利用者に注意を呼びかけました。

両社は、認証画面にアカウントのログイン情報を入力したユーザーに対し、サービスにアクセスする際はパスワードを変更するよう勧告した。

これらのログインポップアップは、polyfill[.]ioでホストされている外部サービスによって生成されたもので、同サービスは2024年に、自社のCDNを通じて配信されるスクリプトに悪意のあるコードを混入させていた。

「当社のウェブサイトの一部で、以下に示すようなサインイン画面が表示される可能性があることを確認しました。現在、この画面を排除するための対応を進めていますが、万が一表示された場合は、情報を入力せずに『キャンセル』を選択してください」と、東芝は短い声明で述べた。

日本の小売大手「無印良品」も今週初め、外部サービス「polyfill[.]io」によって生成された不審な認証画面について、ウェブサイト訪問者に警告する同様の発表を行いました。

「現時点では、当サイトへの不正アクセスや情報漏洩は確認されておりませんが、お客様の安全を確保するため、対応をご検討ください」と無印良品は述べています。

東芝と無印良品の両社とも、この問題を解決し、当該サービスの利用を停止した。

日本のメディア各社によると、象印（Zojirushi）、FiNC Technologies、石薬出版、およびオンライン出版ブランドの「ホボニチ」も、同様の問題の影響を受けたという。

セキュリティ研究者のパスクアーレ・ピリッテリ氏によると、サムスンのスマートテレビやウェブサイトでも6月1日にログイン画面が表示されたという。

一部の報道によると、この問題は2024年の polyfill[.]io 事件が原因であるとのことです。当時、このドメインが中国の企業によって買収され、Polyfill サービスを利用している 10 万以上のウェブサイトに影響を与える悪意のあるスクリプトが追加されました。

Polyfillは、レガシーブラウザ向けのJavaScript CDNであり、非対応技術に対する互換性レイヤーを提供することで、最新のサイトがそれらのブラウザ上で動作できるようにするものです。

Polyfillのコードはpolyfill[.io]のCDN経由で配信されていたが、このドメインはオープンソースプロジェクトの創始者であるアンドルー・ベッツが所有していたものではなかった。そのため、ドメインの有効期限が切れると、誰でも取得することができた。

当時、ベッツ氏はウェブサイト運営者に対し、サイトから同サービスを削除するよう推奨する形で公に反応し、新しいドメイン polyfill.com で JavaScript CDN サービスを再開し、その後polyfill.top に落ち着きました。

polyfill[.]ioでのサービス停止によりリダイレクトは止まりましたが、このサービスを利用していた一部のサイトでは、過去2年間にわたり全ページのクリーンアップが行われなかったため、Polyfillコードの残骸が残っていました。

Pillitteri氏の報告によると、2026年5月下旬からpolyfill[.]ioドメインが再びアクティブになり、HTTP 401認証要求で応答し始めたとのことです。

東芝や無印良品などのページにアクセスしたユーザーのブラウザは、これをユーザー名とパスワードの要求と解釈し、ログイン画面を表示します。

現時点では、影響を受けたウェブサイトがハッキングされたことや、これらの不正なログイン画面に入力された認証情報が盗まれたことを示す兆候はない。しかし、予期しない認証プロンプトには十分注意するよう、ユーザーに強く推奨される。