東芝

セキュリティ

2年前に「消せ」と言われたコード、消さなかった企業に何が起きたか

東芝、無印良品、象印マホービンをはじめとする日本企業のサイトで、突然「ユーザー名とパスワードを入力してください」という認証画面が表示される事態が相次いでいる。正規のサイトを開いただけで、ログイン画面が出る。原因は2024年にサプライチェーン攻撃の舞台となったpolyfill.ioの参照コードを、2年経っても削除していなかったこと。停止されていたはずのドメインが5月末に動き出し、放置されたコードが牙をむいた。 何が起きているのか 東芝は6月2日、無印良品も同時期に、それぞれ公式サイトで注意喚起を出した。内容はほぼ同じだ。「サイトの一部で不審なサインイン画面が表示されることを確認した。何も入力せずキャンセルを選んでほしい。万が一入力してしまった場合は、同じパスワードを使っている他サービスのパスワードを変更してほしい」。 象印マホービン、FiNC Technologies、医歯薬出版、ほぼ日、リクルートマネジメントソリューションズも同様の告知を出している。ユーザーの報告では三井ショッピングパーク系列の施設サイトやオートバックス公式通販、音声合成ソフトVoiSonaのサイトでも同じダイ