自社サイトに、数年前に制作会社が設置した「polyfill.io」のタグが残っていないか、確認したことはありますか。「公開してから一度も触っていない」「当時の制作会社とはもう取引がない」——そんなサイトほど注意が必要です。2024 年に大規模なサプライチェーン攻撃の舞台となった polyfill.io が、いまだ当時のタグを残したサイトで ユーザーに不審なダイアログを表示する事例（Zenn） が報告されています。
かつて何気なく貼られた 1 行の <script src="https://cdn.polyfill.io/..."> が、運用者の知らないうちに自社サイトの訪問者へ被害を及ぼす。これは「設置時は安全だったコードが、数年後に攻撃経路へ変わる」という、外部スクリプトに共通する怖さの典型例です。本記事では専門用語をできるだけ噛み砕いて、(1) そもそも何が起きたのか、(2) 自社サイトが危険かを確認する方法、(3) 見つけたときの対処の優先順位、を発注者・サイト運用担当の目線で整理します。
そもそも polyfill.io とは（何が起きたのか）
polyfill.io は、古いブラウザでも新しい機能を動かすための「補助コード（ポリフィル）」を配信していた、世界中で使われていた人気の CDN サービスです。多くのサイトが <script src="..."> の 1 行を貼るだけで利用していました。
ところが 2024 年、このドメインの運営権が第三者に渡り、配信されるコードが書き換えられて、不正なリダイレクトなどの悪意ある挙動を仕込まれました。利用していたサイトは、自分では何も変更していないのに、ある日突然「訪問者を危険なページへ飛ばすコード」を配ってしまう状態に陥ったのです。これが、信頼していた外部の配信元が乗っ取られて被害が連鎖する「サプライチェーン攻撃」です。
当時は各所が読み込みの停止を呼びかけましたが、2026 年のいまも当時のタグを残したまま放置されたサイトが残り、冒頭のような実害（不審なダイアログ表示など）が報告され続けています。
なぜ「自社サイト」で起きるのか
サイトは、自社で書いたコードだけで動いているわけではありません。CDN・タグマネージャ・アクセス解析・チャット・広告・Web フォント・各種 SDK——多くの「外部スクリプト」を読み込んで成り立っています。
これらはすべて、他人が管理しているコードを、自社サイト上で実行している状態です。配信元が乗っ取られたり、ドメインが売却されたりすれば、その影響はそのまま自社サイトの訪問者に及びます。しかも厄介なのは、タグを設置した本人が退職したり、制作会社が代替わりしたりして「誰が・何のために入れたのか分からない」タグが残りがちなこと。この“放置されたタグ”こそが温床になります。
外部に依存することそのものは悪ではありません。問題は「貼った後、誰も見ていない」状態です。同じ構図は、過去に WordPress プラグインのサプライチェーン対策（GH Media） でも起きています。
自社サイトが危険か、まず自分で確認する方法
専門家に頼む前に、運用担当の方が自分でできる確認があります。
- ソースを検索する: サイトを開き、ページ上で右クリック →「ページのソースを表示」。表示されたコードを
Ctrl/Cmd + Fでpolyfill.ioと検索します。ヒットしたら、まず対応が必要です。 - 読み込み元の一覧を見る: ブラウザの開発者ツール（F12）→「ネットワーク」タブを開いてページを再読み込みすると、読み込んでいる外部ドメインの一覧が出ます。見覚えのないドメインがないか確認します。
- 古いタグを棚卸しする: もう使っていない解析・広告・チャットのタグが残っていないか、思い当たるものを洗い出します。
ここまでで「polyfill.io が残っている」「知らないドメインを読み込んでいる」と分かったら、放置は禁物です。逆に、自分で見ても判断がつかない場合は、外部スクリプトの棚卸しだけでも専門家に依頼するのが安全です。守りの基礎は Web セキュリティの基本（GH Media） も参考になります。
放置するとどうなるか — すぐ確認すべきサイト
外部スクリプトのリスクは、サイトの性質によって緊急度が大きく変わります。
| すぐ確認すべきサイト | 緊急度が低いサイト |
|---|---|
| 数年以上運用している企業サイト | 公開直後で外部タグが最小 |
| EC・会員・問い合わせで個人情報を扱う | 静的な情報掲載のみ |
| 広告・解析タグを多数入れている | タグ管理が一元化されている |
| 制作会社が代替わりしている | 社内で全タグを把握できている |
| ブランド・信頼が事業の核になっている | 検証用の使い捨てサイト |
特に個人情報を扱うサイトは、乗っ取られた外部スクリプトを通じて入力内容が盗まれる恐れがあり、被害が「サイトが少し変」では済みません。
見つけたときの対処の優先順位
- すぐ: polyfill.io のような危険・廃止ドメインのタグを削除します。どうしてもその機能が必要なら、安全な代替（自社で持つ＝自己ホスティング）に切り替えます。
- 次に: 使っていないタグを棚卸しして削除します。タグが減るほど攻撃の入口も表示の重さも減ります。
- 恒久的に: 読み込む外部スクリプトを「あらかじめ許可したものだけ」に制限する仕組み（CSP）と、コードが書き換えられていないかを照合する仕組み（SRI）を導入し、定期点検を運用に組み込みます。CSP・SRI は専門的に聞こえますが、要は「許可リスト」と「指紋照合」です。
この恒久対策まで含めると自社だけでは負担が大きいため、ここからは外部に依頼する選択肢も現実的になります。
プロに頼む場合の費用感
「依頼するといくらかかるのか」は発注前に気になるところです。あくまで一般的な目安ですが、相場観としては次のとおりです。
| 依頼内容 | 費用の目安 |
|---|---|
| スポット点検（1 サイトの棚卸し＋レポート） | 30 万円〜 |
| 対策実装（不要タグ削除＋ CSP/SRI 導入） | 60 万円〜 |
| 継続保守（毎月の点検・監視） | 5 万円〜/月 |
乗っ取られた外部スクリプト経由の重大インシデントは、復旧・補償・信頼回復まで含めれば数百万円規模になり得ます。それと比べれば、点検と予防にかける費用は十分に見合う投資です。
発注するときは、次の点を確認しておくと安心です。
- 点検の範囲（対象ドメイン・サブドメイン・ページ数）
- 異常を見つけたときの連絡・遮断のスピード（夜間・休日を含むか）
- CSP 導入で既存の広告・解析が止まらないかの事前検証
- 月次レポートの有無と、台帳・設定の引き渡し（自社で運用を続けられるか）
まとめ
polyfill.io の再燃が突きつけたのは、「サイトが読み込む外部スクリプトは、他人のコードを自社サイトで実行している」という当たり前の事実です。まずは自社サイトに polyfill.io などの古い・危険なタグが残っていないかを確認し、不要なタグを棚卸しすること。そのうえで CSP・SRI と定期点検まで整えれば、数年後の“ある日突然”の事故を未然に防げます。サイトリニューアルのタイミングは、外部依存を一度すべて見直す絶好の機会です（コーポレートサイトリニューアルガイド）。
「昔貼ったタグが不安」「リニューアルに合わせて外部スクリプトを整理したい」「EC・会員サイトの信頼を守りたい」——そんなときは、30 分の無料相談 で、自社サイトの点検方針と優先順位をお伝えします。売り込みは一切ありません。
