DebugBearのDNSハイジャックによる悪意あるJS配信への注意喚起

Search Engine Journal（Vahan Petrosyan氏、2026年10月31日）によると、Webパフォーマンス計測サービスDebugBearのReal User Monitoring（RUM、Core Web Vitals計測用）スクリプトを通じて、2026年10月29日に悪意あるJavaScriptが配信されました。DebugBearは、攻撃者がドメインレジストラ経由でDNSレコードを乗っ取ったと説明し、内部システムが侵害された兆候はないとしていますが、同社ドメイン宛のメールが受信できない状態にもなりました。同社は10月29日に顧客へスクリプトの削除を指示し、調査を継続しています。

被害の実例として、Hudson Rockの分析では、予測市場サービスPolymarketに組み込まれていたDebugBearのスクリプトURLから不正コードが読み込まれ、ログイン済みブラウザ内の取引クライアントを操作しようとしました。Polymarketは10月30日、一部ユーザーのポジションが売却されウォレットから資金が移動したと報告しています。パスワードは不要で、ログイン済み訪問者が持つ既存の権限がそのまま悪用されました。DebugBearの初期調査では攻撃対象は1社のサイトとされていますが、他の顧客に不正コードが届いたかは不明です。

記事が推奨する対応は、①テンプレート・プラグイン・タグマネージャーを確認してスクリプトを削除しキャッシュを消す、②管理者など特権ユーザーのセッションを無効化しパスワードとAPI認証情報を更新する、③アカウント作成・権限変更・テンプレート・プラグインに不正な変更やバックドアがないか既知の正常状態と比較する、④ログで影響範囲を特定し不正な変更を戻す、⑤侵害が確認されたらサイトを隔離（503のメンテナンス表示）し、クリーンなバックアップから復元して確認後に再公開する、の5点です。スクリプト削除は新たな読み込みを防ぐだけで、すでに行われた操作や仕込まれたものは取り除けない、と強調しています。

解説

この事件で見るべきは、侵害されたのがDebugBear社内ではなく「ドメインの管理口（レジストラ）」だった点です。サービス提供者のコードが正常でも、ドメインが乗っ取られればスクリプトURLは攻撃者のサーバーを指します。そして外部スクリプトは、それを読み込んだサイトのログイン済み訪問者と同じ権限で動きます。計測タグ1本が、会員の操作を代行できる入口になるということです。

日本のサイト運営者への含意は2つあります。1つは、Google Tag Managerやテーマに入れている外部スクリプトを「何が・誰のものが・なぜ入っているか」説明できる状態にしておくこと。GA4・広告タグ・ヒートマップ・チャット・CWV計測など、気づけば10本以上入っているサイトは珍しくありません。使っていないものは外し、残すものは管理者が把握している状態が最低線です。

もう1つは、自社ドメインの側の守りです。今回はベンダーのドメインが狙われましたが、同じ手口は自社にも使えます。レジストラのアカウントに二要素認証を入れる、ドメインロック（レジストラロック）を有効にする、更新通知メールが届く連絡先を生きた状態に保つ。これはSEOの作業ではありませんが、DNSを失えばサイトも検索上の実績も一緒に失います。心当たりがなければ、ドメインの管理状況を一度確認してみてください。

出典: Hackers Hijacked DebugBear’s DNS To Serve Malicious JavaScript via @sejournal, @vahandev（Search Engine Journal (SEO)）

よくある質問

Q.DebugBearで何が起きたのですか？
A.ドメインレジストラ経由でDNSレコードが乗っ取られ、RUMスクリプトを通じて悪意あるJavaScriptが配信されました。