Report URI の創業者兼 CEO、Scott Helme 氏は2026年11月6日、同社の脅威インテリジェンス用クローラーが、悪性 JavaScript を実行している1万5,579のサイトを確認したと明らかにしました。疑いはあるものの確認しきれていないサイトがほかに数千あります。同氏が「極めて控えめ」とする推計では、これらのサイトの訪問数は合計で月1億3,500万回超です。リストは公開されておらず、駆除されたサイトはリストから外されます。
感染サイトが訪問者に行うこと：決済ページのカード情報をすべて攻撃者に送る Magecart 型スキマー、「人間であることを確認」と偽ってマルウェアを導入させる ClickFix、特定の iOS バージョンを狙って DarkSword や Coruna といったスパイウェアを送り込むコード、偽のログインページや偽のセキュリティ警告、詐欺サイトへのリダイレクトです。多くはフランス、スペイン、ドイツなどの地域の有力サイトで、世界上位100万サイトの圏外であることが多いとしています。
感染経路として Helme 氏は、WordPress などの脆弱性を突かれてサイト自身の JS ファイルを改ざんされる直接侵害、読み込んでいる第三者スクリプトの侵害、XSS、そして DeadTag を挙げています。DeadTag は Report URI が名付けたグループで、サイトがまだスクリプトを読み込んでいる期限切れドメインを買い取り、マルウェアを配信します。追記では WordPress や Magento が悪用されている可能性が高いとしていますが、プラットフォーム別の件数は示されていません。
本当の問題は運営者への通知です。security.txt を置くサイトは少なく、GDPR 以降 WHOIS はほとんど役に立たず、CDN の背後にあるためホスティング事業者も特定できず、通知メールにも返事がないといいます。Report URI は特に影響の大きいサイトには連絡していますが、規模は小さいとしています。同氏は各国のサイバーセキュリティセンターや CERT に協力を求め、欧州の NCSC/CERT にリストを提供するとしています。Report URI は脅威情報を有償で提供しており、数値は同社独自のもので第三者による検証はされていません。
