Ngày 06/11/2026, Scott Helme, nhà sáng lập kiêm CEO của Report URI, cho biết hệ thống thu thập thông tin mối đe doạ của công ty đã xác nhận 15.579 website đang chạy JavaScript độc hại, chưa kể hàng nghìn site khác bị nghi ngờ nhưng chưa xác nhận chắc chắn. Theo ước tính lưu lượng mà ông gọi là "cực kỳ thận trọng", các site này nhận tổng cộng hơn 135 triệu lượt truy cập mỗi tháng. Danh sách không được công bố; site nào đã làm sạch sẽ được gỡ khỏi danh sách.
Các site bị nhiễm làm gì với người truy cập: mã Magecart gửi toàn bộ thông tin thẻ ở trang thanh toán cho kẻ tấn công; bẫy ClickFix — bước "xác minh bạn là người" giả để dụ cài mã độc; mã nhắm vào một số phiên bản iOS để cài spyware DarkSword và Coruna; và chuyển hướng tới trang đăng nhập giả, cảnh báo bảo mật giả hay trang lừa đảo. Nhiều site là trang hàng đầu ở khu vực như Pháp, Tây Ban Nha, Đức, thường nằm ngoài top 1 triệu toàn cầu.
Bị nhiễm bằng cách nào, theo Helme: bị tấn công trực tiếp, thường qua lỗ hổng WordPress hoặc tương tự, rồi file JS của chính site bị sửa; script bên thứ ba mà site tải bị nhiễm; lỗi XSS; và DeadTag — nhóm do Report URI đặt tên, chuyên mua lại tên miền đã hết hạn mà các site vẫn tải script từ đó để phát tán mã độc. Bản cập nhật của Helme nêu WordPress và Magento là các nền tảng có khả năng bị khai thác, nhưng không có số liệu theo từng nền tảng.
Vấn đề thật sự là báo cho chủ site. Rất ít site có file security.txt, dữ liệu WHOIS gần như vô dụng từ khi có GDPR, nhiều site nằm sau CDN nên không biết nhà cung cấp hosting, và email cảnh báo không ai trả lời. Report URI vẫn liên hệ với các site có mức ảnh hưởng đặc biệt lớn nhưng chỉ ở quy mô nhỏ. Helme đề nghị các trung tâm an ninh mạng quốc gia và CERT hỗ trợ, và sẵn sàng chia sẻ danh sách cho các đội NCSC/CERT châu Âu. Report URI bán dữ liệu threat intelligence nên đây là số liệu của chính công ty, chưa được kiểm chứng độc lập.
