Polymarket ― 外部の計測スクリプトが資金抜き取りコードに
10月29日（UTC）、Polymarket が読み込んでいた DebugBear の表示速度計測スクリプトが、Polymarket 専用の資金抜き取りコードに差し替えられた。ログイン中の利用者のセッションと Polymarket 自身の取引クライアント・中継サーバーを使って資金とポジションを移し、Polymarket は合計390万ドルを返金するとしている。DebugBear 側の侵害の原因は公表されていない。
← タグ一覧へ
タグ / 攻撃手法
Webスキミング
すべての面から4件。公開日の新しい順。キーワードと組み合わせて探す →
Convertr ― 分析スクリプト改ざんで決済画面にスキマー
ブラジルのECプラットフォーム Convertr が自前で運用する Plausible 分析サーバーのトラッカーにスキマーが追記され、10月24日から全加盟店の決済画面でカード番号・有効期限・CVV・名義・CPF（納税者番号）が 1x0.is に送られていた（Sansec）。侵入口は Plausible CE 3.0〜3.2.0 の未認証 RCE（CVE-2026-8467）とみられるが未確認で、Convertr は27日にスキマーを削除し Plausible を更新した。
ツクツク!!! ― 決済画面の改ざんでカード情報漏えいの可能性
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
Magento ― CMSブロックにローダーを埋め込む攻撃
Sansec によると、2025年7月から953の EC サイト（ほとんどが Magento）の CMS ブロックに、攻撃者のサーバーへ「次に何をするか」を問い合わせるローダーが埋め込まれた。10月6日登録の最新ドメイン deepveindrilling.com は83店舗に入り、うち60店舗は以前からの被害店舗だった。10月の版は受け取ったコードをブラウザーの localStorage に保存して毎回実行し、23日以降の版は指紋を送って自動ブラウザーを見分ける。最終的なコードはまだ取れていない。PolyShell（CVE-2026-48356）や SessionReaper（CVE-2025-54236）で入られた店舗が多いが、パッチ済みの店舗も不正な管理者アカウントで書き換えられた。Magento CMSブロックのローダー。953店舗に15か月で5つのドメインを渡り歩き、スキャナーには何も返さず、一度受け取った買い物客のブラウザーでは再実行され続ける。