普通にネットで買い物をしていただけなのに、突然「https://polyfill.io にユーザー名とパスワードを入力してください」という見慣れないログイン画面が出てきて、不安になっていませんか。
このポップアップは、2024年に大規模なサイバー攻撃に使われた危険なドメインが、2026年5月末から再び応答を返し始めたことで発生している現象です。結論からお伝えすると、何も入力せずに「キャンセル」を押してください。 ユーザー名・パスワードを入力すると、所有者不明の危険なサーバーに情報が送信されます。
この記事では、ポップアップが表示される原因、危険性、正しい対処法、そして万が一入力してしまった場合の対応まで、一般の方にもわかるように丁寧に解説します。
この記事の要約
polyfill.ioのポップアップとは何か
polyfill.ioのポップアップは、Webサイトを開いた瞬間にブラウザが表示するログイン要求画面のことです。閲覧中のサイトとは全く関係のないドメイン名が表示されるため、多くの方が驚いて検索しています。
具体的には、次のような文言で表示されます。
文言はブラウザ（Chrome、Edge、Firefox、Safariなど）によって少しずつ異なりますが、共通しているのは「polyfill.io」というドメイン名がユーザー名とパスワードを求めてくる点です。
このポップアップは、フィッシングサイトが偽物の画面を表示しているわけではありません。ブラウザが標準で持っている「HTTP認証（ベーシック認証）」という仕組みの画面です。だからこそ、本物のログイン画面のように見えてしまい、つい入力しそうになる怖さがあります。
なぜpolyfill.ioのポップアップが表示されるのか
ポップアップが表示される直接の原因は、あなたが開いたサイトが裏側でpolyfill.ioという外部ドメインからプログラムを読み込もうとしているからです。あなた自身に問題があるわけではなく、サイト側に古いコードが残っていることが根本原因です。
仕組みを順番に説明します。
- あなたがWebサイト（例：ショッピングサイト）を開く
- サイトのHTMLに
<script src="https://polyfill.io/...">というコードが残っている - ブラウザがpolyfill.ioにアクセスして、必要なプログラムを取りに行く
- polyfill.ioのサーバーが「認証が必要です」という応答（HTTP 401）を返す
- ブラウザが規格通りに、認証画面を表示する
つまり、あなたが見ているサイトの開発者が、2024年の事件以降もpolyfill.ioへの参照を削除し忘れているために、ブラウザが「危険なドメインがログインを要求している」状態を律儀に画面に出してしまっているのです。
URLバーには正規サイトのドメインが表示されているのに、ログインを求めてくるのは全く別のpolyfill.ioという、不気味な見た目になります。これがこの現象の最大の特徴です。
なお、Webサイトだけでなく、Samsung製などの一部スマートテレビ（HbbTV規格対応モデル）でも、チャンネル切替のたびに同じポップアップが出る事象が報告されています。テレビの場合も原因は同じで、テレビ側のソフトウェアがpolyfill.ioを参照しているためです。
polyfill.ioのポップアップが危険な理由
このポップアップの最大の危険性は、入力したユーザー名・パスワードが、所有者不明の危険なサーバーに直接送信されてしまうことです。なぜそれほど危険なのか、背景を説明します。
polyfill.ioはもともと、古いブラウザでも最新のWeb機能を使えるようにする便利なサービスでした。世界中の数百万サイトで使われていた、いわばインフラ的な存在です。
ところが2024年2月、このドメインが中国系の企業に売却されました。原作者のAndrew Betts氏は買収を知ると、Xで「使っているなら今すぐ削除せよ」と緊急の警告を発しています。
そして2024年6月、セキュリティ企業Sansecが、polyfill.ioが配信するプログラムにマルウェアが仕込まれていたことを公表しました。被害は次のように広がっていました。
この事件を受け、ドメインは2024年6月にレジストラのNamecheapによって停止されました。しかし2026年5月末、停止されていたはずのpolyfill.ioが再びHTTP応答を返し始めたのです。現在のドメイン所有者は不明で、過去にマルウェア配信に使われた前歴を考えると、入力した情報がどう使われるかは予測できません。
仮にユーザー名・パスワードを入力した場合、考えられる被害は次のとおりです。
- フィッシング目的で認証情報を収集される
- 他のサービスで同じパスワードを使い回していれば、芋づる式に乗っ取られる
- メールアドレスが入力されていれば、標的型攻撃の対象リストに加えられる
入力しなければ即座の被害はありませんが、ポップアップが出ている時点でそのサイトの管理状態には大きな疑問符が付きます。利用を控えるのが安全です。
polyfill.ioのポップアップが表示されたときの対処法
ポップアップが出たときの正しい対処法は、シンプルに「何も入力しないで閉じる」ことです。慌てずに、次の手順で対応してください。
- ユーザー名・パスワード欄には絶対に何も入力しない
- 「キャンセル」ボタンをクリックしてダイアログを閉じる
- ブラウザの「×」ボタンでタブごと閉じても問題ない
- その日の閲覧では、当該サイトの利用を控える
ポップアップを閉じてもサイトが正常に表示される場合もありますが、しばらくそのサイトの利用は見送ることをおすすめします。サイト運営者が古い危険なコードを管理できていないということは、他の部分にも問題が潜んでいる可能性があるためです。
問い合わせフォームなどから「polyfill.ioのログイン画面が表示されました」とサイト運営者に連絡すると、修正が早まり、他の利用者の安全にも貢献できます。
ポップアップが繰り返し出てくる場合は、次の対策が有効です。
- ブラウザのキャッシュをクリアする
- 別のブラウザで開いてみる（同じ症状なら原因はサイト側）
- 広告ブロッカー（uBlock Originなど）を導入する
- 家族で共有する対策として、家庭用ルーターやスマホで使えるフィルタリングDNS（NextDNSなど）でpolyfill.ioをブロックする
スマートテレビでポップアップが出る場合は、メーカーや放送局のソフトウェアアップデートを待つしかないのが現状です。Wi-Fiを一時的に切断してオフラインで視聴する方法も応急処置として使えますが、根本解決にはメーカー側の対応が必要になります。
万が一ユーザー名とパスワードを入力してしまった場合
すでに入力してしまった方も、落ち着いて対処すれば被害を最小限にできます。重要なのは、入力した情報を「もう漏れた前提」で扱い、すぐに行動することです。
次の手順を、できれば30分以内に実施してください。
- 入力したユーザー名・パスワードと同じものを使っている全サービスのパスワードを変更する
- 特にメール、銀行、SNS、クラウドストレージなど重要なサービスを優先する
- 可能なサービスは多要素認証（2段階認証）を有効化する
- 数日間、メールに不審なログイン通知が届かないか注意する
- クレジットカード情報も入力した場合は、カード会社に連絡して利用停止・再発行を依頼する
特に気をつけたいのが、パスワードを使い回している場合です。同じパスワードを複数のサービスで使っていると、攻撃者がそのリストを使って他のサービスにも次々ログインを試みる「リスト型攻撃」の被害に遭う可能性があります。
これを機にパスワード管理ツール（1Password、Bitwarden、Googleパスワードマネージャーなど）の導入を検討するのもおすすめです。サービスごとに異なる強固なパスワードを自動生成・管理できるため、今回のような事態でも被害を1サービスに限定できます。
polyfill.ioのポップアップを根本から防ぐ方法
利用者側でできる根本的な対策として、polyfill.ioへのアクセス自体をブロックしてしまう方法があります。これにより、危険なドメインに繋がる前段階でブロックでき、ポップアップも出なくなります。
PCのブラウザでできる対策は次のとおりです。
- 広告ブロッカー（uBlock Originなど）を導入する。既にpolyfill.ioは多くのブロックリストに含まれています
- ブラウザの拡張機能で特定ドメインをブロックする設定を入れる
家庭内のすべての端末（スマホ、テレビ、ゲーム機など）をまとめて守りたい場合は、DNS単位でのブロックが効果的です。
- NextDNSやAdGuard DNSなど、無料で使えるフィルタリングDNSサービスを設定する
- ルーターのDNS設定を変更すれば、家庭内の全端末に一括適用できる
- 上級者向けにはPi-holeを家庭内に立てる方法もある
スマホでも、iOSの「DNS over HTTPS」やAndroidの「プライベートDNS」機能で同様の設定が可能です。これらの対策は、polyfill.io以外の悪質なドメインも同時にブロックできるため、ネット利用全体の安全性が向上します。
なぜ今この問題が再発しているのか
2024年に停止されたはずのpolyfill.ioが、2026年5月下旬に再び動き始めたことが、今回のポップアップ騒動の引き金です。経緯を時系列で整理します。
2024年の出来事は次のとおりです。
- 2024年2月、中国系企業がpolyfill.ioドメインを買収
- 2024年2月、原作者が「即削除せよ」と緊急警告
- 2024年6月、セキュリティ企業Sansecがマルウェア混入を公表
- 2024年6月、レジストラのNamecheapがドメインを停止
- CloudflareとFastlyが安全な代替（ミラー）を提供
2024年の事件はIT業界では大きく報じられましたが、すべてのサイト運営者が対応したわけではありませんでした。一度組み込んだコードを削除し忘れたまま、2年近く放置されていたサイトが世界中に多数存在しています。
そして2026年5月末、停止されていたドメインのレジストラがGoDaddyに移管され、再びHTTP応答を返し始めました。今度はマルウェアではなく、「認証が必要です」という応答を返す設定になっていたため、結果として大量のポップアップが世界中で発生したというのが今回の構図です。
日本国内でも2026年5月末から6月にかけて、無印良品、象印マホービン、ディスクユニオン、BOAT RACE公式、ARBANといった有名サイトが相次いでお詫びを掲出しました。三井ショッピングパーク系列、オートバックス公式通販、音声合成ソフトVoiSonaなどでも同じ症状が報告されています。有名サイトだから安全とは限らないという前提で、ポップアップが出たら冷静に対処することが大切です。
よくある質問
ポップアップ現象について、特によく寄せられる質問にお答えします。
Q1. ポップアップが出ただけで、ウイルスに感染していますか？
いいえ、ポップアップが出ただけでは感染しません。現在のpolyfill.ioは認証要求（HTTP 401）を返している状態で、プログラム自体は実行されていません。「キャンセル」して閉じれば即時の被害はありません。
Q2. すでにユーザー名とパスワードを入力してしまいました。今すぐ何をすべきですか？
入力したユーザー名・パスワードを使っている全サービスのパスワードを直ちに変更してください。特に同じパスワードを使い回しているサービスがあれば最優先です。可能なら多要素認証も有効化し、数日間は不審なログイン通知に注意してください。
Q3. このサイトを今後も使って大丈夫ですか？
サイト側が修正を完了し、お詫び・注意喚起を出した後であれば、利用を再開しても基本的には問題ありません。ただし、長期間ポップアップを放置していたサイトは管理体制に不安が残るため、重要な個人情報を入力する利用は慎重に判断してください。
Q4. スマホでもポップアップは出ますか？
はい、出ます。スマホのブラウザでも仕組みは同じで、polyfill.ioを読み込むサイトを開くと表示されます。対処法もPCと同じく「何も入力せずキャンセル」です。
Q5. テレビでポップアップが出ます。どうすればいいですか？
Samsung製などHbbTV対応のスマートテレビで報告されている現象です。基本的にはメーカーやアプリ提供元のソフトウェアアップデートを待つことになります。応急処置としてはWi-Fiを一時的に切断する方法がありますが、ネット機能は使えなくなります。
まとめ
polyfill.ioのポップアップが表示される現象について、要点をまとめます。
- ポップアップはあなたの端末が原因ではなく、開いたサイトに危険なコードが残っているために発生する
- 絶対にユーザー名・パスワードを入力せず、「キャンセル」で閉じる
- 入力してしまった場合は、同じパスワードを使う全サービスのパスワードを即変更する
- 根本対策としては、広告ブロッカーやフィルタリングDNSでpolyfill.ioをブロックする
- 2024年のサプライチェーン攻撃で停止されたドメインが2026年5月末に再びアクティブ化したことが直接の引き金
このポップアップは、サイト運営者の管理ミスが原因の現象ですが、被害を受けるのは利用者です。「URLバーには見覚えのあるサイトが出ているのに、知らないドメインがログインを要求してきた」というパターンを覚えておくと、今後似たような事象に遭遇したときも冷静に判断できます。
不安を煽る情報も多いですが、正しく対処すれば被害は防げます。落ち着いて、何も入力せずに閉じる。これだけ守れば大丈夫です。
コメント