使わなくなった外部タグを消す（失効ドメインを買い取る DeadTag への備え）

何が起きているか

• Report URI と iVerify が「DeadTag」と名付けた運用者は、古い解析・広告タグの参照先ドメインが失効した直後に買い取り、660 以上のドメインを悪用している。数千のサイトに埋め込まれたまま残り、月 1 億 3500 万訪問と推定。
• 配信されるスクリプトは約 2KB。ボット、スキャナー、データセンターの IP、何度も来る訪問者には空の応答を返し、選んだ訪問者だけを詐欺サイトや iOS 攻撃キット（Coruna、DarkSword）へ転送する。そのためセキュリティスキャナーでは見つかりにくい。
• 誘導先では閲覧するだけで iPhone が侵害され、キーチェーンのパスワードや暗号資産ウォレットが狙われる。
• サイト運営者はコードを何も変えておらず、気づかない。タグが何も返さなくてもページは普通に動くので、放置されやすい。

サイト運営者がやること

1. 外部タグを棚卸しする。 テンプレート、タグマネージャー、CMS プラグインを含め、ページが読み込む外部スクリプトのドメインをすべて洗い出す。
   • ブラウザーの開発者ツールの Network タブ、またはヘッドレスブラウザーで主要ページを開いて読み込み先を列挙する。
   • 契約が終わったサービス、もう見ていない解析ツール、終了したスタートアップのタグを消す。
2. 参照先ドメインが生きているか確認する。 応答がない、ドメインの登録者が変わった、中身が以前と違う、のどれかに当てはまるタグはすぐ外す。
3. CSP で読み込み元を限定する。 script-src に必要なドメインだけを書き、report-to／report-uri で違反を集める。まず Content-Security-Policy-Report-Only で運用して漏れを確認してから強制する。
4. スクリプトの変化を監視する。 新しいスクリプトや新しいドメインが現れたら通知されるようにする。固定のライブラリーには SRI（integrity 属性）を付ける。
5. 自社の PrestaShop などの EC サイトでは、解析コードを装ったフォルダーに不正なローダーが置かれた事例もある。見覚えのない JS ファイルとフォルダーも点検する。

利用者側（iPhone）

• iOS を最新にする。狙われているのは iOS 13〜17.2.1 と 18.4〜18.7。
• 標的になり得る人（暗号資産を多く持つ人など）はロックダウンモードを有効にする。
• 被害が疑われる場合は再起動し、キーチェーンに保存したパスワードを変え、暗号資産は新しいリカバリーフレーズのウォレットへ移す。

注意点

• 消したつもりでも、タグマネージャー側や古い AMP・LP テンプレートに残っていることが多い。
• 自社が提供する埋め込みスクリプトのドメインを手放すときも同じ問題が起きる。サービスを終了しても、配信に使ったドメインはすぐに失効させない。

出典

• @MalwareBibleJP · 2026-10-24
• Report URI「DeadTag: How Forgotten Website Tags Became a Delivery Network for iPhone Spyware」: report-uri.ghost.io
• iVerify: iverify.com