ウェブサイトに、実際に起きたこと。
出典つきで、1か所に。

GMO サイバーセキュリティ by イエラエは、相次ぐ不正アクセスの攻撃元のサーバーで、AI が自分で調べて試す侵入テストのツール「ARTEX」が使われていたと発表しました。調べた 1台は日本の企業約20社（うち 9社は同じ業種）を標的にしており、AI を使う同じような攻撃元がほかに 6台見つかりました。標的の中の 8社は、9〜10月に情報漏えいを公表しています（標的になった企業が、すべて入られたわけではありません）。韓国の金融機関への攻撃でも同じツールが使われたと CrowdStrike が報告しています。ツールは公開されていましたが、いまは公開が止められています。

入口の脆弱性は発表されていません。GMO は別の記事（10月15日）で、攻撃する側が AI を使い、サポートの終わった製品や、脆弱性の一覧（CVE）に載らないバージョンの脆弱性を探していると指摘しています。そのため、同じ種類の所見として示します。

全国の自治体が防災メールなどに使う一斉配信のサービス「SpeeCAN RAIDEN」が第三者の不正アクセスを受けたと、運営する株式会社アルカディアが発表しました。漏えいの可能性があるのは、推定でメールアドレス約313万6千件・電話番号約10万5千件・FAX番号約1万5千件です。横須賀市は、防災情報メールの 47,065人などのメールアドレスに漏えいのおそれがあり、登録者に不審なメールがすでに届いているとして、4つのサービスを止めました。同じ会社の 119番の通報のサービス（NET119）でも、利用者の氏名・生年月日・住所などに漏えいの可能性があると発表されています。

自治体のサイトそのものではなく、委託先のサービスの事件です。侵入の手口は発表されておらず、攻撃型 AI エージェント（ARTEX）との関係も発表されていません。

市が委託した事業のイベント申込フォームで、委託先が閲覧の設定をまちがえたため、申し込んだ人がほかの申込者の入力内容を見られる状態になりました。40名分の氏名・学年・電話番号・ファックス番号・メールアドレス・応募の動機が対象です。10月14日に申込者からの連絡で分かり、委託先が同じ日に設定を直しました。

原因は暗号化（https）ではありませんが、フォームに入力した内容がほかの人に見られた例です。

市のデジタルアーカイブサイト「デジまち」に、7月14日、システムのぜい弱性を使った不正アクセスがあり、一部のページがオンラインカジノのサイトへ誘導するページに書き換えられました。8月28日に外からの通報で分かりました。市はシステムをネットワークから切り離し、サービスを止めて詳しく調べています。

英国スコットランドのスコティッシュ・ボーダーズ議会のサイトにある、地域のコミュニティ・カウンシルへの 69 のリンクのうち 16件が、海外のオンライン賭博のサイトにつながっていました。16件のうち 15件は、8年ほど前に動かなくなった外部の案内サイトにあった住所で、古いリンクが残ったままでした。BBC スコットランドの報道を受けて、議会はリンクをすべて外しました。

大学が契約するレンタルサーバーで、1つのサイトが使っていた Joomla の拡張機能「JCE」のぜい弱性が6月上旬に使われ、サーバーを外から操る不正なプログラム（ウェブシェル）が置かれました。7月下旬までに同じサーバーのほかのサイトにも広がったとみられ、不正なアカウントや検索結果を汚すスパムが見つかりました。大学は同じサーバーの複数のサイトの公開を止めました。

オーストラリアのサイバーセキュリティセンター（ACSC）は、サイトの管理のしくみ（CMS）とその追加機能の脆弱性を使う、世界規模の攻撃が続いていると注意を呼びかけました。多くの中小企業のサイトに、外から操るためのファイル（ウェブシェル）が置かれています。対象は WordPress の追加機能、Craft CMS、Joomla の JCE など 17件の脆弱性で、すべてに直す更新が出ており、何か月も前に出たものもあります。

個々の企業の名前は公表されていません。

大学のサイトにある「バーチャルツアー」で使っていたツールのぜい弱性（弱いところ）が使われ、一部のページから、大学と関係のない外部のサイトへ転送されるようになりました。6月12日に分かりました。大学は、個人情報や機密情報の漏えいはないと発表しています。

大学のサイトで公開していた「バーチャルキャンパスツアー」のソフトウェアのぜい弱性が使われ、不正な URL が作られて検索結果に出て、大学のドメインの下に大学と関係のない内容が表示されました。6月17日に分かりました。大学は、サーバーへの侵入やファイルの書き換え、個人情報や機密情報の漏えいはないと発表しています。

市区町村の税の部署（「市役所市民税課」など）をかたり、コード決済で住民税の納付を促す偽メールに、総務省が注意を呼びかけました。全国の .lg.jp の 862団体（都道府県と市区）で、なりすましメール対策の設定（DMARC の隔離・拒否）までしているのは 16団体・1.9% です（2026年3月発表の調べ）。

英国の通信会社 Virgin Media O2 が、検索や AI ツールで偽の窓口の電話番号が示されることに注意を呼びかけました。同社の調べでは、英国の人の 13%（約8人に1人）が検索や AI ツールで偽の窓口の番号を示されたことがあり、10% は AI ツールが出した番号を頼りにしています。同社は、こうした番号にかけて詐欺にあったお客様の例に対応してきたとしています。番号は会社の公式サイト・アプリ・請求書に載っているものだけを使うよう勧めています。

閉じた市のサイトのドメインのうち 5件が第三者に取られたとして、一覧を公表しました。「市とは無関係」「危険なサイトへ誘導されるおそれ」「興味本位で開かない」と呼びかけ、リンクを残している先に外すよう求めています。

Microsoft は、組織自身のドメインから社内で送られたように見えるフィッシングメールが、2025年5月から多く見られるようになったと報告しました。メールの経路が複雑で、なりすましを防ぐ設定が正しくない組織のドメインが使われ、さまざまな業種の組織に届きました。組織あての金銭の詐欺にも使われました。Microsoft は、DMARC を拒否（reject）、SPF を厳しい失敗（hard fail）にすると防ぎやすくなるとし、ゆるい設定ではなりすましを防げないと説明しています。

図書館のサイトのぜい弱性が使われ、2016年3月〜2025年2月に載せた約100件の記事に不正なスクリプトが埋め込まれました。2025年2月6日〜11月13日に訪れた人に、怪しい広告や外部サイトへの転送が起きたおそれがあります。大学はサイトを閉じて簡単な仮のサイトに切り替え、CMS の本体・テーマ・プラグインをきれいなものに入れ替えて作り直すとしました。

アジア・アフリカ言語文化研究所の研究成果を公開するサーバーで、サイトを更新するしくみ（CMS）のぜい弱性を使った不正アクセスがあり、一部のページがオンラインカジノのサイトへ転送されるよう書き換えられました。影響のおそれがある期間は2025年6月5日〜8月8日です。大学はサーバーを止め、ぜい弱性を直して書き換えられたファイルを消してから再開するとしました。

監視ツールの脆弱性を使った不正アクセスで、決済ページ用の JavaScript が書き換えられました。2025年7月23日から8月8日までの、カード 30,431件（お客様 29,932名）の情報が漏れたおそれがあります。カード番号・有効期限・セキュリティコードのほか、氏名・住所・電話番号・メールアドレスも含まれます。8月8日にカード決済を止めました。

出典では、原因は決済ページ用の JavaScript の書き換えです。出典は CSP には触れていません。

Google の検索に出る AI による概要（AI Overviews）が示した電話番号にかけると、会社ではなく詐欺の相手につながったという報告が続きました。米国では Royal Caribbean の窓口の番号を探した人がその番号にかけ、クレジットカードの情報を伝えてしまいました。インドでは Swiggy Instamart の窓口の番号を探した人に番号が示されましたが、この会社には電話の窓口がなく、チャットだけでした。Google は問題を把握していて、見つかったいくつかの番号に対応したと報じられました。

セキュリティ会社 Netcraft が、金融・小売・IT・公共料金の 50 のブランドについて、AI（GPT-4.1 系のモデル）に「ログインするサイトの住所」をふつうの言葉で尋ねました。示された 97 のドメインのうち、ブランドのものは 66% で、29% は登録されていない・使われていない住所、5% は関係のない別の会社のもので、合わせて 34% がブランドのものではありませんでした。別の例では、AI 検索の Perplexity が Wells Fargo のログイン先として、本物に似せた偽のページを本物より上に示しました。

オーストラリア税務署（ATO）は、ATO をかたるメール詐欺の報告が、前の年の同じ時期より 300% を超えて増えたと伝えました。税の申告の時期は、連絡が来ると思っている人が多いため、詐欺の報告が増えるとしています。ATO は、個人情報を返させたりオンラインサービスにログインさせたりするリンク付きのメッセージを、頼まれずに送ることはないと呼びかけました。

出典は、偽メールの送り主の設定（DMARC など）には触れていません。名前をかたる偽メールの例として引いています。

韓国の国税庁は、国税庁の住所（ドメイン @nts.go.kr）まで使ったハッキングメールが送られるなど、本物かどうかの見分けが難しくなっていると説明しました。そのため 2025年6月27日から、届いたメールや文字メッセージが本当に国税庁から送られたものかを、税のサイト「ホームタックス」で確認できるサービスを始めました。

出典は、DMARC などの設定には触れていません。組織の住所（ドメイン）を名乗る偽メールの例として引いています。

オランダのダントゥマディール市は 2017年から dantumadiel.frl を使っていましたが、よく似た dantumadiel.nl は登録していませんでした。地元の放送局 Omrop Fryslân がこの .nl の住所を借りると、1週間あまりで市あてのメール 36通が届き、市民番号（BSN）や不服の申し立て、子どもの支援などの情報が含まれていました。市自身もこの住所へメールを送り、2024年7月から2025年3月の市の広報 8号に載せていました。そのあと市は .nl の住所を買い取り、公式サイトへ転送するようにしました。

ホームページが 3回書き換えられ、全ページを閉じました。再開まで約36日、蔵書の検索・予約は電話で受けました。県の発表では、管理のソフトに ID・パスワードを次々試した（総当たりの）跡と、一部のソフトに最新の更新プログラムが当てられていないことが確認できました。県が長い間の不便を謝罪しました。

順天郷大学の代表のホームページで、サーバーのソフト（WebLogic）の脆弱性を使われ、悪意のあるファイルを置かれました。学生などの氏名・学科・学籍番号・住所・連絡先など 2,000件余りが取られ、SNS に流されました。Oracle が 2017年10月に出した更新プログラムは、約6年のあいだ当てられていませんでした。慶星大学のポータルも同じやり方で攻撃されました。

10年以上前の古いネット通販のしくみ「e나무」のカートのページが攻撃され、それを使っていた 17社のサイトから注文者の個人情報 122件が漏れました。ほとんどの店は新しいしくみへ移っていましたが、少しの小さな店が古いしくみを使い続けていました。韓国の個人情報保護委員会は、古いしくみの技術支援をおろそかにしたとして NHNコマースに 870万ウォンの課徴金などを科しました。

英国の電力の需給と精算のデータを出す Elexon の Insights Solution（data.elexon.co.uk）で、TLS 証明書が2024年7月8日の期限で切れ、ブラウザに証明書の警告が出ました。データを自動で受け取る仕組み（API）も止まるおそれがありました。証明書は7月9日の昼ごろに更新され、止まっていたのは半日ほどでした（The Register による）。

韓国の行政安全部が運営する「政府機関の公式サイトの案内」には 5,826 のサイトが載っていましたが、報道機関の調べで 356 か所は開けず、5 か所は住所の書きまちがい、2 か所はほかの人の手に渡った古い住所でした。2 か所は、機関が住所を go.kr に移したあと空いた or.kr の住所で、成人向けの販売サイトと不法賭博のサイトにつながっていました。報道のあと、行政安全部は案内の住所を消したり、リンク先を変えたりしました。

米国の FBI・国務省・NSA が共同で、北朝鮮の Kimsuky と呼ばれるグループが、DMARC の設定が不十分な点を使ってなりすましメールを送っていると注意を呼びかけました。メールは、実在の記者・研究者・東アジアの専門家を名乗っていました。DMARC が正しく設定されていないと、本物の住所（ドメイン）から来たように見えるメールを送れてしまう、と説明しています。対策として、DMARC を隔離（p=quarantine）か拒否（p=reject）にするよう勧めました。

ベルギーで 2019年に 2つの町が合併してペルト市になったあと、旧町の住所 overpelt.be の更新がされず、知らない人の手に渡りました。いまはその人が「@overpelt.be」のメールアドレスも扱える状態で、サイトはさまざまな話題のブログのようになっています。市は 2022年に気づいて買い戻そうとしましたが、できませんでした。同じころ、あるセキュリティの研究者が、福祉の機関や警察区などが使っていた期限切れの住所 107件を買い取り、注意を呼びかけました。

英国の税の役所 HMRC は、1月までの1年間に、怪しい連絡についての市民からの通報 207,800件に対応したと発表しました（前の1年は 181,873件）。うち 79,000件を超えるものが、うその税の還付をうたうものでした。詐欺はメール・電話・ショートメッセージで、役所の連絡に似せて本物らしく見せます。HMRC は、還付があることをメールや電話などで知らせることはないと呼びかけました。

出典は、偽メールの送り主の設定（DMARC など）には触れていません。名前をかたる偽メールの例として引いています。

Air Canada のサイトのチャットボットが、忌引の割引運賃はチケットの発行から 90日以内に申し込めばよいと答え、利用者は正規の運賃で航空券を買いました。実際には、旅行を終えたあとの割引は認められておらず、そのことはサイトの別のページに書かれていました。航空会社は、チャットボットの答えには責任を負えないと主張しましたが、ブリティッシュコロンビア州の民事解決審判所は、チャットボットもサイトの一部であり、答えの正確さに十分な注意を払っていなかったとして、航空会社に支払いを命じました。

電話番号や住所ではなく、AI の答えが公式のページとちがっていた例です。

オランダ政府の標準化フォーラム（Forum Standaardisatie）の調べでは、国の機関や市などの 2,661 のドメインのうち、DMARC の方針（policy）が確認できたのは 2023年半ばで 81% でした。資料は、DMARC・DKIM・SPF を組み合わせるとメールのなりすましを防ぎ、役所の名前を使ったフィッシングを難しくすると説明しています。そのうえで、残る 19% のドメインで、役所の名前を使ったフィッシングメールを防ぐための厳しい DMARC の方針がまだ要るとしています。市（363 のドメイン）では 90% でした。

使わなくなった県のサイトのドメイン5件が、オークションなどで第三者に取られました。県は「県とは無関係」と注意を呼びかけ、リンクを残している先に削除を頼みました。

電子申請のサービスの不具合で、区民の助成の申請 2件と事業者の補助の申請 3件（51名分の個人情報）が、同じサービスを使う別の自治体に届きました。区が謝罪し、削除を頼みました（区は、自治体の間の閉じた網の中のことで外への流出はないとしています）。

原因は暗号化ではありませんが、申請の内容が他人の手に渡る被害の例です。

2023年6〜7月、米国の連邦政府の機関で、外から見える 2台のウェブサーバーに不正に入られました。どちらも古いバージョンの Adobe ColdFusion（2016 と 2021 の初期の版）で動いていました。CISA は「どちらのサーバーも古いバージョンのソフトで動いていた」としています。

機関の名前は公表されていません。CISA は、データが持ち出された証拠は確認できていないとしています。

米国メリーランド州で約80万枚のナンバープレートに印刷された記念のサイトの住所（starspangled200.org）が、数か月の間、フィリピンのオンラインカジノを宣伝するサイトへ転送されていました。この住所はもともと州の記念行事の委員会のもので、2016年から持ち主が何度か変わっていました。州の自動車局（MVA）は州の IT 部門と組んでドメインの仲介業者に依頼し、住所を取り戻して自局のホームページへ転送するようにしました。

サイトの管理のしくみ（CMS）の脆弱性を使われて書き換えられ、訪れた人が別の悪意あるサイトへ自動で送られる状態になりました。サイトを止めて調べました。

2023年4月の週末、衛星インターネットの Starlink が、世界で数時間つながらなくなりました。SpaceX の Elon Musk 氏は、原因を「地上局の証明書の期限切れ」と投稿し、ほかに1か所で全体が止まる脆弱性がないか調べていると述べました。

Web サイトの証明書ではなく、地上局の証明書です。期限切れで仕組みが止まる例として引きます。

クレジットカード会社などを名乗るメールで偽サイトに誘い、カード番号などをだまし取るフィッシングが多く起きているとして、総務省・警察庁・経済産業省がカード会社などに対策の強化を求めました。フィッシングメールはドメイン名をなりすまして送られることが多いとして、メールを送らないものを含む全てのドメインに DMARC を入れ、なりすましメールを受け取らせない方針（拒否）で使うよう求めています。

米国の連邦政府の機関のウェブサーバーで、2013年のバージョンのまま使われていた部品（Telerik UI for ASP.NET AJAX）の脆弱性を使われました。2022年11月から2023年1月はじめにかけて、複数のサイバー攻撃者がサーバーにファイルを置いて動かしました。部品の作り手によれば、2020年はじめより前のバージョンはこの脆弱性を持ちます。

機関の名前は公表されていません。2023年4月には別の機関でも同じ部品の古い版の脆弱性が使われました。

Amazon は、お客様から報告された Amazon をかたる詐欺のうち、50% を超えるものが偽の注文確認だったと発表しました。その年、20,000 を超えるフィッシングサイトと 10,000 の電話番号の削除を始めています。また同じ年に 20 を超える国でメールの確認の技術を入れ、Gmail や Yahoo! などでは、Amazon のロゴのアイコンで本当に Amazon からのメールだと分かるようにしました。

出典は DMARC の名前は出していません。送り主を確認するしくみを入れた企業の例として引いています。

2022年6月1日の深夜0時から6月2日の12時4分まで、会社のホームページ（www.gyosei-system.co.jp）を開くとエラーが表示されました。原因は SSL 証明書の有効期限切れでした。会社はお詫びを出し、管理の体制を強めるとしました。

2022年1月14日、外務省や内閣のポータルなど、約15の政府のサイトが書き換えられ、止められました。ウクライナの CERT は、サイトの管理に使う October CMS の脆弱性が使われた可能性が高いとしました。この脆弱性を直す更新は 2021年8月に出ていました。

ネット通販のサイトに不正なコードを入れられ、ログインした 6,241人のメールアドレスとパスワード、ほかに 98人のカード番号・有効期限・セキュリティコードが取られました。サイトは Magento 1.9 で動いており、Adobe が出した 4つの更新プログラムが当てられていませんでした。Magento 1 のサポートは 2020年6月30日に終わっていました。シンガポールの個人情報保護委員会（PDPC）は 8,000シンガポールドルの制裁金を科し、6か月以内にサポートのあるバージョンへ上げるよう命じました。

2021年8月、選挙管理委員会のメールのサーバー（Microsoft Exchange）に入られ、2022年10月まで、選挙人名簿にある約4,000万人の氏名と住所に触れられる状態でした。英国の個人情報の監督機関（ICO）によれば、使われた脆弱性を直す更新は 2021年4月と5月に出ていましたが、当てられていませんでした。パスワードの決まりも足りていませんでした。

入口は公開のサイトではなく、外から使えるメールのサーバーです。外から見えるソフトの更新が遅れた例として示します。

2021年2月15日（米国太平洋時間）、証明書の設定の更新がうまくいかず、Google Voice の入り口のシステムで使っていた TLS 証明書の期限が切れました。新しく接続しようとした端末はつながらず、インターネット電話の発信・着信ができない状態が合計4時間22分続きました。Google は謝罪し、期限が近づいたときの通知を増やすことや、証明書の入れ替えの自動化を進めることを示しました。

検査会社から検査結果を受け取るシステムのデジタル証明書が7月31日に更新されず、8月4日まで無効のままでした。7月25日からのサーバーの障害と合わさって、約30万件の新型コロナの検査結果が処理されない、または数えられないままになりました。州の保健福祉長官が経緯を説明しました。

公開の Web サイトではなく、データを受け取るシステムの証明書です。期限切れで仕組みが止まる例として引きます。

米国の3つの州の8つの市で、住民が公共料金などを払うサイト（Click2Gov）の支払いのページに JavaScript が差し込まれました。入力されたカード番号・セキュリティコード・有効期限・名前・住所が、外のサーバーへ送られていました。調べた会社は、2020年4月10日ごろから続いていたとみています。8つの市のうち5つは、2018年にも被害を受けていました。

出典では、原因は支払いのページに差し込まれたスクリプトです。出典は CSP には触れていません。出典は調べた会社の報告で、市の名前は書かれていません。

2020年2月3日の朝、Microsoft Teams が約3時間使えなくなりました。サインインしようとした人には、HTTPS の接続ができないというエラーが出ました。Microsoft は「認証の証明書の期限が切れた」と説明し、新しい証明書を配って元に戻しました。

2019年10月7日、第三者が macys.com の2つのページ（支払いのページと、My Account のウォレットのページ）に不正なコードを加えました。このコードは、お客様がそこで入力した名前・住所・電話番号・メールアドレス・カード番号・セキュリティコード・有効期限を写し取るものでした。10月15日に別のサイトとの怪しい通信で気づき、同じ日にコードを取り除きました。スマートフォンやアプリからの利用は対象外でした。

出典では、原因はページに加えられた不正なコードです。出典は CSP には触れていません。

2019年7月、ネット通販の購入手続きの部分にある、すでに知られていた脆弱性を使われ、カードで買った人の氏名・住所・カード番号の有効期限・セキュリティコードが集められました。調査では、その脆弱性を直す更新プログラムは攻撃の 3年前に出ていました。サイトに更新が当てられたのは 2020年7月10日で、約1年の間の購入が対象になりました。影響は全米で約32万人です。

2019年1月、米国の政府機関の閉鎖が続く中で、.gov のサイトで使われていた80を超える TLS 証明書が期限切れのまま更新されませんでした（Netcraft の調べ）。司法省・NASA・控訴裁判所などのサイトで、ブラウザが警告を出しました。司法省のサイト（ows2.usdoj.gov）は証明書が2018年12月17日に切れており、HSTS の事前登録リストに入っていたため、Chrome と Firefox では警告を越えて進めず、開けない状態になりました。

2018年12月6日の午後1時39分ごろから午後6時4分まで、ソフトバンクとワイモバイルの携帯電話（LTE）が全国で使えない、または使いにくい状態になりました。機器をつくるエリクソンは、ソフトウェアに入っていた証明書の期限切れを初めの調べでの原因と発表し、CEO が謝罪しました。同じような不具合は、エリクソンの設備を使う海外11か国の事業者でもほぼ同じ時刻に起きたと報じられました。

Web サイトの証明書ではなく、携帯電話の網の機器に入っていた証明書です。期限切れで仕組みが止まる例として引きます。

2018年6月22日から9月5日まで、サイバー攻撃者が社内のネットワークに入り、サイト（britishairways.com）の JavaScript のファイルを書き換えました。8月21日からの15日間、お客様が入力したカードの情報の写しが、サイバー攻撃者の持つ別のドメイン（BAways.com）へ送られていました。英国のデータ保護の機関（ICO）は、約429,612人の情報に触れられたおそれがあるとし、2020年10月に 2,000万ポンドの制裁金を科しました。

出典では、原因はサイトの JavaScript の書き換えです。出典は CSP（どこのスクリプトを動かせるかを絞る設定）には触れていません。ページの中で動くスクリプトから入力が読まれた例として引いています。

支払いのページにも置いていた、外部の会社のチャットボットの JavaScript に、サイバー攻撃者が不正なコードを入れました。そのコードが、名前・カード番号・有効期限・セキュリティコードなど、お客様が入力した内容を集めていました。欧州の 940万人（うち英国 150万人）に、影響のおそれが知らされました。英国の ICO は2020年11月に 125万ポンドの制裁金を科しました。

ICO は、支払いのページに外部のスクリプトを入れる危うさは以前から知られていたとし、SRI（スクリプトが書き換えられていないか確認するしくみ）や CSP（どこのスクリプトを読み込めるかを決める設定）などの対策を挙げました。会社は、当時 CSP を使っていなかったと認めています。

トルコの通信会社（Türk Telekom）の網の中で、Avast・CCleaner・Opera・7-Zip などの公式サイトからソフトを落とそうとした人が、スパイウェア入りの版へ切り替えられました。これらのサイトは、HTTPS に対応していても、初めは暗号化しない（HTTP の）ダウンロードへ案内していたため、途中で差し替えられたと報告されています。報告は、トルコとシリアの数百人に影響があったとしています。

出典は研究機関（Citizen Lab）の報告です。報告は、ソフトの配布サイトを中心に HTTPS を広く使うよう求めています。

2018年2月11日、多くのサイトが読み込んでいた読み上げの部品（Browsealoud）の JavaScript が書き換えられ、訪れた人の端末で暗号資産を掘るコードが動きました。英国の ICO、NHS（国の医療）の病院、地方の役所など、4,000 を超えるサイトが影響を受けました。英国の NCSC（国のサイバーセキュリティの機関）によると、利用者のお金は取られていませんが、端末の動きや電池に影響したおそれがあります。

NCSC は、外部の JavaScript を入れるかを考えること、SRI（スクリプトが書き換えられていないか確認するしくみ）、CSP（どこからスクリプトを読み込めるかを決める設定）を挙げ、よく決めた CSP があればこの攻撃は止められたとする研究者の見方も紹介しています。