Domain Polyfill[.]io Kembali Aktif: Web Toshiba dan Muji Kebobolan Munculan Login Palsu

Dua raksasa korporasi asal Jepang, perusahaan teknologi Toshiba dan peritel besar Muji, mengeluarkan peringatan darurat bagi para pengunjung situs web resmi mereka. Pengunjung diimbau untuk waspada terhadap munculnya layar masuk (sign-in screen) misterius yang tiba-tiba menyembul (pop-up) secara mencurigakan dan berpotensi merekam data kredensial pengguna.

Kedua perusahaan mengonfirmasi bahwa munculan login palsu tersebut bukan disebabkan karena server internal mereka diretas, melainkan akibat dari bangkitnya kembali skrip usang dari layanan eksternal polyfill[.]io. Domain CDN JavaScript pihak ketiga tersebut dilaporkan kembali aktif dan menyebarkan gangguan secara global.

Kronologi Masalah: Kebangkitan Ranjau Siber dari Tahun 2024

Akar dari kekacauan ini sejatinya bermula dari insiden keamanan siber besar pada tahun 2024. Saat itu, domain polyfill[.]io—sebuah layanan Content Delivery Network (CDN) yang berfungsi menyediakan lapisan kompatibilitas agar situs web modern bisa berjalan di peramban (browser) jadul—diakuisisi oleh sebuah entitas asal Tiongkok.

Setelah berpindah kepemilikan, domain tersebut menyuntikkan skrip berbahaya (malicious code) yang berdampak pada lebih dari 100.000 situs web di seluruh dunia. Meskipun pencipta proyek sumber terbuka (open-source) Polyfill asli, Andrew Betts, sudah memperingatkan para pemilik situs untuk segera menghapus kode tersebut dan memindahkan layanannya ke domain baru yang aman, ternyata banyak perusahaan besar yang teledor.

Selama dua tahun terakhir, beberapa tim TI perusahaan—termasuk Toshiba dan Muji—gagal membersihkan sisa-sisa kode polyfill[.]io usang secara tuntas di seluruh halaman web mereka.

Mekanisme Gangguan: Manipulasi Permintaan HTTP 401 Auth

Peneliti keamanan siber, Pasquale Pillitteri, mengungkapkan bahwa sejak akhir Mei 2026, domain lama polyfill[.]io tiba-tiba kembali aktif secara agresif. Namun, alih-alih melakukan pengalihan lalu lintas (redirection) berbahaya seperti polanya di tahun 2024, domain ini sekarang merespons dengan perintah HTTP 401 Authentication Requests.

Cara Kerja Munculan Kredensial Palsu:

1. Ketika pengguna mengunjungi halaman web tepercaya (seperti situs Toshiba atau Muji) yang masih menyimpan sisa kode lama, peramban (browser) korban otomatis memanggil domain polyfill[.]io.
2. Server polyfill[.]io kemudian membalas panggilan tersebut dengan mengirimkan respons kode status HTTP 401 (butuh otentikasi).
3. Peramban pengguna secara otomatis menerjemahkan respons tersebut sebagai permintaan legal dari situs yang sedang dibuka, lalu langsung memunculkan kotak dialog pengisian nama pengguna (username) dan kata sandi (password) di layar.

Pernyataan Resmi Pihak Toshiba: “Kami mengonfirmasi bahwa beberapa bagian dari situs web kami mungkin menampilkan layar masuk (sign-in) eksternal. Kami sedang bekerja keras untuk melenyapkan gangguan ini. Jika Anda melihat layar tersebut, mohon segera klik ‘Cancel’ (Batal) tanpa memasukkan informasi apa pun.”

Dampak Meluas Hingga ke Perangkat Samsung Smart TV

Selain Toshiba dan Muji, media massa Jepang melaporkan bahwa sejumlah merek besar dan penerbitan ternama juga ikut terjangkit masalah serupa, di antaranya vendor termos Zojirushi, FiNC Technologies, Ishiyaku Publishers, serta platform penerbitan online Hobonichi.

Skala gangguan ini bahkan dilaporkan telah menembus ekosistem perangkat pintar. Berdasarkan temuan Pillitteri, jajaran Samsung Smart TV serta beberapa situs web terafiliasi terdeteksi ikut memunculkan kotak perintah login misterius serupa kepada para penggunanya sejak tanggal 1 Juni lalu.

Langkah Mitigasi Bagi Pemilik Web dan Pengguna

Hingga saat ini, tim investigasi siber belum menemukan indikasi kuat bahwa situs web yang terdampak telah mengalami kebocoran data internal, atau apakah data yang telanjur dimasukkan ke dalam kotak palsu tersebut sudah berhasil dikuras oleh peretas. Kendati demikian, langkah antisipasi ketat wajib segera dilakukan:

1. Untuk Pengunjung / Konsumen:

• Jangan Masukkan Data: Jika Anda sedang berselancar di situs web mana pun dan mendapati kotak dialog otentikasi yang muncul secara mendadak tanpa alasan jelas, segera tekan Cancel / Batal.
• Ganti Kata Sandi: Bagi pengguna yang telanjur mengisikan data kredensial mereka pada kotak jepretan tersebut di situs Toshiba maupun Muji, sangat direkomendasikan untuk segera mengganti kata sandi akun mereka demi menghindari aksi pengambilalihan akun (account takeover).

2. Untuk Administrator Jaringan & Tim TI:

• Audit Kode Total: Lakukan pemindaian (scanning) menyeluruh di seluruh direktori casing kode situs web perusahaan Anda untuk memastikan tidak ada lagi baris skrip yang mengarah ke domain polyfill.io.
• Ganti ke Domain Resmi: Jika situs web Anda masih membutuhkan fungsi pustaka Polyfill, pastikan untuk bermigrasi menggunakan alamat CDN resmi yang dikelola langsung oleh komunitas terpercaya, seperti polyfill.top.

Saat ini, baik Toshiba maupun Muji mengonfirmasi telah berhasil mengisolasi masalah dan menangguhkan seluruh sisa layanan eksternal berbahaya tersebut dari sistem arsitektur web mereka.

Sumber: Laporan Analisis Keamanan Siber Pasquale Pillitteri / Buletin Keamanan Toshiba & Muji 2026