Сервис закрылся, тег остался в шаблоне. Домен истёк, его перекупили…

Сервис закрылся, тег остался в шаблоне. Домен истёк, его перекупили — и тот же src тянет чужой скрипт. На 22 октября 2026 у Report URI 660+ таких доменов на тысячах сайтов, около 135 млн визитов в месяц по осторожной оценке.

Скрипт на 2 КБ, открытой страницы достаточно. Часть визитов уводят на скам, а iPhone получает эксплойт-кит под свою версию iOS.

Проверка на пятнадцать минут: выписать внешние src, снять теги мёртвых сервисов, включить CSP в report-only, мониторить новые домены. В отличие от npm-историй реестр не трогают, чужой домен уже в вашем HTML.

https://blog.report-uri.com/deadtag-how-forgotten-website-tags-became-a-delivery-network-for-iphone-spyware/
https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP