DebugBear 监控脚本被劫持

今天看到一条让我后背发凉的安全事件：DebugBear 的 Real User Monitoring 脚本被攻击者植入了恶意 JavaScript。这家工具在 SEO 和性能监控圈子里用得挺广，很多站点靠它采集 Core Web Vitals 数据。官方在 10 月 29 日确认 DNS 记录被篡改，并直接要求客户把监控脚本从网站上撤下来。

这件事最麻烦的地方在于，被污染的恰恰是「监控脚本」——它通常以第三方嵌入的方式出现在每个页面里，权限和覆盖面都很大。攻击者不需要攻破你的服务器，只要拿下上游服务商的 DNS，就能让成千上万个站点在毫无察觉的情况下加载恶意代码。对依赖第三方脚本的团队来说，这是一次很典型的供应链风险演示。我给自己的判断是：SEO 和性能团队不能只盯着排名和指标，得把「脚本清单」当成资产来管理。具体可以做的有几件事：
- 立即排查站点是否还在加载 DebugBear 的 RUM 脚本，有就按官方指引移除
- 检查 DNS 解析记录和第三方账号的登录日志，看有没有异常改动或后门
- 给所有外链脚本加上完整性校验或 CSP 限制，降低被替换后的影响面还有一点值得提醒：这类事件里，攻击者往往不会只做一次就走，可能留下持久化入口。所以除了删脚本，还要让开发和运维一起过一遍近期变更，确认没有未授权的访问路径。从行业角度看，第三方监控、统计、广告脚本已经成了网站最脆弱的环节之一。我的建议是尽量收敛外部依赖，对必须保留的脚本做定期审计。毕竟用户数据安全和品牌信任，比多一个监控指标重要得多。