DebugBear 被劫持，监控脚本要撤

今天刷到一条让我后背发凉的消息：常用 RUM 工具 DebugBear 的监控脚本被注入了恶意 JavaScript，官方已经确认是 DNS 记录被攻击者篡改。对做 SEO 和性能监控的团队来说，这不是普通的安全八卦，而是直接关系到自家站点会不会被拖下水。

DebugBear 在 10 月 29 日通知客户，要求把 Real User Monitoring 脚本从网站上撤掉。这个脚本原本是用来采集 Core Web Vitals 数据的，很多 SEO 团队把它当成性能优化的眼睛，现在这只眼睛反而可能成了攻击入口。官方建议同时排查账号是否暴露、有没有未授权的改动和后门。我的判断是，这类第三方脚本的风险一直被低估。大家平时盯的是关键词排名和加载速度，很少会想到一个监控工具本身也会成为供应链攻击的跳板。DNS 被劫持意味着攻击者不需要碰你的服务器，只要在解析层面动手脚，所有引用该脚本的站点都会中招。给同行的建议很直接：先让开发和安全同事确认站点有没有加载 DebugBear 的 RUM 脚本，有就立刻移除；再检查相关账号的登录记录和权限变更，别只看表面。SEO 团队最好把第三方脚本清单纳入日常巡检，尤其是那些能执行 JavaScript 的工具。这次事件也提醒我，性能监控和站点安全其实是同一件事的两面。工具选型时除了看数据维度，也要看厂商的安全响应速度和透明度。DebugBear 这次通报算及时，但信任修复需要时间，短期内我会优先考虑自托管或权限更可控的方案。