Un raport recent despre securitatea online scoate la iveală amploarea unui tip de atac cibernetic care poate trece neobservat de utilizatori: furtul cookie-urilor din browser. Între iunie 2025 și iunie 2026, cercetătorii NordVPN au identificat peste 52,4 miliarde de cookie-uri furate în date asociate cu malware de tip infostealer. Datele au fost analizate din jurnale provenite de la dispozitive infectate și comercializate pe forumuri de pe dark web și pe marketplace-uri de pe Telegram.
Cifra este impresionantă, dar trebuie interpretată corect: cele 52,4 miliarde reprezintă înregistrări de cookie-uri, nu 52,4 miliarde de utilizatori sau dispozitive unice. Totuși, problema este reală și importantă, deoarece o parte dintre aceste cookie-uri pot fi cookie-uri de autentificare active, capabile să ofere atacatorilor acces la conturi deja autentificate.
Ce este un cookie de browser și de ce este ținta hackerilor?
Un cookie este un mic fragment de date stocat de browser pentru ca un site să poată păstra informații despre utilizator și sesiunea acestuia. Cookie-urile pot fi folosite pentru preferințe, publicitate, analiză, identificare sau menținerea unei sesiuni de autentificare.
Problema apare atunci când atacatorii reușesc să extragă cookie-uri de sesiune. După autentificarea cu parolă și, eventual, cu autentificare multifactor (MFA), serverul poate emite un token sau cookie care confirmă faptul că utilizatorul este deja autentificat.
Dacă un atacator fură acel cookie și îl poate reutiliza, serverul poate interpreta cererea ca provenind de la o sesiune legitimă. În anumite scenarii, acest lucru înseamnă că atacatorul nu mai trebuie să cunoască parola și nici să treacă din nou prin MFA. Specialiștii citați de TechNewsWorld descriu, de aceea, cookie-ul de autentificare ca pe o formă de „cheie” pentru o sesiune deja validată.
Nu toate cookie-urile sunt la fel de periculoase
Aici este una dintre cele mai importante nuanțe ale raportului.
Majoritatea cookie-urilor furate nu oferă automat acces la un cont. Cookie-urile de tracking sau publicitate pot avea valoare redusă pentru un atacator în comparație cu un authentication cookie.
Prin urmare, titlul „52,4 miliarde de cookie-uri furate” nu trebuie interpretat ca „52,4 miliarde de conturi compromise”. Riscul major vine din acea categorie mai mică de cookie-uri care păstrează sau confirmă o sesiune autentificată.
Cum ajung cookie-urile în mâinile atacatorilor?
Principalul vector identificat este malware-ul de tip infostealer — programe create special pentru a extrage informații de pe dispozitivul victimei.
Un infostealer poate căuta în profilurile browserelor și poate colecta cookie-uri, parole salvate, date de completare automată, istoricul de navigare, fișiere sau alte informații. Potrivit experților citați în analiza TechNewsWorld, malware-ul poate executa rapid această operațiune fără să necesite neapărat privilegii administrative și poate transmite datele către infrastructura atacatorilor.
Printre metodele prin care utilizatorii pot fi infectați se numără:
- programe descărcate din surse nesigure;
- extensii de browser malițioase;
- proiecte software sau fișiere compromise;
- phishing și pagini de autentificare false;
- atacuri de tip Adversary-in-the-Middle;
- campanii de tip ClickFix, care folosesc pagini false sau CAPTCHA-uri pentru a determina utilizatorul să execute comenzi periculoase.
Google a semnalat, de asemenea, campanii de phishing și atacuri de tip AITM care urmăresc furtul tokenurilor de sesiune, precum și campanii ClickFix care distribuie malware prin mecanisme ce imită actualizări sau verificări legitime.
De ce MFA și parolele puternice nu sunt suficiente?
Autentificarea multifactor rămâne una dintre cele mai importante măsuri de securitate și nu trebuie dezactivată. Însă MFA protejează în principal procesul de autentificare.
Dacă utilizatorul s-a autentificat deja, iar un atacator fură ulterior un token de sesiune valid, atacul se mută într-o altă etapă a lanțului de securitate.
Aceasta este diferența esențială dintre furtul parolei și session hijacking.
În cazul unei parole furate, schimbarea parolei poate elimina accesul atacatorului. În cazul unui cookie de sesiune furat, schimbarea parolei poate să nu fie suficientă dacă sesiunea compromisă rămâne activă. TechNewsWorld citează experți care recomandă revocarea explicită a sesiunilor compromise, nu doar resetarea parolei.
Ce înseamnă acest lucru pentru utilizatorul obișnuit?
Un atacator care obține o sesiune validă poate încerca să acceseze servicii precum e-mail, platforme cloud, rețele sociale, aplicații SaaS sau alte conturi în care utilizatorul este autentificat.
Riscul devine și mai mare atunci când același cont este folosit pentru single sign-on (SSO) către mai multe servicii. Compromiterea unei identități centrale poate deschide astfel calea către alte resurse.
De aceea, securitatea contului nu trebuie privită exclusiv prin prisma parolei. Este necesară protejarea întregului ciclu al sesiunii: autentificare, emiterea tokenului, durata sesiunii, verificarea dispozitivului și revocarea rapidă a accesului atunci când apare un risc.
Antivirusul ajută, dar nu rezolvă singur problema
Un antivirus sau o soluție EDR reprezintă o componentă importantă a securității unui dispozitiv. Totuși, niciun mecanism de protecție nu trebuie considerat infailibil.
În datele analizate de NordVPN au fost identificate inclusiv dispozitive pe care era instalat software de securitate. TechNewsWorld notează că, dintre jurnalele în care era identificat software de securitate, Windows Defender apărea în 96,3% dintre cazuri. Acest lucru nu demonstrează că antivirusul este inutil, ci evidențiază faptul că protecția trebuie construită în mai multe straturi.
Pentru utilizatori, o strategie mai solidă include:
- actualizarea regulată a sistemului de operare și browserului;
- utilizarea MFA sau a passkey-urilor;
- instalarea aplicațiilor doar din surse de încredere;
- evitarea executării comenzilor primite prin pagini web suspecte;
- verificarea extensiilor instalate în browser;
- folosirea unei soluții de securitate actualizate;
- monitorizarea activității conturilor;
- revocarea sesiunilor necunoscute sau suspecte.
O posibilă soluție tehnică: sesiuni legate de dispozitiv
Industria browserelor caută deja metode prin care un cookie furat să devină inutil pentru atacator.
Un exemplu este Device Bound Session Credentials (DBSC), tehnologie dezvoltată pentru a lega o sesiune de un dispozitiv și de o cheie criptografică protejată local. Google a anunțat în aprilie 2026 disponibilitatea publică a DBSC pentru utilizatorii Windows cu Chrome 146. Conceptul urmărește ca un cookie furat să nu mai poată fi reutilizat cu ușurință de pe un alt dispozitiv.
Principiul este important: în loc ca un cookie să fie suficient pentru a demonstra că utilizatorul este autentificat, serverul poate solicita și dovada posesiei unei chei asociate dispozitivului legitim.
Este o schimbare de paradigmă care poate reduce semnificativ valoarea economică a cookie-urilor furate. Totuși, protecția depinde de adoptarea tehnologiei atât de browser, cât și de serviciile web. Google precizează că implementarea necesită suport din partea site-urilor, astfel încât extinderea acestei metode va avea loc gradual.
Ce trebuie să faci dacă suspectezi că un cont a fost compromis?
Dacă observi autentificări necunoscute, dispozitive pe care nu le recunoști sau activitate suspectă, nu te limita la schimbarea parolei.
În primul rând, închide toate sesiunile active disponibile din setările contului. Apoi schimbă parola, activează MFA dacă nu este deja activat și verifică dispozitivele conectate, metodele de recuperare, activitatea recentă și eventualele modificări ale datelor contului.
În paralel, verifică dispozitivul de pe care te-ai autentificat și rulează o scanare de securitate. Dacă există suspiciunea unui infostealer, schimbarea parolelor de pe același dispozitiv înainte de eliminarea amenințării poate fi contraproductivă.
Adevăratul pericol: cookie-urile de autentificare
Cele 52,4 miliarde de cookie-uri furate reprezintă un semnal puternic despre evoluția pieței criminalității cibernetice, dar cifra trebuie interpretată în context. Nu vorbim despre 52,4 miliarde de victime sau conturi sparte. Vorbim despre înregistrări colectate din jurnale de infostealeri, dintre care o parte pot conține date de sesiune extrem de valoroase pentru atacatori.
Lecția esențială pentru utilizatori este că securitatea unui cont nu se termină în momentul în care parola și MFA au fost verificate. Sesiunea autentificată trebuie, la rândul ei, protejată.
Pentru companii și dezvoltatori, direcția este și mai clară: sesiuni mai scurte, revocare rapidă, evaluare continuă a riscului, autentificare legată de dispozitiv și tehnologii precum DBSC pot reduce impactul furtului de sesiuni.
Într-un internet în care browserul păstrează din ce în ce mai multe identități și sesiuni active, cookie-urile nu mai sunt doar mici fișiere care fac navigarea mai comodă. Pentru infractorii cibernetici, unele dintre ele au devenit o țintă directă pentru preluarea conturilor.
Sursa: technewsworld.com
PRODUSE RECOMANDATE
