Skradzione cookie, nowa broń hakerów
Ostatni raport na temat bezpieczeństwa online ujawnia skalę jednego z rodzajów ataków cybernetycznych, które mogą pozostać niezauważone przez użytkowników: kradzież cookie z przeglądarki. Między czerwcem 2025 a czerwcem 2026 roku badacze NordVPN zidentyfikowali ponad 52,4 miliarda skradzionych ciasteczek w danych związanych z złośliwym oprogramowaniem typu infostealer. Dane zostały przeanalizowane z dzienników pochodzących z zainfekowanych urządzeń, które były sprzedawane na forach w dark webie oraz na rynkach na Telegramie.
Liczba jest imponująca, ale musi być właściwie interpretowana: te 52,4 miliarda to rekordy cookie, a nie 52,4 miliarda unikalnych użytkowników lub urządzeń. Niemniej jednak problem jest realny i istotny, ponieważ część z tych ciasteczek może być aktywnymi ciasteczkami uwierzytelniającymi, zdolnymi do zapewnienia atakującym dostępu do już uwierzytelnionych kont.
Co to jest cookie przeglądarki i dlaczego jest celem hakerów?
Ciasteczko to mały fragment danych przechowywanych przez przeglądarkę, aby strona mogła zachować informacje o użytkowniku i jego sesji. Ciasteczka mogą być używane do preferencji, reklamy, analizy, identyfikacji lub utrzymania sesji uwierzytelniającej.
Problem pojawia się, gdy atakujący udaje się wydobyć cookie sesji. Po uwierzytelnieniu za pomocą hasła i, ewentualnie, uwierzytelnienia wieloskładnikowego (MFA), serwer może wydać token lub ciasteczko, które potwierdza, że użytkownik jest już uwierzytelniony.
Jeśli atakujący ukradnie to ciasteczko i może je ponownie wykorzystać, serwer może zinterpretować żądanie jako pochodzące z legalnej sesji. W niektórych scenariuszach oznacza to, że atakujący nie musi znać hasła ani przechodzić ponownie przez MFA. Specjaliści cytowani przez TechNewsWorld opisują zatem ciasteczko uwierzytelniające jako formę „klucza” do już zweryfikowanej sesji.
Nie wszystkie cookie są tak samo niebezpieczne
To jedna z najważniejszych niuansów raportu.
Większość skradzionych ciasteczek nie zapewnia automatycznie dostępu do konta. Ciasteczka śledzące lub reklamowe mogą mieć mniejszą wartość dla atakującego w porównaniu do cookie uwierzytelniającego.
Dlatego tytuł „52,4 miliarda skradzionych ciasteczek” nie powinien być interpretowany jako „52,4 miliarda skompromitowanych kont”. Głównym ryzykiem jest ta mniejsza kategoria ciasteczek, które przechowują lub potwierdzają uwierzytelnioną sesję.
Jak ciasteczka trafiają w ręce atakujących?
Głównym wektorem zidentyfikowanym jest złośliwe oprogramowanie typu infostealer – programy stworzone specjalnie do wydobywania informacji z urządzenia ofiary.
Infostealer może przeszukiwać profile przeglądarek i zbierać ciasteczka, zapisane hasła, dane do automatycznego uzupełniania, historię przeglądania, pliki lub inne informacje. Według ekspertów cytowanych w analizie TechNewsWorld, złośliwe oprogramowanie może szybko wykonać tę operację bez konieczności posiadania uprawnień administracyjnych i może przesyłać dane do infrastruktury atakujących.
Wśród metod, przez które użytkownicy mogą zostać zainfekowani, znajdują się:
- programy pobrane z niepewnych źródeł;
- złośliwe rozszerzenia przeglądarki;
- kompromitujące projekty oprogramowania lub pliki;
- phishing i fałszywe strony logowania;
- ataki typu Adversary-in-the-Middle;
- kampanie typu ClickFix, które wykorzystują fałszywe strony lub CAPTCHA, aby zmusić użytkownika do wykonania niebezpiecznych poleceń.
Google również zgłosił kampanie phishingowe i ataki typu AITM, które mają na celu kradzież tokenów sesji, a także kampanie ClickFix, które rozpowszechniają złośliwe oprogramowanie za pomocą mechanizmów naśladujących aktualizacje lub legalne kontrole.
Dlaczego MFA i silne hasła nie są wystarczające?
Uwierzytelnienie wieloskładnikowe pozostaje jednym z najważniejszych środków bezpieczeństwa i nie powinno być wyłączane. Jednak MFA chroni głównie proces uwierzytelniania.
Jeśli użytkownik już się uwierzytelnił, a atakujący później ukradnie ważny token sesji, atak przechodzi na inny etap łańcucha bezpieczeństwa.
To jest zasadnicza różnica między kradzieżą hasła a przejęciem sesji.
W przypadku skradzionego hasła zmiana hasła może usunąć dostęp atakującego. W przypadku skradzionego ciasteczka sesji zmiana hasła może nie być wystarczająca, jeśli skompromitowana sesja pozostaje aktywna. TechNewsWorld cytuje ekspertów, którzy zalecają wyraźne unieważnienie skompromitowanych sesji, a nie tylko resetowanie hasła.
Co to oznacza dla przeciętnego użytkownika?
Atakujący, który uzyskuje ważną sesję, może próbować uzyskać dostęp do usług takich jak e-mail, platformy chmurowe, media społecznościowe, aplikacje SaaS lub inne konta, w których użytkownik jest uwierzytelniony.
Ryzyko staje się jeszcze większe, gdy to samo konto jest używane do single sign-on (SSO) do wielu usług. Kompromitacja centralnej tożsamości może otworzyć drogę do innych zasobów.
Dlatego bezpieczeństwo konta nie powinno być postrzegane wyłącznie przez pryzmat hasła. Niezbędne jest zabezpieczenie całego cyklu sesji: uwierzytelnianie, wydanie tokenu, czas trwania sesji, weryfikacja urządzenia oraz szybkie unieważnienie dostępu, gdy pojawia się ryzyko.
Antywirus pomaga, ale nie rozwiązuje problemu samodzielnie
Antywirus lub rozwiązanie EDR stanowi ważny element bezpieczeństwa urządzenia. Jednak żaden mechanizm ochrony nie powinien być uważany za nieomylny.
W danych analizowanych przez NordVPN zidentyfikowano również urządzenia, na których zainstalowane było oprogramowanie zabezpieczające. TechNewsWorld zauważa, że w 96,3% przypadków w dziennikach, w których identyfikowano oprogramowanie zabezpieczające, występował Windows Defender. To nie dowodzi, że antywirus jest bezużyteczny, ale podkreśla, że ochrona powinna być budowana w wielu warstwach.
Dla użytkowników bardziej solidna strategia obejmuje:
- regularne aktualizowanie systemu operacyjnego i przeglądarki;
- korzystanie z MFA lub kluczy dostępu;
- instalowanie aplikacji tylko z zaufanych źródeł;
- unikanie wykonywania poleceń otrzymanych przez podejrzane strony internetowe;
- sprawdzanie zainstalowanych rozszerzeń w przeglądarce;
- korzystanie z aktualnego rozwiązania zabezpieczającego;
- monitorowanie aktywności kont;
- unieważnianie nieznanych lub podejrzanych sesji.
Możliwe rozwiązanie techniczne: sesje powiązane z urządzeniem
Przemysł przeglądarek już szuka metod, dzięki którym skradzione ciasteczko stanie się bezużyteczne dla atakującego.
Przykładem jest Device Bound Session Credentials (DBSC), technologia opracowana w celu powiązania sesji z urządzeniem i z kluczem kryptograficznym chronionym lokalnie. Google ogłosił w kwietniu 2026 roku publiczną dostępność DBSC dla użytkowników Windows z Chrome 146. Koncepcja ma na celu to, aby skradzione ciasteczko nie mogło być łatwo wykorzystane z innego urządzenia.
Zasada jest ważna: zamiast tego, aby ciasteczko było wystarczające do potwierdzenia, że użytkownik jest uwierzytelniony, serwer może zażądać również dowodu posiadania klucza powiązanego z legalnym urządzeniem.
To zmiana paradygmatu, która może znacząco zmniejszyć wartość ekonomiczną skradzionych ciasteczek. Niemniej jednak ochrona zależy od wdrożenia technologii zarówno przez przeglądarki, jak i usługi internetowe. Google zaznacza, że wdrożenie wymaga wsparcia ze strony witryn, więc rozszerzenie tej metody będzie miało miejsce stopniowo.
Co zrobić, jeśli podejrzewasz, że konto zostało skompromitowane?
Jeśli zauważysz nieznane logowania, urządzenia, których nie rozpoznajesz, lub podejrzaną aktywność, nie ograniczaj się do zmiany hasła.
Po pierwsze, zamknij wszystkie aktywne sesje dostępne w ustawieniach konta. Następnie zmień hasło, aktywuj MFA, jeśli nie jest już aktywowane, i sprawdź podłączone urządzenia, metody odzyskiwania, ostatnią aktywność oraz ewentualne zmiany w danych konta.
Równocześnie sprawdź urządzenie, z którego się uwierzytelniłeś, i przeprowadź skanowanie zabezpieczeń. Jeśli istnieje podejrzenie infostealera, zmiana haseł na tym samym urządzeniu przed usunięciem zagrożenia może być kontrproduktywna.
Prawdziwe niebezpieczeństwo: cookie uwierzytelniające
Te 52,4 miliarda skradzionych cookie stanowią silny sygnał dotyczący ewolucji rynku przestępczości cybernetycznej, ale liczba ta musi być interpretowana w kontekście. Nie mówimy o 52,4 miliarda ofiar lub zhakowanych kont. Mówimy o rekordach zbieranych z dzienników infostealerów, z których część może zawierać dane sesji niezwykle cenne dla atakujących.
Kluczowa lekcja dla użytkowników brzmi: bezpieczeństwo konta nie kończy się w momencie, gdy hasło i MFA zostały zweryfikowane. Uwierzytelniona sesja również musi być chroniona.
Dla firm i deweloperów kierunek jest jeszcze jaśniejszy: krótsze sesje, szybkie unieważnienie, ciągła ocena ryzyka, uwierzytelnienie powiązane z urządzeniem oraz technologie takie jak DBSC mogą zmniejszyć wpływ kradzieży sesji.
W internecie, w którym przeglądarka przechowuje coraz więcej tożsamości i aktywnych sesji, ciasteczka nie są już tylko małymi plikami ułatwiającymi przeglądanie. Dla cyberprzestępców niektóre z nich stały się bezpośrednim celem przejęcia kont.
Źródło: technewsworld.com
