Masz silne hasło, włączoną weryfikację dwuskładnikową (2FA), a antywirus nie wykrywa żadnego zagrożenia? To nadal nie daje pełnej ochrony przed przejęciem konta. Przestępca może ominąć logowanie, kradnąc z przeglądarki ciasteczko (tzw. cookie) aktywnej sesji.
Złodziej do przejęcia konta nie potrzebuje hasła ani kodu 2FA
Po poprawnym zalogowaniu strony internetowe zapisują w przeglądarce pliki cookie potwierdzające tożsamość użytkownika. Dzięki nim nie trzeba podawać hasła oraz kodu z maila lub SMS przy każdym otwarciu poczty, serwisu społecznościowego czy panelu bankowego przy włączonej weryfikacji dwuskładnikowej. Problem zaczyna się wtedy, gdy ten cyfrowy identyfikator trafi w niepowołane ręce.
Kradzieżą ciasteczek zajmują się infostealery, czyli złośliwe programy wyszukujące na komputerze hasła, tokeny i dane zapisane przez przeglądarki. Najczęściej ukrywają się w pirackim oprogramowaniu, zmodyfikowanych instalatorach, fałszywych aktualizacjach oraz załącznikach. Po zebraniu danych wysyłają je na serwer przestępców.
Cyberprzestępca importuje skradzione cookie do własnej przeglądarki i otwiera stronę. Serwis widzi ważną, wcześniej uwierzytelnioną sesję, więc nie prosi ani o hasło, ani o drugi składnik. Z tego samego powodu nie pomagają klucze bezpieczeństwa, które chronią moment logowania, ale nie sesję, która została już uruchomiona. Przejęcie konta mimo 2FA staje się nagle banalnie proste.
Samo usunięcie infostealera również nie rozwiązuje sprawy. Wykradzione ciasteczko może nadal działać, choć program antywirusowy informuje, że komputer jest już czysty.
Chrome chce utrudnić kradzież sesji
Google wdraża w Chrome mechanizm Device Bound Session Credentials, czyli DBSC. Łączy on sesję z konkretnym urządzeniem za pomocą klucza przechowywanego sprzętowo, między innymi w module TPM. Przeglądarka musi regularnie udowadniać serwerowi, że nadal ma dostęp do tego klucza. Cookie przeniesione na inny komputer nie przejdzie takiej kontroli.
DBSC jest dostępne dla stron internetowych od Chrome 145, a Google rozpoczęło jego wdrażanie w swoich usługach wraz z Chrome 146 na Windows. Nie jest to jednak ochrona działająca od razu w całej sieci. Każdy serwis internetowy musi samodzielnie wdrożyć jej obsługę, a mechanizm nie zatrzyma napastnika, który nadal ma zdalny dostęp do zainfekowanego komputera.
Gorzej wygląda sytuacja w przeglądarce Mozilla Firefox. Baza ciasteczek tej przeglądarki wciąż może być przechowywana na dysku bez dodatkowego szyfrowania. Funkcja Total Cookie Protection tego nie zmienia, ponieważ ogranicza śledzenie pomiędzy stronami, a nie dostęp złośliwego programu do lokalnych plików.
Zmiana hasła może nie wystarczyć
Po wykryciu infostealera najbezpieczniejszym rozwiązaniem jest ponowna instalacja systemu. Dopiero na oczyszczonym urządzeniu należy zmienić hasła i ręcznie zakończyć wszystkie aktywne sesje. Odwrócenie tej kolejności może sprawić, że malware natychmiast przechwyci nowe dane logowania poprzez kradzież ciasteczka sesyjnego.
W ustawieniach kont Google, Microsoftu i Apple można sprawdzić listę zalogowanych urządzeń oraz usunąć te, których nie rozpoznajemy. Ten krok jest konieczny, ponieważ zmiana hasła nie zawsze unieważnia wszystkie wydane wcześniej ciasteczka.
Najlepszą ochroną pozostaje niedopuszczenie infostealera do komputera: rezygnacja z potencjalnie niebezpiecznego pirackiego oprogramowania, pobieranie instalatorów z oficjalnych witryn i ostrożność wobec załączników. Weryfikacja dwuskładnikowa nadal jest potrzebna, ale nie stanowi magicznej tarczy chroniącej przed każdym sposobem przejęcia konta.