In questo articolo Indice dei contenuti 3 sezioni
Per chi ruba dati online le password stanno diventando quasi un dettaglio, perché il vero bottino oggi sono i cookie di sessione, piccoli file che permettono di entrare in un account senza digitare alcuna credenziale. Ad aprile 2023 l’FBI ha chiuso Genesis Market, un mercato del dark web accessibile solo su invito, nell’ambito della cosiddetta “Operation Cookie Monster” condotta dal Dipartimento di Giustizia statunitense insieme alle forze dell’ordine di 17 Paesi. Al suo interno sono saltate fuori 80 milioni di credenziali sottratte da circa 1,5 milioni di dispositivi, compresi proprio quei cookie che consentono ai truffatori di accedere ai profili altrui come se nulla fosse.
Genesis Market non esiste più, ma i pacchetti di cookie trafugati, chiamati stealer log, continuano a essere raccolti e rivenduti in altri angoli della rete. I ricercatori di NordVPN ne hanno contati oltre 52,4 miliardi nei dati degli infostealer tra giugno 2025 e il 2026. C’è però una buona notizia: un cookie rubato smette di funzionare appena le sessioni attive vengono revocate dalle impostazioni dell’account.
Perché le sessioni del browser fanno così gola
Ogni volta che si effettua l’accesso a un servizio, il sito consegna al browser un file di testo con un identificativo unico. Grazie a questo codice la piattaforma riconosce subito l’utente finché resta collegato, evitando di chiedere nome e password a ogni nuova pagina. Questi cookie di sessione hanno una scadenza che va da poche ore a diverse settimane. Il problema nasce quando finiscono nelle mani di qualcun altro, che può sfruttare la sessione già aperta spacciandosi per il legittimo proprietario.
Per riuscirci i criminali usano i malware infostealer, con nomi ormai noti come Lumma, Vidar, StealC, Acreed e Atomic Stealer (AMOS). Si infilano nei dispositivi attraverso siti infetti, software piratato e falsi programmi di installazione, poi spiano in silenzio l’attività raccogliendo password, PIN, dati di compilazione automatica e cookie. Tutto confluisce in uno stealer log spedito direttamente all’attaccante, che può venderlo o usarlo in prima persona. Basta importarlo nel proprio browser per prendere il controllo degli account, arrivando persino a disconnettere la vittima e reimpostarne le password.
La filiera è sorprendentemente organizzata. Russian Market ha di fatto preso il posto di Genesis Market e, secondo gli analisti di DarkOwl, nel solo primo semestre 2025 ha venduto circa 180.000 log. Per raggiungerlo non servono nemmeno Tor o link Onion. Flare Research stima però che il 90% dei log circoli ormai privatamente su Telegram, dove chatbot automatici permettono di fare acquisti come su Amazon, filtrando per Paese, app e livello di privilegi. I prezzi oscillano tra circa 5 e 450 euro a pezzo, a seconda del valore stimato degli account.
Come accorgersi del furto e cosa fare subito
Non esiste un unico archivio che tenga traccia di ogni cookie sottratto, ma qualche verifica è alla portata di tutti. Il metodo più semplice consiste nel controllare dispositivi e posizioni attive nelle impostazioni dei vari account: un luogo o un apparecchio sconosciuto è un campanello d’allarme, anche se con iCloud Private Relay o una VPN il controllo diventa meno affidabile. In ogni caso uscire periodicamente da tutte le sessioni e rifare l’accesso è una buona abitudine. Anche Have I Been Pwned aiuta, perché segnala gratuitamente email e password comparse nelle violazioni. Non monitora i cookie, ma se le credenziali sono trapelate è probabile che lo siano anche le sessioni. I piani Complete e Prime di NordVPN includono invece un monitoraggio in tempo reale delle sessioni dirottate, mentre gli strumenti aziendali arrivano a costare centinaia o migliaia di euro al mese.
Se il furto è confermato, l’ordine delle operazioni conta parecchio. Prima va eseguita una scansione antivirus completa su tutti i dispositivi, eliminando il malware ed eventualmente reinstallando da zero il sistema operativo. Poi tocca alla casella email, il principale punto d’ingresso perché lì arrivano codici di verifica e link di accesso: nuova password, autenticazione a due fattori e disconnessione da tutte le sessioni. Segue l’uscita forzata da ogni account sospetto e il cambio delle password partendo da banche, servizi cloud e gestori di password. Infine conviene rivedere le app collegate, revocando quelle poco chiare, e sostituire eventuali chiavi API.
La contromossa che arriva da Google
Una soluzione strutturale potrebbe arrivare dallo standard aperto Device Bound Session Credentials (DBSC), che lega ogni sessione a una chiave privata custodita dal chip di sicurezza del computer, rendendo inutilizzabili i cookie copiati su un altro dispositivo. Google lo ha già attivato su Chrome per Windows e sugli account Google, mentre su macOS la funzione sta arrivando gradualmente. Il progetto è stato reso open source, ma nessun altro grande fornitore lo supporta ancora, quindi i benefici restano limitati a servizi come Gmail e Docs e ai siti che offrono l’accesso unico tramite account Google, in attesa di una diffusione più ampia.
Fonte: TecnoAndroid