Викрадені сесійні cookie дозволяють зловмисникам увійти до облікового запису без пароля та без двофакторної автентифікації. Саме тому такі дані стають однією з найприбутковіших цілей для кіберзлочинців, які використовують спеціалізовані шкідливі програми, так звані інфостілери.
Cookie — це невеликий файл, який зберігає ідентифікатор сесії в браузері користувача. Коли сайт бачить цей ідентифікатор, він вважає, що людина вже пройшла автентифікацію, і не просить ні пароля, ні коду з телефону. Тому, отримавши чужий cookie, зловмисник фактично отримує готову сесію.
Серед найвідоміших інфостілерів названо Lumma, Vidar, StealC, Acreed та Atomic Stealer. Вони поширюються через сайти з шкідливим кодом, піратське програмне забезпечення та фейкові інсталятори. Після запуску такі програми крадуть збережені паролі, дані автозаповнення та cookie, а потім пакують їх у так званий stealer log, тобто журнал викрадених даних.
Окремий напрям — торгівля цими журналами. Ринок Genesis Market було закрито ФБР у квітні 2023 року в межах операції «Cookie Monster», до якої долучилися правоохоронці з 17 країн. Під час операції виявили 80 млн облікових даних, викрадених із близько 1,5 млн пристроїв.
Проте після закриття Genesis торгівля не зупинилася. За даними NordVPN, між червнем 2025 року та 2026 роком фігурувало понад 52,4 млрд cookie. Наступником Genesis став ринок Russian Market, на якому, за оцінкою, протягом пів року 2025 року з'явилося близько 180 тисяч логів. За даними Flare, близько 90% таких логів тепер продають у Telegram.
Ціна одного логу залежить від цінності цілі і коливається від 5 до 500 доларів. Вартість визначають облікові записи, до яких вдалося отримати доступ, зокрема пошта, банківські або корпоративні сервіси.
Єдиної бази вкрадених cookie не існує, тож перевірити, чи потрапили ваші сесії до таких ринків, складно. Тим не менш, користувачі можуть переглянути активні сесії в налаштуваннях безпеки більшості сервісів і завершити ті, які не впізнають. Варто враховувати, що геолокація сесій може спотворюватися через VPN або Private Relay, тож «чужа» країна в списку не завжди означає злам.
Для перевірки витоків паролів можна скористатися сервісом Have I Been Pwned, однак він відстежує лише скомпрометовані облікові дані, але не cookie. Платний моніторинг даркнету існує, проте корпоративні рішення для нього коштують дорого.
Якщо є підозра, що пристрій заражено, першим кроком має бути антивірусна перевірка, а за можливості — перевстановлення системи. Пріоритет під час відновлення доступу — пошта, далі банківські застосунки, хмарні сервіси та менеджери паролів. Також рекомендовано відкликати сторонні інтеграції та замінити API-ключі.
Щодо перспектив, стандарт DBSC прив'язує сесію до ключа, що зберігається в чипі пристрою, і таким чином унеможливлює використання викраденого cookie на іншому комп'ютері. Google уже впровадила DBSC у Chrome для Windows і поступово переносить його на macOS. Інші великі провайдери поки що стандарт не підтримують, тож наразі захист діє переважно для сервісів Google.
Джерело: highload.tech
23
