Infostealer e sessioni rubate: perché un cookie aggira l'autenticazione a due fattori

Un infostealer è un programma che in una sola esecuzione raccoglie dal computer le password salvate, i file dei cookie, i token di sessione, i dati di compilazione automatica e le chiavi dei portafogli cripto, e poi spedisce tutto in un unico archivio. La cosa peggiore di quel bottino non sono le password ma i cookie di sessione: con quelli, entrare in un account non richiede né password né secondo fattore. Qui sotto: perché accade, che aspetto ha nella pratica e quale parte di tutto ciò una VPN non risolve per principio.

Perché un cookie rubato vale più di una password rubata

Quando accedi e confermi il secondo fattore, il servizio consegna al browser un token di sessione: una voce in un cookie che significa «questo browser è già stato verificato». Da lì in poi ogni richiesta porta con sé quel token e non serve ripetere la verifica: è proprio questo il punto, altrimenti ti chiederebbero il codice a ogni pagina.

Da qui la conseguenza. Chi ha copiato il file dei cookie presenta al servizio una verifica già superata. La password non serve: nessuno la chiede. Il secondo fattore non serve: hai risposto tu, qualche ora fa. Cambiare la password da sola non aiuta: non revoca le sessioni emesse se non premi un pulsante a parte.

| Cosa è stato rubato | Cosa serve ancora all'attaccante | Cambiare la password aiuta? | |---|---|---| | Password | il secondo fattore | sì | | Password + accesso agli SMS | nulla | sì | | Cookie di sessione | nulla | solo insieme alla disconnessione da tutti i dispositivi |

Come arriva sul computer

Le vie di consegna sono noiose e si ripetono da anni:

• Build craccate di programmi e giochi. «Attivatore», «repack», «crack»: il canale più di massa.
• Falsi aggiornamenti. Una pagina propone di aggiornare il browser o un codec; il file lo scarichi e lo avvii tu, a mano.
• Allegati e archivi protetti da password. La password nel corpo dell'email non serve a proteggere, ma a impedire che l'antivirus del server di posta ispezioni l'archivio.
• Un comando che ti chiedono di incollare. Ti mostrano una «verifica che non sei un robot» e ti chiedono di eseguire una riga in console. È una normale installazione di software fatta con le tue mani.
• Applicazioni contraffatte. Comprese quelle che si spacciano per VPN note: app VPN false.

Tutte hanno una cosa in comune: il file lo avvii tu. Non serve alcuno zero-day.

Scala: cosa dicono i rapporti e a cosa credere

Secondo i rapporti di settore sugli incidenti, password rubate e cookie di sessione compaiono nella stragrande maggioranza delle intrusioni indagate, e i log degli infostealer vengono venduti come merce a sé: chi usa l'accesso non è chi ha infettato la macchina. Le cifre specifiche divergono di diverse volte fra i rapporti, perché si conta in modo diverso: chi per record nei log, chi per credenziali uniche, chi per incidenti.

Ciò che conviene portarsi via non è una cifra ma la meccanica. Il furto dei dati e l'uso dell'accesso sono separati nel tempo e fra persone diverse. Per questo fra l'infezione e il problema con l'account possono passare settimane — e il nesso non è evidente.

Cosa non fa qui una VPN

Direttamente e senza riserve: un tunnel non ti protegge da un infostealer.

Cifra il canale fra te e il server. Un infostealer lavora sul dispositivo, dove i dati sono già decifrati: legge i file del browser, non intercetta il traffico. Avere la VPN accesa non incide in alcun modo.

Non è un difetto di un servizio particolare, ma il confine di una classe di strumenti. Cosa copre davvero un tunnel e cosa no: la VPN rende anonimi? e quali dati conserva BessyConnect.

Dove una VPN è davvero pertinente accanto a questo tema è su una rete altrui, dove il proprietario del punto di accesso vede il tuo traffico: sicurezza sul Wi-Fi pubblico. Ma quella è un'altra minaccia.

Cosa fare se sospetti un'infezione

L'ordine conta: se prima cambi le password e poi pulisci la macchina, le nuove password se ne vanno per la stessa strada.

1. Scollega il dispositivo dalla rete. I passi successivi da un altro, sicuramente pulito.
2. Dal dispositivo pulito, termina tutte le sessioni. Nelle impostazioni di sicurezza di ogni servizio importante c'è la voce «esci da tutti i dispositivi»: è quella che revoca i cookie rubati. Senza, cambiare la password è inutile.
3. Cambia le password. Comincia dalla posta: attraverso di essa si recupera tutto il resto.
4. Rigenera il secondo fattore. I codici di recupero salvati sulla macchina infetta considerali noti.
5. Controlla la posta per regole di inoltro estranee. Trucco frequente: una copia della posta in arrivo va all'attaccante e tu non vedi le email di recupero.
6. Reinstalla il sistema. Per gli stealer «pulire con l'antivirus» è inaffidabile: una parte persiste all'avvio e si ripristina.
7. Verifica il tuo indirizzo email nei database delle fughe. Cosa fare dopo: le tue password sono trapelate.

Cosa riduce il rischio in anticipo

• Non eseguire software pirata su un dispositivo dove sei autenticato su account importanti. Se proprio serve, una macchina separata o virtuale.
• Non salvare le password nel browser. Un gestore con password principale non consegna il database a una semplice lettura della cartella del profilo.
• Chiave hardware o passkey al posto del codice. I metodi resistenti al phishing non si inoltrano e non si leggono da sopra la spalla.
• Termina regolarmente le sessioni superflue. Ogni pochi mesi, «esci da tutti i dispositivi» in posta e messaggistica.
• Non incollare mai in console comandi presi da guide su internet senza capire cosa facciano. Non esiste alcuna «verifica che non sei un robot» che giri in un terminale.

Domande frequenti

La VPN protegge dagli infostealer? No. Il tunnel cifra il canale, mentre lo stealer legge dati già decifrati sul tuo dispositivo. Sono livelli diversi e avere la VPN accesa non incide sull'infezione.

Perché l'autenticazione a due fattori non ha aiutato? Perché è stato rubato un cookie di sessione, non una password. Significa «verifica già superata», quindi il secondo fattore non viene richiesto di nuovo.

Basta cambiare la password? No, se sono stati rubati i cookie. Occorre terminare separatamente tutte le sessioni attive: nella maggior parte dei servizi è un pulsante a sé nelle impostazioni di sicurezza.

Come capisco se c'è stato uno stealer? Di solito non ci sono segni diretti. Indiretti: accessi da dispositivi sconosciuti nella cronologia di sicurezza, nuove regole di inoltro nella posta, notifiche di accesso per login che non hai fatto.

L'antivirus aiuta? In parte. I campioni recenti eludono il rilevamento e alcuni persistono nel sistema. Con un'infezione confermata, la via affidabile è reinstallare il sistema e revocare tutte le sessioni.

Articoli correlati

Fughe DNS: cosa sono e come verificare la VPN

Cos'è una fuga DNS e come fare un dns leak test con la VPN attiva. Impara a verificare la VPN e a chiudere le fughe. BessyConnect, VPN privata senza fughe. Altro

Sicurezza Wi-Fi pubblico: perché serve una VPN

Perché il Wi-Fi pubblico di bar, aeroporti e hotel mette a rischio i tuoi dati e come la VPN BessyConnect (VLESS+Reality) protegge il traffico. Altro

Una VPN conserva i log? Cosa vede il tuo provider

Una VPN conserva i log e cosa vede il tuo provider internet? Privacy e anonimato spiegati con onestà. BessyConnect su VLESS+Reality non tiene log. Altro