Крадіжка файлів cookie: як зловмисники входять в акаунти без пароля і MFA
Щоб отримати доступ до чужого банківського рахунку, пошти чи соцмережі, зловмисникам не обовʼязково знати пароль. Достатньо викрасти файл cookie активної сесії — і сайт сприйме їх як власника акаунта, який уже увійшов. Цей тип атаки називають перехопленням сесії (session hijacking).
Головне
Викрадений сесійний файл cookie дає зловмиснику доступ до акаунта без пароля, без сповіщення про вхід і часто в обхід багатофакторної автентифікації.
Файли cookie крадуть інфостилери — шкідливе ПЗ, яке потрапляє на пристрій разом із підозрілими розширеннями, зламаними програмами чи фальшивими оновленнями.
Найпростіший захист — вручну виходити з акаунтів, не зберігати паролі в браузері та стежити за ознаками зараження пристрою.
За даними дослідження NordVPN, з 9 червня 2025 року по 8 червня 2026 року в даних, зібраних інфостилерами, виявили понад 52,4 млрд викрадених файлів cookie. Це в 4,6 раза більше, ніж усіх інших типів викрадених даних разом, — паролів, записів автозаповнення, файлів і платіжних карток.
Файли cookie стали головною мішенню хакерів.
Маріюс Брідіс, технічний директор NordVPN
Ідеться про кількість записів, а не постраждалих: з одного зараженого пристрою зловмисники забирають одразу багато файлів cookie. Найбільшу частку становлять рекламні та трекінгові, однак серед них є й сесійні — саме вони відкривають прямий доступ до чужих акаунтів.
Читайте такожСуперкукі: що це таке, чому вони майже зникли і що прийшло їм на зміну
Як працює сесійний файл cookie
Під час входу на сайт — наприклад, в онлайн-банк — браузер отримує унікальний файл cookie з ідентифікатором сесії. Він зберігається на пристрої й дозволяє переходити між сторінками без повторного введення логіна та пароля. Такий файл називають сесійним, і після виходу з акаунта він втрачає силу.
Проблема в тому, що поки сесія активна, cookie можна викрасти. А активною вона залишається і після завершення роботи — якщо на сайті вибрано опцію «Запамʼятати мене» або акаунт не було закрито належним чином.
Уявіть сесійний файл cookie як цифровий ключ, який уже повернули в замку. Поки ви залишаєтеся в акаунті, саме він тримає двері відчиненими. Якщо хакер викраде активний cookie, він фактично стає вами.
Йому не потрібен пароль, вхід не запускає жодних сповіщень, а багатофакторну автентифікацію (MFA) часто вдається обійти.
Маріюс Брідіс, технічний директор NordVPN
Звідки зловмисники беруть файли cookie
Файли cookie викрадають безпосередньо з пристрою. Здебільшого це наслідок того, що користувач несвідомо завантажив шкідливе ПЗ — так званий інфостилер.
Щойно шкідливе ПЗ потрапляє на пристрій, воно одразу звертається до бази даних браузера, забирає всі активні сесійні файли cookie й надсилає їх хакеру. По суті, зловмисники залазять у цифрову кишеню і витягують ключі, поки власник не дивиться.
Маріюс Брідіс, технічний директор NordVPN
Як зазначають дослідники NordVPN, інфостилери найчастіше потрапляють на пристрої через небезпечні завантаження, фальшиві оновлення програм, шкідливу рекламу, фішингові посилання, зламані застосунки, чити для ігор та заражені вкладення в листах. Майже чотири з пʼяти викрадених cookie (79,8%) повʼязані лише з трьома сімействами шкідливого ПЗ — Lumma-C2, RedLine і Vidar.
Потренуйтеся: гра «Сюрвайрус» від ЄМА
Тема гри: повідомлення й електронні листи зі шкідливими вкладеннями та посиланнями.
Як розпізнати атаку
Зовні нічого не видає крадіжку: це звичайна сесія, під час якої користувач увійшов в акаунт із паролем і, можливо, підтвердив вхід через MFA. Про атаку жертва часто дізнається лише тоді, коли акаунт уже використали.
Наслідки залежать від того, який саме сервіс зламали:
соцмережа або пошта — зловмисники розсилають від імені власника шахрайські повідомлення його контактам;
онлайн-банк — шахраї отримують доступ до рахунку або використовують знайдені дані для схем, у яких видають себе за банк чи іншу організацію;
інтернет-магазин — зловмисники змінюють адресу доставки й оплачують замовлення збереженою карткою.
Сигналом може стати сповіщення від самого сервісу — наприклад, запит на підтвердження зміни даних, якої власник акаунта не ініціював.
Як захиститися
Обережно встановлювати розширення та програми. Саме в них найчастіше ховаються інфостилери.
Стежити за ознаками зараження. Серед тривожних сигналів Маріюс Брідіс називає раптове гальмування пристрою на простих завданнях, надто швидке розряджання батареї, часті збої, а також дивну поведінку браузера: переадресації, спливні вікна чи змінену домашню сторінку.
Не входити в акаунти через незахищений публічний Wi-Fi. Імовірність викрадення cookie через такі мережі невелика, проте обережність не завадить.
Виходити з акаунтів вручну. «Закриття вкладки не завершує сесію, — наголошує Брідіс. — Потрібно вручну вийти з акаунта, щоб анулювати cookie і зробити його марним для злодія».
Перенести паролі з браузера в менеджер паролів. Інфостилери викрадають не лише cookie, а й паролі, збережені в браузері: у вибірці NordVPN їх налічили 607,9 млн.
Регулярно очищати файли cookie. Це зменшує обсяг даних, які можна викрасти, хоча після очищення доведеться заново входити в акаунти.
Не відмовлятися від MFA. Попри можливість обходу, багатофакторна автентифікація все одно захищає краще, ніж сам лише пароль.
Антивірус потрібен, але сам по собі не гарантує захисту. Дослідники NordVPN знаходили викрадені cookie й на пристроях із захисним ПЗ: серед журналів інфостилерів, де воно було зафіксоване, 96,3% припадало на Windows Defender, решта — на комерційні антивіруси.
Якщо є підозра, що пристрій скомпрометовано, варто перевірити його антивірусом, вийти з акаунтів на всіх пристроях (більшість сервісів мають функцію завершення всіх інших сеансів) і змінити паролі. Також варто переглянути історію активності акаунта, список підключених пристроїв, способи відновлення доступу та збережені платіжні методи — і видалити все незнайоме. Про підозрілі платежі слід негайно повідомити банк.
Ця стаття Крадіжка файлів cookie: як зловмисники входять в акаунти без пароля і MFA раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
