I cookie del browser sono la nuova miniera d’oro degli hacker (e no, non parliamo di quelli al cioccolato)

Mettete via il blocco note con le password scritte incollato sotto la tastiera, perché ai criminali informatici di indovinare la vostra stringa di caratteri non frega più nulla. Secondo una ricerca fresca fresca di NordVPN, la nuova frontiera del crimine digitale si chiama furto di cookie: parliamo di una cifra record pari a 52,4 miliardi di cookie rubati in un solo anno tramite i famigerati infostealer.

Per dare l’idea della portata, i cookie del browser sono apparsi nei dataset dei malintenzionati 4,6 volte più spesso rispetto a qualsiasi altro dato sottratto (sì, comprese password, file personali e carte di credito). La pacchia è finita: i ladri digitali hanno trovato il pass VIP definitivo.

Ciao ciao password: cos’è il session hijacking?

Perché perdere tempo a indovinare password impossibili come Password123! quando puoi semplicemente rubare il passpartout che hai già usato per entrare?

È il magico (e inquietante) mondo del session hijacking (furto di sessione). In pratica, l’hacker si fotte il cookie di sessione ancora attivo sul vostro browser e si spaccia per voi davanti al server. Risultato? Entra nel vostro account senza dover digitare mezza lettera di password, saltando a piè pari l’autenticazione a due fattori come un ninja. Come spiega Marijus Briedis, CTO di NordVPN: “Non si tratta più semplicemente di forzare una password, ma di rubare la chiave digitale già inserita e girata nella serratura”.

Nel mirino ci finisce la vostra vita digitale (e le serie TV)

Se pensate che gli hacker vogliano solo svuotarvi il conto in banca, vi state sbagliando di grosso. Nel mirino dei record rubati ci sono soprattutto i servizi che usiamo ogni santo giorno per cazzeggiare, lavorare e intrattenerci:

• In cima alla classifica mondiale c’è Google (11,78 milioni di record), seguita a ruota da Facebook (8,10 milioni) e Microsoft (7,85 milioni).

• Scendendo nel dataset saltano fuori servizi di streaming, social e gaming come Twitch, Netflix, YouTube, Reddit e Bing.

Insomma, i criminali non vogliono solo i vostri soldi: vogliono anche il vostro profilo Instagram per truffare i vostri amici o il vostro account Netflix per mettersi a maratone di serie TV a vostre spese.

E in Italia come siamo messi?

Il fenomeno è globale e ha colpito oltre 250 Paesi. In termini assoluti dominano l’India (4,68 miliardi), il Brasile e gli Stati Uniti, mentre se guardiamo il rapporto per abitante salgono sul podio Uruguay, Perù e Cile.

E l’Italia? Ci piazziamo al 20° posto nel mondo con la bellezza di 574 milioni di cookie finiti nei radar degli infostealer. La beffa più grossa? Oltre il 96% dei dispositivi infettati aveva già un software di sicurezza attivo. Tradotto: gli antivirus tradizionali da soli non bastano più a pararvi il fondoschiena.

Come salvarsi la pelle (digitalmente parlando)

Visto che i malware rubano chiavi già girate nella toppa, la prevenzione non basta: serve la prontezza di riflessi. Tra i consigli pratici per non farsi fregare ci sono:

1. Fare il logout dagli account quando avete finito di usarli.

2. Svuotare regolarmente la cache del browser.

3. Usare strumenti di monitoraggio delle sessioni per invalidare i cookie compromessi prima che i pirati informatici li usino.

Se un cookie viene compromesso, chiudere tutto e rigenerare la sessione è l’unico modo per tagliare le gambe ai furbetti. Nel dubbio, un bel controllo al pc ogni tanto non fa mai male.