Sessiekaping: waarom een gestolen cookie meer waard is dan een wachtwoord
Een gestolen wachtwoord moet nog door het inlogformulier zien te komen: ligt er multi-factorauthenticatie achter het account, dan houdt de deur meestal stand. Een gestolen sessiecookie is een ander verhaal: die wordt pas uitgegeven nadat het inloggen al is gelukt, en alles wat het account daarna doet wordt enkel door de cookie geauthenticeerd. Die asymmetrie verklaart waarom sessiediefstal stilletjes de voorkeursroute naar beveiligde accounts is geworden.
De mechaniek is eenvoudig: bij het inloggen geeft de server de browser een sessiecookie, en vanaf dat moment wordt elk volgend verzoek enkel door de cookie geauthenticeerd. De MITRE-pagina voor techniek T1539, Steal Web Session Cookie, merkt op dat zulke cookies kunnen liggen “op schijf, in het procesgeheugen van de browser en in netwerkverkeer”, en dat de houder de applicatie kan gebruiken “als geauthenticeerde gebruiker zonder referenties nodig te hebben”. De aanverwante techniek voor hergebruik, T1550.004, legt vast dat een opnieuw afgespeelde sessie “sommige multi-factorauthenticatieprotocollen omzeilt, omdat de sessie al geauthenticeerd is” en dat cookies “vaak gedurende langere tijd geldig blijven”.Waarom een cookie wint van een wachtwoord
Drie eigenschappen maken de cookie waardevoller dan de referentie die hij verving. Hij zit al voorbij de MFA-muur, want de legitieme gebruiker presenteerde de tweede factor toen de sessie werd aangemaakt. Zijn gebruik maakt geen herrie van mislukte logins — de aanvaller verschijnt als een normale, geauthenticeerde browser. En een wachtwoord wijzigen beëindigt de sessie niet noodzakelijk. Detectie leunt op gedrag in plaats van op het verzoek zelf: MITRE noemt hergebruik van cookies “vanaf ongebruikelijke user agents of locaties” en “impossible-travelscenario's en afwijkend gedrag”. Ook staatsactoren werken dezelfde naad. MITRE beschrijft hoe APT29 tijdens de SolarWinds-compromittering Chrome-cookies stal door browserprofielmappen te kopiëren en later een vervalst duo-sid-cookie gebruikte om de MFA te omzeilen, terwijl Star Blizzard sessiecookies gebruikte die via een Evilginx-achtige proxy waren verzameld om bij slachtoffermailboxes te komen. Geen daarvan vereiste een codering te breken of een factor te verslaan — alleen een kopie van iets dat de browser al bezit.AiTM-kits leggen een proxy over de inlogmuur
De industriële versie is de adversary-in-the-middle-kit. Een nep-loginpagina die alleen wachtwoorden oogst, sterft aan de tweede factor. Een AiTM-site proxyt in plaats daarvan de echte login: het slachtoffer authenticeert normaal via de relay van de aanvaller, de code wordt ingevoerd, en de kit snaapt de sessiecookie op die aan het einde van het proces wordt uitgegeven. Microsoft documenteerde in juli 2022 zo'n campagne, gebouwd rond aas met Office-documenten en spraakberichten, die volgens het bedrijf sinds september 2021 zo'n 10.000 organisaties had geraakt — een campagne ontworpen, in Microsofts woorden, om “wachtwoorden te stelen, ingelogde sessies te kapen (sessiecookies te stelen) en MFA te omzeilen”. Het model draait inmiddels op abonnement. In september 2026 berichtte BleepingComputer over BigBear 2.0, een op Evilginx2 gebaseerd phishing-as-a-service-framework waarmee bij 258 organisaties de MFA was omzeild. Een daar aangehaald CloudSEK-rapport telde bij het beheerderspaneel 5.137 referentierecords — waaronder 474 voltooide authenticaties met omzeilde MFA, 1.032 wachtwoorden in platte tekst en 4.148 sessiecookies — gekoppeld aan 3.331 unieke slachtoffer-IP-adressen in meer dan 40 landen. De herspeelingen lopen via residentiële proxies die passen bij het land van elk slachtoffer, en de door de kit geïnjecteerde JavaScript interfereert met FIDO2/WebAuthn-prompts om slachtoffers naar zwakkere factoren te duwen.Stealer-logs zijn cookie-inventarissen
De stillere pijplijn is infostealer-malware, en die markt is zichtbaar gedraaid. BleepingComputers verslag van april 2026 over een stealer die als Storm wordt vermarkt, beschrijft een huurpaneel — 300 dollar voor een demo van zeven dagen, tot 1.800 dollar per maand voor een teamabonnement — waarvan het kernstuk geen wachtwoorddump is maar een cookie-hersteldashboard dat geauthenticeerde sessies serverzijde herbouwt:Voer het paneel een Google-refreshtoken en een geografisch passende SOCKS5-proxy, en het paneel herstelt stilletjes de geauthenticeerde sessie van het slachtoffer.De onderzoekers achter het rapport stelden dat de diefstal van sessiecookies het wachtwoordinstallen aan het verdringen is als hoofddoel van stealer-ontwikkeling. Dat herkadert wat een stealer-log is: minder een lijst referenties om te testen dan een inventaris van deuren die al openstaan, elk geldig tot de sessie verloopt.
Wat het risico echt verkleint
De tegenmaatregelen zijn onspektakulair — mede daarom worden ze zo vaak overgeslagen. Ze sluiten nauw aan op wat Microsoft en MITRE sinds de eerste AiTM-golven aanraden:- Verkort de levensduur van sessies en verwijder persistente cookies regelmatig — de MITRE-mitigatie zegt precies dat. Langlevende “ingelogd blijven”-sessies zijn de grondstof van deze handel.
- Bind sessies aan apparaat- of netwerkcontext: conditional-access-regels die een beheerd apparaat eisen laten het herspelen van een kale cookie falen, ook als de cookie echt is.
- Vang de herspeeling: impossible-travel-controles en alarmen bij sessieafwijkingen betrapen het merendeel van het cookie-hergebruik.
- Zet gevoelige accounts over op phishingbestendige authenticatie. Aan hardware gebonden passkeys (FIDO2/WebAuthn) zitten vast aan het domein waarop wordt ingelogd, dus een AiTM-proxy kan ze niet doorsturen — precies daarom proberen kits als BigBear die prompts te onderdrukken.
- Log uit. Een sessie serverzijde beëindigen maakt de cookie ongeldig; het tabblad sluiten niet.