Porwanie sesji: dlaczego skradziony cookie jest cenniejszy niż hasło
Skradzione hasło musi jeszcze przejść przez formularz logowania: jeśli za kontem stoi uwierzytelnianie wieloskładnikowe, drzwi zwykle wytrzymują. Skradziony cookie sesji to co innego: jest wydawany po tym, jak logowanie już się udało, i wszystko, co konto robi później, uwierzytelnia sam cookie. Ta asymetria wyjaśnia, dlaczego kradzież sesji po cichu stała się preferowaną drogą do chronionych kont.
Mechanika jest prosta: przy logowaniu serwer wręcza przeglądarce cookie sesji i od tej chwili każde kolejne żądanie jest uwierzytelniane samym cookie. Wpis MITRE dla techniki T1539, Steal Web Session Cookie, zauważa, że takie cookies mogą leżeć „na dysku, w pamięci procesu przeglądarki i w ruchu sieciowym”, a ich posiadacz może korzystać z aplikacji „jako uwierzytelniony użytkownik bez potrzeby danych logowania”. Technika siostrzana dla ponownego użycia, T1550.004, odnotowuje, że odtworzona sesja „omija niektóre protokoły uwierzytelniania wieloskładnikowego, ponieważ sesja jest już uwierzytelniona”, a cookies „często pozostają ważne przez dłuższy czas”.Dlaczego cookie wygrywa z hasłem
Trzy właściwości czynią cookie cenniejszym niż dane logowania, które zastąpił. Jest już za murem MFA, bo legalny użytkownik przedstawił drugi składnik, gdy sesja powstawała. Jego użycie nie generuje hałasu nieudanych logowań — atakujący przybywa jako zwykła, uwierzytelniona przeglądarka. I zmiana hasła nie kończy sesji koniecznie. Wykrywanie opiera się na zachowaniu, nie na samym żądaniu: MITRE wskazuje ponowne użycie cookies „z nietypowych user agentów lub lokalizacji” oraz „scenariusze niemożliwej podróży i anomalne zachowanie”. Państwowi aktorzy pracują na tym samym szwie. MITRE odnotowuje, że APT29 podczas kompromitacji SolarWinds kradł cookies Chrome, kopiując katalogi profili przeglądarki, a później użył podrobionego cookie duo-sid do ominięcia MFA; Star Blizzard używał cookies sesji zebranych przez proxy w stylu Evilginx, by dotrzeć do skrzynek ofiar. Nic z tego nie wymagało złamania szyfru ani pokonania składnika — tylko kopii czegoś, co przeglądarka już posiada.Kity AiTM robią proxy muru logowania
Wersja przemysłowa to kit adversary-in-the-middle. Fałszywa strona logowania, która jedynie zbiera hasła, umiera na drugim składniku. Strona AiTM zamiast tego robi proxy prawdziwego logowania: ofiara uwierzytelnia się normalnie przez przekaźnik atakującego, kod zostaje wpisany, a kit zabiera cookie sesji wydany na końcu procesu. Microsoft udokumentował taką kampanię w lipcu 2022, zbudowaną wokół przynęt z dokumentami Office i wiadomościami głosowymi; firma podała, że od września 2021 dotknęła ona około 10 000 organizacji — kampania zaprojektowana, słowami Microsoftu, by „kraść hasła, porywać zalogowane sesje (kraść cookies sesji) i omijać MFA”. Dziś model działa w abonamencie. We wrześniu 2026 BleepingComputer informował o BigBear 2.0 — frameworku phishing-as-a-service opartym na Evilginx2, którym MFA została omijana w 258 organizacjach. Cytowany tam raport CloudSEK szacował panel operatora na 5 137 rekordów z danymi logowania — w tym 474 ukończonych uwierzytelnień z ominiętą MFA, 1 032 hasła w czystym tekście i 4 148 cookies sesji — powiązanych z 3 331 unikalnymi adresami IP ofiar z ponad 40 krajów. Odtworzenia idą przez proxy rezydencjonalne dopasowane do kraju ofiary, a wstrzyknięty przez kit JavaScript miesza w komunikatach FIDO2/WebAuthn, pchając ofiary w stronę słabszych składników.Logi stealerów to inwentarze cookies
Cichszy kanał to malware infostealer, a jego rynek wyraźnie zawrócił. Kwietniowy raport 2026 BleepingComputer o stealerze marketowanym jako Storm opisuje panel na wynajem — 300 dolarów za siedmiodniowe demo, do 1 800 dolarów miesięcznie za wariant zespołowy — którego centrum nie jest zrzut haseł, lecz dashboard odtwarzania cookies, który odbudowuje uwierzytelnione sesje po stronie serwera:Podaj panelowi refresh token Google i geograficznie dopasowany proxy SOCKS5, a panel po cichu odtworzy uwierzytelnioną sesję ofiary.Badacze stojący za raportem zauważyli, że kradzież cookies sesji wypiera kradzież haseł jako główny cel rozwoju stealerów. To przemodelowuje, czym jest log stealera: mniej lista danych logowania do przetestowania, bardziej inwentarz już otwartych drzwi, z których każda działa, dopóki nie wygaśnie sesja.
Co naprawdę zmniejsza ryzyko
Przeciwdziałania są nieefektowne — stąd też bywają tak często pomijane. Pokrywają się z tym, co Microsoft i MITRE zalecają od pierwszych fal AiTM:- Skracaj czas życia sesji i regularnie usuwaj trwałe cookies — mitigacja MITRE mówi dokładnie to. Długotrwałe sesje „zapamiętaj mnie” to surowiec tego handlu.
- Wiąż sesje z kontekstem urządzenia lub sieci: reguły dostępu warunkowego wymagające zarządzanego urządzenia sprawiają, że nagie odtworzenie cookie nie przechodzi nawet wtedy, gdy cookie jest prawdziwy.
- Łap odtworzenie: kontrole impossible travel i alerty o anomaliach sesji łapią większość ponownych użyć cookies.
- Przenoś wrażliwe konta na uwierzytelnianie odporne na phishing. Passkeys związane ze sprzętem (FIDO2/WebAuthn) są przywiązane do domeny, na którą się logujesz, więc proxy AiTM nie może ich przekazywać dalej — właśnie dlatego kity takie jak BigBear próbują te komunikaty tłumić.
- Wylogowuj się. Zakończenie sesji po stronie serwera unieważnia cookie; zamknięcie karty nie.