Угон сессии: почему украденный cookie ценнее украденного пароля
Украденный пароль ещё должен пройти форму входа: если за аккаунтом стоит многофакторная аутентификация, дверь обычно выдерживает. Украденный session cookie — вещь другого рода: он выдаётся после того, как вход уже удался, и всё, что аккаунт делает дальше, аутентифицируется одним лишь cookie. Эта асимметрия объясняет, почему кража сессий тихо стала излюбленным путём к защищённым аккаунтам.
Механика проста: при входе сервер передаёт браузеру session cookie, и с этого момента каждый последующий запрос аутентифицируется одним лишь cookie. Описание приёма T1539 в MITRE, Steal Web Session Cookie, отмечает, что такие cookies могут лежать «на диске, в памяти процесса браузера и в сетевом трафике», а их обладатель может пользоваться приложением «как аутентифицированный пользователь, вообще не имея учётных данных». Сопряжённый приём повторного использования, T1550.004, фиксирует, что воспроизведённая сессия «позволяет обойти некоторые протоколы многофакторной аутентификации, поскольку сессия уже аутентифицирована», и что cookies «часто остаются действительными долгое время».Почему cookie сильнее пароля
Три свойства делают cookie ценнее учётных данных, которые он заменил. Он уже за стеной MFA: легитимный пользователь предъявил второй фактор, когда сессия создавалась. Его использование не порождает шума неудачных входов — атакующий приходит как обычный аутентифицированный браузер. И смена пароля не обязательно завершает сессию. Детектирование опирается на поведение, а не на сам запрос: MITRE называет переиспользование cookies «с необычных user agents или из необычных локаций» и «сценарии невозможного путешествия и аномальное поведение». Государственные актёры работают на том же шве. MITRE описывает, как APT29 во время компрометации SolarWinds крал cookies Chrome, копируя каталоги профилей браузера, а позже использовал подделанный cookie duo-sid для обхода MFA; Star Blizzard применял cookies сессий, собранные через прокси типа Evilginx, чтобы добраться до почтовых ящиков жертв. Ничто из этого не требовало взломать шифр или одолеть фактор — только копию того, что браузер уже хранит.AiTM-фреймворки проксируют стену входа
Промышленная версия — adversary-in-the-middle фреймворк. Фальшивая страница входа, которая лишь собирает пароли, умирает на втором факторе. AiTM-сайт вместо этого проксирует настоящий вход: жертва проходит аутентификацию как обычно, через релей атакующего, код вводится, а фреймворк забирает session cookie, выданный в конце процесса. Microsoft задокументировал такую кампанию в июле 2022 года, построенную на приманках с офисными документами и голосовыми сообщениями; по данным компании, с сентября 2021 года она затронула около 10 000 организаций — кампания была рассчитана, по словам Microsoft, на то, чтобы «красть пароли, перехватывать запущенные сессии (красть session cookies) и обходить MFA». Сейчас модель работает по подписке. В сентябре 2026 года BleepingComputer рассказал о BigBear 2.0 — фреймворке phishing-as-a-service на базе Evilginx2, с помощью которого MFA была обойдена в 258 организациях. Цитируемый там отчёт CloudSEK оценивал панель оператора в 5 137 записей с учётными данными — включая 474 завершённых аутентификации с обходом MFA, 1 032 пароля в открытом виде и 4 148 session cookies — привязанных к 3 331 уникальному IP-адресу жертв более чем из 40 стран. Повторы идут через резидентные прокси, подобранные под страну жертвы, а внедрённый фреймворком JavaScript мешает подсказкам FIDO2/WebAuthn, подталкивая жертв к более слабым факторам.Логи инфостилеров — это реестры cookies
Тихий канал — инфостилеры, и их рынок заметно развернулся. Апрельский отчёт 2026 года BleepingComputer о стилере, продаваемом под именем Storm, описывает панель по подписке — 300 долларов за семидневную демо-версию, до 1 800 долларов в месяц за командный тариф — где главный инструмент не дамп паролей, а панель восстановления cookies, которая заново собирает аутентифицированные сессии на стороне сервера:Загрузите в панель refresh-токен Google и географически подходящий SOCKS5-прокси — и панель молча восстановит аутентифицированную сессию жертвы.Исследователи, стоящие за отчётом, отметили, что кража session cookies вытесняет кражу паролей как главную цель разработки стилеров. Это меняет сам взгляд на лог инфостилера: не столько список учётных данных для перебора, сколько реестр уже открытых дверей, каждая из которых действует, пока не истечёт сессия.
Что реально снижает риск
Контрмеры неброские — отчасти поэтому их так часто пропускают. Они почти дословно совпадают с тем, что Microsoft и MITRE рекомендуют с первых AiTM-волн:- Сокращайте время жизни сессий и регулярно удаляйте постоянные cookies — митигация MITRE дословно об этом. Долгоживущие сессии «запомнить меня» — сырьё этого рынка.
- Привязывайте сессии к контексту устройства или сети: правила условного доступа, требующие управляемое устройство, ломают голый повтор cookie, даже если сам cookie подлинный.
- Ловите повтор: проверки impossible travel и оповещения об аномалиях сессий вылавливают большинство повторных использований cookies.
- Переводите чувствительные аккаунты на фишинго-устойчивую аутентификацию. Привязанные к железу пассключи (FIDO2/WebAuthn) завязаны на домен, к которому выполняется вход, поэтому AiTM-прокси не может их ретранслировать — именно поэтому фреймворки вроде BigBear пытаются подавлять такие подсказки.
- Выходите из аккаунта. Завершение сессии на стороне сервера делает cookie недействительным; закрытие вкладки — нет.