Перехоплення сесії: чому викрадений cookie цінніший за пароль
Викрадений пароль ще мусить пройти форму входу: якщо за акаунтом стоїть багатофакторна автентифікація, двері зазвичай витримують. Викрадений session cookie — річ іншого роду: його видають уже після того, як вхід удався, і все, що акаунт робить далі, автентифікує сам лише cookie. Ця асиметрія пояснює, чому крадіжка сесій тихо стала улюбленим шляхом до захищених акаунтів.
Механіка проста: під час входу сервер передає браузерові session cookie, і відтоді кожен наступний запит автентифікується самим лише cookie. Запис MITRE для техніки T1539, Steal Web Session Cookie, зауважує, що такі cookies можуть лежати «на диску, у пам'яті процесу браузера та в мережевому трафіку», а їхній власник може користуватися застосунком «як автентифікований користувач, узагалі не маючи облікових даних». Споріднена техніка повторного використання, T1550.004, фіксує, що відтворена сесія «дозволяє обійти деякі протоколи багатофакторної автентифікації, адже сесія вже автентифікована», і що cookies «часто залишаються чинними довго».Чому cookie перемагає пароль
Три властивості роблять cookie ціннішим за облікові дані, які він замінив. Він уже за муром MFA: легітимний користувач пред'явив другий фактор, коли сесія створювалася. Його використання не породжує шуму невдалих входів — зловмисник приходить як звичайний автентифікований браузер. І зміна пароля не обов'язково завершує сесію. Виявлення спирається на поведінку, а не на сам запит: MITRE називає повторне використання cookies «з незвичних user agents чи локацій» та «сценарії impossible travel і аномальну поведінку». Державні актори працюють на тому самому шві. MITRE описує, як APT29 під час компрометації SolarWinds крав cookies Chrome, копіюючи каталоги профілів браузера, а згодом використав підроблений cookie duo-sid для обходу MFA; Star Blizzard застосовував cookies сесій, зібрані через проксі типу Evilginx, щоб дістатися до поштових скриньок жертв. Ніщо з цього не вимагало зламати шифр чи подолати фактор — лише копію того, що браузер уже має.AiTM-фреймворки проксують мур входу
Промислова версія — adversary-in-the-middle фреймворк. Фальшива сторінка входу, що лише збирає паролі, гине на другому факторі. AiTM-сайт натомість проксує справжній вхід: жертва автентифікується як завжди, через реле зловмисника, код вводиться, а фреймворк забирає session cookie, виданий у кінці процесу. Microsoft задокументував таку кампанію в липні 2022 року, збудовану на приманках з офісними документами та голосовими повідомленнями; за даними компанії, з вересня 2021 року вона зачепила близько 10 000 організацій — кампанія була розрахована, словами Microsoft, на те, щоб «викрадати паролі, перехоплювати активні сесії (викрадати session cookies) та обходити MFA». Нині модель працює за підпискою. У вересні 2026 року BleepingComputer розповів про BigBear 2.0 — фреймворк phishing-as-a-service на базі Evilginx2, яким MFA було обійдено в 258 організаціях. Цитований там звіт CloudSEK нараховував на панелі оператора 5 137 записів з обліковими даними — зокрема 474 завершені автентифікації з обходом MFA, 1 032 паролі у відкритому вигляді та 4 148 session cookies — прив'язаних до 3 331 унікальних IP-адрес жертв із понад 40 країн. Повтори проходять через резидентні проксі, підібрані під країну жертви, а ін'єктований фреймворком JavaScript заважає підказкам FIDO2/WebAuthn, підштовхуючи жертв до слабших факторів.Логи інфостилерів — це реєстри cookies
Тихіший канал — інфостилери, і їхній ринок помітно розвернувся. Квітневий звіт 2026 року BleepingComputer про стилер, який продається під іменем Storm, описує панель за підпискою — 300 доларів за семиденну демо-версію, до 1 800 доларів на місяць за командний тариф — де головний інструмент не дамп паролів, а панель відновлення cookies, яка заново збирає автентифіковані сесії на боці сервера:Завантажте на панель refresh-токен Google і географічно відповідний SOCKS5-проксі — і панель мовчки відновить автентифіковану сесію жертви.Дослідники за цим звітом зазначили, що крадіжка session cookies витісняє крадіжку паролів як головну мету розробки стилерів. Це змінює сам погляд на лог інфостилера: не стільки список облікових даних для перебору, скільки реєстр уже відчинених дверей, кожна з яких чинна, доки не спливе сесія.
Що насправді знижує ризик
Контрзаходи непоказні — тому їх так часто пропускають. Вони майже дослівно збігаються з тим, що Microsoft і MITRE радять із перших AiTM-хвиль:- Скорочуйте час життя сесій і регулярно видаляйте постійні cookies — митигація MITRE каже саме це. Довгоживучі сесії «запам'ятати мене» — сировина цього ринку.
- Прив'язуйте сесії до контексту пристрою чи мережі: правила умовного доступу, що вимагають керований пристрій, ламають голий повтор cookie, навіть якщо сам cookie справжній.
- Ловіть повтор: перевірки impossible travel і сповіщення про аномалії сесій виловлюють більшість повторних використань cookies.
- Переводьте чутливі акаунти на фішингостійку автентифікацію. Прив'язані до заліза passkeys (FIDO2/WebAuthn) зав'язані на домен, до якого виконується вхід, тож AiTM-проксі не може їх ретранслювати — саме тому фреймворки на кшталт BigBear намагаються такі підказки придушувати.
- Виходьте з акаунта. Завершення сесії на боці сервера робить cookie недійсним; закриття вкладки — ні.