Session cookie (kradzież sesji)
Session cookie to plik (albo zestaw plików), którym serwis rozpoznaje już zalogowanego użytkownika. Po poprawnym logowaniu serwer wydaje przeglądarce identyfikator sesji. Dzięki niemu nie pytasz o hasło przy każdym kliknięciu. To wygoda. Po kradzieży ta sama wygoda staje się skrótem do cudzego konta.
Kradzież sesji (session hijacking, cookie theft) w praktyce threat intelligence często łączy się z infostealerami. Malware zbiera cookie z dysku i wysyła je w logu. Napastnik wczytuje je u siebie. Jeśli usługa nie wiąże sesji twardo z urządzeniem albo nie unieważnia jej szybko, dostaje dostęp bez znajomości hasła i bez kodu z aplikacji 2FA.
Dlaczego to omija “mam 2FA”
Dwuskładnikowe uwierzytelnianie chroni moment logowania. Sesja żyje później. Jeśli cookie reprezentuje już zakończone uwierzytelnienie, drugi składnik nie odpytuje się przy każdym requestcie. Stąd wrażenie, że “miałem 2FA, a i tak weszli”. Mieli. Weszli po sesji, nie po haśle.
Nie każda usługa jest równie podatna. Część banków i paneli wiąże sesję z fingerprintem, skraca czas życia cookie, wymaga ponownego potwierdzenia przy wrażliwych operacjach. Część serwisów konsumenckich trzyma długie sesje “zapamiętaj mnie”, bo konwersja jest ważniejsza niż rygor. Różnica jest produktowa, nie magiczna.
Skąd biorą się skradzione cookie
Najczęstszy wektor w raportach z ostatnich lat to właśnie stealer na stacji ofiary. Inne ścieżki (XSS, przejęcie ruchu, złośliwe rozszerzenie) też istnieją, ale w codziennym obiegu logów dominuje kradzież z lokalnego magazynu przeglądarki. Szerszy kontekst: Infostealery. Logi po infekcji.
Ważny detal obronny: samo wylogowanie na jednym urządzeniu czasem nie kasuje wszystkich sesji po stronie serwera. Lepiej szukać opcji “wyloguj wszędzie”, rotacji haseł i unieważnienia tokenów. Przy podejrzeniu kompromisu zakładaj, że cookie już wyszły.
Co robić po podejrzeniu kradzieży
Z czystego urządzenia: zmień hasło, unieważnij sesje, sprawdź listę urządzeń i aplikacji OAuth, przejrzyj reguły przekierowań w poczcie, włącz klucz sprzętowy tam, gdzie się da. Potem dopiero wracaj na podejrzaną stację, jeśli w ogóle. Skan malware bez rotacji sesji zostawia napastnikowi ważny token.
W firmie dodaj rotację tokenów API, przegląd reguł poczty i alertów nietypowych logowań. Jedno skradzione cookie do panelu administracyjnego bywa droższe niż wyciek hasła do prywatnego maila. Threat model powinien to uwzględniać zanim kupisz kolejny gadget.
Dla dziennikarza albo kogoś chroniącego źródła problem sesji łączy się z szerszym opsec: osobne profile, krótsze sesje, świadomość, że “zalogowany raz” to stan trwający godzinami albo dniami. Patrz ochrona źródła.
Czego tu nie ma
Nie ma gotowca “jak wstrzyknąć cookie” ani checklisty pod atak. Jest mechanizm, bo bez niego nie da się czytać alertów o stealerach i raportów o przejęciach kont.