Chi fruga tra i tuoi cookie? Una ricerca rivela i rischi nascosti

Cosa sono i cookie

Ogni volta che navighi online, ti sarà capitato di vedere il solito banner: “Accetti i cookie?”. E come molti, probabilmente clicchi su “Accetta tutto” senza pensarci troppo, solo per proseguire senza interruzioni. Ma sai esattamente cosa hai accettato? Sai cosa sono i cookie?

I cookie web – o semplicemente cookie – sono piccoli file di testo salvati sul tuo dispositivo dai siti che visiti. Contengono informazioni sulle tue abitudini di navigazione e sulle tue preferenze, e servono per rendere la tua esperienza online più fluida e personalizzata. Ad esempio, consentono di restare connessi a un sito anche dopo averlo chiuso o memorizzano cosa avevi lasciato nel carrello. Tuttavia, alcuni cookie possono tracciare la tua attività con lo scopo di creare un profilo dettagliato per fini pubblicitari, motivo per cui alcune persone si preoccupano della loro privacy.

Non tutti i cookie sono uguali. Alcuni sono utili e quasi indispensabili per la navigazione quotidiana, altri possono rappresentare una potenziale minaccia. Ecco una panoramica dei principali tipi di cookie utilizzati sul web.

• Cookie di prima parte: sono creati direttamente dal sito che stai visitando. Servono a migliorare l’esperienza utente, ad esempio ricordando le credenziali di accesso, le preferenze linguistiche o le impostazioni del sito. In genere, i cookie di prima parte sono considerati meno invasivi, ma non sono esenti da rischi: qualora contengano dati sensibili come ID di sessione o token di autenticazione e finissero nelle mani sbagliate, potrebbero consentire accessi non autorizzati ad account personali o reti aziendali.
• Cookie di terze parti: sono installati da domini diversi da quello che stai visitando, spesso da inserzionisti pubblicitari o servizi di analisi. Lo scopo principale dei cookie di terze parti è tracciare il comportamento dell’utente su più siti: su che link clicca, quali prodotti visualizza, quanto tempo resta su una pagina, ecc.
• Super cookie: sono forme avanzate di tracciamento, progettate per essere molto più resistenti alla cancellazione. A differenza dei cookie standard, possono essere archiviati in aree meno accessibili del browser, come il local storage HTML5, il Flash storage o attraverso tecniche come ETags e HSTS. Alcuni super cookie vengono persino inseriti direttamente dal fornitore internet, tracciando la tua attività a livello di rete. Poiché sono memorizzati in luoghi insoliti o aggiunti tramite la manipolazione al livello di rete, i super cookie possono riapparire anche dopo aver cancellato i cookie su un browser, il che li rende un serio rischio per la sicurezza.
• Cookie zombie: come suggerisce il nome, “risorgono” dopo essere stati cancellati. Vengono ricreati automaticamente grazie a copie di backup conservate in altre parti del sistema, rendendoli particolarmente difficili da eliminare del tutto. I cookie zombie sono una delle forme più aggressive di tracciamento, e rappresentano un grave rischio per la privacy degli utenti.

La ricerca svela il lato oscuro dei cookie web

Molti cookie sono innocui e utili, ma nelle mani sbagliate possono trasformarsi in strumenti di tracciamento estremamente invasivi. Anche un piccolo frammento può bastare per ricostruire una dettagliata impronta digitale dell’utente. Accettare i cookie senza pensarci troppo, quindi, può essere un’abitudine più rischiosa di quanto si creda.

La nostra ultima indagine lo conferma. A un anno dalla nostra precedente ricerca, abbiamo collaborato ancora una volta con i ricercatori di NordStellar, piattaforma di gestione dell'esposizione alle minacce, che hannpo analizzato un nuovo set di oltre 93,7 miliardi di cookie messi in vendita su forum del dark web e marketplace su Telegram. Lo studio ha esaminato l’origine di questi cookie, il tipo di informazioni contenute, se fossero attivi e in che modo vengono sfruttati dai criminali informatici.

È fondamentale chiarire che né NordVPN né i suoi partner di ricerca hanno acquistato cookie rubati, né avuto accesso diretto al loro contenuto. L’analisi si è basata esclusivamente sui dati disponibili negli elenchi di vendita dei cookie, garantendo la privacy e la sicurezza degli utenti internet durante la redazione del report.

Come vengono rubati i cookie web

I cookie possono diventare un bersaglio prezioso per i criminali informatici. Nel nostro studio, i ricercatori hanno scoperto che la quasi totalità dei cookie rubati è stata sottratta tramite infostealer, trojan e keylogger: malware progettati per raccogliere dati sensibili come credenziali di accesso, cookie di sessione, password salvate e portafogli digitali. Seconda la nostra ricerca, ecco alcuni degli strumenti più comuni utilizzati per rubare i cookie web:

• RedLine è tra i keylogger e infostealer più utilizzati, pubblicizzato come malware-as-a-service. Redline Stealer è responsabile della maggior parte dei cookie rubati nel nostro dataset, quasi 42 miliardi. Tuttavia, solo il 6,2% era ancora attivo, il che significa che la durata dei dati rubati è relativamente breve.
• Vidar, anche questo un malware-as-a-service con configurazioni specifiche progettate per colpire determinati tipi di dati. Ha raccolto circa 10,5 miliardi di cookie, con un 7,2% ancora valido.
• LummaC2 è uno stealer offerto come servizio ai criminali informatici. È più recente, ma sta crescendo rapidamente in termini di utilizzo. È responsabile di oltre 8,8 miliardi di cookie rubati, di cui il 6,5% ancora attivi.
• CryptBot è un infostealer che prende di mira principalmente i sistemi operativi Windows. Sebbene abbia raccolto solo 1,4 miliardi di cookie, l'83,4% di essi era ancora attivo, rendendo CryptBot il malware più efficace tra quelli analizzati.

Questi strumenti malware sono facili da reperire, semplici da usare e accessibili a chiunque. Spesso si nascondono in software pirata o download apparentemente innocui. Una volta installati, analizzano la memoria del browser, estraggono i cookie e li inviano a server command-and-control (C2). I dati rubati possono finire in vendita su forum nel dark web, anche a pochi minuti dal furto.

Cosa contengono i cookie?

Molto. Quando i criminali informatici vendono i cookie rubati, spesso li contrassegnano con parole chiave per indicare il tipo di dati di cui sono entrati in possesso. Alcune delle parole chiave più comuni erano “ID” (18 miliardi), seguita da “sessione” (1,2 miliardi). Un numero significativo di cookie rubati è stato etichettato con le parole chiave “auth” ovvero autenticazione (272,9 milioni) e “login” (61,2 milioni). Questi tag suggeriscono che i cookie sono collegati ad account utente specifici, il che significa che potrebbero essere riutilizzati per dirottare sessioni attive senza il bisogno di password. Ciò è particolarmente preoccupante, considerando che dei 93,7 miliardi di cookie rubati analizzati, 15,6 miliardi erano ancora attivi.

Ma non è solo l'accesso all'account a essere in pericolo. Alcuni di questi cookie contengono anche informazioni personali, come il nome dell'utente, l'indirizzo email, il Paese e la città, nonché il sesso, la data di nascita o persino l'indirizzo fisico. Questi dettagli sono altrettanto pericolosi perché potrebbero consentire ai criminali di creare attacchi di ingegneria sociale personalizzati e, nel peggiore dei casi, di rubare l'identità degli utenti. E quando dettagli come la tua posizione o la tua data di nascita sono disponibili, non si tratta solo di un rischio per la privacy, ma anche di una minaccia alla sicurezza personale.

Da dove provengono i cookie?

I ricercatori hanno anche esaminato più da vicino la provenienza dei cookie rubati, analizzando tre fattori principali: la piattaforma da cui sono stati raccolti, il Paese di origine e il sistema operativo.

Piattaforme

Per quanto riguarda le piattaforme, non sorprende che siano i grandi nomi a dominare. I cookie associati ai servizi Google costituiscono la parte più consistente del set di dati: oltre 4,5 miliardi di cookie collegati a Gmail, Google Drive e altri servizi Google. YouTube e Microsoft hanno registrato ciascuno oltre 1 miliardo di cookie.

Le piattaforme popolari sono obiettivi appetibili perché consentono di raccogliere più informazioni. Inoltre, gli account Google e Microsoft sono spesso utilizzati per l'autenticazione a più fattori. Rubare un cookie di sessione Google o Microsoft potrebbe consentire ai criminali informatici di accedere a email, file, calendari e persino account collegati, senza bisogno di indovinare le password o di attivare l'autenticazione a due fattori.

Paesi

I cookie possono essere rubati in tutto il mondo, e i numeri lo dimostrano. Sebbene molti dei cookie rubati non includessero dati sul Paese dell'utente, quelli che lo facevano erano collegati ad almeno 253 Paesi e territori diversi. Alcuni cookie erano contrassegnati come “sconosciuti”, quindi il numero reale potrebbe essere anche più alto.

Brasile, India, Indonesia e Stati Uniti sono stati tra i Paesi più colpiti. In Europa, la Spagna è in cima alla lista con 1,75 miliardi di cookie rubati, mentre l’Italia è 22esima in classifica con circa 1,23 miliardi di cookie è un tasso di cookie attivi, pari al 7,65%.

Dispositivi

La maggior parte dei cookie analizzati è stata sottratta da dispositivi Windows — un dato prevedibile, considerando che la maggior parte dei malware è progettata proprio per questo sistema operativo. Tuttavia, oltre 13,2 miliardi di cookie provengono da altri sistemi operativi o da fonti non identificate. Questo dimostra che, sebbene gli utenti Windows restino il bersaglio principale, anche chi utilizza altre piattaforme non è al sicuro. Gli attacchi avvengono anche su sistemi alternativi, e abbassare la guardia può esporre chiunque a rischi significativi.

Cosa può fare un hacker con i tuoi cookie?

La verità è che anche i cookie che sembrano innocui possono avere conseguenze gravi, sia per te che per la tua attività. Basta una piccola breccia per aprire la strada ad accessi più estesi: un solo punto d’ingresso può compromettere l’intero sistema. In particolare, i cookie di sessione attivi rappresentano un bersaglio prezioso. Se rubati, permettono agli hacker di bypassare completamente le pagine di login, accedendo direttamente agli account come se fossero l’utente legittimo. Ma i rischi non finiscono qui. I cookie rubati possono anche essere utilizzati per:

• Assumere il controllo dei tuoi account sui social media, della tua posta elettronica o dei tuoi account di shopping online.
• Sostituirsi a te online utilizzando i dati di accesso salvati o le informazioni di compilazione automatica.
• Bypassare l'autenticazione a due fattori se il cookie contrassegna un dispositivo come “affidabile”.
• Lanciare attacchi di phishing mirati utilizzando le tue informazioni personali.
• Muoversi lateralmente all'interno della rete aziendale, soprattutto nelle organizzazioni che utilizzano SSO (single sign-on) basato su cookie.
• Accedere a dati finanziari o a quelli dei clienti e ad altre informazioni sensibili.
• Facilitare la diffusione di attacchi ransomware rubando credenziali di accesso o accedendo a permessi di sistema di livello superiore.

Come proteggersi dal furto dei cookie

Proteggersi dal furto dei cookie non significa rinunciare completamente a navigare in internet, ma richiede di adottare alcune importanti abitudini di igiene digitale:

• Pensaci bene prima di accettare tutti i cookie. Il primo passo per proteggere la tua privacy online è capire che non tutti i cookie sono indispensabili. Solo perché puoi accettarli tutti, non significa che dovresti farlo. Quando hai la possibilità, rifiuta i cookie non essenziali, soprattutto quelli di terze parti o utilizzati per il tracciamento del comportamento: sono spesso i più invasivi. La maggior parte dei siti funziona perfettamente anche senza.
• Procurati strumenti di sicurezza aggiuntivi. I malware, compresi gli infostealer, spesso infettano il tuo computer tramite download o link di phishing. Strumenti come Threat Protection Pro™ possono bloccare i siti web dannosi ed eseguire la scansione dei download alla ricerca di malware prima che entrino nel tuo computer.
• Cancella regolarmente i cookie. Non tutti i cookie meritano di essere conservati: elimina quelli non più necessari od obsoleti. Farlo con regolarità, soprattutto dopo aver effettuato l’accesso da computer pubblici o condivisi, è una buona abitudine di sicurezza. Anche se può sembrare un gesto di poco conto, riduce concretamente la finestra di esposizione dei tuoi dati a possibili intercettazioni o accessi non autorizzati.
• Utilizza una connessione più sicura. Inizia evitando le reti Wi-Fi pubbliche o le connessioni non crittografate. Abbonati a una VPN che crittografa il tuo traffico internet, proteggendolo da criminali e ficcanaso.