Cookies: 52,4 miliardi di cookie rubati in un solo anno, lo rivela la nostra ricerca

Gli infostealer raccolgono cookie su vasta scala

Secondo una ricerca di NordVPN i cookie del browser sono diventati uno dei bersagli principali dei malware di tipo infostealer. In un anno di monitoraggio, dal 9 giugno 2025 all'8 giugno 2026, i ricercatori hanno individuato 52.389.324.619 cookie sottratti all'interno dei dati storici degli infostealer.

Tra le diverse categorie di dati rubati presenti nel dataset, i cookie sono risultati i più frequenti in termini di numero di record. Lo stesso archivio conteneva 6,75 miliardi di voci di compilazione automatica, 2,17 miliardi di file, 1,55 miliardi di record di credenziali, 607,9 milioni di password, 341,4 milioni di indirizzi email unici delle vittime e 1,09 milioni di carte di pagamento. In totale, gli infostealer hanno raccolto oltre 4,6 volte più cookie rispetto a tutte le altre tipologie messe insieme.

Numeri di questa portata spiegano perché i cookie del browser siano diventati una preda tanto ambita. Alcuni cookie servono ai siti web per ricordare le tue preferenze o mantenerti connesso, altri vengono impiegati per scopi pubblicitari, per tracciamento o analisi statistiche. Quando gli infostealer li sottraggono da un dispositivo infetto, possono rivelare ciò che fai online, permettere ai criminali di ricostruire un profilo dei tuoi interessi e, nel caso dei cookie di sessione, dare agli aggressori la possibilità di impossessarsi di un accesso ancora attivo.

Nella maggior parte dei casi, un infostealer si contrae tramite download poco sicuri, falsi aggiornamenti software, annunci malevoli, link di phishing, app craccate, cheat per videogiochi o allegati email infetti. I servizi citati in questa ricerca, come Netflix, YouTube, Twitch o Google, non sono fonti di malware: sono semplicemente esempi di account che possono risultare esposti una volta che i dati del browser di un dispositivo infetto vengono raccolti.

I cookie pubblicitari e di tracciamento fanno più gola

I cookie pubblicitari e di tracciamento hanno rappresentato la fetta più consistente dei cookie sottratti analizzati nella ricerca. Anche se non consentono agli aggressori di accedere direttamente a un account, questi cookie possono comunque rivelare molto sul tuo comportamento online, sui tuoi interessi e sulle tue abitudini di navigazione.

Il tracciamento, del resto, può passare attraverso diversi tipi di cookie che spesso non conosciamo:

• Cookie di terze parti. Vengono installati non dal sito che stai visitando, ma da altri siti o servizi, e servono in genere per pubblicità, retargeting e tracciamento tra siti diversi.
• Super cookie. Sono file di tracciamento particolarmente persistenti, capaci di conservare gli identificatori al di fuori del consueto spazio di archiviazione del browser: proprio per questo risultano molto più difficili da eliminare rispetto ai cookie tradizionali.
• Zombie cookie. Sono cookie di tracciamento in grado di rigenerarsi anche dopo che l'utente li ha cancellati, il che li rende tra i più invasivi in assoluto in termini di privacy.

Questo dato, in fondo, dimostra una cosa importante: perché un cookie rubato abbia valore non è necessario che sblocchi un account. Su una scala di queste dimensioni, persino i cookie destinati a pubblicità, analisi e tracciamento possono rivelare ai criminali informatici quali siti visitiamo, cosa ci interessa e come ci muoviamo in rete.

Tre famiglie di infostealer dietro la maggior parte dei furti

La maggior parte dei cookie rubati era riconducibile a un numero ristretto di famiglie di infostealer. Tre di esse, Lumma-C2, RedLine e Vidar, hanno totalizzato da sole quasi quattro cookie sottratti su cinque tra quelli individuati nella ricerca.

A guidare la classifica è Lumma-C2 con il 34,5% dei cookie rubati, seguita da RedLine con il 27,2% e da Vidar con il 18,1%. Nel complesso, queste tre famiglie da sole coprono il 79,8% del totale.

Questa concentrazione non è un dettaglio da poco: significa che bastano pochi infostealer particolarmente diffusi per esporre enormi quantità di dati di navigazione prelevati dai dispositivi infetti. Si tratta di strumenti creati apposta per sottrarre informazioni: cookie salvati nel browser, credenziali memorizzate, voci di compilazione automatica, file e qualsiasi altro dato possa fare gola ai criminali informatici.

Le operazioni condotte dalle forze dell'ordine hanno smantellato alcune delle campagne di infostealer più rilevanti, ma non hanno certo cancellato la minaccia nel suo complesso. Quando una famiglia di malware viene messa fuori gioco, altre sono pronte a subentrare e a continuare la raccolta di dati. In altre parole, il furto di cookie non dipende da un unico gruppo o da una singola campagna: infostealer nuovi o ancora in attività possono continuare a colpire i dati di navigazione anche dopo che un'operazione è stata neutralizzata.

Perché i cookie rubati sono un rischio per la sicurezza

I cookie di per sé non sono pericolosi. I siti web li utilizzano per far funzionare le pagine, ricordare le preferenze degli utenti e riconoscerli una volta che hanno effettuato l'accesso. Il problema nasce quando vengono sottratti dal browser e gli aggressori provano a riutilizzarli per ingannare un sito, facendogli credere di avere ancora a che fare con l'utente regolarmente connesso.

I cookie di sessione sono i più delicati, perché servono ai siti web per riconoscere che un utente ha già effettuato l'accesso. Se un aggressore riesce a rubarne uno mentre la sessione è attiva, può tentare di spacciarsi per l'utente ed entrare nell'account senza nemmeno digitare la password. È il tipo di attacco noto come dirottamento di sessione (session hijacking).

Altri cookie, pur non consentendo di accedere direttamente a un account, possono comunque fornire ai criminali informazioni preziose sulla vittima e rendere le truffe molto più credibili. Quando finiscono nello stesso log di un infostealer insieme a credenziali sottratte, voci di compilazione automatica, file o dettagli del dispositivo, gli aggressori riescono a ricostruire un ritratto piuttosto nitido della persona che si cela dietro quel dispositivo, sfruttando poi questi dati per confezionare truffe su misura.

È proprio per questo che la portata del furto di cookie non va sottovalutata. Che una password rubata rappresenti un rischio è ormai chiaro a tutti, ma anche i cookie sottratti possono rivelare quali servizi utilizziamo, come navighiamo e se un malintenzionato è nelle condizioni di impossessarsi di una sessione ancora attiva.

Il furto di cookie è un problema globale

Il furto di cookie non conosce confini geografici né si limita a una singola piattaforma: se un dispositivo viene infettato, i cookie memorizzati nel suo browser rischiano di essere esposti. I ricercatori di NordVPN hanno rilevato cookie sottratti in oltre 250 tra paesi e territori, un dato che rende l'idea di quanto i malware infostealer possano diffondersi capillarmente una volta raggiunti i dispositivi delle vittime.

Guardando al volume complessivo di cookie rubati, in testa alla classifica c'è l'India con 4,68 miliardi, seguita dal Brasile con 2,83 miliardi, dagli Stati Uniti con 2,43 miliardi, dall'Indonesia con 2,10 miliardi e dalle Filippine con 1,93 miliardi. Tra i paesi con i numeri più alti figurano anche Vietnam, Turchia, Pakistan, Messico, Francia, Egitto, Thailandia, Colombia, Argentina e Perù. L'Italia si posiziona al 20° posto a livello mondiale, con 574 milioni di cookie individuati nei dataset esaminati.

Il quadro cambia però quando si rapporta il volume dei cookie sottratti alle dimensioni della popolazione. In questo caso il primato spetta all'Uruguay, con circa 29 cookie rubati per abitante, seguito dal Perù con circa 23 e dal Cile con circa 22. Nel nostro Paese, i cookie rubati per abitante sono 9,74.

Questo non vuol dire che ogni cittadino di quei paesi sia stato colpito. Un solo dispositivo infetto può infatti esporre moltissimi cookie: il dato riflette quindi la portata del fenomeno in rapporto alla popolazione, non il numero effettivo di vittime.

Nel loro insieme, questi risultati raccontano un furto di cookie tanto diffuso quanto disomogeneo. Il rischio concreto, in fondo, è molto semplice da riassumere: se un infostealer riesce a raggiungere un dispositivo, i cookie salvati nel suo browser possono finire esposti, ovunque quel dispositivo si trovi.

Anche gli account di tutti i giorni finiscono tra i dati rubati

La ricerca ha rivelato anche quanto spesso i dati raccolti dagli infostealer siano collegati agli account online che utilizziamo ogni giorno. Tra i record di accesso sottratti, il più ricorrente è accounts.google.com, con 11,78 milioni di record, seguito da facebook.com con 8,10 milioni e da login.live.com con 7,85 milioni.

Nella top 10 figurano anche molti altri servizi di uso comune: Instagram, Discord, Netflix, Roblox e le versioni mobile di Facebook e Instagram. La classifica dimostra come gli infostealer non si limitino a raccogliere dati legati a conti bancari o ad account aziendali di grande valore, ma prendano di mira anche i servizi che fanno parte della nostra quotidianità.

E questo fa la differenza, perché i nostri account personali sono spesso intrecciati con molte altre aree della vita digitale. Un singolo accesso rubato può spalancare le porte a messaggi privati, dati di pagamento salvati, opzioni di recupero, profili collegati o credenziali riutilizzate su più siti. E quando i cookie e le credenziali sottratte provengono dallo stesso dispositivo infetto, gli aggressori si ritrovano tra le mani più di una strada per servirsi indebitamente dell'account.

L'antivirus, da solo, potrebbe non bastare contro il furto di cookie

La ricerca ha individuato cookie sottratti anche da dispositivi su cui era installato un software di sicurezza. Tra i log degli infostealer che indicavano quale programma di protezione fosse in uso, il 96,3% citava Windows Defender, mentre i restanti facevano riferimento a suite antivirus commerciali.

Questo non significa che gli antivirus siano inutili, tutt'altro. Dimostra però che nessun singolo livello di protezione è in grado di bloccare ogni infezione da infostealer. Serve anche sapere quando i propri dati potrebbero essere finiti in mani sbagliate e reagire in fretta: disconnettendosi dagli account, cambiando le password ed eseguendo una scansione completa del dispositivo alla ricerca di malware.

Streaming e intrattenimento in primo piano tra i dati degli avvisi

I dati raccolti tramite l'avviso di dirottamento di sessione di NordVPN offrono soltanto un'istantanea parziale dei servizi che possono emergere quando vengono rilevati cookie di sessione esposti. In un'analisi interna condotta a giugno 2026, i servizi di streaming e intrattenimento sono comparsi di frequente tra i dispositivi coinvolti: Twitch risultava collegato a 47 dispositivi, Netflix a 42 e YouTube a 29. Bing è emerso su 20 dispositivi, mentre Reddit su sei.

Questo campione non rappresenta la totalità dei cookie rubati, né tutti gli account coinvolti, e nemmeno il più ampio dataset della ricerca di NordVPN: non va quindi letto come una classifica dei servizi più colpiti. Ciò nonostante, è sufficiente a dimostrare che il furto dei cookie di sessione non minaccia soltanto gli account bancari, di posta o di lavoro.

Anche gli account legati all'intrattenimento possono essere sfruttati in modo illecito, rivenduti o usati come trampolino per attacchi più estesi, soprattutto quando custodiscono dati di pagamento salvati, profili condivisi o credenziali utilizzate anche altrove.

Come l'avviso di dirottamento di sessione di NordVPN ti aiuta a intervenire

L'avviso di dirottamento di sessione di NordVPN ti segnala se i tuoi cookie di sessione compaiono negli archivi di dati rubati già noti, così puoi correre subito ai ripari: disconnettendoti dall'account coinvolto, cambiando la password e generando un nuovo cookie di sessione.

I dati interni indicano che molti dispositivi hanno smesso di generare segnalazioni dopo che gli utenti erano stati avvertiti; va però precisato che l'analisi si è basata sull'attività degli avvisi come indicatore indiretto, e non sul monitoraggio diretto del momento in cui veniva creato un nuovo cookie. Sui 144 dispositivi identificati tramite fingerprint, il valore mediano era di due avvisi ciascuno: 58 dispositivi ne hanno generato uno soltanto, mentre 49 ne hanno registrati da due a cinque.

L'avviso di dirottamento di sessione è una delle funzionalità dell'antivirus di nuova generazione di NordVPN e si concentra sui cookie di sessione esposti individuati negli archivi di dati rubati già noti. Anche dopo aver ricevuto una segnalazione, è comunque consigliabile eseguire una scansione completa del dispositivo alla ricerca di malware: un infostealer ancora attivo, infatti, potrebbe continuare a raccogliere nuovi cookie.

Cosa fare se ti rubano i cookie

Se scopri che i tuoi cookie sono stati sottratti, la prima cosa da fare è disconnetterti dall'account coinvolto su tutti i dispositivi. In questo modo puoi chiudere le sessioni ancora attive e ridurre le probabilità che il cookie di sessione rubato resti utilizzabile dagli aggressori.

Il passo successivo è cambiare la password, attivare l'autenticazione a due fattori e passare in rassegna l'attività recente dell'account, i dispositivi collegati, le opzioni di recupero e i metodi di pagamento salvati. Se noti qualcosa che non riconosci, rimuovilo subito e aggiorna le impostazioni di sicurezza.

Da ultimo, cancella i cookie dal browser, controlla le impostazioni per abilitarli o disabilitarli secondo le tue preferenze in fatto di privacy ed esegui una scansione completa del dispositivo alla ricerca di malware.

Metodologia

I ricercatori di NordVPN hanno analizzato i dati storici sui cookie degli infostealer tramite la piattaforma NordStellar, con l'obiettivo di comprendere il volume dei cookie sottratti, le famiglie di malware coinvolte, la loro distribuzione a livello geografico e i modelli di utilizzo dei cookie stessi.

Il periodo preso in esame copre circa un anno, dal 9 giugno 2025 all'8 giugno 2026. Tutte le cifre riportate in questa ricerca sono conteggi cumulativi dei record di cookie relativi a quell'arco temporale. Il dato principale di 52.389.324.619 si riferisce ai record di cookie, non al numero di utenti, dispositivi o infezioni distinti.

La ricerca ha inoltre messo a confronto i record di cookie con le altre tipologie di dati rubati presenti nel dataset più ampio: voci di compilazione automatica, file, record di credenziali, password, indirizzi email unici delle vittime e carte di pagamento. Le quote relative alle famiglie di malware e ai singoli paesi sono state calcolate sul totale annuale complessivo dei cookie.

I dati sui cookie provengono dai log degli infostealer, e i ricercatori si sono avvalsi dei metadati contenuti in tali log. I risultati su base geografica derivano dalle informazioni sul paese presenti, insieme ai cookie, negli stessi log dei computer infetti, e non dai cookie in sé. Alcuni record non riportavano l'informazione geografica: di conseguenza, nei conteggi per paese sono stati inclusi soltanto i record che disponevano di questo dato.

L'attribuzione alle famiglie di malware si è basata sui tag già presenti nei log, poi associati ai cookie contenuti negli stessi. Le categorie di cookie sono state raggruppate in base alle parole presenti nel nome del cookie, ad esempio quelli che contengono il termine "session". I dati sull'antivirus derivano da 9.838.326 log di infostealer in cui era registrato un prodotto di sicurezza: di questi, il 96,3% indicava Windows Defender, mentre i restanti facevano riferimento a suite antivirus commerciali.

Le informazioni contenute in questo articolo comprendono anche una distinta analisi interna, condotta a giugno 2026, sui dati dell'avviso di dirottamento di sessione di NordVPN. Tale analisi ha riguardato 2.057 righe di avvisi aggregati, ricevute tra il 17 maggio e il 10 giugno 2026, con timestamp degli eventi compresi tra il 4 febbraio e il 10 giugno 2026. Sono stati presi in considerazione 144 dispositivi distinti identificati tramite fingerprint, mentre le righe prive di un fingerprint del dispositivo sono state escluse dall'analisi per singolo dispositivo.

L'analisi non ha potuto stabilire con precisione il momento in cui veniva creato un nuovo cookie, poiché l'esportazione dei dati non conteneva né gli identificatori né i timestamp di creazione dei cookie. Per questo motivo si è ricorsi alla fine dell'attività degli avvisi come indicatore indiretto dell'intervento dell'utente.

I risultati riflettono i dati sugli infostealer osservati tramite la piattaforma NordStellar e le informazioni, di portata limitata, ricavate dall'analisi interna dell'avviso di dirottamento di sessione. Non vanno pertanto interpretati come un conteggio completo di tutti i cookie rubati a livello mondiale nel periodo considerato, né come il numero effettivo di utenti o dispositivi distinti colpiti, né come una classifica di tutti i cookie sottratti nel mondo.