Infostealery kradną pliki cookie na ogromną skalę
Badanie NordVPN pokazuje, że przeglądarkowe pliki cookie stały się jednym z głównych celów złośliwego oprogramowania typu infostealer. W ciągu jednego roku – od 9 czerwca 2025 do 8 czerwca 2026 – badacze zidentyfikowali 52 389 324 619 skradzionych plików cookie w historii danych infostealerów.
Spośród wszystkich typów danych zawartych w zbiorze to właśnie pliki cookie pojawiały się najczęściej. Ten sam zbiór zawierał 6,75 miliarda wpisów autouzupełniania, 2,17 miliarda plików, 1,55 miliarda rekordów danych logowania, 607,9 miliona haseł, 341,4 miliona unikalnych adresów e-mail ofiar oraz 1,09 miliona kart płatniczych. Łącznie infostealery zebrały ponad 4,6 razy więcej zapisów plików cookie niż wszystkich pozostałych wymienionych kategorii razem wziętych.
Skala zjawiska tłumaczy, dlaczego pliki cookie stały się tak pożądanym celem. Część z nich pomaga witrynom zapamiętać preferencje użytkownika lub utrzymać aktywne logowanie, inne służą do reklamy, śledzenia lub analityki. Gdy infostealer zbiera pliki cookie z zainfekowanego urządzenia, może ujawnić, co robisz w sieci, pomóc przestępcom zbudować Twój profil – a w przypadku sesyjnych plików cookie – umożliwić atakującym próbę przejęcia aktywnej sesji logowania.
Infostealery najczęściej trafiają na urządzenia przez niebezpieczne pliki do pobrania, fałszywe aktualizacje oprogramowania, złośliwe reklamy, linki phishingowe, pirackie aplikacje, cheaty do gier lub zainfekowane załączniki w wiadomościach e-mail. Serwisy wymieniane w tym badaniu, takie jak Netflix, YouTube, Twitch czy Google, nie są źródłem złośliwego oprogramowania. To przykłady kont, które mogą zostać naruszone po tym, jak infostealer zbierze dane z przeglądarki zainfekowanego urządzenia.
Reklamowe i śledzące pliki cookie kradzione najczęściej
Reklamowe i śledzące pliki cookie stanowiły największą część skradzionych plików cookie w badaniu. Choć nie dają atakującym bezpośredniego dostępu do konta, mogą ujawniać informacje o zachowaniu, zainteresowaniach i wzorcach przeglądania użytkownika.
Śledzenie odbywa się za pomocą kilku rodzajów plików cookie, których możesz nie znać:
- Pliki cookie stron trzecich. Umieszczane przez witryny i serwisy inne niż strona, którą którą w danej chwili odwiedzasz – służą głównie do reklamy, retargetingu i śledzenia między witrynami.
- Pliki super cookies. Bardziej trwałe pliki śledzące, które przechowują identyfikatory poza standardowym magazynem plików cookie przeglądarki – trudniejsze do usunięcia niż zwykłe pliki cookie.
- Pliki zombie cookies. Śledzące pliki cookie, które potrafią odtwarzać się po usunięciu przez użytkownika – są wyjątkowo inwazyjne dla prywatności.
To odkrycie pokazuje, że skradzione pliki cookie nie muszą otwierać dostępu do konta, żeby być wartościowe. W takiej skali nawet te służące do reklamy, analityki czy śledzenia mogą pokazać cyberprzestępcom, jakie strony odwiedzasz, czym się interesujesz i jak poruszasz się po sieci.
Trzy typy infostealerów odpowiadają za większość kradzieży
Większość skradzionych plików cookie wiązała się z niewielką liczbą typów infostealerów. Trzy z nich – Lumma-C2, RedLine i Vidar – odpowiadały za prawie cztery na pięć skradzionych plików cookie zidentyfikowanych w badaniu.
Lumma-C2 miał największy udział – 34,5% skradzionych plików cookie, za nim RedLine z 27,2% i Vidar z 18,1%. Łącznie odpowiadały za 79,8% wszystkich skradzionych plików cookie.
Ta koncentracja ma znaczenie, bo kilka powszechnie stosowanych infostealerów może ujawnić ogromne ilości danych z przeglądarek zainfekowanych urządzeń. Narzędzia te są zaprojektowane do zbierania danych, w tym przechowywanych w przeglądarce plików cookie, zapisanych danych logowania, wpisów autouzupełniania, plików i innych informacji przydatnych cyberprzestępcom.
Działania organów ścigania zaburzyły pracę niektórych dużych operacji infostealerów, ale nie wyeliminowały szerszego zagrożenia. Gdy jeden typ malware zostaje osłabiony, inne nadal zbierają dane z przeglądarek. Kradzież plików cookie nie jest więc powiązana z jedną grupą ani kampanią. Nowe lub wciąż aktywne infostealery mogą kontynuować ataki nawet po likwidacji jednej operacji.
Dlaczego skradzione pliki cookie stanowią zagrożenie
Internetowe pliki cookie same w sobie nie są niebezpieczne. Witryny używają ich, by strony działały sprawnie, pamiętały preferencje użytkownika i rozpoznawały go po zalogowaniu. Problem zaczyna się w momencie, gdy pliki cookie zostaną wykradzione z przeglądarki, a atakujący spróbują ich użyć tak, by witryna myślała, że wciąż ma do czynienia z zalogowanym użytkownikiem.
Najbardziej wrażliwe są sesyjne pliki cookie, bo to właśnie one potwierdzają witrynie, że użytkownik jest zalogowany. Jeśli atakujący ukradnie aktywny plik cookie dotyczący sesji, może spróbować podszyć się pod użytkownika i uzyskać dostęp do konta bez podawania hasła. Ten rodzaj ataku nosi nazwę session hijacking, czyli przechwytywanie sesji.
Inne skradzione pliki cookie mogą nie dawać bezpośredniego dostępu do konta, ale wciąż pomagają atakującym dowiedzieć się więcej o danej osobie i uczynić oszustwa bardziej przekonującymi. Gdy pliki cookie znajdują się obok skradzionych danych logowania, wpisów autouzupełniania, plików lub szczegółów urządzenia z tego samego dziennika infostealera, atakujący mogą uzyskać pełniejszy obraz użytkownika danego urządzenia i wykorzystać to do spersonalizowanych wyłudzeń.
Dlatego skala kradzieży plików cookie ma znaczenie. Skradzione hasło to oczywiste zagrożenie, ale skradzione pliki cookie mogą też ujawnić, z jakich serwisów dana osoba korzysta, jak przegląda internet i czy atakujący ma szansę przejąć aktywną sesję.
Kradzież plików cookie to problem globalny
Kradzież plików cookie nie ogranicza się do jednego regionu ani platformy – wystarczy, że urządzenie zostanie zainfekowane, a pliki cookie w jego przeglądarce mogą zostać ujawnione. Badacze NordVPN znaleźli skradzione pliki cookie z ponad 250 krajów i terytoriów, co pokazuje, jak szeroko infostealery potrafią się rozprzestrzeniać.
Pod względem łącznej liczby skradzionych plików cookie na szczycie zestawienia znalazły się Indie z 4,68 mld wpisów, za nimi Brazylia z 2,83 mld, Stany Zjednoczone z 2,43 mld, Indonezja z 2,10 mld i Filipiny z 1,93 mld. W gronie krajów z największą liczbą skradzionych plików cookie znalazły się również Wietnam, Turcja, Pakistan, Meksyk, Francja, Egipt, Tajlandia, Kolumbia, Argentyna i Peru.
Ogólny obraz ulegnie zmianie, gdy wolumen skradzionych plików cookie zestawimy z liczbą ludności. Najwyższy wskaźnik względem populacji odnotował Urugwaj – około 29 skradzionych plików cookie na osobę, za nim Peru z około 23 i Chile z około 22.
Nie oznacza to, że każda osoba w tych krajach została dotknięta problemem. Jedno zainfekowane urządzenie może ujawnić wiele plików cookie, więc dane pokazują skalę zjawiska w stosunku do populacji, nie liczbę indywidualnych ofiar.
Łącznie wyniki pokazują, że kradzież plików cookie jest zarówno powszechna, jak i nierównomiernie rozłożona. Praktyczna zasada jest prosta: jeśli infostealer dostanie się na urządzenie, pliki cookie w przeglądarce mogą zostać ujawnione – bez względu na to, gdzie to urządzenie się znajduje.
W skradzionych wpisach znalazły się konta codziennego użytku
Badanie pokazało też, jak często dane z infostealerów wiążą się z kontami używanymi na co dzień. Wśród skradzionych wpisów logowania najczęściej pojawiało się accounts.google.com – 11,78 mln wpisów, dalej facebook.com z 8,10 mln i login.live.com z 7,85 mln.
W pierwszej dziesiątce znalazły się też inne popularne serwisy: Instagram, Discord, Netflix, Roblox oraz mobilne domeny Facebooka i Instagrama. Zestawienie pokazuje, że infostealery zbierają nie tylko dane powiązane z bankowością, biznesem czy wartościowymi kontami firmowymi, ale też z serwisami, z których korzystasz każdego dnia.
To bardzo ważne, ponieważ konta osobiste są często połączone z innymi obszarami Twojego cyfrowego życia. Skradzione dane logowania mogą ujawnić wiadomości, zapisane dane płatnicze, opcje odzyskiwania konta czy powiązane profile. Gdy skradzione pliki cookie i wpisy dot. logowania pochodzą z tego samego zainfekowanego urządzenia, atakujący mogą mieć więcej niż jeden sposób na przejęcie/naruszenie konta.
Sam antywirus może nie wystarczyć
Badanie wykazało również obecność skradzionych plików cookie z urządzeń, na których było zainstalowane oprogramowanie zabezpieczające. Spośród dzienników infostealerów zawierających informacje o zainstalowanym oprogramowaniu bezpieczeństwa 96,3% wskazywało na Windows Defender, a pozostałe – na komercyjne programy antywirusowe.
Nie oznacza to, że oprogramowanie antywirusowe jest bezużyteczne – pokazuje jedynie, że żadna pojedyncza warstwa zabezpieczeń nie jest w stanie zatrzymać każdej infekcji. Równie ważna jest świadomość, kiedy Twoje dane mogły wpaść w niepowołane ręce, i szybka reakcja: wylogowanie się z kont, zmiana haseł oraz sprawdzenie urządzenia pod kątem złośliwego oprogramowania.
Konta streamingowe i rozrywkowe wyróżniają się w danych pochodzących z alertów
Dane z alertów NordVPN o przejętych sesjach dają ograniczony wgląd w to, jakie serwisy pojawiają się w przypadku wykrycia ujawnionych sesyjnych plików cookie. W wewnętrznej analizie z czerwca 2026 roku serwisy streamingowe i rozrywkowe pojawiały się często wśród dotkniętych urządzeń: Twitch był powiązany z 47 urządzeniami, Netflix z 42, a YouTube z 29. Bing pojawił się na 20 urządzeniach, Reddit – na sześciu.
Próbka ta nie odzwierciedla wszystkich skradzionych plików cookie, wszystkich dotkniętych kont ani szerszego zbioru danych z badania NordVPN. Nie należy jej interpretować jako rankingu najczęściej atakowanych serwisów. Pokazuje jednak, że kradzież sesyjnych plików cookie to zagrożenie nie tylko dla kont bankowych, e-mailowych czy służbowych.
Konta rozrywkowe też mogą być nadużywane, odsprzedawane lub służyć jako punkt wyjścia do szerszego przejęcia konta – zwłaszcza jeśli zawierają zapisane dane płatnicze, współdzielone profile lub wielokrotnie używane hasła.
Jak alert NordVPN o przejętych sesjach pomaga reagować
Alert NordVPN o przejętych sesjach ostrzega Cię, gdy Twoje sesyjne pliki cookie trafią do znanych zbiorów skradzionych danych. Pozwala to szybko zareagować – wylogować się z dotkniętego konta, zmienić hasło i zainicjować nowy sesyjny plik cookie.
Dane wewnętrzne sugerują, że wiele dotkniętych urządzeń przestało generować alerty po powiadomieniu użytkowników, choć analiza używała aktywności alertów jako wskaźnika zastępczego zamiast bezpośredniego śledzenia momentu utworzenia nowego pliku cookie. Spośród 144 urządzeń z odciskiem palca mediana wynosiła dwa alerty na urządzenie. W tej próbce 58 urządzeń wygenerowało tylko jeden alert, a 49 – od dwóch do pięciu.
Alert o przejętych sesjach jest częścią antywirusa nowej generacji NordVPN i skupia się na ujawnionych sesyjnych plikach cookie znalezionych w znanych zbiorach skradzionych danych. Jeśli otrzymasz alert, i tak powinieneś przeskanować urządzenie w poszukiwaniu złośliwego oprogramowania – aktywny infostealer może nadal zbierać nowe pliki cookie.
Co zrobić, gdy Twoje pliki cookie zostały skradzione
Jeśli dowiesz się, że Twoje pliki cookie zostały skradzione, wyloguj się z konta na wszystkich urządzeniach. Wylogowanie zamyka aktywne sesje i sprawia, że skradziony sesyjny plik cookie z mniejszym prawdopodobieństwem będzie nadal działać po stronie atakującego.
Następnie zmień hasło, włącz uwierzytelnianie dwuskładnikowe i sprawdź ostatnią aktywność na koncie, podłączone urządzenia, opcje odzyskiwania konta oraz zapisane dane płatnicze. Jeśli coś wygląda obco – usuń to i zaktualizuj ustawienia bezpieczeństwa.
Na koniec usuń pliki cookie z przeglądarki, przejrzyj ustawienia, by włączyć lub wyłączyć pliki cookie zgodnie ze swoimi preferencjami prywatności, i przeskanuj urządzenie w poszukiwaniu złośliwego oprogramowania.
Metodologia
Badacze NordVPN przeanalizowali historię danych dotyczących plików cookie infostealerów za pomocą platformy NordStellar, aby określić wolumen skradzionych plików cookie, typy złośliwego oprogramowania z nimi powiązane, ich rozkład według krajów oraz wzorce korzystania z plików cookie.
Analizowany okres obejmował prawie cały rok – od 9 czerwca 2025 do 8 czerwca 2026. Wszystkie dane liczbowe z badania to skumulowane liczby wpisów plików cookie z tego przedziału czasowego. Liczba 52 389 324 619 odnosi się do wpisów plików cookie, nie do określonych użytkowników, urządzeń ani infekcji.
Badanie porównało również wpisy plików cookie z innymi typami skradzionych danych zawartymi w szerszym zbiorze, w tym wpisami autouzupełniania, plikami, wpisami dot. danych logowania, hasłami, unikalnymi adresami e-mail ofiar i kartami płatniczymi. Udziały typów złośliwego oprogramowania i krajów zostały obliczone na podstawie łącznej rocznej liczby plików cookie.
Dane o plikach cookie pochodzą z dzienników złośliwego oprogramowania typu infostealer. Badacze ustalali kraj na podstawie metadanych zawartych w tych dziennikach – nie z samych plików cookie. Ponieważ część wpisów nie miała przypisanego kraju, statystyki krajowe obejmują wyłącznie te wpisy, dla których takie dane były dostępne.
Typy złośliwego oprogramowania zostały przypisane na podstawie tagów zawartych już w dziennikach i dopasowanych do plików cookie z tych dzienników. Kategorie plików cookie pogrupowano według słów w nazwie pliku cookie, na przykład nazw zawierających słowo „session". Wyniki dotyczące oprogramowania antywirusowego opierają się na 9 838 326 dziennikach infostealerów, w których odnotowano produkt zabezpieczający. Spośród nich 96,3% wskazywało na Windows Defender, a pozostałe – na komercyjne programy antywirusowe.
Artykuł zawiera też wyniki odrębnej, wewnętrznej analizy z czerwca 2026 roku dotyczącej danych pochodzących z wysłanych alertów NordVPN o przejętych sesjach. Analiza objęła 2057 zagregowanych wierszy alertów odebranych między 17 maja a 10 czerwca 2026 roku, z sygnaturami czasowymi zdarzeń od 4 lutego do 10 czerwca 2026 roku. Do analizy zakwalifikowano 144 unikalne urządzenia z przypisanym odciskiem palca; wpisy bez tej danej zostały pominięte w zestawieniach według urządzeń.
Analiza nie mogła bezpośrednio śledzić momentu utworzenia nowego pliku cookie, ponieważ eksport nie zawierał identyfikatorów plików cookie ani znaczników czasu ich utworzenia. Zamiast tego jako wskaźnik zastępczy dla podjętych działań użyto zakończenia aktywności alertów.
Wyniki odzwierciedlają obserwowane dane infostealerów przeanalizowane za pomocą platformy NordStellar oraz ograniczone wewnętrzne dane pochodzące z alertów o przejętych sesjach. Wyniki te nie stanowią kompletnego obrazu wszystkich plików cookie skradzionych na świecie w tym czasie – nie odzwierciedlają też łącznej liczby dotkniętych użytkowników ani urządzeń i nie pretendują do miana wyczerpującego rankingu skradzionych plików cookie w skali globalnej.
