Wyniki badań ujawniają ryzyko związane z plikami cookie

Wgryzamy się w internetowe ciasteczka

Wszyscy widzieliśmy wyskakujące okienka. Są na niemal każdej odwiedzanej stronie. Pliki cookie, lub po prostu ciasteczka (ang. cookie – ciastko), stały się tak fundamentalną częścią naszej rutyny przeglądania, że ​​ledwo się zastanawiamy, zanim klikniemy „Akceptuj wszystkie”.

Pliki cookie to małe pliki tekstowe przechowywane na Twoim urządzeniu przez odwiedzane strony internetowe. Zawierają informacje o Twojej aktywności przeglądania i preferencjach oraz pomagają stronom internetowym zapamiętywać szczegóły między sesjami. Pliki cookie sprawiają, że przeglądanie jest wygodniejsze i bardziej spersonalizowane. Na przykład mogą sprawić, że będziesz zalogowany lub zapamiętasz, co znajduje się w Twoim koszyku, nawet jeśli opuścisz stronę i wrócisz później. Jednak pliki cookie mogą również śledzić Twoją aktywność w celach reklamowych, dlatego niektórzy martwią się o swoją prywatność.

Podobnie jak ciasteczka w piekarni, internetowe pliki cookie występują również w wielu smakach:

• Pliki cookie „pierwszej strony”, z angielskiego first-party cookies, są tworzone i przechowywane przez witrynę, którą w danej chwili odwiedzasz. Służą do zapamiętywania danych logowania, preferencji użytkownika i ustawień w danej witrynie. Na przykład, gdy logujesz się do witryny, te pliki cookie mogą przechowywać Twoją nazwę użytkownika, dzięki czemu nie musisz jej ponownie wprowadzać podczas następnej wizyty. Pliki cookie „pierwszej strony” są zwykle uważane za mniej inwazyjne, ale nadal mogą stwarzać poważne ryzyko, zwłaszcza gdy przechowują poufne dane, takie jak identyfikatory sesji lub loginy, które w przypadku kradzieży mogą dać atakującym dostęp do kont osobistych, a nawet sieci korporacyjnych.
• Pliki cookie zewnętrznych firm są przechowywane na Twoim urządzeniu przez inną witrynę internetową, a nie tę, którą odwiedzasz. Na przykład reklamodawcy lub dostawcy usług analitycznych mogą ustawić te pliki cookie w celu kierowania reklam i śledzenia zachowań. Pliki cookie firm zewnętrznych śledzą Twoją aktywność na różnych witrynach internetowych, na przykład to które linki klikasz i jakie produkty oglądasz.
• Super cookie to mechanizmy śledzenia, które są znacznie trudniejsze do wykrycia i usunięcia. W przeciwieństwie do standardowych plików cookie, które są przechowywane w przeglądarce i można je łatwo wyczyścić, te ukrywają się w bardziej podstępnych miejscach, takich jak lokalna pamięć Flash lub lokalna pamięć HTML5, a nawet wykorzystują techniki takie jak ETagi lub HSTS, aby pozostać w pobliżu. Niektóre pliki super cookie są nawet dodawane przez dostawców Internetu, którzy umieszczają specjalne identyfikatory w ruchu internetowym, aby śledzić Cię na każdej odwiedzanej stronie. Pliki super cookie mogą pojawić się ponownie nawet po wyczyszczeniu plików cookie w przeglądarce, ponieważ są przechowywane w nietypowych miejscach lub dodawane poprzez manipulację warstwą sieciową, co czyni je poważnym zagrożeniem bezpieczeństwa.
• Pliki cookie typu zombie „powracają z martwych” nawet po ich usunięciu. Często są odtwarzane automatycznie przy użyciu kopii zapasowych przechowywanych poza normalnym magazynem plików cookie, co sprawia, że ​​pliki cookie zombie są niemal niemożliwe do usunięcia i stanowią poważne zagrożenie dla prywatności.

Badania ujawniają gorzką stronę plików cookie

Większość plików cookie jest nieszkodliwa. Jednak w niewłaściwych rękach nawet najmniejszy okruszek takiego ciasteczka może ujawnić cały cyfrowy ślad, więc akceptowanie plików cookie w ciemno może być ryzykownym nawykiem. Nasze najnowsze badania to ujawniają. W ramach kontynuacji zeszłorocznych badań nad plikami cookie platforma NordStellar, zajmująca się zarządzaniem potencjalnymi zagrożeniami, przeanalizowała kolejny zestaw ponad 93,7 miliarda plików cookie oferowanych na sprzedaż na forach dark webu i Telegramie. Badacze przyjrzeli się, skąd pochodzą, co zawierają, czy są aktywne i jak cyberprzestępcy je wykorzystują.

Należy zauważyć, że ani NordVPN, ani jego partnerzy badawczy nie kupili skradzionych plików cookie i/lub nie uzyskali dostępu do ich zawartości. Nasi partnerzy analizowali tylko dane, które były dostępne w ofertach sprzedaży plików cookie, zachowując prywatność i bezpieczeństwo użytkowników Internetu podczas tworzenia tego raportu badawczego.

Jak wykradane są pliki cookie z sieci

Cyberprzestępcy kradną pliki cookie za pomocą złośliwego oprogramowania. W naszym badaniu naukowcy odkryli, że prawie wszystkie zostały zebrane przez programy typu infostealer, trojan i keylogger. Te kategorie złośliwego oprogramowania są zaprojektowane specjalnie w celu zbierania danych logowania, plików cookie, zapisanych haseł przeglądarek i portfeli kryptowalut. Oto niektóre z najczęstszych narzędzi skradzionych plików cookie w naszych badaniach:

• Redline jest jednym z najpowszechniej używanych keyloggerów i infostealerów, który można zakupić w ramach płatnych usług. Program Redline Stealer odpowiada za największą część skradzionych plików cookie w naszym zestawie danych – prawie 42 miliardy plików cookie. Jednak tylko 6,2% było nadal aktywnych, co oznacza, że ​​okres aktualności skradzionych danych jest stosunkowo krótki.
• Vidar jest również złośliwym oprogramowaniem dostępnym jako płatna usługa, ze specyficznymi konfiguracjami zaprojektowanymi do atakowania określonych typów danych. Zebrał około 10,5 miliarda plików cookie, z czego 7,2% jest nadal ważnych.
• LummaC2 to program wykradający, oferowany jako usługa dla cyberprzestępców. Jest nowszy, ale szybko zyskuje na popularności. Był odpowiedzialny za ponad 8,8 miliarda skradzionych plików cookie, z czego 6,5% jest nadal aktywnych.
• CryptBot jest infostealerem, który atakuje głównie systemy operacyjne Windows. Chociaż odpowiadał on za zaledwie 1,4 miliarda plików cookie, 83,4% z nich było nadal aktywnych, co czyni CryptBota najskuteczniejszym malware na naszej liście.

Powyższe narzędzia malware są łatwe w użyciu i szeroko dostępne, dzięki czemu niemal każdy może z nich skorzystać. Często ukryte są w pirackim oprogramowaniu lub pozornie nieszkodliwych plikach do pobrania. Po zainstalowaniu skanują pamięć masową plików cookie przeglądarki i wysyłają wszystko do serwera poleceń i kontroli. Stamtąd dane mogą zostać umieszczone w dark webie, czasami w ciągu kilku minut.

Co kryje się w opakowaniu po ciasteczkach?

Co właściwie zawierają pliki cookie? Mnóstwo informacji. Kiedy cyberprzestępcy sprzedają skradzione pliki cookie, często oznaczają je słowami kluczowymi, aby pokazać, jakie dane otrzymują. Niektóre z najczęstszych słów kluczowych to „ID” (18 miliardów plików) i „session” (1,2 miliarda plików). Znaczna liczba skradzionych plików cookie została oznaczona słowami kluczowymi „auth” (272,9 miliona plików) i „login” (61,2 miliona plików). Tagi te sugerują, że pliki cookie są powiązane z określonymi kontami użytkowników, co oznacza, że ​​można je ponownie wykorzystać do przejęcia trwającej sesji bez hasła. Jest to szczególnie niepokojące, biorąc pod uwagę, że z 93,7 miliarda przeanalizowanych skradzionych plików cookie 15,6 miliarda było nadal aktywnych.

Nie chodzi tylko o dostęp do konta. Niektóre z tych plików cookie zawierają również dane osobowe, takie jak imię i nazwisko użytkownika, adres e-mail, kraj i miasto zamieszkania, a także płeć, datę urodzenia, a nawet dokładne miejsce zamieszkania. Te dane są równie niebezpieczne, ponieważ mogą umożliwić atakującym tworzenie spersonalizowanych ataków socjotechnicznych, a w najgorszym przypadku kradzież tożsamości użytkowników. Gdy dane takie jak lokalizacja lub data urodzenia są dostępne, nie jest to tylko ryzyko dla prywatności, ale także zagrożenie dla bezpieczeństwa osobistego.

Skąd pochodzą ciasteczka?

Naukowcy przyjrzeli się także bliżej temu, skąd pochodziły skradzione pliki cookie, analizując trzy główne czynniki: platformę, z której zostały pobrane, kraj pochodzenia i system operacyjny.

Platformy

Nie powinno nikogo dziwić, że w tej kategorii dominują popularne nazwy. Pliki cookie powiązane z usługami Google stanowiły największą część zestawu danych – wykryto ponad 4,5 miliarda plików cookie powiązanych z Gmailem, Dyskiem Google i innymi usługami Google. YouTube i Microsoft odpowiadały za ponad 1 miliard plików cookie.

Popularne platformy są atrakcyjnym celem, ponieważ można z nich wyciągnąć najwięcej informacji. Ponadto konta Google i Microsoft są często używane do uwierzytelniania wieloskładnikowego. Kradzież pliku cookie sesji Google lub Microsoft może dać cyberprzestępcom dostęp do poczty e-mail, plików, kalendarzy, a nawet powiązanych kont, bez konieczności zgadywania haseł lub uruchamiania uwierzytelniania dwuskładnikowego.

Kraje

Pliki cookie mogą zostać skradzione na całym świecie, co jasno wynika z liczb. Wiele skradzionych plików cookie nie zawierało danych o kraju użytkownika, ale te, które je zawierały, były powiązane z co najmniej 253 różnymi krajami i terytoriami. Niektóre listy plików cookie zostały oznaczone jako „nieznane”, więc prawdziwa liczba może być jeszcze wyższa.

Brazylia, Indie, Indonezja i Stany Zjednoczone były wśród najbardziej dotkniętych. W Europie Hiszpania znalazła się na szczycie listy z 1,75 miliarda skradzionych plików cookie, jednak zaraz za nią plasuje się Polska, zajmując 16. miejsce w globalnym rankingu z 1,47 miliarda skradzionych plików cookie. Aż 8,08% z nich jest aktywnych.

Urządzenia

Większość plików cookie została wykradziona z urządzeń z systemem Windows, co nie jest zaskoczeniem, ponieważ większość złośliwego oprogramowania atakuje właśnie system Windows. Jednak ponad 13,2 miliarda plików cookie zostało wziętych z innych systemów operacyjnych lub ich źródło jest nieznane. Tak więc, podczas gdy użytkownicy systemu Windows są nadal najbardziej zagrożenii, użytkownicy innych systemów nie powinni czuć się całkowicie bezpieczni – ataki na inne platformy się zdarzają.

Co atakujący może zrobić z Twoimi plikami cookie?

Ciasteczka mogą brzmieć słodko, ale czasami mogą pozostawić po sobie nieprzyjemny posmak. Prawda jest taka, że ​​nawet pozornie najmniej ważne pliki cookie mogą wyrządzić wiele szkód Tobie lub Twojej firmie. Gdy jedne drzwi zostaną otwarte, otwarcie pozostałych może być tylko kwestią czasu. Ciasteczka sesyjne, zwłaszcza te aktywne, to prawdziwa kopalnia złota. Pozwalają atakującym całkowicie pominąć strony logowania. Ryzyko jednak na tym się nie kończy. Skradzione ciasteczka mogą być również używane do:

• przejęcia kontroli nad kontami w mediach społecznościowych, pocztą e-mail lub sklepami internetowymi
• podszywania się w Internecie, z wykorzystaniem zapisanych danych logowania lub danych uzupełniania automatycznego
• obejścia uwierzytelniania dwuskładnikowego, jeśli plik cookie oznaczy urządzenie jako „zaufane”
• ukierunkowanych ataków phishingowych z wykorzystujaniem danych osobowych ofiary
• poruszania się w sieci, zwłaszcza w firmach, w których stosuje się logowanie jednokrotne (SSO) oparte na plikach cookie.
• dostępu do danych finansowych, danych klientów i innych poufnych informacji
• wdrażania ataków ransomware, z kradzieżą danych logowania lub poprzez dostęp do uprawnień systemowych wyższego poziomu.

Jak przejść na ciasteczkową dietę

Ochrona przed kradzieżą plików cookie nie oznacza, że ​​musisz całkowicie zrezygnować z Internetu, ale wymaga zmiany kilku nawyków:

• Zastanów się, zanim zaakceptujesz pliki cookie. Pierwszym krokiem do zwiększenia swojego bezpieczeństwa jest zrozumienie, że nie wszystkie pliki cookie są niezbędne i to, że możesz zaakceptować wszystkie pliki cookie, nie oznacza, że ​​musisz to robić. Zawsze, gdy to możliwe, odrzucaj niepotrzebne pliki cookie, zwłaszcza te pochodzące od stron trzecich lub śledzące Twoje zachowanie. Większość witryn nadal działa dobrze bez nich.
• Zaopatrz się w dodatkowe narzędzia zabezpieczające. Oprogramowanie malware, w tym infostealery, często dostaje się do komputera za pośrednictwem pobrań lub linków phishingowych. Narzędzia takie jak Threat Protection Pro™ mogą blokować złośliwe witryny i skanować pobierane pliki pod kątem malware, zanim dostaną się do komputera.
• Czyść pliki cookie regularnie. Nie wszystkie pliki cookie są warte zachowania – usuń te nieaktualne. Zwłaszcza po zalogowaniu się na komputerach publicznych lub współdzielonych. Ten krok może wydawać się nieistotny, ale pomaga ograniczyć czas, w którym Twoje dane mogą zostać przejęte.

Korzystaj z bezpieczniejszego połączenia. Zacznij od unikania publicznych sieci Wi-Fi lub nieszyfrowanych połączeń. Pobierz sieć VPN, która zaszyfruje Twój ruch internetowy, dzięki czemu będzie on bardziej chroniony przed śledzeniem.