Os infostealers estão coletando cookies em uma escala massiva
A pesquisa da NordVPN mostra que os cookies de navegadores se tornaram um dos principais alvos de malware do tipo infostealer. Ao longo de um ano, de 9 de junho de 2025 a 8 de junho de 2026, pesquisadores identificaram 52.389.324.619 cookies roubados em dados históricos de infostealers.
Entre os tipos de dados roubados incluídos nesse conjunto de dados, os cookies foram os que mais apareceram em números brutos.O mesmo conjunto de dados inclui 6.75 bilhões de preenchimento automático de login, 2.17 bilhões de arquivos, 1.55 bilhões de registros de credenciais e 607.9 milhões de senhas, além de 341.4 milhões de e-mails únicos de vítimas e 1.09 milhões de dados de cartões. No total, os infostealers coletaram 4.6 vezes mais registros de cookies do que todos os outros tipos de dados listados somados.
Essa escala mostra o motivo de os cookies de navegador terem se transformado em alvos valiosos. Alguns cookies ajudam os sites a se lembrar das suas preferências ou te manter na sua conta, enquanto outros são usados para publicidade, rastreio ou dados de análise. Quando os infostealers coletam cookies de um dispositivo infectado, eles podem revelar o que você faz online, ajudando os criminosos a construir seu perfil com seus interesses. Ou, no caso dos cookies de sessão, eles ajudam os criminosos a roubar e invadir uma sessão de login ativa.
As pessoas geralmente pegam malware infostealer através de downloads inseguros, updates falsos de software, anúncios maliciosos, links de phishing, apps crackeados, cheats de games ou anexos infectados em e-mails. Os serviços mencionados nessa pesquisa (como Netflix, YouTube, Twitch ou Google) não são fontes de malware em si. Elas são exemplos de plataformas onde as contas podem ser expostas depois que um dispositivo infectado tem seus dados do navegador roubados.
Cookies de publicidade e rastreamento são os mais roubados
Os cookies de rastreamento e de publicidade formam a maior parcela de cookies roubados nessa pesquisa. Esses cookies podem nem dar acesso direto aos cibercriminosos, mas ainda podem revelar informações sobre seu comportamento online, seus interesses e padrões de navegação.
O rastreamento também pode envolver vários tipos de cookies que você pode não reconhecer:
- Cookies de terceiros. Esses são colocados pelos sites ou serviços além do site em si que você estiver visitando e são usados para publicidade, retargeting e rastreamento cross-site.
- Super cookies. Esses são arquivos de rastreamento mais persistentes que podem armazenar identificadores fora do armazenamento normal de cookies do navegador, fazendo com que a exclusão deles seja mais difícil do que a de cookies de navegador padrão.
- Cookies zumbis. Esses cookies de rastreamento podem se recriar mesmo depois de serem excluídos pelo usuário, o que faz deles bastante invasivos contra a privacidade dos usuários.
Dito isso, essas descobertas mostram que os cookies roubados não precisam destravar uma conta para serem valiosos. Nessa escala, até os cookies usados para publicidade, analytics e rastreamento podem mostrar aos cibercriminosos quais sites a vítima visita, quais seus interesses e como navegam pela web.
Três famílias de infostealer se destacam em roubo de dados
A maioria dos registros de cookies roubados está vinculada a um pequeno número de famílias de infostealers. Três famílias de malware infostealer (Lumma-C2, RedLine e Vidar) são responsáveis por quase quatro a cada cinco cookies roubados identificados na pesquisa.
O Lumma-C2 é responsável pela maior parcela, contando com 34.5% dos cookies roubados, seguida pela RedLine com 27.2% e o Vidar com 18.1%. Juntos, eles somam 79.8% dos cookies roubados.
Essa concentração é importante porque alguns infostealers amplamente usados podem expor grandes quantidades de dados de navegadores dos dispositivos infectados. Essas ferramentas são projetadas para coletar dados de dispositivos infectados, inlcuindo cookies armazenados de navegadores, credenciais salvas, dados de preenchimento automático, arquivos e outras informações que podem ser muito úteis para os cibercriminosos.
Operações policiais já desativaram alguns dos principais infostealers, mas elas não eliminaram a ameaça em si. Quando uma família de malware é enfraquecida, outras podem continuar coletando dados do navegador. Isso significa que o roubo de cookies não é conectado a um único grupo ou campanha, já que novos infostealers continuam agindo memso depois que uma operação é desarticulada.
Por que os cookies roubados são um risco
Os cookies de internet não são perigosos por padrão. Os sites usam cookies da internet para manter o funcionamento das páginas, memorizar as preferências dos usuários e reconhecer cada usuário após o login. O risco começa quando os cookies são roubados de um navegador e são reutilizados pelos cibercriminosos para fazer com que o site pense que eles são o usuário que ainda estava logado.
Os cookies de sessão são os mais sensíveis, já que ajudam os sites a reconhecer que um usuário já está logado na conta. Se os cibercriminosos conseguirem roubar um cookie de uma sessão ativa, eles podem se passar pela vítima e acessar a conta dela sem precisar digitar nenhuma senha. Esse tipo de ataque é conhecido como sequestro de sessão.
Outros cookies roubados podem até não permitir o acesso direto a uma conta, mas ainda podem ajudar os golpistas a saber mais sobre alguém e criar golpes mais convincentes. Quando os cookies roubados vêm acompanhados de credenciais roubadas, preenchimento automático de dados, arquivos ou detalhes do dispositivo vindos do mesmo registro de infostealer, os criminosos podem ter um panorama mais amplo da pessoa por trás do dispositivo e o contexto de uso para criar estratégias mais eficientes.
É por isso que a escala do roubo de cookies é um fator importante. Uma senha roubada é um risco óbvio de segurança, mas os cookies roubados também podem mostrar quais serviços as pessoas usam, como elas navegam e se um ataque pode conseguir roubar uma sessão ativa.
O roubo de cookies é um problema global
O roubo de cookies não é limitado a uma única região ou plataforma. Se um dispositivo fica infectado, os cookies armazenados no navegador podem ficar expostos. Os pesquisadores da NordVPN encontraram cookies roubados em mais de 250 países e territórios, mostrando o nível de alcance dos malwares de infostealer e o quanto podem se espalhar ao infectar os dispositivos.
Por volume total de cookies roubados, a Índia lidera o ranking com 4.68 bilhões de cookies roubados, seguida pelo Brasil com 2,83 bilhões, Estados Unidos com 2.43 bilhões, Indonésia com 2.10 bilhões e Filipinas com 1.93 bilhão. Vietnã, Turquia, Paquistão, México, França, Egito, Tailândia, Colômbia, Argentina e Peru também aparecem entre os países com os maiores volumes de cookies roubados.
O ranking parece diferente quando o volume de cookies roubados é comparado com o tamanho da população. O Uruguai tem um dos índices proporcionalmente mais altos em relação à população, com cerca de 29 cookies roubados por pessoa, seguido pelo Peru com cerca de 23 e o Chile com 22.
Isso não significa que cada pessoa nesses países foi afetada. Isso significa que um único dispositivo infectado pode expor diversos cookies, então isso fica visível na escala do volume de cookies roubados em comparação com a população, e não ao número de vítimas individuais.
Junto com isso, as descobertas mostram que o roubo de cookies é amplo e, ao mesmo tempo, desigual. Os riscos práticos são simples. Se um malware infostealer atinge um dispositivo, os cookies armazenados no navegador podem ser expostos, independente de onde o dispositivo está localizado.
As contas do dia a dia apareceram nos registros roubados
A pesquisa também mostra a frequência com que os dados de infostealer estão vinculados às contas usadas no dia a dia. Entre os registros de login roubados, o accounts.google.com apareceu com mais frequência, com 11.78 milhões de registros, seguido pelo facebook.com com 8.10 milhões e o login.live.com com 7.85 milhões.
Outros serviços amplamente usados também aparecem no top 10, incluindo Instagram, Discord, Netflix, Roblox e Facebook móvel, além de domínios do Instagram. O ranking mostra que os infostealers O ranking mostra que os infostealers não coletam só dados online conectados a bancos, empresas ou contas corporativas de alto valor, mas também dados conectados aos serviços que você usa no seu cotidiano.
Isso é algo importante porque as contas pessoais muitas vezes são conectadas a outras partes da sua vida digital. Um login roubado pode expor mensagens, detalhes de pagamento salvos, opções de recuperação, perfis conectados ou credenciais reaproveitadas. Quando os cookies e os registros de credenciais roubados surgem do mesmo dispositivo infectado, os cibercriminosos podem ter mais do que um jeito de usar a conta de forma indevida.
Só um antivírus pode não ser o bastante para impedir o roubo de cookies
A pesquisa também descobriu cookies roubados de dispositivos que possuíam software de segurança. Entre os registros de stealers que listaram software de segurança, 96.3% possuíam Windows Defender, enquanto o resto possuía soluções comerciais de antivírus.
Isso não significa que as ferramentas de antivírus são inúteis. Isso mostra que só uma camada de segurança não pode impedir todas as infecções de infostealer. Você também pode precisar saber quando seus dados foram expostos para agir rápido, sair das suas contas, mudar suas senhas e verificar seu dispositivo para encontrar malware.
Contas de streaming e de entretenimento se destacam nos alertas de dados
O alerta de sequestro de sessão da NordVPN dá um panorama limitado sobre quais serviços podem aparecer quando os cookies de exposição de sessão são detectados. Em uma análise interna de 2026 sobre alertas de dados de sequestro de sessão, os serviços de streaming e de entretenimento em geral apareceram com muita frequência nos dispositivos afetados. O Twitch foi conectado a 47 dispositivos afetados, a Netflix a 42 e o YouTube a 29. O Bing apareceu em 20 dispositivos afetados, enquanto o Reddit aparece em seis dispositivos afetados.
Essa amostra não representa todos os cookies roubados, contas afetadas ou um conjunto de dados de pesquisa mais amplos da NordVPN. Isso não deve ser interpretado como um ranking dos serviços mais roubados. Mesmo assim, a amostra deixou claro que o roubo de cookies de sessão não é um perigo só para os serviços de banking, e-mail ou de trabalho.
As contas de entretenimento também podem ser atingidas, roubadas, revendidas ou usadas como elementos para usos mais amplos, especialmente se elas tiverem detalhes de pagamentos salvos, perfis compartilhados ou credenciais que são reutilizadas.
Como os alertas de sequestro de sessão da NordVPN te ajudam a reagir
O alerta de sequestro de sessão da NordVPN te avisa se seus cookies de sessão aparecerem em bancos de dados de cookies roubados conhecidos. Isso te ajuda a reagir rápido e sair das suas contas afetadas, mudar sua senha e criar um cookie de sessão novo.
Os dados internos sugerem que muitos dispositivos afetados param de emitir alertas depois que os usuários são alertados, apesar de as análises terem usado atividades de alerta mais como um proxy do que um rastreio direto quando um cookie novo é criado. Entre 144 dispositivos identificados, a média foi de dois alertas por dispositivo. Nessa amostragem, 58 dispositivos só emitiram um alerta, enquanto 49 emitiram de dois a cinco alertas.
E o alerta de sequestro de sessão é parte do antivírus de última geração da NordVPN e foca em cookies de sessão expostos encontrados em bancos de dados de cookies roubados. Se você receber um alerta, você ainda precisa fazer uma verificação no seu dispositivo para encontrar malware, já que um infostealer ativo ainda pode continuar coletando novos cookies.
Sua segurança online começa com um clique.
Fique em segurança com a VPN líder a nível mundial
O que fazer se os seus cookies forem roubados
Se você descobrir que os seus cookies foram roubados, faça logoff das suas contas afetadas em todos os dispositivos. Sair das suas contas pode fechar as sessões ativas e diminuir as chances de os cookies roubados continuarem ativos trabalhando para os hackers.
Depois, é importante mudar suas senhas, ativar a autenticação de dois fatores e rever as atividades recentes da sua conta, os dispositivos conectados, opções de recuperação e métodos de pagamento salvos. Se algo parecer estranho, faça a remoção e atualize suas configurações de segurança.
E, para finalizar, limpe os cookies do seu navegador, revise as configurações de segurança para ativar ou desativar cookies com base nas suas preferências de privacidade e depois verifique seu dispositivo para encontrar malware.
Metodologia
Os pesquisadores da NordVPN analisaram dados históricos de cookies roubados através de infostealers por meio da plataforma NordStellar para entender o volume de cookies roubados, as famílias de malware associadas a eles, sua distribuição por cada país e os padrões de uso desses cookies.
O período analisado cobriu aproximadamente um ano, de 9 de junho de 2025 a 8 de junho de 2026. Todos os números desta pesquisa são contagens cumulativas de registros de cookies dentro dessa janela de tempo. O número principal de 52.389.324.619 refere-se a registros de cookies e não a usuários, dispositivos ou infecções únicas.
A pesquisa também comparou os registros de cookies com outros tipos de dados roubados incluídos em um conjunto de dados mais amplo, incluindo entradas de preenchimento automático, arquivos, registros de credenciais, senhas, e-mails únicos de vítimas e cartões de pagamento. As participações por família de malware e por país foram calculadas com base no total completo de cookies registrados em um ano.
Os dados de cookies foram coletados de logs de stealers e os pesquisadores usaram os metadados que acompanhavam esses logs. As conclusões por país foram baseadas nas informações dos países incluídas juntamente com os cookies nos mesmos logs de computadores infectados, e não nos cookies em si mesmos. Alguns registros de cookies não continham informações sobre o país, então só os registros com dados de país foram incluídos nas contagens por país.
As famílias de malware foram atribuídas com base em tags já incluídas nos logs e associadas aos cookies desses logs. As categorias de cookies foram agrupadas por palavras presentes no nome do cookie, como nomes contendo “session”. As conclusões sobre antivírus foram baseadas em 9.838.326 logs de stealers que registravam um produto de segurança. Desses, 96,3% listavam o Windows Defender, enquanto o restante mencionava suítes comerciais de antivírus.
As informações deste artigo também incluem uma análise interna separada, de junho de 2026, dos dados de alertas de sessão sequestrada da NordVPN. Essa análise abrange 2.057 linhas agregadas de alertas recebidos entre 17 de maio e 10 de junho de 2026, com registros de eventos variando de 4 de fevereiro a 10 de junho de 2026. A análise incluiu 144 dispositivos distintos com impressão digital identificada e as linhas sem a impressão digital do dispositivo foram excluídas da análise por dispositivo.
A análise não conseguiu rastrear de forma direta quando um novo cookie foi criado, porque a exportação não incluía identificadores de cookies nem registros de data e a hora de criação dos cookies. Em vez disso, o fim da atividade de alerta foi usado como um proxy de ação.
As conclusões refletem dados observados de infostealers analisados através da plataforma NordStellar, bem como insights internos limitados sobre alertas de sequestro de sessão. Elas não devem ser interpretadas como uma contagem completa de todos os cookies roubados globalmente durante esse período, nem como o número de usuários ou dispositivos únicos afetados, nem como um ranking de todos os cookies roubados no mundo.
