餅乾罐遭到入侵：研究揭示網頁 Cookie 的風險

我們大多數人在點選 Cookie 同意橫幅前幾乎不會停頓。這是使用網際網路的例行公事，也是容易忽略的一部分，目的是讓我們的線上生活更輕鬆。畢竟，網際網路是建立在便利性的基礎上。但這種便利是有代價的，而這種代價通常是以您的資料形式來支付的。在我們最新的研究中，研究人員分析了一組在暗網流通的 937 億個 Cookie，以揭露這些 Cookie 是如何被竊取的，以及其所帶來的風險。請繼續閱讀，瞭解這對隱私權和安全性的意義為何，以及要如何保護自己。

Kelly Hsieh

2025年5月27日

8 分鐘閱讀

您曾看過彈出式視窗，幾乎每一個您造訪的網站都有。網頁 Cookie 或簡稱 Cookie 已成為日常瀏覽的基本部分，以至於我們在點選「全部接受」之前幾乎不會多想。

Cookie 是造訪的網站儲存在裝置上的小型文字檔案。其包含有關使用者瀏覽活動和偏好的資訊，並協助網站在各個工作階段之間記憶詳細資訊。Cookie 可使瀏覽體驗更方便、更個人化。例如，它們可以讓使用者保持登入狀態，或即使離開網站稍後再回來，也能記住購物車中的物品。但是，Cookie 也可以追蹤使用者的活動用於廣告目的，這就是為什麼有些人會擔心自己的隱私權。

就像市售餅乾一樣，網際網路 Cookie 也有各種樣式：

第一方 Cookie 由使用者目前正在造訪的網站建立和儲存。其用於記住登入憑證、使用者偏好和特定網站的設定。例如，當您登入網站時，第一方 Cookie 可能會儲存您的使用者名稱，讓您下次造訪時就不必重新輸入。第一方 Cookie 通常被視為侵入性較低，但仍可能造成嚴重的風險，尤其是有儲存敏感資料（如連線階段 ID 或登入資訊）時，一旦被竊取，攻擊者就有可能存取個人帳戶或甚至公司網路。
第三方 Cookie 由其他網站而非您正在訪問的網站儲存在裝置上。例如，廣告商或分析供應商可能會設定這些 Cookie，以進行目標式廣告和行為追蹤。第三方 Cookie 會追蹤您在不同網站的活動，例如點按哪些連結以及瀏覽過哪些產品。
超級 Cookie 是較難偵測和移除的追蹤機制。標準 Cookie 儲存在瀏覽器中，可以輕鬆清除，而超級 Cookie 則不同，其會隱藏在更隱秘的地方，例如 Flash 本機儲存區或 HTML5 本機儲存區，甚至使用 ETags 或 HSTS 等技術來保持存在。有些超級 Cookie 甚至是由網際網路供應商添加的，他們會在網際網路流量中加入特殊的識別碼，以便在使用者造訪的每個網站進行追蹤。由於超級 Cookie 會儲存在不尋常的地方，或是透過網路層的操控來加入，因此即使使用者清除瀏覽器上的 Cookie，其仍會重新出現，因此被視為是嚴重的安全風險。
殭屍 Cookie 即使在您刪除之後也會「起死回生」。其通常會使用儲存在正常 Cookie 儲存空間之外的備份自動重新建立，使得殭屍 Cookie 幾乎無法移除，成為嚴重的隱私威脅。

大多數 Cookie 都是無害的。但如果落入不法分子手中，即使是最小的一塊餅乾也可能暴露出整個數位痕跡，因此盲目接受網頁 Cookie 可能是個危險的習慣。我們最新的研究揭示了風險有多大。繼去年的網頁 Cookie 研究之後，我們再次與威脅風險管理平台 NordStellar 的研究人員合作，分析暗網論壇和 Telegram 市場上出售的另一套超過 937 億個 Cookie。研究人員檢視了這些 Cookie 的來源、內容、是否活躍，以及網路罪犯如何使用這些 Cookie。

值得注意的是，NordVPN 及其研究合作夥伴都沒有購買被盜的 Cookies 和/或存取其中的內容。我們的合作夥伴只分析了 Cookie 銷售清單中的數據，確保在製作此研究報告時維護了網際網路使用者的隱私和安全。

網路罪犯不需要烤箱來烘烤 Cookie。他們使用惡意軟體來竊取。在我們的研究中，研究人員發現幾乎所有的 Cookie 都是由資訊竊取程式、特洛伊木馬程式和鍵盤側錄器所擷取。這類惡意軟體專門用來收集登入資料、Cookie、儲存的瀏覽器密碼和加密錢包。在我們的研究中，以下是一些最常見的竊取網頁 Cookie 工具：

Redline 是使用最廣泛的鍵盤記錄器和資訊竊取工具之一，宣傳惡意軟體即服務。Redline Stealer 是我們資料集中最大宗的被盜 Cooki——將近 420 億個 Cookie。然而，只有 6.2% 仍處於活躍狀態，這表示被竊資料的生命週期相對較短。
Vidar 也是一種惡意軟體即服務，其特定配置專門針對特定類型的資料。它收集了約 105 億個 Cookie，其中 7.2% 仍處於活躍狀態。
LummaC2 是一種以服務形式提供給網路罪犯的竊取器。它較新，但使用量增長迅速。它造成超過 88 億個 Cookie 被竊，其中 6.5% 仍處於活躍狀態。
CryptBot 是一種主要針對 Windows 作業系統的資訊竊取程式。雖然其只佔了 14 億個 Cookie，但其中 83.4% 仍處於活躍狀態，因此 CryptBot 是清單上最有效的惡意軟體。

這些惡意軟體工具易於使用且廣泛流傳，幾乎任何人都可以使用。其通常隱藏在盜版軟體或看似無害的下載檔案中。安裝後，其會掃描瀏覽器的 Cookie 儲存空間，並將所有內容傳送至命令控制伺服器。接著，資料可能就會流入暗網，有時甚至在幾分鐘內就會出現。

餅乾罐裡有什麼？

這些 Cookie 到底儲存了什麼內容？非常多。當網路罪犯出售竊取的 Cookie 時，他們通常會在 Cookie 上標示關鍵字，以顯示他們所獲得的資料種類。一些最常見的關鍵字是「ID」（180 億），其次是「session」（12 億）。大量被盜的 Cookie 被標上「auth」（2.729 億）和「login」（6,120 萬）的關鍵字。這些標籤顯示 Cookie 與特定使用者帳號相連，這表示它們可能會被重複使用，在沒有密碼的情況下挾持即時工作階段。在分析的 937 億個被盜 Cookie 中，有 156 億個仍處於活躍狀態，這尤其令人擔憂。

但問題不只是帳戶存取權。這些 Cookie 中有些還包含個人資訊，例如使用者的姓名、電子郵件地址、國家和城市，以及性別、生日，甚至是實際地址。這些詳細資料同樣危險，因為它們可以讓威脅份子建立個人化的社交工程攻擊，在最壞的情況下，竊取使用者的身分。當您的位置或生日等詳細資料曝光時，這不僅是隱私風險，也是對個人安全的威脅。

研究人員還透過分析三個主要因素，更仔細地檢視被盜 Cookie 的來源：搜刮 Cookie 的平台、來源國家和作業系統。

平台

在平台方面，大名鼎鼎的公司毫不意外地佔了優勢。與 Google 服務相關的 Cookie 佔了資料集的最大部分，超過 45 億個與 Gmail、Google Drive 及其他 Google 服務相關的 Cookie。YouTube 和 Microsoft 則各佔超過 10 億個 Cookie。

人氣平台是美味的目標，因為您可以從中擷取更多資訊。此外，Google 和 Microsoft 帳戶通常用於多重要素驗證。竊取 Google 或 Microsoft 工作階段 Cookie 可讓網路罪犯存取電子郵件、檔案、行事曆，甚至連結的帳戶，而無需猜測密碼或啟動雙重認證。

國家

Cookie 在全球各地都有可能被竊，而且數字也顯示了這一點。雖然許多被盜的 Cookie 並未包含使用者所在國家的資料，但那些被盜的 Cookie 至少連結到 253 個不同的國家和地區。有些 Cookie 的清單被標示為「未知」，因此真正的數字可能更高。

巴西、印度、印尼和美國受到的影響最大。在歐洲，西班牙以 17.5 億個被盜 Cookie 名列榜首，而英國儘管只有約 8 億個 Cookie，但活躍 Cookie 的比率卻很高，達 8.3%。

台灣的被盜 Cookie 數超過 3.7 億個，雖然數字與他國相比感覺量不大，但活躍 Cookie 比率卻超過 11.7%，因此台灣的網路使用者在點按同意橫幅時還是應該多加檢視，避免同意網站儲存到敏感的個人資訊。

裝置

大部分的 Cookie 都是從 Windows 裝置竊取的，這並不令人意外，因為大部分的惡意軟體都以 Windows 為目標。然而，有超過 132 億個 Cookies 是從其他作業系統擷取，或是來源不明。因此，雖然 Windows 使用者仍是最大的目標，但其他系統的使用者也不應感到完全安全——針對其他平台的攻擊也不少。

Cookie 聽起來很美味，但有時也會有味道不佳的。事實上，即使是最看似不重要的 Cookie，也可能對您或企業造成很大的損害。一旦打開了一扇門，要打開其他的門並不難。工作階段 Cookie，尤其是活動 Cookie，是個金礦。其可以讓攻擊者完全跳過登入頁面。但風險並不止於此。被竊取的 Cookie 也可用於以下用途：

接管社群媒體、電子郵件或線上購物帳戶。
使用已儲存的登入或自動填寫資訊，冒充您進行線上購物。
如果 Cookie 標示為「可信」裝置，就可以繞過雙重認證。
使用您的個人資訊發動針對性的網路釣魚攻擊。
在網路上橫行無阻，尤其是使用基於 Cookie 的 SSO（單一登入）的公司。
存取財務或客戶資料以及其他敏感資訊。
透過竊取登入憑證或存取較高層級的系統權限，協助部署勒索軟體攻擊。

如何鎖上餅乾罐

要保護自己不被竊取 Cookie 影響，並不表示就必須完全放棄網路，但需要改變一些習慣：

在接受 Cookie 之前務必三思。讓自己更安全的第一步是瞭解並非所有 Cookie 都是必要的，您可以接受所有 Cookie，但並不表示您必須接受。只要有可能，請拒絕不必要的 Cookie，尤其是第三方 Cookie 或會追蹤使用者行為的 Cookie。大多數網站在沒有 Cookie 的情況下仍可正常運作。
取得額外的安全工具。惡意軟體（包括資訊竊取程式）經常透過下載檔案或釣魚連結進入電腦。威脅防護 Pro™ 等工具可以封鎖惡意網站，並在惡意軟體進入電腦之前先掃描下載檔案。
定期清除 Cookie。並非所有 Cookie 都值得保留，刪除過期的 Cookie。養成這個習慣，尤其是在公共或共用電腦登入之後。這個步驟看似微不足道，但卻有助於減少您的資料被劫持的時窗。
使用更安全的網路連線。從避免使用公共 Wi-Fi 網路或未加密的連線開始。使用 VPN，它會加密網路流量，使其更安全不會被竊聽。