Cookie di sessione: cosa sono, dove si salvano e come difenderli dagli infostealer

Hai una password lunga, la tieni in un gestore serio, hai attivato l’autenticazione a due fattori. Bravo. Eppure qualcuno potrebbe entrare nel tuo account Google, nel tuo gestionale aziendale o nel tuo profilo bancario senza conoscere la password e senza mai vedere il codice che ti arriva sul telefono. Gli basta un file di pochi kilobyte copiato dal tuo computer: il cookie di sessione.

Tra giugno 2025 e giugno 2026 i ricercatori di NordVPN hanno analizzato più di 52 miliardi di cookie del browser trovati nei log degli infostealer messi in vendita su forum del dark web e canali Telegram. Non è un problema di nicchia, è una delle merci più scambiate del crimine informatico di oggi. Questo articolo spiega cosa sono davvero i cookie di sessione, dove finiscono sul tuo disco, perché i malware li cercano con tanta insistenza e cosa puoi fare, nel 2026, per non regalare le chiavi di casa a uno sconosciuto.

Segui TuttoTech.net su Google Discover

Cosa sono i cookie di sessione (e perché li chiamano anche “cookie di sistema”)

Quando accedi a un sito, il server non ha modo di riconoscerti alla richiesta successiva. Il protocollo del web è fatto così: ogni pagina che chiedi è un episodio a sé, senza memoria di quello prima. Per risolvere il problema, dopo il login il server ti consegna un piccolo file di testo con dentro un codice univoco, il Session ID, e il browser lo rispedisce indietro a ogni click. È come il braccialetto che ti mettono al polso all’ingresso di un festival: chi lo indossa passa i controlli senza mostrare di nuovo il biglietto.

Quello è il cookie di sessione. Non contiene la tua password, contiene la prova che la password l’hai già inserita. Nei banner sulla privacy lo trovi spesso etichettato come cookie “tecnico” o “necessario”, e nel linguaggio comune qualcuno lo chiama “cookie di sistema”, perché serve al funzionamento del sito e non al marketing. Il nome popolare non è sbagliato, ma la sostanza è questa: è un cookie di autenticazione, e vale esattamente quanto il tuo login.

Si distingue dai cookie persistenti, che restano sul dispositivo per settimane o anni e servono a ricordare preferenze o a tracciare la navigazione a fini pubblicitari, e dai cookie di terze parti, gestiti da domini diversi da quello che stai visitando. In teoria il cookie di sessione è temporaneo e si cancella alla chiusura del browser. Vedremo tra poco quanto quel “in teoria” pesi.

Dove si salvano e come funzionano davvero

Il ciclo di vita è semplice. Inserisci le credenziali, il server genera un Session ID, lo scrive in un cookie e lo manda al browser. Da quel momento ogni richiesta porta con sé quel codice e il server, leggendolo, sa che sei tu e ti serve la pagina giusta: la casella di posta, il carrello, il pannello di amministrazione. Quando il cookie scade, o quando fai logout, il server dimentica l’associazione e la sessione muore.

Sul disco, questi file non vivono sparsi come singoli documenti. I browser moderni li archiviano tutti insieme in un database SQLite, con un percorso noto e sempre uguale. Su Windows, Chrome li tiene nella cartella del profilo utente sotto AppData\Local\Google\Chrome\User Data\Default\Network\Cookies; Edge, Brave e gli altri browser derivati da Chromium usano una struttura identica. Firefox li salva in un file chiamato cookies.sqlite dentro il profilo. Il valore dei cookie non è in chiaro: viene cifrato con una chiave che, storicamente, Windows proteggeva tramite DPAPI, il sistema di cifratura integrato nel sistema operativo. Il punto debole è che DPAPI restituisce la chiave a qualunque programma in esecuzione con il tuo stesso utente. Un malware che gira con i tuoi permessi ottiene esattamente quello che ottiene Chrome.

E qui cade il mito più diffuso. Molti pensano che i cookie di sessione spariscano quando si chiude il browser, e quindi non siano un vero rischio. Nella pratica quasi nessuno chiude davvero il browser, e quasi tutti spuntano “resta connesso”. Quel flag trasforma il cookie in un token che rimane valido per ore, giorni o settimane, scritto su disco e pronto a essere riutilizzato. Le fonti che analizzano i log rubati lo dicono chiaramente: quando un dipendente seleziona “resta connesso” a un’applicazione aziendale, il browser conserva un token che resta valido a lungo, e chi lo possiede entra senza password e senza far scattare l’MFA, perché l’autenticazione è già avvenuta.

Perché gli infostealer vogliono proprio i cookie

Un infostealer è un malware progettato per fare una cosa sola e farla in fretta: raccogliere tutto ciò che di prezioso è memorizzato su un computer e spedirlo a chi lo controlla. Password salvate nel browser, dati di compilazione automatica, portafogli di criptovalute, file di configurazione, e soprattutto cookie. Non cifra nulla, non chiede riscatti, non si fa notare. Fa il suo lavoro in pochi secondi e spesso si cancella da solo.

La tecnica con cui i cookie rubati vengono usati ha un nome, pass-the-cookie, e il meccanismo è quasi banale. L’attaccante importa il cookie nel proprio browser e apre il sito. Il server vede un Session ID valido e serve la pagina come se fossi tu. L’autenticazione a due fattori non interviene perché non è in corso nessuna autenticazione: quella l’hai fatta tu, ore prima, sul tuo PC. Il cookie è la prova che è andata a buon fine. Per questo il furto di sessione ha superato in attrattiva il classico furto di password: una password richiede ancora di superare l’MFA al momento del login, un cookie no.

I numeri del 2025 e 2026 danno l’idea della scala. Il rapporto Identity Breach di Constella conta 51,7 milioni di pacchetti infostealer processati nel 2025, il 72% in più rispetto all’anno prima, provenienti da 24,8 milioni di dispositivi infettati, con 2,3 miliardi di password raccolte. Flare, nel suo rapporto sull’esposizione aziendale, calcola che circa 1,17 milioni di log contenessero insieme credenziali e cookie di sessione ancora vivi, sufficienti per un accesso immediato che aggira completamente l’MFA. E il 78% delle aziende violate nel 2025 aveva credenziali aziendali apparse nei log degli infostealer nei sei mesi precedenti la violazione. L’infezione era avvenuta prima, su dispositivi fuori dal perimetro di qualsiasi controllo aziendale.

La filiera è veloce quanto un servizio di consegna. Il malware esfiltra il log (cioè lo spedisce di nascosto al server dell’attaccante) nella prima ora dall’infezione, l’attaccante testa le coppie di credenziali contro i servizi reali nelle ore successive, e il log verificato viene messo in vendita su marketplace come Russian Market o 2easy nello stesso giorno. Il compratore riceve un archivio con le password, i cookie e, nel 99% dei casi, l’indirizzo esatto del sito dove ogni credenziale funziona. Una mappa pronta all’uso.

I nomi che tornano più spesso nei rapporti di quest’anno sono LummaC2, Vidar, StealC, Meduza e il più recente VoidStealer. Lumma è stato smantellato da Microsoft e dalle forze dell’ordine a maggio 2025, e l’ecosistema ha assorbito il colpo e ha continuato a crescere. Il bersaglio non è più solo la banca: a fine agosto 2026 Anthropic ha avvisato alcuni utenti che un attore malevolo stava usando comuni infostealer per sottrarre le sessioni di Claude dai loro computer e riutilizzarle per consumare il loro plafond. Nell’avviso comparivano Vidar, LummaC2, StealC, RedLine e Acreed su Windows e Atomic Stealer su alcuni Mac, e almeno un utente ha ricondotto l’infezione a un videogioco piratato. Se hai un abbonamento a qualcosa, quel qualcosa ha un mercato, e nemmeno il Mac è fuori dal giro.

Come si finisce infettati? Quasi mai con un attacco sofisticato. Il vettore tipico è un software craccato scaricato da un sito qualsiasi, un falso installer di un programma noto promosso con un annuncio a pagamento, un’estensione del browser che fa più di quel che dichiara, oppure la tecnica ClickFix: una pagina che mostra un finto errore e ti chiede di copiare un comando e incollarlo nel terminale per “risolvere il problema”. Il comando scarica il malware. Chi lo esegue lo fa con le proprie mani, e nessun antivirus considera sospetto un utente che digita qualcosa nel proprio computer.

Come si difendono i browser nel 2026

Google ha fatto due mosse in due anni, con esiti molto diversi.

La prima è App-Bound Encryption, arrivata con Chrome 127 a luglio 2024. L’idea era togliere a DPAPI il ruolo di unico custode: la chiave che cifra i cookie viene affidata a un servizio Windows che gira con privilegi di sistema, e solo Chrome può chiedergliela. Un malware in esecuzione con i permessi dell’utente non avrebbe dovuto riuscirci senza scalare i privilegi o iniettare codice nel processo del browser, azioni rumorose che i sistemi di sicurezza notano. Per qualche settimana diversi stealer hanno interrotto la distribuzione.

Poi, uno dopo l’altro, gli sviluppatori di Meduza, Whitesnake, Lumma, Vidar e StealC hanno annunciato bypass funzionanti. Una delle tecniche più eleganti non tocca nemmeno la cifratura: avvia Chrome con la porta di debug remoto aperta, la stessa che usano gli sviluppatori per testare le pagine, e chiede al browser stesso di consegnare tutti i cookie in chiaro. A marzo 2026 VoidStealer ha alzato ulteriormente l’asticella con una tecnica basata su debugger che, a differenza di quasi tutti i bypass precedenti, non richiede privilegi di amministratore. App-Bound Encryption va raccontata per quello che è: un ostacolo utile, non una soluzione.

La seconda mossa è di tutt’altra natura e si chiama Device Bound Session Credentials, o DBSC. Invece di nascondere meglio il cookie, cambia cosa il cookie è. Al momento del login Chrome genera una coppia di chiavi crittografiche e conserva quella privata nel TPM, il chip di sicurezza presente nei computer recenti, dove non può essere letta né copiata da nessun programma. Le sessioni usano cookie a vita breve e, quando uno scade, il browser deve dimostrare al server di possedere quella chiave prima di riceverne uno nuovo. Il cookie rubato smette di funzionare quasi subito dopo aver lasciato il dispositivo, perché sul computer dell’attaccante la chiave non c’è. È la differenza tra un braccialetto che chiunque può indossare e uno che si sgancia da solo se lo togli dal polso.

DBSC è attivo di default su Chrome 146 per Windows 10 e 11, con rollout confermato il 9 aprile 2026, e sta arrivando gradualmente su macOS con Chrome 147, dove si appoggia al Secure Enclave di Apple. Per gli account Google la funzione è in disponibilità generale dal 25 maggio 2026, abilitata senza intervento dell’utente sia per Workspace sia per gli account personali. Il rollout è graduale e controllato da Google, quindi non è detto che il tuo browser lo abbia già attivo anche se è aggiornato.

Vale la pena essere onesti sui limiti. DBSC copre Chrome e, per estensione, i browser basati su Chromium che decideranno di adottarlo; Firefox oggi non lo ha. Protegge solo i siti che lo implementano lato server, e per ora la lista è corta. E non cambia nulla del resto: le password salvate, i wallet, i documenti nella cartella Download vengono rubati esattamente come prima. Un attaccante che ha un infostealer sul tuo PC può anche semplicemente aspettare il tuo prossimo login su un sito senza DBSC. Il cookie diventa più difficile da rubare, il computer no.

Come difendersi in pratica

La difesa vera si gioca prima del cookie, sul non far entrare il malware. Tutto il resto è riduzione del danno.

Le regole sono poche e noiose. Tieni il browser e il sistema aggiornati, perché DBSC e le altre protezioni arrivano solo così. Non installare software craccato, mai, perché è il canale di infezione numero uno da anni e non c’è antivirus che ti salvi da un installer che hai scelto di eseguire. Diffida di qualunque pagina ti chieda di copiare un comando nel terminale o nella finestra Esegui. Guarda con sospetto le estensioni del browser che chiedono di leggere i dati su tutti i siti.

Non salvare le password nel browser: un gestore di password separato, con la sua cifratura e il suo master password, non viene svuotato da un infostealer nello stesso modo. Attiva le passkey dove disponibili, perché legano il login al dispositivo in un modo che un cookie copiato non può replicare. E fai logout esplicito dai servizi importanti invece di chiudere la scheda: un cookie invalidato dal server non serve a nessuno, anche se qualcuno lo ha già rubato.

Cosa fare se sospetti un furto di cookie

Il segnale tipico è un accesso che non riconosci, una notifica di login da una città dove non sei mai stato, un’email di conferma per un’operazione che non hai fatto. In quel momento la sequenza conta più della velocità. Entra nelle impostazioni di sicurezza del servizio e disconnetti tutte le sessioni attive: è l’unico modo per invalidare il cookie che qualcuno sta usando. Solo dopo cambia la password, altrimenti la nuova password convive con la vecchia sessione ancora aperta.

Controlla la lista delle applicazioni e delle integrazioni autorizzate, perché un attaccante con una sessione valida può aver concesso a un’app esterna un accesso permanente che sopravvive al cambio password. Poi esamina il computer da cui è partita l’infezione: una scansione con un antivirus aggiornato è il minimo, una reinstallazione pulita è la scelta di chi vuole dormire. Se il PC è aziendale, avvisa subito l’IT: il tuo cookie potrebbe non essere l’unico nel log.

Domande frequenti

I cookie di sessione sono pericolosi? Di per sé no, sono indispensabili per usare il web. Diventano pericolosi quando escono dal tuo dispositivo, perché rappresentano un login già effettuato che chiunque può riutilizzare.

L’autenticazione a due fattori mi protegge dal furto di cookie? No. L’MFA controlla il momento del login. Il cookie viene rilasciato dopo, quando l’MFA ha già fatto il suo lavoro, e chi lo ruba non passa mai da quel controllo.

Cancellare i cookie serve contro gli infostealer? Serve poco. Il malware li copia nel momento in cui è attivo, e li ricopia al prossimo login. Cancellarli regolarmente riduce la finestra di esposizione, ma l’unica difesa vera è non avere il malware sul computer.

DBSC è attivo anche su Firefox ed Edge? A settembre 2026 no. È in rollout su Chrome per Windows, sta arrivando su macOS, ed è attivo sugli account Google. Edge e gli altri browser Chromium possono adottarlo, Firefox non lo supporta.