Un cookie di sessione rubato può, in alcuni casi, permettere a un criminale informatico di accedere a un account senza inserire nuovamente password e codice della verifica in due passaggi. Il motivo è semplice: non sta effettuando un nuovo login, ma tenta di riutilizzare una sessione che il servizio considera già autenticata.
Il problema non riguarda però tutti i cookie allo stesso modo. Una ricerca di NordVPN ha individuato oltre 52,4 miliardi di record di cookie sottratti nei dati storici degli infostealer analizzati nell’arco di un anno. Per l’Italia il conteggio raggiunge 574 milioni di cookie, dato che colloca il nostro Paese al ventesimo posto mondiale. Questo non significa che 574 milioni di italiani siano stati colpiti: un singolo dispositivo può conservare numerosi cookie e lo studio conta record cumulativi, non utenti o infezioni distinte.
Cosa significa quando un cookie viene rubato
I cookie sono piccoli dati che il browser conserva per svolgere funzioni molto diverse. Possono ricordare preferenze, consentire attività di analisi e pubblicità oppure mantenere attiva una sessione dopo che abbiamo effettuato l’accesso.
Per questo “cookie rubato” non significa automaticamente “account hackerato”.
| Tipo di dato | Cosa può contenere o fare | Rischio principale |
|---|---|---|
| Cookie pubblicitario o di tracciamento | Preferenze e identificatori relativi alla navigazione | Profilazione e perdita di privacy |
| Cookie tecnico | Informazioni necessarie al funzionamento di un sito | Dipende dalla funzione specifica |
| Cookie di sessione | Identificatore collegato a una sessione autenticata | Possibile furto della sessione |
| Credenziali salvate | Username e password | Accesso diretto all’account |
Il dato dei 52,4 miliardi comprende quindi categorie differenti. La ricerca NordVPN precisa inoltre che i cookie pubblicitari e di tracciamento rappresentavano una componente molto rilevante del dataset.
Il problema più delicato nasce quando a essere sottratto è un cookie o un token utilizzato per mantenere autenticata una sessione.
Come possono entrare nell’account senza conoscere la password
Quando effettui il login a Google, Facebook, Microsoft o a molti altri servizi, il sito non ti richiede password e secondo fattore a ogni nuova pagina.
Dopo l’autenticazione viene creata una sessione e il browser conserva le informazioni necessarie a dimostrare al server che sei già stato autenticato.
Se un infostealer riesce a sottrarre un token di sessione ancora valido, un aggressore può tentare di riutilizzarlo sul proprio dispositivo. Questa tecnica viene chiamata session hijacking, o dirottamento della sessione.
È importante capire la differenza: la verifica in due passaggi non viene necessariamente “violata”. Semplicemente, il criminale cerca di presentarsi al servizio con una sessione che ha già superato l’autenticazione.
È proprio questo tipo di minaccia che Google sta cercando di rendere più difficile con i Device Bound Session Credentials di Chrome, una tecnologia che lega maggiormente la sessione al dispositivo sul quale è stata generata.
La documentazione di Chrome for Developers sui Device Bound Session Credentials spiega che il sistema utilizza chiavi crittografiche associate al dispositivo e cookie di breve durata, rendendo più difficile trasferire una sessione rubata su un’altra macchina.
Cookie rubati: cosa fare subito
Se sospetti che un infostealer abbia raggiunto il tuo computer, cambiare soltanto la password potrebbe non essere sufficiente. È necessario intervenire sia sugli account sia sul dispositivo dal quale potrebbero essere stati sottratti i dati.
L’ordine delle operazioni è importante.
| Priorità | Cosa fare | Perché |
| 1 | Smettere di effettuare nuovi login dal dispositivo sospetto | Un malware ancora attivo potrebbe rubare le nuove sessioni |
| 2 | Da un dispositivo sicuro, controllare e chiudere le sessioni sconosciute | Può rendere inutilizzabili sessioni già sottratte |
| 3 | Cambiare le password degli account più importanti | Protegge da eventuali credenziali rubate insieme ai cookie |
| 4 | Controllare email, telefono e metodi di recupero | Un aggressore potrebbe averli modificati |
| 5 | Verificare 2FA, passkey e dispositivi autorizzati | Riduce il rischio di nuovi accessi |
| 6 | Analizzare e ripulire il dispositivo compromesso | Evita che vengano sottratti nuovamente cookie e password |
| 7 | Eliminare i cookie e creare nuove sessioni | Le nuove sessioni vengono generate dopo la bonifica |
Per un Account Google, ad esempio, è possibile controllare da Sicurezza e accesso → I tuoi dispositivi → Gestisci tutti i dispositivi quali dispositivi e sessioni risultano collegati e scollegare quelli non riconosciuti. Google raccomanda inoltre di controllare gli eventi di sicurezza recenti in presenza di attività sospette.
Anche Microsoft dispone di una funzione “Disconnetti ovunque”: secondo la documentazione ufficiale la revoca può richiedere fino a 24 ore per browser e applicazioni, con l’eccezione indicata per le console Xbox.
Basta cancellare i cookie dal browser?
No, non necessariamente.
Eliminare i cookie presenti sul proprio browser può rimuovere le sessioni memorizzate localmente, ma non bisogna confondere questa operazione con la revoca delle sessioni sul servizio.
Se una copia del cookie è già stata sottratta e trasferita altrove, cancellare solamente il file dal proprio PC non garantisce che quella copia venga immediatamente invalidata.
Per questo è preferibile utilizzare, quando disponibile, la funzione del servizio per uscire dalle sessioni o dai dispositivi collegati.
C’è poi un secondo problema ancora più importante: se sul computer è presente un infostealer, puoi cancellare tutti i cookie e accedere nuovamente ai tuoi account, ma il malware potrebbe semplicemente rubare i nuovi cookie appena generati.
La sequenza corretta è quindi: proteggere gli account, rimuovere la causa della compromissione e solo successivamente tornare a utilizzare normalmente il dispositivo.
Google conferma che cancellando i cookie Chrome può disconnettere l’utente dai siti che li utilizzano per ricordare l’accesso, ma questa operazione riguarda i dati conservati nel browser.
Come capire se qualcuno ha rubato la tua sessione
Non esiste un unico segnale che confermi con certezza il furto di un cookie di sessione. Alcuni comportamenti, però, meritano attenzione:
- dispositivi o sessioni che non riconosci;
- attività effettuate da località insolite;
- email di sicurezza relative ad accessi che non ricordi;
- messaggi, post o email inviati senza il tuo intervento;
- modifiche a email o telefono di recupero;
- applicazioni collegate all’account che non riconosci;
- acquisti o attività anomale;
- accessi non autorizzati anche dopo aver utilizzato password robuste.
Google permette proprio per questo di visualizzare separatamente dispositivi e sessioni recenti, comprese più sessioni associate allo stesso tipo di dispositivo.
Un accesso anomalo con 2FA attiva non dimostra automaticamente che sia avvenuto un session hijacking, ma il furto della sessione è una delle possibilità da considerare, soprattutto se il dispositivo è stato recentemente esposto a malware.
Da dove vengono rubati i cookie
Uno dei vettori principali sono gli infostealer, malware progettati appositamente per raccogliere informazioni presenti sul computer.
Possono cercare:
- cookie e token del browser;
- password memorizzate;
- dati di compilazione automatica;
- file;
- informazioni sul sistema;
- wallet e altre informazioni sensibili.
Il problema è rilevante anche in Italia. Il CERT-AGID, nel rapporto sulle campagne malevole del 2025, indica che circa il 60% dei campioni malware analizzati apparteneva alla categoria degli infostealer.
Su Tech iCrewPlay abbiamo già visto casi nei quali estensioni apparentemente innocue cercavano informazioni del browser: una falsa estensione ChatGPT per Chrome, ad esempio, era stata progettata per raccogliere cookie relativi agli account Facebook.
Questo è uno dei motivi per cui software pirata, crack, falsi installer, allegati sospetti ed estensioni provenienti da fonti poco affidabili rappresentano un rischio particolarmente elevato.
Ma se ho Windows Defender o un antivirus sono al sicuro?
La risposta corretta è no: un antivirus riduce il rischio, ma non rende impossibile un’infezione.
Su questo punto il dato NordVPN deve essere interpretato con attenzione.
La ricerca ha analizzato 9.838.326 log di infostealer nei quali era indicato un prodotto di sicurezza. Nel 96,3% di questi log compariva Windows Defender, mentre la parte restante indicava antivirus commerciali.
Non significa che “il 96,3% dei computer protetti viene infettato” e nemmeno che Defender abbia un tasso di fallimento del 96,3%.
Il campione è già composto da log associati agli infostealer e Windows Defender è inoltre integrato in Windows. Il dato dimostra piuttosto che la presenza di un prodotto di sicurezza non permette di abbassare completamente la guardia.
574 milioni di cookie rubati in Italia non significano 574 milioni di vittime
È probabilmente il punto più importante per leggere correttamente la ricerca.
NordVPN ha analizzato dati storici relativi al periodo 9 giugno 2025 – 8 giugno 2026 e ha contato 52.389.324.619 record di cookie. L’Italia compare con circa 574 milioni di record e una media indicata dallo studio di 9,74 cookie per abitante.
Ma lo stesso studio specifica che:
i record non corrispondono a utenti distinti, dispositivi distinti o singole infezioni.
Un computer può contenere decine o centinaia di cookie e gli stessi dataset possono comprendere numerose informazioni provenienti da un singolo dispositivo.
I 574 milioni servono quindi a descrivere la dimensione del fenomeno, non il numero degli italiani ai quali è stato violato un account.
Il furto delle sessioni diventerà più difficile, ma non sparirà
La direzione intrapresa dai browser è quella di rendere i token meno facilmente trasferibili.
I Device Bound Session Credentials sviluppati per Chrome, ad esempio, utilizzano una chiave privata legata al dispositivo e cookie con durata più breve. Quando serve rinnovare la sessione, Chrome deve dimostrare di possedere quella chiave.
Questo rende molto meno utile copiare semplicemente un cookie e trasferirlo su un altro computer.
Non è però una soluzione universale. La documentazione di Chrome segnala anche limitazioni e casi nei quali il sistema può ricorrere al comportamento tradizionale. Inoltre il supporto dipende dall’implementazione da parte dei servizi web.
La regola resta quindi la stessa: password uniche, autenticazione forte, software aggiornato e soprattutto attenzione a ciò che viene eseguito sul dispositivo.
Perché una volta che un malware riesce a operare all’interno di un computer già autenticato, la password non è più necessariamente l’unica cosa interessante da rubare.
