Przejęcie konta pomimo uwierzytelniania dwuskładnikowego (2FA): wystarczy skradziony plik cookie

Program antywirusowy zgłasza sukces. Złośliwe oprogramowanie wykryto i usunięto, wszystko jest w porządku. Dwa dni później Państwa konto Google rozsyła spam, a lista urządzeń wskazuje komputer, który nie należy do Państwa. Uwierzytelnianie dwuskładnikowe było włączone przez cały czas.

Sytuacja ta nazywa się przejęciem sesji, czyli przejęciem kontroli nad sesją, która już trwa. Atakujący nie potrzebuje ani Państwa hasła, ani drugiego czynnika uwierzytelniającego. Wystarczy mu niewielki plik, który przeglądarka zapisuje po zalogowaniu, aby podczas kolejnej wizyty nie trzeba było ponownie wpisywać danych. Plikiem tym jest plik cookie sesji.

Firma Google otwarcie opisuje to na swoim blogu poświęconym Chromium: kradzież ma miejsce po zalogowaniu się, a zatem omija uwierzytelnianie dwuskładnikowe. Trudno jest temu zapobiec za pomocą oprogramowania antywirusowego, ponieważ pliki cookie nadal działają nawet po usunięciu złośliwego oprogramowania.

Jak przebiega kradzież

Na początku prawie zawsze pojawia się program typu „infostealer”, stworzony w celu gromadzenia danych uwierzytelniających. Dostaje się on do komputera poprzez złamane oprogramowanie, sfałszowany instalator lub załącznik. Po dotarciu na miejsce odczytuje pliki, w których przeglądarka przechowuje swoje pliki cookie. Następnie osoba atakująca importuje plik cookie do własnej przeglądarki i wywołuje stronę. Serwis wykrywa ważną, zalogowaną sesję i nie prosi o żadne dodatkowe dane.

Skala tego zjawiska została przedstawiona w raporcie „Global Threat Intelligence Report”, opublikowanym 11 marca 2026 r. przez firmę Flashpoint zajmującą się bezpieczeństwem. W odniesieniu do roku 2025 firma Flashpoint odnotowała ponad 11,1 miliona komputerów zainfekowanych programami typu infostealer oraz 3,3 miliarda danych uwierzytelniających i tokenów chmurowych wykradzionych z tych urządzeń. Pliki cookie sesji nie są nawet uwzględnione w tych danych.

Jak bardzo dotyczy to nas samych, pokazała operacja „Endgame”. W dniu 24 czerwca 2026 r. Europol poinformował o przeprowadzeniu operacji przeciwko grupom zajmującym się kradzieżą danych – StealC i Amadey – oraz przeciwko sieci dystrybucyjnej SocGholish, przy udziale niemieckich służb. Wyłączono 326 serwerów i 142 domeny, a także odzyskano 27 milionów zestawów danych uwierzytelniających. Ofiary zostały powiadomione między innymi za pośrednictwem serwisu Have I Been Pwned.

Drugi czynnik znajduje się w niewłaściwym miejscu. Kod SMS, monit aplikacji oraz klucz bezpieczeństwa służą do weryfikacji tożsamości osoby logującej się. Plik cookie jest tworzony dopiero po zakończeniu tej weryfikacji, jako dowód jej pomyślnego przejścia. Ktokolwiek posiada ten dowód, nie musi ponownie przechodzić weryfikacji. Nawet Program Zaawansowanej Ochrony firmy Google nie zmienia tego stanu rzeczy. Według Google każdy, kto pozostaje zalogowany, może nie zostać ponownie poproszony o podanie klucza bezpieczeństwa. Jak prawidłowo zabezpieczyć swoje konta, opisano w artykule „Samo hasło nie wystarczy”.

Jak radzą sobie z tym przeglądarki

W systemie Windows przeglądarka Chrome szyfruje pliki cookie za pomocą funkcji App-Bound Encryption od wersji 127 z lipca 2024 r. i wiąże klucz z aplikacją. Google sam wskazuje na ograniczenie tego rozwiązania: złośliwe oprogramowanie działające z podwyższonymi uprawnieniami omija tę ochronę. Sprawia to, że kradzież danych staje się bardziej kosztowna, ale nie zapobiega jej.

Prawdziwym postępem jest technologia o nazwie „Device Bound Session Credentials”, w skrócie DBSC. Przeglądarka generuje parę kluczy, której część prywatna nigdy nie opuszcza urządzenia. W systemie Windows jest ona przechowywana w module TPM, czyli układzie zabezpieczającym na płycie głównej. Serwis regularnie sprawdza, czy przeglądarka nadal posiada ten klucz. Plik cookie znajdujący się na obcym komputerze nie przejdzie tej weryfikacji.

W przypadku stron internetowych technologia ta jest dostępna od wersji Chrome 145. Firma Google włączyła ją dla siebie 9 kwietnia 2026 r. w przeglądarce Chrome 146 w systemie Windows, a od 25 maja 2026 r. wdraża ją dla kont Workspace oraz osobistych kont Google – użytkownicy nie muszą niczego aktywować. Pozostają dwa ograniczenia. Zgodnie ze specyfikacją W3C technologia DBSC nie uniemożliwia dostępu, dopóki osoba atakująca nadal korzysta z urządzenia. Ponadto każda strona internetowa musi sama uczestniczyć w tym procesie, dlatego ochrona ta najpierw pojawia się w usługach Google.

Sytuacja przeglądarki Firefox wygląda w tym zakresie gorzej, niż wiele osób zakłada. Jej baza danych plików cookie znajduje się na dysku w postaci niezaszyfrowanej. Zgłoszenie w systemie śledzenia błędów Mozilli (bug 56788) zostało złożone 25 lat temu, zamknięte jako WONTFIX w 2000 roku i ponownie otwarte dwa lata temu. Ma ono priorytet P3 i nie jest przypisane do żadnej osoby. Funkcja Total Cookie Protection nie zmienia tej sytuacji – jest to funkcja ochrony przed śledzeniem.

Co można teraz zrobić

Decydująca jest kolejność działań. W przypadku infekcji złośliwym oprogramowaniem niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) określa następującą kolejność: najpierw należy ponownie zainstalować system, a dopiero potem zmienić hasła. Każdy, kto postąpi odwrotnie i wpisze nowe hasło na zainfekowanym komputerze, natychmiast przekazuje je atakującemu.

Następnie należy wykonać krok, który większość osób pomija. Nowe hasło niekoniecznie uniemożliwi dostęp atakującemu, który posiada ważny plik cookie. Należy osobno zamknąć wszystkie otwarte sesje.

Google: myaccount.google.com, sekcja „Bezpieczeństwo”, „Zarządzaj wszystkimi urządzeniami”. Każda sesja jest wyświetlana osobno; należy kliknąć urządzenie i wylogować się z niego. Google nie udostępnia jednego przycisku do wylogowania się ze wszystkich sesji jednocześnie.

Microsoft: account.microsoft.com, zaawansowane opcje bezpieczeństwa, „Wyloguj się wszędzie”. Według Microsoftu proces wylogowania może potrwać do 24 godzin, a konsola Xbox jest z tego wyłączona.

Apple: account.apple.com, sekcja „Urządzenia”, wybierz urządzenie, „Usuń z konta”. Urządzenie pojawi się ponownie, jeśli ktoś nadal jest na nim zalogowany.

Czym są klucze dostępu, a czym nie są

Klucze dostępu są postrzegane jako następca hasła, a BSI określa je jako bardzo bezpieczną formę uwierzytelniania. Jest to prawda, jednak po raz kolejny dotyczy to wyłącznie samego procesu logowania. Klucz dostępu uniemożliwia komuś zalogowanie się pod Państwa tożsamością. Nie zapobiega on jednak przejęciu sesji, którą już Państwo otworzyli. O tym, że sam proces logowania pozostaje podatny na ataki, świadczy atak typu „Pass-the-Passkey”.

Rzeczywisty obraz sytuacji jest niepokojący. W swoim blogu poświęconym bezpieczeństwu z 9 kwietnia 2026 r. firma Google pisze, że w żadnym systemie operacyjnym nie istnieje niezawodny sposób zapobiegania kradzieży plików cookie wyłącznie za pomocą oprogramowania, gdy na urządzeniu znajdzie się już złośliwe oprogramowanie. Rozwiązanie DBSC zmienia jedynie okres przydatności skradzionych danych. Skradziony plik cookie można wówczas wykorzystać wyłącznie na komputerze, na którym został utworzony.

Dopóki rozwiązanie to nie zostanie wdrożone powszechnie, problem ten pozostaje aktualny. Należy unikać pirackiego oprogramowania, pobierać pliki wyłącznie z oryginalnych źródeł, a w razie jakichkolwiek podejrzeń najpierw ponownie zainstalować system, a dopiero potem zamknąć sesje. Właśnie w tej kolejności.