Silne, unikalne hasło i uwierzytelnianie dwuskładnikowe znacząco utrudniają przejęcie konta. Nie stanowią jednak ochrony absolutnej. Cyberprzestępca nie zawsze próbuje odgadnąć hasło ani przechwycić kod wysłany SMS-em. Czasem interesuje go coś innego: aktywna sesja przeglądarki, która powstała już po prawidłowym zalogowaniu.
Jeżeli atakujący zdobędzie odpowiedni identyfikator sesji, serwis internetowy może potraktować go jak zalogowanego użytkownika. Właśnie dlatego zdarzają się sytuacje, w których właściciel konta ma włączone 2FA, nie udostępnił nikomu kodu, a mimo to ktoś czyta jego pocztę, wysyła wiadomości albo zmienia ustawienia profilu. OWASP określa taki atak jako przejęcie sesji, czyli wykorzystanie zdobytego tokenu sesyjnego do podszycia się pod użytkownika.
Czym jest sesja przeglądarki?
Podczas logowania podajesz nazwę użytkownika i hasło, a czasem także kod jednorazowy, potwierdzenie w aplikacji lub klucz bezpieczeństwa. Po zaakceptowaniu tych danych serwis tworzy sesję. Dzięki niej nie musisz wpisywać hasła ponownie po otwarciu każdej kolejnej podstrony.
Informacja potwierdzająca zalogowanie jest zwykle przechowywana w postaci pliku cookie albo innego tokenu. Przeglądarka automatycznie dołącza go do kolejnych żądań wysyłanych do serwisu. Token nie musi zawierać hasła. Pełni rolę tymczasowej przepustki, która mówi serwerowi: „ten użytkownik został już zweryfikowany”.
Nie każde ciasteczko jest tak samo ważne. Wiele plików cookie zapisuje preferencje językowe, ustawienia strony albo dane statystyczne. Cookie sesyjne może natomiast potwierdzać tożsamość zalogowanego użytkownika, dlatego jego kradzież bywa porównywalna z przejęciem danych logowania przez czas, w którym sesja pozostaje ważna.
Można porównać to do opaski wydawanej przy wejściu na zamknięte wydarzenie. Hasło i kod 2FA są sprawdzane przy bramce. Po kontroli otrzymujesz opaskę i możesz poruszać się po obiekcie bez ponownego okazywania dokumentów. Jeżeli ktoś ukradnie opaskę i organizator nie potrafi odróżnić jej nowego właściciela, złodziej może wejść bez przechodzenia wcześniejszej kontroli.
Dlaczego 2FA nie zawsze zatrzymuje taki atak?
Uwierzytelnianie dwuskładnikowe chroni przede wszystkim proces logowania. Nawet gdy przestępca zna hasło, nadal potrzebuje drugiego składnika: telefonu, aplikacji uwierzytelniającej, klucza bezpieczeństwa lub danych biometrycznych.
Po poprawnym logowaniu serwis tworzy jednak sesję. Jeżeli napastnik nie atakuje samego hasła, lecz przechwytuje token wydany po zakończeniu uwierzytelnienia, może próbować pominąć cały ekran logowania. Microsoft opisuje ataki typu adversary-in-the-middle, w których fałszywa strona pośredniczy między ofiarą a prawdziwym serwisem i przechwytuje zarówno dane logowania, jak i cookie powstałe po potwierdzeniu MFA.
Nie oznacza to, że 2FA jest nieskuteczne. Nadal zatrzymuje wiele prób opartych na wykradzionych i powtarzanych hasłach. Kradzież sesji pokazuje jedynie, że ochrona konta nie kończy się w chwili wpisania kodu. Trzeba chronić również urządzenie, przeglądarkę i późniejszą sesję.
Warto też rozróżnić rodzaje drugiego składnika. Kody SMS oraz kody wpisywane ręcznie mogą zostać wyłudzone na fałszywej stronie. Klucze bezpieczeństwa i passkeys są znacznie odporniejsze na klasyczny phishing, ponieważ wykorzystują kryptograficzne powiązanie z właściwą usługą. Nadal nie rozwiązują jednak każdego scenariusza, w którym malware działa już na urządzeniu po zalogowaniu i uzyskuje dostęp do aktywnej sesji. Google i Microsoft rozwijają z tego powodu mechanizmy wiążące sesję z konkretnym urządzeniem.
Jak przestępcy kradną ciasteczka i tokeny sesyjne?
Złośliwe oprogramowanie typu infostealer
Jedną z najczęstszych dróg jest infekcja urządzenia programem zaprojektowanym do kradzieży informacji. Tak zwany infostealer może poszukiwać w przeglądarkach zapisanych haseł, danych autouzupełniania, informacji o portfelach kryptowalutowych, tokenów uwierzytelniających i plików cookie.
Microsoft opisywał w 2025 i 2026 roku rodziny złośliwego oprogramowania, które pozyskiwały dane z przeglądarek Chromium, Edge, Firefox i innych aplikacji. Celem były między innymi zapisane poświadczenia, aktywne tokeny oraz ciasteczka sesyjne.
Infostealer może trafić na komputer jako:
- rzekomy instalator popularnego programu,
- crack albo generator kluczy,
- fałszywa aktualizacja,
- załącznik do wiadomości,
- plik pobrany z reklamy lub nieoficjalnej strony,
- złośliwe rozszerzenie przeglądarki,
- program podszywający się pod narzędzie do gier, kryptowalut albo optymalizacji systemu.
Po uruchomieniu malware może zebrać dane w ciągu krótkiego czasu i wysłać je na serwer przestępcy. Użytkownik nie zawsze zauważa spowolnienie komputera, reklamy czy inne spektakularne symptomy. Program służący do kradzieży informacji ma większą wartość wtedy, gdy działa cicho.
Fałszywa strona pośrednicząca w logowaniu
Bardziej zaawansowany phishing nie musi wyświetlać statycznego formularza, który jedynie zapisuje wpisane hasło. Atakujący może ustawić serwer pośredniczący między użytkownikiem a prawdziwą usługą.
Ofiara trafia na stronę łudząco podobną do oryginalnej. Wprowadzone dane są przekazywane do właściwego serwisu, dlatego pojawia się także prawdziwy ekran 2FA. Użytkownik wpisuje kod lub zatwierdza logowanie. Po udanym uwierzytelnieniu atakujący przechwytuje token sesji przekazywany przez serwis. Tak działa część ataków typu adversary-in-the-middle.
Na tym etapie ofiara może nawet zostać przekierowana do prawdziwego konta i nie zauważyć niczego podejrzanego. Przestępca otrzymał jednak własną kopię aktywnej sesji.
Złośliwy kod uruchomiony w przeglądarce
Token może zostać narażony również przez lukę w odwiedzanej stronie lub złośliwy kod działający po stronie użytkownika. OWASP wymienia między innymi ataki XSS, złośliwy JavaScript, trojany oraz mechanizmy typu man-in-the-browser jako możliwe drogi przejęcia sesji.
W takim przypadku problem nie zawsze wynika z błędu użytkownika. Serwis może mieć podatność, która pozwala uruchomić niepożądany skrypt w kontekście zaufanej strony. Nowoczesne zabezpieczenia ciasteczek, takie jak HttpOnly, Secure i SameSite, ograniczają część zagrożeń, ale nie eliminują każdego sposobu przejęcia konta.
Czy symbol kłódki chroni przed przejęciem sesji?
Połączenie HTTPS szyfruje dane przesyłane między przeglądarką a konkretną domeną. Jest bardzo ważne, ale samo nie potwierdza, że dana domena należy do firmy, której oczekujesz.
Fałszywa strona również może korzystać z poprawnego certyfikatu i wyświetlać zaszyfrowane połączenie. Kłódka oznacza więc, że komunikacja z otwartą domeną jest szyfrowana. Nie oznacza automatycznie, że adres jest prawdziwy, właściciel uczciwy, a formularz bezpieczny.
Przed logowaniem trzeba sprawdzić pełną nazwę domeny, a nie sam wygląd strony. W ataku pośredniczącym witryna może pobierać elementy z oryginalnego serwisu, dlatego logo, układ, komunikaty, a nawet kolejne etapy logowania wyglądają przekonująco.
Jak rozpoznać możliwe przejęcie sesji?
Kradzież sesji nie musi powodować komunikatu o logowaniu z nowego urządzenia. Z perspektywy serwisu atakujący może prezentować ważny token, zamiast przechodzić pełny proces uwierzytelniania.
Sygnałami ostrzegawczymi mogą być:
- wiadomości wysłane bez twojej wiedzy,
- zmienione ustawienia konta,
- obce urządzenia lub sesje widoczne w panelu bezpieczeństwa,
- nowe reguły przekazywania poczty,
- nieznane aplikacje połączone z kontem,
- zmieniony adres odzyskiwania albo numer telefonu,
- zakupy lub płatności, których nie rozpoznajesz,
- alert o aktywności z nietypowej lokalizacji,
- utrata dostępu mimo niezmieniania hasła,
- nagłe wylogowanie z części urządzeń.
Nie każdy obcy wpis oznacza atak. Lokalizacja może być określona niedokładnie, a jedna przeglądarka może tworzyć kilka pozycji na liście aktywności. Nie należy jednak ignorować sesji, których nie potrafisz powiązać ze swoim urządzeniem. Google zaleca przeglądanie urządzeń mających dostęp do konta i wylogowanie sesji, co do których nie masz pewności.
Co zrobić po podejrzeniu kradzieży sesji?
W tym przypadku sama zmiana hasła może nie wystarczyć. Jeżeli skradziony token nadal jest ważny, przestępca może pozostać zalogowany do czasu jego wygaśnięcia lub ręcznego unieważnienia.
1. Przestań używać podejrzanego urządzenia do logowania
Jeżeli komputer może być zainfekowany, nie wpisuj na nim kolejnych haseł. Odłącz go od internetu i wykonuj działania ratunkowe na innym, zaufanym urządzeniu. FTC zaleca, aby przy podejrzeniu malware przerwać zakupy, bankowość i wpisywanie danych logowania do czasu oczyszczenia sprzętu.
2. Zabezpiecz najpierw konto e-mail
Skrzynka pocztowa umożliwia resetowanie haseł do wielu innych usług. Jeśli napastnik kontroluje e-mail, może odzyskać dostęp do kolejnych kont już po ich zabezpieczeniu.
Na czystym urządzeniu zmień hasło do poczty, sprawdź adresy i numery odzyskiwania, usuń nieznane aplikacje oraz przejrzyj reguły przekazywania wiadomości. Następnie wykonaj podobne czynności w bankowości, serwisach społecznościowych, chmurze, sklepach i kontach firmowych.
3. Wyloguj wszystkie aktywne sesje
W ustawieniach bezpieczeństwa poszukaj funkcji „wyloguj wszystkie urządzenia”, „zakończ pozostałe sesje” albo „unieważnij tokeny”. To właśnie ten krok odbiera wartość skradzionemu cookie.
Microsoft udostępnia funkcję wylogowania konta ze wszystkich przeglądarek i aplikacji; proces może potrwać do 24 godzin. Google pozwala przeglądać poszczególne sesje i wylogowywać urządzenia, których użytkownik nie rozpoznaje.
4. Zmień hasła z czystego urządzenia
Ustaw nowe, unikalne hasła, zaczynając od poczty, kont finansowych i usług zawierających dane osobowe. Nie wykorzystuj ponownie starego hasła ani jego nieznacznie zmodyfikowanej wersji.
Jeżeli to samo hasło było używane w kilku miejscach, zmień je we wszystkich. Złośliwe oprogramowanie mogło pozyskać zarówno cookie, jak i dane zapisane w przeglądarce. FTC zaleca zmianę haseł po wykryciu malware oraz włączenie dodatkowego uwierzytelniania.
5. Usuń źródło infekcji
Zaktualizuj system i program zabezpieczający, a następnie wykonaj pełne skanowanie. Usuń nieznane aplikacje oraz rozszerzenia przeglądarki. Sprawdź programy uruchamiane wraz z systemem i pliki pobrane bezpośrednio przed pojawieniem się problemu.
Jeżeli infekcja była poważna, skaner nie działa prawidłowo albo objawy wracają, bezpieczniejszym rozwiązaniem może być przywrócenie systemu z zaufanej kopii lub ponowna instalacja. Nie przywracaj automatycznie wszystkich podejrzanych programów, ponieważ możesz ponownie wprowadzić malware.
6. Sprawdź, co napastnik mógł zmienić
Po odzyskaniu kontroli przejrzyj:
- aktywne sesje i zaufane urządzenia,
- metody odzyskiwania konta,
- połączone aplikacje,
- klucze i passkeys,
- numery telefonu przypisane do 2FA,
- filtry i przekierowania poczty,
- historię logowania,
- historię zakupów i płatności,
- wysłane wiadomości,
- ustawienia prywatności.
Google w procedurze zabezpieczania przejętego konta zaleca sprawdzanie nieznanych zmian, urządzeń, metod logowania i operacji finansowych.
7. Ostrzeż kontakty i instytucje finansowe
Jeżeli z twojego konta wysyłano wiadomości, poinformuj odbiorców, aby nie otwierali linków i załączników. Gdy pojawiły się nieautoryzowane płatności, skontaktuj się z bankiem lub operatorem karty. W przypadku konta firmowego zgłoś incydent administratorowi, ponieważ skradziona sesja może prowadzić do danych całej organizacji.
Jak zmniejszyć ryzyko kradzieży sesji?
Instaluj programy wyłącznie z zaufanych źródeł
Nie pobieraj cracków, generatorów kluczy, rzekomych cheatów, nieoficjalnych modyfikacji ani „specjalnych” instalatorów udostępnianych w komentarzach i reklamach. To popularne opakowania dla programów wykradających informacje.
Przed instalacją sprawdź domenę producenta, podpis cyfrowy pliku i reputację źródła. Sam atrakcyjny wygląd strony oraz wysoka pozycja reklamy w wyszukiwarce nie potwierdzają autentyczności programu.
Ogranicz liczbę rozszerzeń przeglądarki
Rozszerzenie może mieć dostęp do odwiedzanych stron, historii, schowka lub danych formularzy. Instaluj tylko dodatki, których rzeczywiście potrzebujesz, i regularnie usuwaj nieużywane. Szczególnie ostrożnie traktuj rozszerzenia obiecujące darmowe kupony, pobieranie filmów, zmianę wyników w grach albo automatyzację usług społecznościowych.
Aktualizuj system, przeglądarkę i programy
Aktualizacje usuwają błędy wykorzystywane przez złośliwy kod i ataki na przeglądarkę. Sam antywirus nie naprawi podatności pozostawionej w starej wersji systemu lub dodatku.
Używaj uwierzytelniania odpornego na phishing
Gdy usługa pozwala, wybierz passkey albo fizyczny klucz bezpieczeństwa. Takie metody są trudniejsze do przechwycenia na fałszywej stronie niż kod wpisywany ręcznie. Nadal trzeba jednak chronić urządzenie przed malware i reagować na podejrzane sesje.
Sprawdzaj adres przed zatwierdzeniem logowania
Nie klikaj automatycznie przycisku potwierdzającego w aplikacji. Zwróć uwagę na usługę, urządzenie i lokalizację. Jeżeli sam nie rozpocząłeś logowania, odrzuć żądanie.
Najbezpieczniej otwierać ważne strony z zapisanej zakładki albo wpisywać adres samodzielnie. Link w wiadomości może prowadzić do domeny różniącej się od prawidłowej jednym znakiem.
Regularnie kontroluj aktywne sesje
Nie musisz czekać na pierwszy incydent. Co pewien czas otwórz ustawienia bezpieczeństwa najważniejszych kont i sprawdź listę urządzeń. Usuń stare telefony, komputery, przeglądarki i aplikacje, których już nie używasz.
Nie ignoruj ostrzeżeń programu zabezpieczającego
Komunikat o złośliwej domenie, podejrzanym pobraniu albo próbie dostępu do danych przeglądarki może pojawić się przed przejęciem konta. Nie wyłączaj ochrony tylko po to, aby uruchomić plik pochodzący z nieznanego źródła.
Czy tryb incognito chroni ciasteczka przed kradzieżą?
Tryb prywatny ogranicza ilość danych pozostających w przeglądarce po zamknięciu okna. Nie tworzy jednak bezpiecznej, odizolowanej przestrzeni odpornej na malware.
Jeżeli na komputerze działa program wykradający dane, może próbować obserwować aktywność również podczas sesji prywatnej. Incognito nie zastępuje aktualnego systemu, ochrony przed złośliwym oprogramowaniem ani ostrożności podczas pobierania plików.
Może natomiast być przydatne na współdzielonym urządzeniu, ponieważ po zamknięciu okna usuwa lokalną sesję z przeglądarki. Na obcym lub publicznym komputerze lepiej jednak w ogóle nie logować się do poczty, banku ani kont zawierających wrażliwe dane.
Silne hasło nadal ma znaczenie
Kradzież sesji nie sprawia, że hasła i 2FA stają się niepotrzebne. To nadal podstawowe zabezpieczenia przed przejęciem konta. Chronią jednak inny etap niż aktywna sesja przeglądarki.
Bezpieczeństwo można przedstawić jako kilka kolejnych drzwi:
- unikalne hasło utrudnia zwykłe logowanie,
- 2FA zatrzymuje osobę znającą samo hasło,
- aktualne urządzenie ogranicza ryzyko infekcji,
- ostrożność wobec phishingu chroni proces uwierzytelniania,
- kontrola aktywnych sesji pomaga wykryć i zakończyć nieautoryzowany dostęp.
Najważniejszy wniosek jest prosty: przestępca nie zawsze potrzebuje twojego hasła, jeżeli może ukraść dowód, że już się zalogowałeś. Dlatego po podejrzeniu infekcji nie wystarczy zmienić jednego hasła. Trzeba również oczyścić urządzenie, wylogować wszystkie sesje i sprawdzić, jakie zmiany wykonano na koncie.
