Risposta breve
Quando accedi, il sito salva un cookie di sessione nel browser così non devi rientrare ogni volta. I malware che rubano i cookie (infostealer) copiano questi cookie e li inviano all’aggressore, che può aprire il tuo account senza password né codice 2FA: Google ricorda che il furto di cookie avviene dopo l’accesso e quindi aggira l’autenticazione a due fattori. La soluzione è un ordine preciso: prima ripulisci il dispositivo infetto, poi da un dispositivo pulito cambia le password, esci da tutte le sessioni e controlla dati di recupero, regole di inoltro e app collegate.
Come funziona l’attacco
- Avvii un file che sembra utile: un brief di «sponsorizzazione», un cheat per un gioco, un software craccato, un finto lettore PDF o un’estensione del browser.
- Il malware legge le password salvate e i cookie di sessione del browser e li carica in pochi secondi.
- L’aggressore carica i cookie nel proprio browser ed è già dentro: nessuna password, nessun codice.
- Cambia e-mail, telefono e 2FA, oppure usa l’account in silenzio. Il Threat Analysis Group di Google ha segnalato canali YouTube sottratti così e poi venduti o usati per trasmettere truffe con le criptovalute.
Segnali d’allarme
- Un avviso di accesso o una sessione che non riconosci — ma spesso non arriva alcun avviso, perché l’aggressore riusa una sessione già aperta da te.
- Modifiche che non hai fatto: nome del canale, e-mail di recupero, dispositivi collegati, spesa pubblicitaria, post o messaggi.
- Più account con problemi nello stesso momento: segno che password e cookie vengono da un unico computer infetto.
- Di recente hai installato un programma, una mod o un’estensione fuori dagli store ufficiali, o aperto un archivio inviato da un «brand».
Ripulisci in quest’ordine
Cambiare le password sul computer infetto non serve: il malware può catturare anche le nuove.
- Smetti di accedere dal dispositivo infetto. Scansionalo con un software di sicurezza aggiornato e rimuovi le estensioni sconosciute, oppure ripristinalo se puoi.
- Da un dispositivo pulito metti in sicurezza prima l’account e-mail: nuova password, uscita dalle altre sessioni, controllo di telefono ed e-mail di recupero.
- Cambia le password degli altri account colpiti ed esci ovunque: Account Google → Sicurezza → I tuoi dispositivi; Microsoft → Disconnetti ovunque; Centro gestione account → Dove hai effettuato l’accesso.
- Rimuovi ciò che l’aggressore potrebbe aver lasciato: regole di inoltro e filtri, app collegate, nuovi metodi 2FA e dati di recupero.
- Attiva una passkey o la 2FA tramite app e salva nuovi codici di backup.
Perché l’autenticazione a due fattori non l’ha fermato
La 2FA ti verifica nel momento dell’accesso. Un cookie rubato è la prova che l’accesso è già avvenuto, quindi il sito non ha motivo di chiedere di nuovo. Per questo Google sta sviluppando le Device Bound Session Credentials, che legano la sessione al dispositivo che l’ha creata, così un cookie copiato vale molto meno altrove. Finché queste protezioni non saranno ovunque, la difesa migliore è semplice: non avviare file che non hai chiesto e controlla spesso le sessioni — vedi come controllare i dispositivi collegati.
Se non riesci a rientrare
Se l’aggressore ha già cambiato e-mail e numero di telefono, usa la procedura di recupero della piattaforma: link ufficiali di recupero, canale YouTube hackerato o account Google hackerato. Il nostro servizio di recupero account hackerati lavora solo attraverso questi canali ufficiali.
Domande frequenti
Qualcuno può entrare nel mio account senza password né codice 2FA?
Sì. Se un malware ruba il cookie di sessione dal tuo browser, l’aggressore può riusare una sessione che hai già aperto: password e codice non vengono richiesti finché quella sessione non termina.
Cambiare la password butta fuori l’hacker?
Sulla maggior parte delle piattaforme chiude le altre sessioni, ma fallo da un dispositivo pulito e usa anche «disconnetti ovunque». Su un computer infetto anche la nuova password può essere rubata.
Come capisco se il mio computer ha un malware che ruba i cookie?
Il segnale tipico è la caduta di più account insieme dopo aver installato software craccato, cheat o estensioni sconosciute. Scansiona con un software di sicurezza aggiornato; nel dubbio, ripristina il dispositivo.
Una passkey ferma il furto di cookie?
La passkey blocca il phishing dell’accesso, ma un cookie rubato dopo l’accesso può ancora essere sfruttato. Abbinala a dispositivi puliti e all’uscita dalle sessioni che non usi.
Fonti: Google Threat Analysis Group — malware che rubano cookie contro i creator di YouTube, Google — contrastare il furto di cookie con sessioni legate al dispositivo, Guida dell’Account Google — dispositivi con accesso al tuo account, Supporto Microsoft — disconnettersi ovunque dall’account Microsoft, Guida di YouTube — ripulire un canale hackerato