Коротко
Коли ви входите, сайт зберігає cookie сеансу у браузері, щоб вам не входити знову. Шкідлива програма для крадіжки cookie (інфостилер) копіює ці cookie й надсилає зловмисникові, який може відкрити ваш акаунт без пароля й коду 2FA — Google зазначає, що крадіжка cookie відбувається після входу, тож обходить двофакторну автентифікацію. Рішення — порядок дій: спершу очистьте заражений пристрій, потім із чистого пристрою змініть паролі, вийдіть з усіх сеансів і перевірте дані відновлення, правила пересилання й підключені застосунки.
Як працює атака
- Ви запускаєте файл, замаскований під щось корисне, — бриф «спонсорства», чит для гри, зламану програму, фальшиву програму для PDF чи розширення браузера.
- Шкідлива програма читає збережені в браузері паролі й cookie сеансів і за секунди надсилає їх.
- Зловмисник завантажує cookie у свій браузер і вже ввійшов в акаунт: ні запиту пароля, ні коду.
- Він змінює пошту, телефон і 2FA або тихо користується акаунтом. Група аналізу загроз Google повідомляла про канали YouTube, захоплені в такий спосіб, які продавали чи використовували для трансляцій криптошахрайства.
Тривожні ознаки
- Сповіщення про вхід чи незнайомий сеанс — хоча часто сповіщення немає взагалі, бо зловмисник повторно використовує вже відкритий вами сеанс.
- Зміни, яких ви не робили: назва каналу, резервна пошта, прив’язані пристрої, витрати на рекламу, дописи чи повідомлення.
- Одразу кілька акаунтів поводяться дивно — ознака того, що паролі й cookie взято з одного зараженого комп’ютера.
- Ви нещодавно встановили програму, мод чи розширення не з офіційного магазину або відкрили архів, надісланий «брендом».
Очищення в такому порядку
Зміна паролів на зараженому комп’ютері не допомагає: шкідлива програма може перехопити й нові.
- Припиніть входити із зараженого пристрою. Перевірте його актуальною захисною програмою й видаліть незнайомі розширення — або скиньте його, якщо можете.
- З чистого пристрою насамперед захистіть поштовий акаунт: новий пароль, вихід з інших сеансів, перевірка резервного телефону й пошти.
- Змініть паролі інших зачеплених акаунтів і вийдіть усюди: Акаунт Google → Безпека → Ваші пристрої; Microsoft → Вийти всюди; Центр акаунтів → Де виконано вхід.
- Видаліть те, що міг залишити зловмисник: правила пересилання й фільтри, підключені застосунки, нові способи 2FA й дані відновлення.
- Увімкніть ключ доступу або 2FA через застосунок і збережіть нові резервні коди.
Чому двофакторна автентифікація не зупинила атаки
2FA перевіряє вас у момент входу. Викрадений cookie — доказ, що вхід уже відбувся, тож у сайту немає причин питати знову. Тому Google розробляє Device Bound Session Credentials — вони прив’язують сеанс до пристрою, на якому його створено, і скопійований cookie стає набагато менш корисним деінде. Поки такий захист не став повсюдним, найкращий захист простий: не запускайте файлів, про які ви не просили, і регулярно перевіряйте сеанси — див. як перевірити пристрої з входом.
Якщо не вдається повернутися
Якщо зловмисник уже змінив пошту й номер телефону, скористайтеся власним шляхом відновлення платформи: офіційні посилання для відновлення, зламаний канал YouTube або «Зламаний акаунт Google». У нас служба відновлення зламаних акаунтів працює лише через ці офіційні канали.
Поширені запитання
Чи може хтось увійти в мій акаунт без пароля чи коду 2FA?
Так. Якщо шкідлива програма викраде cookie сеансу з браузера, зловмисник може повторно використати вже відкритий вами сеанс — пароль чи код не запитають, доки цей сеанс не завершиться.
Чи викине хакера зміна пароля?
На більшості платформ це завершує інші сеанси, але робіть це з чистого пристрою й також використовуйте «вийти всюди». На зараженому комп’ютері новий пароль можуть викрасти знову.
Як зрозуміти, що на комп’ютері шкідлива програма для крадіжки cookie?
Типові ознаки — одразу кілька скомпрометованих акаунтів після встановлення зламаних програм, читів для ігор чи невідомих розширень. Перевірте систему актуальною захисною програмою; якщо сумніваєтеся, скиньте пристрій.
Чи зупинить ключ доступу крадіжку cookie?
Ключ доступу захищає сам вхід від фішингу, але cookie, викраденим після входу, однаково можна зловжити. Поєднуйте ключі доступу з чистими пристроями й виходом із невикористовуваних сеансів.
Джерела: Google Threat Analysis Group — шкідливі програми для крадіжки cookie проти авторів YouTube, Google — боротьба з крадіжкою cookie за допомогою сеансів, прив’язаних до пристрою, Довідка акаунта Google — пристрої з доступом до акаунта, Підтримка Microsoft — вийти з облікового запису Microsoft усюди, Довідка YouTube — очистити зламаний канал