Infostealer: come ti rubano la sessione già autenticata, MFA compresa
Il malware che non cifra nulla e non chiede riscatti: copia cookie, password e token dal browser e li vende. Come funziona, perché l'MFA non basta e cosa fermarlo davvero.
Negli ultimi tre anni la categoria di malware cresciuta più in fretta non cifra file e non lascia biglietti. Si chiama infostealer: un programma che, una volta eseguito su un PC, copia in pochi secondi tutto quello che il browser ha salvato, cioè password, cookie di sessione, dati delle carte, portafogli di criptovalute e le credenziali di client come VPN, FTP e Discord, e lo spedisce a un server. Il bottino finisce in un «log» che viene venduto per pochi euro su canali Telegram e mercati dedicati.
Il dettaglio che cambia tutto è nei cookie di sessione. Chi compra il log non ha bisogno della password né del codice a sei cifre: importa i cookie in un browser e si trova dentro l’account già autenticato, con l’MFA superata perché era già stata superata dalla vittima. Le operazioni di polizia del 2025 contro Lumma, uno degli stealer più diffusi, hanno sequestrato migliaia di domini di comando e hanno mostrato la dimensione del fenomeno: centinaia di migliaia di macchine infette in pochi mesi. Ma l’ecosistema si è riorganizzato in settimane, come sempre.
Come entra
L’infezione arriva quasi sempre attraverso una di queste porte:
- software craccato e «attivatori»: il canale storico, ancora il più produttivo. Il file promesso c’è, e con lui lo stealer;
- falsi installer promossi con annunci sui motori di ricerca: si cerca il nome di un programma noto, il primo risultato è una pubblicità che porta a un clone del sito ufficiale;
- ClickFix: una pagina mostra un finto errore («per vedere il contenuto verifica di essere umano») e chiede di incollare un comando nella finestra Esegui di Windows. L’utente esegue da solo il malware, e nessun allegato passa dal filtro di posta;
- allegati e link classici di phishing, spesso a tema fattura, spedizione o documento condiviso;
- estensioni del browser e pacchetti in repository pubblici manomessi.
Lo stealer non ha bisogno di privilegi di amministratore: i dati che cerca sono nel profilo dell’utente. Gira, copia, spedisce e spesso si cancella. Molti antivirus lo vedono, molti no, perché le varianti cambiano ogni giorno.
Cosa porta via
Il profilo del browser contiene molto più di quanto si immagini:
| Dato | Cosa permette all’acquirente |
|---|---|
| password salvate | accesso diretto dove non c’è MFA, password reuse altrove |
| cookie di sessione | ingresso negli account senza login, MFA compresa |
| token di app (Slack, Discord, Teams) | impersonare la vittima nelle chat aziendali |
| autocompilazione | indirizzi, telefoni, numeri di carta |
| credenziali di client FTP, VPN, RDP | accesso ai server e alla rete aziendale |
| screenshot e impronta del sistema | scegliere le vittime «di valore» da rivendere |
Il log completo di un dipendente che lavora da casa con il PC personale contiene, in un unico file, la porta d’ingresso nella posta aziendale, nel gestionale in cloud e nella VPN. È il motivo per cui molte intrusioni con ransomware iniziano, mesi prima, da un log di stealer comprato per il costo di un caffè.
Perché l’MFA non basta
L’autenticazione a più fattori protegge il momento del login. Lo stealer ruba ciò che esiste dopo il login: il cookie che dice al server «questo browser è già stato verificato». Finché quel cookie è valido, chi lo possiede è, per il server, l’utente. Sessioni che durano trenta giorni, o «ricordami su questo dispositivo», allungano la finestra utile all’attaccante.
Le forme di MFA basate su codici o notifiche push hanno anche il problema opposto, il phishing in tempo reale: pagine proxy che inoltrano credenziali e codice al sito vero e restituiscono il cookie all’attaccante. Le due tecniche insieme spiegano perché «abbiamo l’MFA» non è più una risposta sufficiente a «come siete entrati?».
Cosa fermarlo davvero
Nessuna misura da sola risolve; queste, insieme, riducono il problema a qualcosa di gestibile.
1. MFA resistente al phishing. Passkey, chiavi FIDO2 e certificati legano l’autenticazione al dominio: un proxy non può riutilizzarle. Per gli account amministrativi e per la posta è la priorità numero uno.
2. Sessioni corte e legate al dispositivo. Ridurre la durata delle sessioni per le applicazioni sensibili; dove il provider lo permette, attivare la protezione del token che vincola il cookie al dispositivo su cui è stato emesso (Microsoft Entra offre la funzione «token protection», Google e altri stanno introducendo meccanismi simili). Un cookie copiato altrove smette di funzionare.
3. Accesso condizionato. Bloccare o richiedere una nuova verifica quando la sessione appare da un paese, un sistema operativo o un dispositivo diversi da quelli abituali. È il controllo che smaschera il cookie importato in un browser nuovo.
4. Niente password nel browser, o un gestore serio. I gestori di password salvano cifrato e sbloccano a richiesta; il salvataggio nativo del browser è in chiaro per qualsiasi processo dell’utente. Per gli accessi aziendali la scelta va imposta, non suggerita.
5. Controllo di ciò che gira. Sui PC aziendali, il blocco dell’esecuzione dalle cartelle utente (temporanea, download, AppData) ferma la maggior parte degli stealer prima del primo byte. Vale anche la disattivazione della finestra Esegui e degli script per chi non ne ha bisogno: ClickFix si basa su quello.
6. Rilevare, non solo prevenire. Un EDR che vede l’accesso anomalo ai file del profilo browser e la connessione verso il server di raccolta; e, sul lato applicativo, gli alert per login impossibili e sessioni concorrenti da luoghi diversi.
7. Revocare, non solo cambiare la password. Se un PC risulta infetto, cambiare la password non invalida i cookie già rubati. Vanno revocate tutte le sessioni attive di quell’utente, su ogni servizio, e rigenerati i token delle applicazioni. È il passo che salta più spesso.
Il dispositivo personale è il punto debole
Il caso ricorrente è il dipendente, o il fornitore, che accede ai servizi aziendali dal PC di casa, condiviso con i figli e con il gioco scaricato «gratis». Le politiche di accesso dovrebbero distinguere: dai dispositivi gestiti si entra, da quelli non gestiti si entra con limiti, sessione breve e verifica rafforzata. Non è una misura simpatica, ma è quella che chiude la porta più usata.
Cosa fare se è già successo
- Isolare la macchina e conservarla per l’analisi.
- Revocare tutte le sessioni e i token dell’utente su ogni servizio; poi cambiare le password.
- Controllare i log di accesso degli ultimi trenta giorni per sessioni da indirizzi o dispositivi sconosciuti.
- Verificare se l’utente aveva accesso a sistemi condivisi (FTP, VPN, RDP) e ruotare quelle credenziali.
- Cercare il dominio aziendale nei servizi che indicizzano i log di stealer trapelati: spesso confermano da quando e da quale macchina.
Gli infostealer sono la dimostrazione che il perimetro non è più la rete ma la sessione. Difendere la sessione, con autenticazione resistente al phishing, durata breve e legame al dispositivo, è oggi la misura con il miglior rapporto fra costo ed efficacia in una PMI.