Secondo una recente ricerca di NordVPN, tra giugno 2025 e giugno 2026 sono stati individuati oltre 52 miliardi di cookie sottratti all’interno di archivi riconducibili a malware di tipo infostealer.

Il dato è particolarmente significativo: nello stesso insieme di informazioni rubate erano presenti anche password, credenziali, file, indirizzi email e dati di compilazione automatica, ma i cookie risultavano di gran lunga la categoria più numerosa.

Perché rubare un cookie?

I cookie sono piccoli dati che i siti salvano nel browser per ricordare preferenze, mantenere una sessione attiva o tracciare alcune attività di navigazione.

Di per sé non sono pericolosi. Il problema nasce quando vengono sottratti da un dispositivo infetto.

I più delicati sono i cookie di sessione, utilizzati dai siti per riconoscere un utente che ha già effettuato l’accesso. Se un criminale riesce a impossessarsene mentre la sessione è ancora valida, può tentare di entrare nell’account senza conoscere la password.

È il cosiddetto session hijacking, cioè il dirottamento della sessione.

Altri cookie non consentono invece di entrare direttamente in un account, ma possono comunque rivelare informazioni sulle abitudini di navigazione, sugli interessi dell’utente e sui servizi utilizzati.

Quando queste informazioni vengono combinate con password, indirizzi email, file o altri dati sottratti dallo stesso dispositivo, il criminale può costruire un profilo molto più preciso della vittima e rendere più credibili phishing e truffe mirate.

Come vengono rubati

Il furto avviene normalmente attraverso gli infostealer, malware progettati proprio per sottrarre informazioni presenti sul dispositivo.

Possono arrivare attraverso falsi aggiornamenti software, programmi scaricati da fonti non sicure, allegati email infetti, link di phishing, software pirata o pubblicità malevole.

Una volta installati, cercano nel browser cookie, credenziali salvate, dati di compilazione automatica e altre informazioni utili.

È importante chiarire che servizi come Google, Facebook, Netflix o YouTube non sono necessariamente compromessi: il problema nasce sul dispositivo dell’utente infettato, dal quale il malware riesce a prelevare le informazioni memorizzate.

Non servono solo per entrare negli account

La ricerca evidenzia anche l’elevata quantità di cookie pubblicitari e di tracciamento sottratti.

Questi dati possono non consentire direttamente l’accesso a un servizio, ma possono rivelare quali siti vengono visitati, quali interessi ha una persona e come si comporta online.

Il valore di un cookie rubato, quindi, non dipende soltanto dalla possibilità di “sbloccare” un account.

Su larga scala, anche informazioni apparentemente meno sensibili possono diventare utili per profilazione, frodi e campagne di social engineering.

Pochi malware, miliardi di cookie

Gran parte dei cookie analizzati nella ricerca era riconducibile a poche famiglie di infostealer.

Lumma-C2, RedLine e Vidar rappresentavano insieme quasi l’80% dei cookie individuati.

La concentrazione dimostra quanto possa essere rilevante l’impatto di un numero relativamente ristretto di malware progettati per sottrarre sistematicamente informazioni dai browser.

Le operazioni delle forze dell’ordine possono interrompere alcune campagne, ma non eliminano il fenomeno: quando una famiglia di malware viene neutralizzata, altre possono prenderne il posto.

Un rischio spesso sottovalutato

La pericolosità di una password rubata è ormai intuitiva. Quella di un cookie lo è molto meno.

Eppure un cookie di sessione sottratto può consentire a un aggressore di tentare di utilizzare una sessione già autenticata, mentre altri cookie possono fornire informazioni preziose per ricostruire le abitudini digitali della vittima.

Il vero rischio aumenta quando cookie, password, email e dati del dispositivo vengono sottratti insieme.

In quel momento il criminale non dispone più soltanto di una singola informazione, ma di un insieme di dati che può essere utilizzato per impersonare l’utente, costruire truffe più credibili o tentare l’accesso ai suoi servizi online.

La lezione è quindi semplice: proteggere il browser e il dispositivo significa proteggere non solo le password, ma anche le sessioni e tutte le informazioni che utilizziamo quotidianamente senza quasi accorgercene.