Kaspersky avverte che il dirottamento di sessione tramite cookie rappresenta un serio rischio per la sicurezza, consentendo agli aggressori di impersonare gli utenti o rubare dati. Il rapporto evidenzia minacce come XSS, fissazione della sessione e impostazioni dei cookie non sicure. Le difese più efficaci includono HTTPS, flag Secure/HttpOnly, MFA e piattaforme di gestione del consenso (CMP) come CookieHub per ridurre al minimo le vulnerabilità basate sui cookie.
Nel settembre 2025, l'azienda di sicurezza web Kaspersky ha pubblicato un avviso intitolato "Non lasciatevi mordere dai cookie: Kaspersky mette in guardia dall'imminente minaccia del dirottamento delle sessioni web". L'avviso richiama l'attenzione su un rischio informatico poco considerato: il dirottamento delle sessioni tramite cookie.
In breve: un autore di minacce che ruba o manipola i cookie di sessione può impersonare un utente, ottenere accesso non autorizzato o eseguire azioni per suo conto. Questo è uno dei tanti vettori di attacco basati sui cookie che possono mettere a repentaglio la privacy, l'integrazione dei dati o persino la sicurezza finanziaria.
Esploriamo cosa significa, quali difese esistono e come una piattaforma di gestione del consenso può contribuire a ridurre l'esposizione.
Kaspersky segnala che l'87% di un campione casuale di siti web visualizza avvisi sui cookie, ma molti utenti non sono consapevoli dei rischi più profondi per la sicurezza posti dai cookie.
I cookie possono memorizzare ID di sessione, preferenze, token di autenticazione o altri dati di stato che collegano un utente a una sessione del server. Se gli aggressori rubano o dirottano questi cookie, potrebbero assumere l'identità dell'utente o eseguire azioni non autorizzate.
I cookie trasportano lo stato. Quando un sito imposta un cookie o un token simile, il browser lo invia automaticamente alle richieste future, in modo che il server sappia che sei ancora "tu". Se un aggressore ruba o corregge quel cookie, può impersonarti fino a quando la sessione non viene invalidata.
Alcuni percorsi di attacco includono:
Attacchi di sniffing di sessione/man in the middle: su connessioni non sicure (ad esempio HTTP o reti Wi-Fi mal configurate), un aggressore può intercettare i cookie in transito.
Cross-site scripting (XSS): script dannosi vengono iniettati in un sito web ed eseguiti nel browser dell'utente, consentendo il furto di cookie.
Fissazione della sessione: un aggressore inganna un utente inducendolo ad adottare un ID di sessione predefinito, quindi dirotta quella sessione dopo che l'utente ha effettuato l'accesso. L'avviso di Kaspersky segnala esplicitamente i rischi di fissazione e modelli più ampi di abuso dei cookie.
Il mondo accademico ha documentato a lungo le debolezze dell'autenticazione di sessione basata sui cookie. Ad esempio, un classico articolo dell'ACM spiega perché i cookie siano il meccanismo di sessione web di fatto e perché il loro design li renda appetibili per gli aggressori, proponendo i "cookie monouso" come contromisura. Studi più recenti continuano a dimostrare che gli XSS rimangono diffusi e automatizzabili su larga scala.
Questo è un importante campanello d'allarme: i cookie possono sembrare banali, ma se utilizzati o gestiti in modo improprio, diventano potenti vettori di attacco.
Il dirottamento dei cookie si riferisce solitamente al furto o all'utilizzo da parte di un aggressore dei cookie di qualcun altro (cookie di sessione/autenticazione o cookie di tracciamento) per impersonarli o tracciarli. Cause comuni:
Cookie esposti a JavaScript (no HttpOnly)
Cookie inviati su connessioni non sicure (no Secure / non HTTPS)
Cross-site scripting (XSS) che legge i cookie
Script di terze parti che impostano o leggono cookie indesiderati
Impostazioni SameSite configurate in modo errato che consentono un uso improprio in stile CSRF
Una piattaforma di gestione del consenso, così come alcune best practice più generali, può affrontare diversi di questi vettori controllando quali script e cookie possono essere eseguiti e producendo record di consenso efficaci.
Kaspersky raccomanda una serie di best practice: applicare HTTPS, utilizzare i flag HttpOnly e Secure sui cookie, applicare token CSRF, utilizzare ID di sessione crittograficamente sicuri, incoraggiare un'accettazione minima dei cookie, cancellare cookie e cache, abilitare l'autenticazione a due fattori, evitare HTTP o reti Wi-Fi pubbliche senza protezioni, ecc.
La difesa dal dirottamento di sessione richiede un approccio multilivello. Sulla base delle raccomandazioni di sicurezza, alcune best practice possono includere:
Utilizzare sempre HTTPS / TLS
Tutti gli scambi di cookie e le richieste sensibili devono essere limitati ai canali crittografati. Utilizzare HSTS (HTTP Strict Transport Security) per evitare attacchi di downgrade del protocollo.
Impostare i flag Secure e HttpOnly sui cookie
Sicuro: garantisce che il cookie venga inviato solo tramite HTTPS, non tramite HTTP non sicuro. HttpOnly: impedisce a JavaScript nel browser di leggere o manipolare il cookie, riducendo i furti basati su XSS.
Attributo cookie SameSite
Utilizzare SameSite (ad esempio Strict o Lax) per limitare l'invio di cookie in contesti cross-site, riducendo il rischio di CSRF e alcune perdite cross-site.
Token CSRF / strategie anti-CSRF
Ogni richiesta di modifica dello stato dovrebbe contenere un token imprevedibile (ad esempio nelle intestazioni o nel corpo del modulo) associato alla sessione dell'utente.
Riconvalida e scadenza della sessione
Imporre la riautenticazione periodica o la scadenza automatica. Invalidare le sessioni dopo la disconnessione o una lunga inattività.
Sanificazione degli input / mitigazione XSS
Utilizzare policy di sicurezza dei contenuti (CSP), una rigorosa convalida degli input, l'escape degli output, il sandboxing e framework che riducono il rischio di iniezione di script.
Autenticazione a più fattori (MFA)
Anche in caso di furto dei token di sessione, l'MFA può fungere da barriera di backup.
Binding di sessione / fingerprinting del dispositivo
Combinare i token di sessione con metadati aggiuntivi (intervallo di indirizzi IP, user agent, fingerprint del dispositivo) e rifiutare le sessioni che si discostano in modo significativo.
Questo è un elenco basilare, seppur incompleto, di protezioni fondamentali. Tuttavia, un ambito in cui gli operatori web (proprietari di siti) incontrano spesso difficoltà è la gestione dei cookie, ed è qui che una piattaforma di gestione del consenso (CMP) come CookieHub può rivelarsi utile.
Una piattaforma di gestione del consenso (CMP) è uno strumento utilizzato dai siti web per raccogliere, gestire e applicare le preferenze di consenso degli utenti per cookie, tracker e altri sistemi di archiviazione del browser o utilizzo di script. Le CMP vengono spesso utilizzate per conformarsi alle normative sulla privacy (come GDPR, Direttiva ePrivacy, CCPA, ecc.).
Oltre alla conformità, una CMP ben progettata contribuisce alla sicurezza e riduce l'esposizione in diversi modi:
Uno degli obiettivi principali di una CMP è consentire agli utenti di accettare o rifiutare categorie di cookie (ad esempio, strettamente necessari, funzionali, di performance, di marketing, di targeting, di analisi). Rifiutando i cookie non essenziali, i siti riducono la loro superficie di attacco. Se un utente rifiuta i cookie, tali cookie (e le sessioni/token di tracciamento associati) non vengono mai impostati, eliminando possibili vie di compromissione.
Una CMP consente ai siti web di segmentare i cookie in base allo scopo e al servizio che li imposta, consentendo un controllo granulare. Gli utenti possono categorizzare i cookie in modo che siano consentiti solo i cookie di sessione proprietari.
Applicando sistematicamente le categorie e gli attributi dei cookie, la CMP può ridurre il rischio che cookie meno affidabili diventino canali di dirottamento.
Una CMP robusta non si limita a ottenere il consenso una sola volta; ne applica dinamicamente lo stato:
Se un utente revoca il consenso, la CMP può eliminare o disabilitare automaticamente i cookie e gli script associati. Gli script o i tracker che dipendono dai cookie vengono disabilitati fino a quando non viene concesso nuovamente il consenso. Le preferenze di consenso persistono e vengono riconciliate tra pagine, sottodomini e sessioni future. Questa revoca dinamica è importante: non si desidera che i "cookie zombie" persistano anche dopo che l'utente ha optato per la disattivazione.
Le CMP sono spesso dotate di dashboard o log che mostrano quale richiesta ha caricato il cookie e registrano lo stato del consenso. Questa visibilità aiuta i team di sicurezza a verificare l'utilizzo anomalo o rischioso di cookie o script.
Con CookieHub è disponibile una funzionalità di rimozione automatica dei cookie nella dashboard. Gli utenti possono abilitare o disabilitare questa funzionalità per migliorare la rimozione dei cookie. L'impostazione è disabilitata per impostazione predefinita.
Gli script di terze parti (inserzionisti, tracker, widget) sono fonti comuni di vulnerabilità (ad esempio, XSS, compromissione degli script della supply chain). Una CMP può bloccare o rinviare tali script a meno che l'utente non acconsenta, riducendo al minimo il rischio che script di terze parti dannosi inseriscano codice per intercettare o rubare i cookie.
Sebbene non costituisca una misura di sicurezza diretta, la trasparenza e la fiducia generate da un buon CMP incoraggiano gli utenti a prestare attenzione alle notifiche sui cookie, alle impostazioni sulla privacy e alle opzioni di consenso. La consapevolezza degli utenti è una difesa complementare: gli utenti che gestiscono attivamente i propri cookie hanno meno probabilità di esporsi inavvertitamente.
Se sei un gestore o uno sviluppatore di siti web, l'implementazione di una CMP integra i tuoi sforzi in termini di sicurezza e conformità.
L'umile cookie, importante per molte funzioni delle moderne esperienze digitali, può causare gravi problemi se utilizzato o gestito in modo improprio. I cookie offrono agli aggressori un bersaglio facile per il dirottamento di sessione, l'impersonificazione o il furto di dati. Ma adottando una CMP come CookieHub, ottieni un ulteriore livello di protezione, limitando la superficie di attacco attorno ai cookie.
©2025 CookieHub ehf.
