Cookies são porta de entrada invisível para ciberataques, diz Kaspersky

Apesar de aparecerem em quase nove em cada 10 sites, os cookies continuam a ser subestimados pela maioria dos utilizadores. O alerta é dado pela Kaspersky, que no seu mais recente relatório expõe como estes pequenos ficheiros podem abrir caminho a ataques que comprometem dados pessoais, credenciais de acesso e até identidades digitais.

Um novo relatório da Kaspersky revela que 87% dos websites pesquisados aleatoriamente exibem notificações de cookies, mas a maioria dos utilizadores continua inconsciente das sérias ameaças que estes pequenos ficheiros de dados representam. Com regulamentações globais como o RGPD e outras que exigem transparência na recolha de dados, o relatório enfatiza a necessidade crítica de uma gestão robusta de cookies para proteger informações pessoais e corporativas contra exploração.

Os cookies são ficheiros de texto armazenados pelos browsers para melhorar a funcionalidade dos sites e rastrear a atividade dos utilizadores, que, por vezes, tornam-se alvos de ciberataques. Uma dessas ameaças, o sequestro de ID de sessão, implica que os atacantes obtenham acesso não autorizado às sessões ativas dos utilizadores em sites. Isso pode, potencialmente, dar aos cibercriminosos acesso a dados confidenciais ou a capacidade de realizar ações em nome da vítima, como configurar transações não autorizadas.

Segundo a Kaspersky, “dependendo da configuração do site, os ficheiros de cookies podem armazenar uma variedade de dados, incluindo preferências de navegação, detalhes pessoais, como números de telefone ou informações de pagamento, e até mesmo credenciais de login. Os atacantes podem roubar esses cookies para sequestrar a sessão de um utilizador num site. Por exemplo, com uma técnica de sniffing de sessão, os cibercriminosos podem intercetar o ID de sessão de um utilizador numa rede Wi-Fi pública ou se o site usar o protocolo HTTP em vez de HTTPS”.

E acrescenta: “O cross-site scripting (XSS) permite a injeção de scripts maliciosos num site, que são executados no browser do utilizador para roubar IDs de sessão ou outros dados de cookies. A fixação de sessão é, então, usada pelos atacantes para induzir as vítimas a usar um ID de sessão predefinido, permitindo o acesso à sua conta após a autenticação”.

Num cenário real, se um cibercriminosos intercetar o ID de sessão de um utilizador enquanto este estiver ligado a uma loja online, poderá, por exemplo, obter o endereço de entrega ou aceder às credenciais de pagamento do utilizador, caso a sessão conceda acesso às configurações de pagamento da conta. Como tal, o sequestro de ID de sessão pode levar a falhas de privacidade, perdas financeiras, bem como ao comprometimento da conta ou até mesmo roubo de identidade. O utilizador também pode enfrentar danos da sua reputação se o infrator usar indevidamente a sua conta para enviar mensagens fraudulentas ou fazer publicações não autorizadas.

“Os cookies são a espinha dorsal de experiências online perfeitas, permitindo tudo, desde configurações personalizadas até logins simplificados, mas também são um alvo para hackers se não forem manuseados com cuidado. Sem as proteções adequadas, os atacantes podem explorar IDs de sessão para sequestrar contas de utilizadores, roubar dados confidenciais ou até mesmo manipular interações em sites, tornando imperativo que os programadores priorizem medidas de segurança e que os utilizadores permaneçam proativos na proteção de seus rastros digitais”, afirma Natalya Zakuskina, analista sénior de conteúdo online da Kaspersky.

Para combater estas ameaças, a Kaspersky recomenda que evite navegar em websites baseados em HTTP e nunca insira informações confidenciais nesses sites, pois estas podem ser facilmente intercetadas, bem como partilhar informações confidenciais ou sigilosas ao usar redes Wi-Fi públicas.

Além disso, sugere que os utilizadores optem pela aceitação mínima de cookies, sempre que possível, e ativem a autenticação de dois fatores, evitando clicar em links suspeitos e limpando regularmente os dados do histórico do browser.

E aconselha que os programadores e profissionais que desenvolvem sites “devem aplicar HTTPS, usar sinalizadores HttpOnly e Secure, implementar tokens CSRF e adotar a geração de IDs de sessão encriptada e segura”.