I dati conservati nei browser rappresentano uno degli obiettivi principali degli infostealer. La ricerca di NordVPN rileva 574 milioni di cookie associati all’Italia e descrive i rischi legati al furto delle sessioni già autenticate.
Oltre 52,4 miliardi di cookie rubati sono comparsi nei dataset storici degli infostealer nell’arco di un solo anno. Il dato emerge da una ricerca di NordVPN, che ha analizzato le informazioni raccolte tra il 9 giugno 2025 e l’8 giugno 2026. I cookie hanno superato di 4,6 volte la somma di tutti gli altri tipi di dati individuati nello stesso archivio, comprese password, credenziali, file, informazioni di compilazione automatica e carte di pagamento. L’Italia occupa il ventesimo posto a livello mondiale, con circa 574 milioni di cookie presenti nei dataset esaminati. La cifra rappresenta il numero complessivo dei record e non quello degli utenti, degli account o dei dispositivi colpiti. Una singola infezione può infatti causare il furto di centinaia o migliaia di cookie.
Perché i cookie sono utili ai criminali informatici
I cookie sono piccoli file che i siti web salvano nel browser per memorizzare preferenze, identificatori e informazioni relative alla navigazione. Alcuni permettono anche di mantenere attiva una sessione dopo l’accesso a un account. Quando un criminale informatico entra in possesso di un cookie di sessione ancora valido, può tentare di importarlo nel proprio browser e assumere l’identità digitale della vittima. In questo modo il sito potrebbe riconoscere l’aggressore come un utente già autenticato, senza richiedere nuovamente la password. La tecnica prende il nome di session hijacking, o furto di sessione. In alcuni casi può superare anche l’autenticazione a due fattori, poiché il controllo è già avvenuto durante l’accesso originale. Non tutti i cookie rubati consentono di prendere il controllo di un account. Secondo NordVPN, la categoria più diffusa nel dataset comprende cookie pubblicitari e di tracciamento. Questi dati possono comunque rivelare interessi, siti visitati e abitudini online, con possibili conseguenze per la privacy e la costruzione di campagne di phishing mirate.
Gli infostealer raccolgono i dati presenti nel browser
Il furto avviene soprattutto attraverso gli infostealer, malware progettati per estrarre le informazioni archiviate su computer e dispositivi mobili. Questi programmi cercano cookie, password memorizzate, credenziali, file, indirizzi email, portafogli di criptovalute, dati di compilazione automatica e informazioni sulle carte di pagamento. Le infezioni possono partire da software pirata, falsi aggiornamenti, allegati email infetti, annunci pubblicitari malevoli, collegamenti di phishing, applicazioni contraffatte e trucchi per videogiochi. Tre famiglie di malware hanno prodotto quasi l’80% dei cookie individuati dalla ricerca. Lumma-C2 occupa il primo posto con il 34,5%, seguita da RedLine con il 27,2% e Vidar con il 18,1%. La concentrazione mostra come poche famiglie di infostealer possano raccogliere enormi quantità di dati. La diffusione di modelli malware-as-a-service consente inoltre a criminali con competenze tecniche limitate di acquistare o noleggiare gli strumenti necessari per avviare campagne malevole.
Google, Facebook e Microsoft tra i servizi più esposti
I dati sottratti non riguardano soltanto conti bancari o sistemi aziendali. Nei dataset compaiono numerosi servizi di uso quotidiano. Google occupa il primo posto con 11,78 milioni di record, seguita da Facebook con 8,10 milioni e Microsoft con 7,85 milioni. Tra le altre piattaforme presenti figurano Instagram, Discord, Netflix e Roblox. Un campione separato, basato sugli avvisi di NordVPN relativi alle sessioni compromesse, cita anche Twitch, YouTube, Reddit e Bing. Queste informazioni non rappresentano una classifica completa dei servizi più colpiti, ma indicano l’interesse dei criminali per gli account social, le piattaforme video e i servizi di intrattenimento. Un account compromesso può contenere messaggi privati, cronologie, dati personali, contatti e metodi di pagamento salvati. L’aggressore può inoltre sfruttare il profilo della vittima per inviare truffe ai suoi contatti o tentare il recupero di altri account.
India prima per numero di cookie rubati
I ricercatori hanno individuato cookie associati a oltre 250 Paesi e territori. L’India occupa il primo posto per volume complessivo con 4,68 miliardi di record, seguita da Brasile con 2,83 miliardi, Stati Uniti con 2,43 miliardi, Indonesia con 2,10 miliardi e Filippine con 1,93 miliardi. Il quadro cambia quando il dato viene rapportato alla popolazione. In questo caso, Uruguay, Perù e Cile registrano la maggiore concentrazione di cookie per abitante. L’Italia, con 574 milioni di record, si colloca al ventesimo posto della graduatoria globale. Il confronto tra Paesi deve però tenere conto della natura del dataset, che misura i cookie raccolti e non il numero effettivo delle persone colpite.
La presenza di un antivirus non elimina il rischio
La ricerca include anche informazioni sui software di sicurezza presenti nei log delle infezioni.
Tra i record che riportavano dati sul prodotto di sicurezza installato, il 96,3% indicava Windows Defender, mentre la parte restante faceva riferimento a suite antivirus commerciali. Il dato non permette di stabilire se il software fosse attivo, aggiornato o configurato correttamente al momento dell’attacco.
Non dimostra quindi l’inefficacia degli antivirus, ma conferma la necessità di adottare più livelli di protezione. Un infostealer può sfruttare comportamenti rischiosi dell’utente, vulnerabilità non corrette o tecniche capaci di eludere i sistemi di rilevamento.
Cosa fare se una sessione è stata compromessa
In caso di sospetto furto dei cookie, è opportuno disconnettere l’account da tutti i dispositivi. Questa operazione può invalidare le sessioni aperte e rendere inutilizzabile il cookie sottratto.
Occorre poi cambiare la password, attivare l’autenticazione a più fattori e controllare l’elenco degli accessi recenti. È importante verificare anche la presenza di dispositivi, indirizzi email, numeri di telefono o metodi di pagamento sconosciuti.
La cancellazione della cache e dei cookie del browser elimina i dati presenti localmente, ma non rimuove un eventuale malware dal dispositivo. Per questo motivo è necessario eseguire una scansione completa del sistema, aggiornare il software e disinstallare applicazioni o estensioni sospette.
Il solo cambio della password potrebbe non bastare. Se l’infostealer resta attivo, può sottrarre anche i nuovi cookie generati dopo l’accesso successivo.
Come ridurre il rischio
Per limitare il pericolo è consigliabile installare programmi soltanto da fonti ufficiali, evitare software pirata e controllare con attenzione allegati, link e falsi aggiornamenti.
Browser, sistema operativo e applicazioni devono ricevere regolarmente le patch di sicurezza. L’autenticazione a più fattori aggiunge una barriera importante, anche se non risolve da sola il rischio legato alle sessioni già autorizzate.
Conviene inoltre controllare periodicamente i dispositivi collegati agli account più importanti e chiudere le sessioni che non risultano più necessarie.
La metodologia della ricerca
NordVPN ha analizzato i dati storici sui cookie raccolti dagli infostealer e disponibili tramite la piattaforma NordStellar. Il periodo preso in esame va dal 9 giugno 2025 all’8 giugno 2026.
Il totale di 52.389.324.619 cookie rappresenta un conteggio cumulativo dei record. Non corrisponde al numero di utenti, dispositivi, account o infezioni distinti.
Lo stesso dataset comprendeva 6,75 miliardi di voci di compilazione automatica, 2,17 miliardi di file, 1,55 miliardi di record relativi alle credenziali, 607,9 milioni di password, 341,4 milioni di indirizzi email unici e 1,09 milioni di carte di pagamento.
La ricerca include anche un campione limitato di dati interni ricavati dagli avvisi sulle sessioni compromesse, raccolti tra febbraio e giugno 2026.
