Masz silne hasło i włączone 2FA? Przestępcy mogą dostać się na konto bez żadnego z nich

Masz skomplikowane hasło, włączone uwierzytelnianie dwuetapowe i pilnujesz kodów logowania. To bardzo dobrze, ale nie daje całkowitej ochrony. Istnieje sposób przejęcia konta, przy którym przestępca nie musi znać hasła ani prosić o jednorazowy kod. Wystarczy mu aktywna sesja logowania, skradziona z urządzenia użytkownika.

Takie ataki nazywane są przejmowaniem sesji (session hijacking). Nie są nowym wynalazkiem, ale dane analizowane przez specjalistów pokazują, jak wiele informacji tego rodzaju trafia w ręce cyberprzestępców.

W badaniu opublikowanym w sierpniu 2026 roku NordVPN poinformował o wykryciu ponad 52,4 mld skradzionych zapisów plików cookie. Pochodziły one z danych zgromadzonych w ciągu roku, od czerwca 2025 do czerwca 2026 roku.

Do zagrożenia powrócił 25 października brytyjski „The Guardian”, zwracając uwagę na możliwość przejmowania aktywnych kont.

Sama liczba 52,4 mld wymaga jednak wyjaśnienia. Nie oznacza tylu ofiar ani przejętych profili. Większość ujawnionych plików cookie służyła reklamom, śledzeniu aktywności i zapamiętywaniu ustawień. Nie wszystkie umożliwiają przejęcie konta.

Niektóre są jednak znacznie cenniejsze.

Dlaczego po zalogowaniu nie musisz wpisywać hasła co minutę?

Kiedy logujesz się do poczty, sklepu internetowego albo serwisu społecznościowego, witryna musi zapamiętać, że pomyślnie przeszedłeś weryfikację.

Często służy do tego niewielki plik cookie przechowywany w przeglądarce. Może zawierać identyfikator sesji, dzięki któremu serwis rozpoznaje użytkownika podczas otwierania kolejnych stron.

To wygodne rozwiązanie. Możesz przechodzić między wiadomościami, przeglądać ustawienia i korzystać z konta bez każdorazowego wpisywania hasła.

Problem pojawia się, gdy ważny identyfikator sesji zostanie skradziony.

Jeżeli serwis nie stosuje dodatkowych mechanizmów ochronnych, taki identyfikator może umożliwić napastnikowi podszycie się pod osobę, która wcześniej prawidłowo się zalogowała.

Organizacja OWASP, opracowująca standardy bezpieczeństwa aplikacji internetowych, wskazuje, że przejęcie aktywnego cookie sesyjnego może pozwolić ominąć zabezpieczenia stosowane na etapie logowania, w tym uwierzytelnianie wieloskładnikowe.

Hasło może więc pozostać nieznane przestępcy. On nie próbuje go odgadnąć — wykorzystuje fakt, że serwis wcześniej uznał użytkownika za zalogowanego.

Nie każda skradziona sesja nadaje się do takiego nadużycia. Jej wykorzystanie zależy między innymi od ważności identyfikatora i dodatkowych zabezpieczeń konkretnej usługi.

Jak dane trafiają w ręce oszustów?

Jednym ze sposobów jest zainfekowanie urządzenia programem typu infostealer, czyli złośliwym oprogramowaniem przeznaczonym do wykradania informacji.

Taki program może zbierać zapisane hasła, dane autouzupełniania formularzy, informacje o przeglądanych stronach i aktywne pliki cookie.

Zakażenie bywa skutkiem zainstalowania programu z niepewnego źródła, otwarcia niebezpiecznego załącznika albo uruchomienia fałszywej aktualizacji.

Co istotne, kradzież może nastąpić bez wyświetlenia użytkownikowi komunikatu o błędzie. Przeglądarka nadal działa, strony otwierają się normalnie, a właściciel komputera nie musi zauważyć niczego podejrzanego.

Polski CERT od dawna opisuje zagrożenia związane z infostealerami. Skradzione dane mogą później trafiać do innych grup przestępczych, które wykorzystują je do dalszych oszustw.

Przejęte konto pocztowe może posłużyć do podszywania się pod właściciela lub prób resetowania haseł w innych serwisach. Dostęp do profilu społecznościowego umożliwia wysyłanie wiadomości do znajomych, a do konta sklepowego — potencjalnie wykorzystanie zapisanych danych płatniczych.

Nie oznacza to jednak, że samo przejęcie sesji bankowej zawsze wystarczy do wykonania przelewu. Banki mogą wymagać dodatkowego potwierdzenia operacji.

Wyłączenie komputera nie zawsze kończy logowanie

Wiele osób zakłada, że zamknięcie okna przeglądarki oznacza wylogowanie ze wszystkich otwartych serwisów.

Nie zawsze tak jest.

Niektóre witryny pozwalają pozostać zalogowanym przez wiele dni. Przeglądarka może też przywrócić poprzednią sesję po ponownym uruchomieniu.

Dlatego przy korzystaniu z cudzych urządzeń szczególnie ważne jest prawidłowe wylogowanie się z konta. Warto również sprawdzać listę aktywnych sesji, jeśli dana usługa udostępnia taką funkcję.

Duże znaczenie ma bezpieczeństwo samego komputera. Aktualny system, oprogramowanie ochronne i ostrożność przy instalowaniu dodatków do przeglądarki mogą zmniejszyć ryzyko infekcji.

A co zrobić, gdy podejrzewamy, że ktoś uzyskał dostęp do naszych kont?

Przede wszystkim należy sprawdzić urządzenie pod kątem złośliwego oprogramowania. Jeśli istnieje realne podejrzenie infekcji, najlepiej korzystać z innego, zaufanego sprzętu podczas zmieniania haseł.

Trzeba także zakończyć nieznane i potencjalnie przejęte sesje. W wielu serwisach służy do tego funkcja wylogowania ze wszystkich urządzeń.

Samo skasowanie plików cookie na własnym komputerze nie gwarantuje, że skradziony wcześniej identyfikator przestanie działać. Konieczne może być unieważnienie sesji przez usługodawcę.

Jeśli zauważymy nieznane operacje na koncie finansowym, należy natychmiast skontaktować się z bankiem.

Czy uwierzytelnianie dwuetapowe nadal ma sens?

Zdecydowanie tak. Dodatkowe potwierdzanie logowania wciąż skutecznie utrudnia wiele prób przejęcia konta.

Kradzież sesji nie dowodzi, że hasła i 2FA przestały działać. Pokazuje raczej, że cyberprzestępcy szukają sposobów obejścia momentu, w którym zabezpieczenia te są sprawdzane.

W praktyce ochrona konta nie kończy się więc na ustawieniu silnego hasła. Równie ważne jest to, co instalujemy na komputerze, jakie rozszerzenia dopuszczamy do przeglądarki i czy regularnie kontrolujemy aktywne logowania.

Bo nawet najlepiej zabezpieczone drzwi niewiele pomogą, jeśli ktoś zdobędzie klucz, który nadal je otwiera.

Źródła: The Guardian - Cookie theft, 25.10.2026; NordVPN; OWASP - Cookie Theft Mitigation; CERT