Quando inicias sessão num site, o navegador recebe um cookie que permite ao serviço reconhecer-te nas visitas seguintes. É por isso que não precisas de escrever a palavra-passe ou introduzir um código de verificação sempre que abres o Gmail, o Facebook ou a Netflix.
O problema começa quando um malware consegue roubar esse cookie. Se a sessão ainda estiver válida, o Hacker pode tentar reutilizá-lo para entrar no site como se fosse o verdadeiro utilizador. Este método é conhecido como sequestro de sessão.
Na prática, o hacker não precisa necessariamente de descobrir a palavra-passe. Também pode conseguir evitar o pedido de autenticação de dois fatores, porque está a tentar reutilizar uma sessão que já foi aprovada anteriormente.
Uma investigação da NordVPN mostra a dimensão do problema. Os investigadores identificaram 52 389 324 619 registos de cookies roubadas em dados históricos recolhidos entre 9 de junho de 2025 e 8 de junho de 2026.
Este número não representa 52 mil milhões de pessoas atacadas. Um único computador infetado pode guardar e expor vários cookies. A própria investigação esclarece que os dados não correspondem a uma contagem completa de todos os roubos ocorridos no mundo.
Ainda assim, os cookies surgiram com uma frequência 4,6 vezes superior à soma dos restantes tipos de dados analisados, onde estavam incluídos ficheiros, credenciais e informações de cartões bancários.
Três famílias de malware dominam os roubos
A maior parte dos cookies foi recolhida por programas maliciosos conhecidos como infostealers. Estes entram no dispositivo e procuram informações guardadas no navegador, como palavras-passe, preenchimento automático, ficheiros e sessões abertas.
Três famílias de malware foram responsáveis por quase 80% dos cookies encontrados:
- Lumma-C2: 34,5%;
- RedLine: 27,2%;
- Vidar: 18,1%.
Estes programas podem chegar através de downloads pouco seguros, atualizações falsas, anúncios maliciosos, anexos infetados ou aplicações pirateadas. Cheats para jogos também podem esconder este tipo de ameaça.
Recentemente, a Microsoft alertou para uma ferramenta que rouba palavras-passe e cookies no Chrome e no Edge, mostrando que os dados guardados pelo navegador são cada vez mais apetecíveis para os hackers.
As plataformas mencionadas no estudo não são a origem do malware. Serviços como Google, Facebook, Instagram, Discord e Netflix aparecem nos registos porque são algumas das contas utilizadas nos computadores infetados.
Entre os dados de início de sessão analisados, o endereço de autenticação da Google apareceu 11,78 milhões de vezes. Seguiram-se o Facebook, com 8,1 milhões, e o serviço de login da Microsoft, com 7,85 milhões.
Ter antivírus não elimina completamente o risco
O estudo encontrou cookies roubados em registos associados a dispositivos com software de segurança instalado. Entre os ficheiros que continham essa informação, 96,3% mencionavam o Windows Defender, enquanto os restantes indicavam soluções comerciais.
Isto não significa que o Defender falhou em 96,3% dos computadores, nem que um antivírus é inútil. O número reflete apenas a distribuição dos produtos de segurança mencionados nessa parte específica da amostra. A conclusão mais segura é que nenhuma proteção consegue bloquear todas as ameaças.
A melhor defesa começa por evitar programas pirateados, ficheiros de origem desconhecida e falsos avisos que pedem a execução de comandos. Há ataques que recorrem precisamente a instruções aparentemente simples para instalar malware no computador.
Se suspeitares de um roubo de cookies, deves terminar todas as sessões da conta, mudar a palavra-passe e verificar os dispositivos ligados. Depois, elimina os cookies do navegador e executa uma análise completa à procura de malware.
A autenticação de dois fatores continua a ser recomendada, mesmo que não consiga travar isoladamente todos os ataques de sequestro de sessão. Também deves consultar a atividade recente e confirmar se foram alterados o email de recuperação, o número de telefone ou os métodos de pagamento.
Movimentos que não reconheces, mensagens enviadas sem o teu conhecimento ou alterações inesperadas podem indicar que a tua conta foi comprometida. Nesse caso, quanto mais depressa terminares as sessões abertas, menor será o tempo disponível para o hacker aproveitar o cookie roubado.
