Hackeři kradou vaše soubory cookie. Chrome může pomoci zastavit krádež souborů cookie relace!

Společnost Google vytvořila a vydala nové opatření na ochranu před soubory cookie, které znemožňuje odcizené soubory cookie relace na jakémkoli jiném zařízení pro webové stránky aktualizované tak, aby tento přístup podporovaly. Zde je to, co dělá, komu pomáhá a co dělat hned teď.

Krátká verze
Malware Infostealer nepotřebuje vaše heslo ani vaše MFA kódy. Stačí mu malý soubor, který si váš prohlížeč uloží po vašem přihlášení, nazývaný Relační soubor cookie. Po léta stačila krádež samotného tohoto souboru k tomu, aby se uživatel online vydával za vás a obcházel uživatelská jména, hesla a dokonce i vícefaktorové ověřování (MFA). Chrome nyní tento soubor propojuje s vaším konkrétním zařízením, takže Relační soubory cookie přestanou fungovat kdekoli, což zabraňuje útokům typu „krádež relace“.

Zákeřný problém s cookies relace

Když se přihlásíte na webovou stránku, váš prohlížeč obdrží soubor cookie relace, malý token, který dokazuje, že jste se již přihlásili. Od tohoto okamžiku server důvěřuje tokenu, nikoli vašemu heslu. Díky tomu je prohlížení rychlé a pohodlné, ale zároveň to vytvořilo skutečnou slabinu. Kdokoli má soubor cookie, uchovává vaši relaci, není potřeba žádné heslo ani vícefaktorová autentizace (MFA).

Malware typu Infostealer, jako je LummaC2, strávil roky 2024 a 2025 tiše sbíráním těchto tokenů a jejich prodejem na online trzích. Protože soubory cookie často zůstávají platné několik dní nebo týdnů, útočníci měli dostatek času je použít dříve, než si jich někdo všiml.

Neexistuje spolehlivý způsob, jak zabránit exfiltraci souborů cookie pouze pomocí softwaru v žádném operačním systému.
Bezpečnostní tým Google, duben 2026

Jak to Chrome opravil

Řešení od Googlu se nazývá Device Bound Session Credentials neboli DBSC. Nyní je k dispozici pro všechny uživatele Chromu 146 pro Windows a podpora pro macOS bude brzy k dispozici. Myšlenka je jednoduchá: Chrome nedůvěřuje samotnému souboru cookie, ale váže relaci k fyzickému zařízení, na kterém jste se přihlásili. I když soubor cookie ukradne zloděj, přestane fungovat na jakémkoli jiném počítači.

Jak funguje DBSC – krok za krokem

1. Přihlášením si vytvoříte na svém zařízení unikátní klíč
   • Když se přihlásíte, Chrome vygeneruje pár klíčů na bezpečnostním čipu vašeho zařízení, Modul důvěryhodné platformy (TPM) ve Windows nebo Secure Enclave na Macu. Tento klíč nikdy neopouští váš počítač.
2. Webová stránka propojí vaši relaci s tímto klíčem
   • Server ukládá veřejnou polovinu klíče a propojuje ji s vaší relací. Váš soukromý klíč zůstává uzamčen v hardwaru a nelze jej kopírovat ani exportovat.
3. Krátkodobé soubory cookie potřebují soukromý klíč jako důkaz pro obnovení.
   • Místo jednoho dlouhodobého souboru cookie (až 30 dní) nyní Chrome používá krátkodobé soubory cookie (10 minut), které se automaticky obnovují po zadání soukromého klíče. Koncový uživatel si rozdílu nikdy nevšimne.
4. Ukradená cookie, nulový přístup
   • Pokud útočník přesune soubor cookie do jiného zařízení, nemůže prokázat, že má soukromý klíč. Server jej odmítne a relace ukončí.

Vlastní testování Googlu ukázalo, že DBSC během beta testování zablokoval 94 % pokusů o krádež souborů cookie. Pro 6 % úspěšných pokusů bylo nutné, aby byl do počítače předem vložen malware s vědomým soukromým klíčem. Každá relace také používá samostatný klíč pro každou stránku, takže webové stránky nemohou tento systém použít ke sledování vašich návštěv nebo k propojení vašich aktivit.

Jaké je místo Edge, Safari a Firefox?

Chrome se posunul jako první a nejkompletněji. Zde je srovnání, jak si v této oblasti ochrany dnes stojí každý hlavní desktopový prohlížeč. Apple vyjádřil obavy ze „super-cookie“, které umožňuje nesmazatelné sledování napříč relacemi. Specifikace W3C to řeší zajištěním mazání klíčů spolu s daty webových stránek. Apple zůstává v pozici „v diskusi“, nikoli „ve vývoji“.

Co DBSC zatím nepokrývá

Tato ochrana je skutečná a na ní záleží. To ale není konec příběhu. Zde je třeba mít na paměti čtyři věci.

Tři věci, které můžete tento týden udělat

Abyste z toho mohli těžit, nemusíte být bezpečnostní expert. Chrome automaticky odvede těžkou práci na podporovaném hardwaru. Vaším úkolem je zajistit, aby mohl svou práci vykonávat.

Na osobním zařízení otevřete Chrome a přejděte do Nastavení, poté do Nápovědy a poté do O prohlížeči Google Chrome. Pokud nepoužíváte verzi 146 nebo novější, aktualizujte jej. V systému Windows 11 má vaše zařízení téměř jistě čip TPM, který je pro fungování potřebný. Pokud používáte starší počítač nebo systém Windows 10, ověřte si specifikace výrobce.

Pro majitele firem a IT manažery, přidejte toto do vaší příští týmové kontroly: ověřte, zda vaši zaměstnanci používají Chrome 146 nebo novější, požádejte svého IT specialistu o ověření, zda je TPM aktivní na zařízeních s Windows, a sledujte oznámení z klíčových firemních aplikací týkající se podpory DBSC. Pokrok se děje rychle.

Vaše jednorázové ponaučení: aktualizujte Chrome, zkontrolujte hardware, zda nemáte čip TPM, a buďte v pohodě s vědomím, že mnoho webových stránek brzy zabrání fungování odcizených souborů cookie relace a zastaví útoky krádeže souborů cookie relace. Cookie Monsters budou pryč!

---

Zdroje:

• ZDNet – Chrome nyní brání hackerům v krádeži souborů cookie vašeho prohlížeče – jak funguje jeho nová bezpečnostní funkce
• Blog o zabezpečení Google – Ochrana souborů cookie pomocí přihlašovacích údajů relace vázaných na zařízení
• BleepingComputer – Google Chrome přidává ochranu proti krádeži souborů cookie relace pro všechny uživatele
• Zpráva o narušení identity od společnosti Constella Intelligence za rok 2026 – Google právě opravil krádež souborů cookie relace v Chromu. Zde je to, co stále nedokáže zastavit.
• Průvodci ochranou osobních údajů – Google Chrome přidává ochranu před malwarem kradejícím soubory cookie
• TechRadar – Google Chrome představuje nový nástroj, který se snaží zastavit malware typu „infostealer“ hned v jeho počáteční fázi.

---

Zabezpečte své podnikání s CyberHootem ještě dnes!