Hackere stjæler dine cookies. Chrome kan muligvis hjælpe med at stoppe tyveri af sessionscookies!

Google har udviklet og udgivet en ny cookiebeskyttelsesforanstaltning, der gør stjålne sessionscookies ubrugelige på alle andre enheder for websteder, der er opdateret til at understøtte denne tilgang. Her er, hvad den gør, hvem den hjælper, og hvad du skal gøre lige nu.

Den korte version
Infostealer-malware behøver ikke din adgangskode eller dine MFA-koder. Alt, hvad den behøver, er den lille fil, som din browser gemmer, når du logger ind, kaldet en sessionscookie. I årevis var det nok at stjæle den fil alene til at udgive sig for at være dig online, og dermed omgå brugernavne, adgangskoder og endda multifaktorgodkendelse (MFA). Chrome knytter nu den fil til din specifikke enhed, så sessionscookies holder op med at virke overalt og forhindrer "sessionstyveri"-angreb.

Det luskede problem med sessionscookies

Når du logger ind på et websted, modtager din browser en sessionscookie, et lille token, der beviser, at du allerede er logget ind. Fra det tidspunkt stoler serveren på tokenet, ikke på din adgangskode. Dette gjorde browsing hurtig og bekvem, men det skabte også en reel svaghed. Den, der opbevarer cookien, opbevarer din session, ingen adgangskode og ingen MFA nødvendig.

Malwarefamilier som LummaC2 brugte 2024 og 2025 på stille og roligt at høste disse tokens og sælge dem på onlinemarkeder. Fordi cookies ofte forbliver gyldige i dage eller uger, havde angriberne masser af tid til at bruge dem, før nogen bemærkede det.

Der er ingen pålidelig måde at forhindre cookie-eksfiltrering udelukkende ved hjælp af software på noget operativsystem.
Googles sikkerhedsteam, april 2026

Sådan løste Chrome det

Googles svar kaldes Device Bound Session Credentials eller DBSC. Det er nu tilgængeligt for alle på Chrome 146 til Windows, og macOS-understøttelse kommer snart. Ideen er enkel: I stedet for at stole på en cookie alene, binder Chrome sessionen til den fysiske enhed, hvor du loggede ind. Selv hvis en tyv stjæler cookien, stopper den med at virke på alle andre maskiner.

Sådan fungerer DBSC – trin for trin

1. Login opretter en unik nøgle på din enhed
   • Når du logger ind, genererer Chrome et nøglepar på din enheds sikkerhedschip, Trusted Platform Module (eller TPM) på Windows eller Secure Enclave på Mac. Denne nøgle forlader aldrig din maskine.
2. Hjemmesiden knytter din session til den nøgle
   • Serveren gemmer den offentlige halvdel af nøglen og forbinder den med din session. Din private nøgle forbliver låst i hardwaren og kan ikke kopieres eller eksporteres.
3. Kortlivede cookies skal bruge den private nøgle som bevis for at opdatere
   • I stedet for én langtidsholdbar cookie (op til 30 dage) bruger Chrome nu korttidsholdbare cookies (10 min.), der fornyes automatisk, hvis den private nøgle angives. Slutbrugeren bemærker aldrig forskellen.
4. Stjålet cookie, nul adgang
   • Hvis en angriber overfører cookien til en anden enhed, kan de ikke bevise, at de har den private nøgle. Serveren afviser dem, og sessionen afsluttes.

Googles egne test viste, at DBSC blokerede 94% af forsøg på cookietyveri under betaversionen. For de 6%, der lykkedes, krævede deres succes malware, der var indlejret på maskinen på forhånd. Hver session bruger også en separat nøgle pr. websted, så websteder kan ikke bruge dette system til at spore dig på tværs af forskellige besøg eller forbinde din aktivitet.

Hvor står Edge, Safari og Firefox?

Chrome gik først og mest fuldstændigt. Her er en sammenligning af, hvor hver større desktopbrowser står i dag med hensyn til denne beskyttelse. Apple udtrykte bekymring over en "Super-Cookie", der muliggør sporing på tværs af sessioner, der ikke kan slettes. W3C-specifikationen adresserer dette ved at sikre, at nøgler ryddes sammen med webstedsdata. Apple er fortsat i positionen "under diskussion" snarere end "under udvikling".

Hvad DBSC ikke dækker endnu

Denne beskyttelse er reel, og den betyder noget. Det er heller ikke slutningen på historien. Her er fire ting, du skal huske på.

Tre ting at lave i denne uge

Du behøver ikke at være sikkerhedsekspert for at drage fordel af dette. Chrome klarer det hårde arbejde automatisk på understøttet hardware. Dit job er at sørge for, at det kan udføre sit job.

På en personlig enhed skal du åbne Chrome og gå til Indstillinger, derefter Hjælp og derefter Om Google Chrome. Hvis du ikke bruger version 146 eller nyere, skal du opdatere nu. På Windows 11 har din enhed næsten helt sikkert den TPM-chip, der er nødvendig for at dette kan fungere. Hvis du bruger en ældre maskine eller Windows 10, skal du kontrollere producentens specifikationer for at bekræfte.

For virksomhedsejere og IT-ledere, tilføj dette til jeres næste teamcheck-in: Bekræft, at jeres medarbejdere bruger Chrome 146 eller nyere, bed jeres IT-medarbejder om at bekræfte, at TPM er aktiv på Windows-enheder, og hold øje med meddelelser fra jeres vigtigste virksomhedsapps om DBSC-support. Fremskridtene sker hurtigt.

Din konklusion på én linje: opdater Chrome, tjek din hardware for en TPM-chip, og vær sikker på, at mange websteder meget snart vil forhindre stjålne sessionscookies i at virke og dermed stoppe angreb med tyveri af sessionscookies. Cookiemonstrene vil være væk!

---

kilder:

• ZDNet – Chrome forhindrer nu hackere i at stjæle dine browsercookies – sådan fungerer den nye sikkerhedsfunktion
• Googles sikkerhedsblog – Beskyttelse af cookies med enhedsbundne sessionslegitimationsoplysninger
• BleepingComputer – Google Chrome tilføjer beskyttelse mod tyveri af sessionscookies for alle brugere
• Constella Intelligence 2026 Identitetsbrudsrapport – Google har lige rettet tyveri af sessionscookies i Chrome. Her er, hvad de stadig ikke kan stoppe.
• Privatlivsvejledninger – Google Chrome tilføjer beskyttelse mod malware, der stjæler cookies
• TechRadar – Google Chrome lancerer et nyt værktøj til at forsøge at stoppe malware, der stjal information.

---

Sikr din virksomhed med CyberHoot i dag!