Il mondo del web e della content creation è sempre più spesso scosso da notizie riguardanti il furto di importanti account Google e canali YouTube, come accaduto recentemente nel noto caso di Andrea Galeazzi. Ma come è possibile che attacchi di questo tipo colpiscano anche utenti esperti e profili dotati di doppia autenticazione? La risposta non risiede quasi mai nella debolezza della password, ma in una tecnica subdola chiamata Session Hijacking, una minaccia che ogni professionista digitale deve imparare a conoscere e neutralizzare.
Protezione Account
Il furto dei Cookie: come gli hacker “entrano senza bussare”
Ogni volta che effettuiamo l’accesso e clicchiamo su “Resta collegato“, il browser salva un piccolo file chiamato Cookie di Sessione. Questo file (è un token, un vero e proprio certificato) dice a Google che la tua identità è già stata verificata. L’attacco avviene quando un malware copia questi file e li invia all’hacker, che può così “clonare” la tua identità, accedere senza che il sistema chieda né password né doppia autenticazione via SMS. Basta salvare questa sessione su un browser remoto da dove sarà possibile accedere alla piattaforma già loggato senza la necessità di inserire user e password.
La mia strategia: la tecnica del “Browser Isolato”
Per contrastare questa minaccia, oltre agli strumenti standard, suggerisco di adottare una strategia di difesa basata sulla separazione netta degli ambienti di lavoro, una soluzione che considero fondamentale per chiunque gestisca asset digitali importanti.
L’idea è semplice ma estremamente efficace: utilizzare due browser differenti per scopi diversi.
- Browser Critico (es. Chrome): da utilizzare esclusivamente per l’accesso al canale YouTube, alla console di Google e alle email bancarie/importanti. Su questo browser non deve essere installata alcuna estensione e non deve essere effettuata navigazione generica su altri siti.
- Browser Quotidiano (es. Firefox o Edge): da impostare come “Predefinito” del sistema. Questo verrà usato per i social, lo svago, le ricerche e l’apertura di link esterni.
Perché questa tecnica è vincente? Se malauguratamente dovessi cliccare su un file infetto (exe, pdf, img) allegato a una mail sospetta, il malware tenterà di colpire il browser predefinito (Firefox). L’hacker potrà copiare solo i cookie di sessione di quel browser, dove non troverà i dati preziosi della sessione Google, che rimangono protetti e isolati all’interno della “cassaforte” Chrome
Lo scudo: il Programma di Protezione Avanzata di Google
Per contrastare questa minaccia, Google offre il Programma di Protezione Avanzata.
I suoi pilastri sono 2:
- Obbligo di Chiave Fisica (o Passkey): anche se un hacker ruba un cookie, per le operazioni critiche o i nuovi accessi il sistema richiederà sempre la pressione fisica su una chiavetta (come una YubiKey).
- Blocco delle App Terze: impedisce ad app non verificate di accedere ai tuoi dati.
VADEMECUM: 5 Regole per non farti rubare l’account
- Isola la navigazione (Il mio consiglio Pro): usa un browser “pulito” solo per i tuoi account importanti. Usane un altro per tutto il resto, esempio metti predefinito “Chrome” e usa Firefox o Edge per le sessioni importanti con login.
- Attiva la Protezione Avanzata: iscriviti su landing.google.com/advancedprotection.
- Usa Chiavi Fisiche (U2F): una chiavetta hardware è l’unico metodo che blocca il phishing al 100%, richiedendo una presenza fisica.
- No alle estensioni: sul browser “critico”, non installare alcun plugin. Sono la via d’accesso preferita dai malware per leggere i database dei cookie.
- Diffida dagli allegati: se ricevi proposte commerciali, mail sospette (anche allarmanti) non aprire file .exe o .zip sul computer dove gestisci il canale.
-
-
-
-
