Check Point ha analizzato JSCeal, una famiglia di malware ancora attiva distribuita via malvertising, che può riprendere il controllo di account Google riusando cookie di sessione rubati. Il salto non è nel furto della password, ma nel furto della sessione già aperta: una volta catturata, l’accesso può restare valido anche se credenziali e MFA sembrano in ordine.
Il malware non chiede un nuovo login. Prende il cookie del browser e lo ripresenta come prova che l’utente è già autenticato. Lo stesso schema consente anche di intercettare traffico legato alle crypto, spostando il danno dal semplice furto di credenziali al takeover diretto dell’account e alla manipolazione della sessione.
Per chi gestisce Google Workspace, account Google o piattaforme di trading, il punto critico resta la fiducia nel browser: una sessione rubata può aggirare i controlli di accesso finché non viene revocata. Il rischio quindi non finisce con il reset della password, perché l’attaccante può restare dentro con la sessione già in mano.