Il furto di cookie consiste nel sottrarre i cookie di sessione, piccoli token del browser che dimostrano che un utente è già autenticato. Se un aggressore copia un cookie valido, può riutilizzare la sessione e agire come la vittima senza conoscere di nuovo la password. Per questo il furto di cookie è considerato accesso a credenziali nella sicurezza informatica: il cookie può essere prezioso quanto l'accesso stesso fino a quando non scade o viene revocato.
Gli aggressori rubano i cookie con infostealer, injector del browser, script malevoli o malware per endpoint che legge i dati del browser. Nelle frodi bancarie, un cookie rubato può consentire a un aggressore di entrare in una sessione attiva e modificare i dettagli di pagamento o osservare informazioni sensibili. Le difese includono durate brevi delle sessioni, nuova autenticazione per le azioni rischiose, MFA resistente al phishing, associazione al dispositivo e monitoraggio del riutilizzo anomalo della sessione. Le protezioni del browser come HttpOnly e SameSite aiutano a ridurre l'esposizione, ma non proteggono completamente dal malware in esecuzione sull'endpoint.