MITRE ATT&CK T1539 è la tecnica di rubare i cookie di sessione web o altri artefatti di sessione simili e usarli per impersonare un utente. Poiché il cookie rappresenta già una sessione del browser autenticata, l'attaccante potrebbe non aver bisogno della password, del prompt di autenticazione a più fattori o persino del dispositivo originale. In pratica, questo può trasformare un semplice furto del browser in accesso completo all'account.
Questo è importante perché i servizi moderni spesso si fidano delle sessioni attive più che delle credenziali. Gli attaccanti rubano i cookie dai browser, dalla memoria o dallo spazio di archiviazione locale con stealer, infostealer ed estensioni dannose, quindi li riproducono da un altro computer per dirottare gli account. I difensori cercano un riutilizzo insolito della sessione, spostamenti impossibili, ripetuti aggiornamenti dei token e furto di dati del browser sugli endpoint. Difese efficaci includono la revoca delle sessioni, durate di sessione brevi, una nuova autenticazione per le azioni sensibili, il vincolo al dispositivo dove possibile e la protezione dei dati del browser dal malware.