O Google começou a distribuir no Chrome uma proteção batizada de Device Bound Session Credentials (DBSC), ou “Credenciais de Sessão Vinculadas ao Dispositivo”, criada para impedir que hackers sequestrem contas a partir de cookies de sessão roubados.
O recurso já está disponível a partir da versão 146 do navegador, tanto para Windows quanto para Mac.
Cookies de sessão são pequenos arquivos que mantêm o usuário autenticado num site depois do login, o que evita a necessidade de digitar a senha a cada nova página acessada durante a navegação.
O problema é que vírus do tipo infostealer, como Lumma e Rhadamanthys, conseguem copiar esses arquivos e enviá-los a criminosos, que passam a acessar a conta sem precisar da senha e, em muitos casos, driblam até a autenticação multifator.
Chave fica presa a um chip do computador
Com o DBSC, o Chrome gera um par de chaves criptográficas exclusivo assim que o usuário faz login num site compatível, e a chave privada é armazenada dentro de um chip de segurança do próprio dispositivo, o TPM em PCs com Windows ou o Secure Enclave em Macs.
Se um cookie de sessão for roubado e usado em outro computador, o site percebe que a chave física não corresponde e bloqueia o acesso na hora, mesmo que o cookie em si seja autêntico.
A proteção fica ativa por padrão para assinantes do Google Workspace, contas Individual e contas pessoais comuns, e, durante esta fase de implementação, administradores de redes corporativas não têm sequer a opção de desativar essa camada extra de segurança.
O lançamento é gradual e não interfere nos cookies de rastreamento usados para fins publicitários, que continuam sob controle do próprio usuário nas configurações de cada site.
