Secuestro de tokens de sesión, malware Infostealer e revogación global de sesións¶

Descubrir que un atacante acaba de publicar estafas de criptomonedas desde a túa conta de YouTube, Instagram, Discord ou X, creou regras de reenvío na túa caixa de entrada de Gmail ou Microsoft 365 ou accede á túa consola corporativa na nube sen activar nunca un código 2FA no teu teléfono ou unha alerta de correo electrónico de "Novo inicio de sesión" é a sinatura inconfundible de Session Cookie/Token-Secuestro causado por Cook/Token Malware Infostealer. Cando inicias sesión nun sitio web e marcas "Manténme iniciado sesión", o servidor emite unha cookie de sesión HTTP cifrada ou un token de portador OAuth (como o de Google). SID / SAPISID, de Microsoft ESTSAUTHPERSISTENT, ou de Discord Authorization token) almacenado dentro da base de datos SQLite local do seu navegador web.

As familias de programas maliciosos de infostealer de produtos básicos, incluídos Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys e Atomic macOS Stealer (AMOS), non esperan no teu ordenador como os virus tradicionais. Moitas veces disfrazado de un mod de xogo falso, un instalador de software rachado, un indicador falso de CAPTCHA de PowerShell "ClickFix" ou un PDF de colaboración do patrocinador, un infostealer execútase en menos de 4 segundos, descifra o teu Chrome, Edge, Brave ou Firefox Cookies e Login Data bases de datos na memoria, comprime os ficheiros da túa carteira de criptomonedas de escritorio, carga o arquivo a un servidor de Telegram ou C2 e elimínase. Cando o atacante importa as cookies de sesión roubadas nun navegador antidetección (Multilogin, Dolphin{anty}, ou Gologin), o servidor web pensa que o atacante é o teu ordenador xa autenticado, evitando por completo tanto o teu contrasinal como a túa autenticación de dous factores.

Fai isto agora¶

1. DEIXA de cambiar os teus contrasinais no ordenador infectado, desconecta inmediatamente ese PC ou Mac da wifi e desconecta o cable Ethernet. Este é o erro número 1 que cometen as vítimas: notan que o seu Discord, Steam ou Gmail foron secuestrados, sentan exactamente no mesmo ordenador de escritorio infectado e escriben contrasinais novos en Chrome. Se un cargador de persistencia de infostealer ou unha tarefa programada aínda está activo nesa máquina, capturará inmediatamente os teus contrasinais novos e as cookies de sesión novas e enviaraos inmediatamente ao atacante. Fai o 100 % dos cambios de contrasinal e das revogacións de sesións desde un smartphone limpo (con datos móbiles ou wifi limpa) ou un portátil separado e intacto.
2. Comprende que cambiar un contrasinal por si só NON sempre invalida as cookies de sesión roubadas ou os tokens de actualización de OAuth, DEBE facer clic explícitamente en "Pechar sesión en todas as sesións" E revogar aplicacións OAuth de terceiros. En varias plataformas (e coas aplicacións non documentadas de Google). MultiLogin / issueToken Puntos finais de OAuth ou tokens de sesión de longa duración), simplemente cambiar o contrasinal ou rotar 2FA pode deixar vivos os tokens de sesión secundarios ou os tokens de escritorio OAuth existentes a menos que executes os pasos específicos da plataforma de Revogación de tokens e sesións globais na táboa seguinte.
3. Se tes unha extensión de software de carteira de criptomoneda (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) instalada no ordenador infectado, usa un teléfono limpo agora mesmo para evacuar os teus fondos a unha nova frase inicial de carteira de hardware. Os rexistros de Infostealer recollen automaticamente os ficheiros da bóveda cifrados (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn para MetaMask) xunto cos contrasinais gardados no seu navegador. Aínda que o atacante aínda non tocou a túa criptografía, o teu ficheiro de bóveda xa está sentado nun mercado de darknet á espera dun cracker de GPU sen conexión. Executar o noso Drenaxe de carteira de criptomonedas e compromiso de frase semente guía inmediatamente.
4. Protexe as túas "Contas de identidade Apex" (correo electrónico principal, xestor de contrasinais, conta de Apple/Google e SSO corporativo) nos primeiros 10 minutos. No teu smartphone limpo, abre o teu Google/Gmail principal (myaccount.google.com/device-activity) e Microsoft (mysignins.microsoft.com) contas primeiro. Pecha sesión en todas as sesións do escritorio, xira o contrasinal principal, marca Configuración > Reenvío e POP/IMAP e Filtros/Regras para eliminar as regras de reenvío de correo electrónico ocultas que o atacante creou para ocultar os correos electrónicos de restablecemento do contrasinal doutros servizos e comprobar as claves de acceso e os dispositivos de autenticación rexistrados.
5. Audit o teu Rexistro de Windows Run claves, Programador de tarefas e historial de PowerShell se executou recentemente un comando CAPTCHA falso "ClickFix" (Win + R -> Ctrl + V). Un dos vectores de roubo de información de máis rápido crecemento na actualidade é unha ventá emerxente de Cloudflare ou CAPTCHA de Google falsa nunha páxina web que che indica que "Preme Win + R, prema Ctrl + V, e prema Enter para verificar que es humano" (que executa silenciosamente un hidden mshta.exe ou powershell -w hidden -enc ... comando copiado no portapapeis).
6. Mantén a perspectiva e protexe a seguridade física se a infracción implica unha infraestrutura corporativa ou extorsión. Os rexistros de Infostealer adoitan activar correos electrónicos automatizados de rescate ou sextorsión que citan o teu contrasinal roubado. Nunca pagues aos extorsionadores; ver o noso sextorsión e chantaxe en liña guía e, se algunha vez te enfrontas a unha ameaza física, chama ao teu número de emerxencia local (911 nos Estados Unidos e Canadá, 112 en toda a Unión Europea, 999 no Reino Unido ou consulta a nosa números de emerxencia directorio).

Infostealer e árbore de decisións de resposta ao incidente de secuestro de cookies de sesión¶

flowchart TD
    Root["Sospeita de secuestro de cookies de sesión ou infección de malware Infostealer"] --> IsolatePC["PASO 1: Desconecte inmediatamente a PC/Mac infectada de Wi-Fi e Ethernet (NON cambie os contrasinais no PC infectado)"]

    IsolatePC --> CryptoCheck{"Había algunha extensión de carteira Crypto (MetaMask, Phantom, Exodus) nese PC?"}
    CryptoCheck -->|"Si"| EvacCrypto["Use un teléfono ou carteira de hardware limpo inmediatamente para varrer todos os activos criptográficos a unha nova frase semente"]
    CryptoCheck -->|"Non"| ApexLock["PASO 2: nun teléfono intelixente limpo, primeiro bloquea o correo electrónico principal (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["PASO 3: Executar sesión global + token OAuth + revogación de clave de acceso en todas as contas críticas (consulta a matriz da plataforma a continuación)"]

    GlobalRevoke --> ExportList["PASO 4: nun PC infectado sen conexión, exporte a lista de todos os contrasinais e cookies do navegador gardados para saber exactamente que contas foron roubadas"]

    ExportList --> CleanOS["PASO 5: Faga unha copia de seguranza só de documentos persoais -> Realice unha limpeza ou reinstalación do sistema operativo limpo -> Volva rexistrar as claves de acceso e habilite o cifrado vinculado a aplicacións de Chrome"]

Comprender como os Infostealers evitan o cifrado 2FA e DPAPI / Chaveiro¶

Como pode un programa de 200 kilobytes roubar contrasinais e cookies de sesión que Google Chrome, Microsoft Edge e Brave cifran no teu disco duro?

1. Windows DPAPI (CryptUnprotectData) e Cifrado vinculado a aplicacións de Chrome (v20):
2. En Windows, os navegadores baseados en Chromium (Chrome, Edge, Brave, Opera, Vivaldi) almacenan os seus contrasinais gardados dentro %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data e as túas cookies de sesión dentro \Network\Cookies.
3. Estas bases de datos SQLite están cifradas cunha clave mestra AES-256-GCM almacenada %LOCALAPPDATA%\Google\Chrome\User Data\Local State, que está protexido pola Windows Data Protection API (DPAPI) vinculada á túa conta de usuario de Windows iniciada.
4. Dado que executaches o infostealer como o teu propio usuario de Windows iniciado, calquera proceso que se execute na túa conta de usuario podería CryptUnprotectData() para pedirlle a Windows que descifre a chave. E para evitar Chrome 127+ App-Bound Encryption (v20 servizo de ascensor), os ladrones de información modernos inxectan directamente nun sen cabeza chrome.exe proceso de depuración (--remote-debugging-port) ou use a elevación COM para pedirlle ao propio Chrome que volque todas as cookies descifradas en directo.
5. Chaveiro macOS e Atomic macOS Stealer (AMOS / PoseStealer):
6. En Apple macOS, ladrones de información disfrazados de .dmg descargas (a miúdo solicitándoche que "Fai clic co botón dereito -> Abrir" ou arrastre a icona ata Terminal para evitar Apple Gatekeeper) aparece un cadro de diálogo falso nativo de macOS que indica "Preferencias do sistema quere acceder á túa información confidencial: introduce o teu contrasinal de inicio de sesión en Mac". No momento en que escriba o contrasinal de inicio de sesión de Mac nese indicador, o script desbloquearase -/Library/Keychains/login.keychain-db e copia cookies de Safari/Chrome, Apple Notes e tokens de iCloud.
7. Google MultiLogin / OAuthLogin Explotación de rexeneración de token:
8. Os investigadores de seguridade revelaron que os ladrones de información non só rouban cookies web estándar, tamén extraen información non documentada oauth_token tokens de servizo de Chrome Web Data (token_service táboa) Ficheiro SQLite. Mesmo despois de que unha vítima cambie o seu contrasinal de Google unha vez, os atacantes poderían reproducir previamente o roubado token_service Token OAuth contra o interno de Google OAuthLogin punto final para mint novo válido SID cookies do navegador a non ser que o usuario pechou sesión na sesión comprometida do dispositivo Chrome E revogou o acceso ao dispositivo de terceiros/OAuth.

Paso 1: Matriz de revogación de sesión global, cookie, OAuth e clave de acceso¶

Usando un smartphone limpo ou un ordenador secundario limpo, baixa esta táboa exacta de arriba a abaixo. O pedido importa: fai sempre o Paso A (Pechar sesión en todas as sesións/dispositivos activos) e Paso B (Cambiar o contrasinal) e Paso C (Audit 2FA/Passkeys/OAuth/Reenvío) xuntos; método.

Paso 2: Como descubrir TODAS as contas que se expuxeron no teu ordenador infectado¶

Despois de bloquear as 10 contas máis importantes no seu teléfono limpo, afronta unha pregunta desalentadora: "Utilicei ese ordenador durante catro anos, como podo saber cales dos meus 250 sitios web tiñan contrasinais gardados ou cookies activas dentro de Chrome/Edge cando se executou o infostealer?"

Mentres manteñas o ordenador infectado 100 % fóra de liña (Wi-Fi desactivado, Ethernet desconectado), acéndeo e extrae o teu inventario de exposición exacto antes de limpar a máquina:

1. Exporta a lista de contrasinais gardados do teu navegador (CSV):
2. Abre o teu navegador sen conexión (chrome://password-manager/settings en Chrome, edge://wallet/settings en Edge, ou about:logins en Firefox) e fai clic en Exportar contrasinais para gardar Chrome Passwords.csv nunha unidade flash USB limpa.
3. Por que este ficheiro é ouro para a túa recuperación: o inforobador roubou esta base de datos exacta. Ter Chrome Passwords.csv diante de ti ofréceche a lista de verificación exacta de cada nome de usuario e contrasinal do sitio web que posúe agora o atacante, para que non te perdas un antigo portal fiscal, unha conta de millas aéreas ou un sitio de compras cunha tarxeta de crédito gardada.
4. Inspeccionar que sitios web tiñan cookies de sesión activas (chrome://settings/content/all):
5. En Chrome ou Edge (sen conexión), vai a chrome://settings/content/all (ou edge://settings/content/all) e ordenar por Datos almacenados ou Máis visitados. Calquera sitio web no que permaneceu conectado sen escribir un contrasinal era vulnerable ao roubo de cookies de sesión e necesita a súa sesión finalizada.
6. Comproba se o teu xestor de contrasinais autónomo (1Password, Bitwarden, KeePassXC) estaba desbloqueado no momento da infección:
7. Se a túa bóveda 1Password, Bitwarden ou KeePassXC estaba BLOQUEADA cando se executou o infostealer: o malware só puido coller a caché da bóveda local cifrada (data.json ou .kdbx), que está protexido por PBKDF2-SHA256 / Argon2id + o teu contrasinal mestre (e chave secreta de 34 caracteres en 1Password). Se o teu contrasinal principal é seguro, o contido da túa bóveda permanecerá seguro, aínda que deberías rotar o teu contrasinal principal como precaución.
8. Se a extensión do navegador do xestor de contrasinais estaba DESBLOQUEADA na memoria cando se executou o programa malicioso (ou se gardou o contrasinal principal do xestor de contrasinais dentro do enchemento automático integrado de Chrome): Supoña que o inforobador descartou a súa bóveda ou capturou o seu contrasinal principal e xire todas as credenciais importantes dentro da súa bóveda.

Paso 3: buscar e erradicar a persistencia de Infostealer antes de borrar o sistema operativo¶

Antes de facer unha copia de seguranza dos seus documentos persoais e realizar unha reinstalación limpa do sistema operativo, pode inspeccionar como entrou o infostealer no seu sistema e se deixou caer un cargador secundario persistente (como unha tarefa programada, o rexistro Run clave, inicio .lnk atallo ou extensión maliciosa de Chrome):

1. Executa esta auditoría de persistencia de PowerShell sen conexión (Windows)¶

Abre PowerShell (Administrador) no PC sen conexión e executa estas catro comprobacións forenses de só lectura:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Por que se recomenda unha reinstalación do sistema operativo limpo (a través de medios USB) despois dun Infostealer¶

Mentres se executan Microsoft Defender Offline Scan e Malwarebytes despois de borrar as exclusións de Defender, eliminan os cargadores de persistencia coñecidos, os ladrones de información de mercadorías adoitan agrupar un secundario RAT (Troiano de acceso remoto), SystemBC SOCKS5 proxy ou clipper malware (que copia silenciosamente o teu portapapeis de Windows e supervisa o teu enderezo de Windows enderezo do hacker). - Despois de copiar os seus documentos persoais, fotos e Chrome Passwords.csv fóra do PC sen conexión, realice unha Reinstalación USB de Windows 11 limpa (ou MacOS Borrar todo o contido e a configuración) seguindo o noso guía de infección de malware, ransomware e spyware.

3. Auditoría de sistemas macOS e Linux para artefactos de Infostealer (Atomic macOS Stealer / AMOS, Poseidon, e extensións de navegador maliciosas)¶

Se a túa máquina infectada é un Apple MacBook/iMac ou unha estación de traballo para desenvolvedores Linux en lugar dun PC con Windows, realiza estas comprobacións de terminal sen conexión para detectar e erradicar a persistencia:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Contención de administración empresarial e na nube (ID de Microsoft Entra, Okta, Google Workspace e AWS IAM)¶

Se o ordenador infectado por un ladro de información pertencía a un enxeñeiro de software, administrador de DevOps ou empregado corporativo que tiña sesións activas en Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS ou Cloudflare, a limpeza do dispositivo local é só a metade da batalla. Execute estas revogacións de directorios na nube inmediatamente:

• ID de entrada de Microsoft (Revoke-MgUserSignInSession): ao facer clic en "Pechar sesión" nun único navegador non sempre se revogan os tokens de actualización primarios (PRT) ou CLI de Azure (az login / .azure/msal_token_cache.bin) tokens copiados do disco. Debe executarse un administrador de Entra Revoke-MgUserSignInSession -UserId user@company.com en Microsoft Graph PowerShell para restablecer o usuario signInSessionsValidFromDateTime atribuír e invalidar todos os tokens de actualización en todos os puntos finais ao mesmo tempo.
• AWS CLI e rotación de tokens de programador (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): os ladrones de información de mercadorías exploran explícitamente o directorio persoal de cada usuario .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, e ficheiros de configuración de Docker/Kubernetes. Desactive e xire inmediatamente todas as chaves de acceso AWS IAM (AKIA...) na Consola de AWS, revogue Fichas de acceso persoal de GitHub (ghp_...) e elimine as chaves públicas SSH expostas dos servidores de produción (-/.ssh/authorized_keys).
• ** Purga de tokens de cliente VPN e mensaxería de escritorio (Escritorio de Telegram tdata, Signal, Slack, OpenVPN, WireGuard)**: máis aló dos navegadores web, os módulos infostealer copian especificamente o %APPDATA%\Telegram Desktop\tdata directorio (que permite a un atacante clonar toda a súa conta de Telegram no seu PC sen un código SMS), %APPDATA%\Slack\storage, e gardouse OpenVPN (.ovpn) / WireGuard (.conf) perfís VPN corporativos. Abre Telegram no teu teléfono (Configuración > Dispositivos -> Finalizar todas as demais sesións), pecha sesión en todos os espazos de traballo de Slack (slack.com/account/settings -> Pecha sesión en todas as demais sesións) e pídelle ao teu administrador de rede que revogue e volva emitir o teu certificado de cliente VPN corporativo.

Prevención: como facer que o teu navegador e contas sexan resistentes a Infostealers¶

Unha vez que o teu sistema estea limpo e as túas contas recuperadas, implementa estas cinco defensas para que un inforobador non poida volver secuestrar a túa vida dixital:

• NUNCA almacene contrasinais dentro do xestor de contrasinais integrado no seu navegador web (Chrome/Edge/Brave/Firefox Autofill) sen unha chave maestra/hardware: todos os ladrones de información de mercadorías en Earth están dirixidos a Chrome. Login Data Primeiro a táboa SQLite. Desactiva OFF "Ofrecer gardar contrasinais" en chrome://password-manager/settings e almacena os teus contrasinais nun xestor de contrasinais dedicado e sen coñecemento (1Password, Bitwarden, Proton Pass ou KeePassXC) configurado para Bloquear automaticamente inmediatamente cando o sistema se bloquea ou despois de 5 minutos de inactividade.
• Activar "Credenciais de sesión vinculadas ao dispositivo (DBSC)" e "Cifrado vinculado a aplicacións" en Chrome 127+: asegúrate de que Google Chrome ou Edge estean actualizados á versión máis recente e instalados no directorio predeterminado do sistema (C:\Program Files\Google\Chrome\Application) polo que o GoogleChromeElevationService pode vincular o cifrado de cookies aos niveis de privilexios do sistema e ás claves de hardware TPM mediante Credenciais de sesión vinculadas ao dispositivo (DBSC).
• Desactivar a caixa de execución de Windows (Win + R) ou mshta.exe para bloquear os ataques de CAPTCHA falsos "ClickFix": nunca prema Win + R -> Ctrl + V -> Enter Cando un CAPTCHA do sitio web, unha pantalla falsa de Cloudflare ou a ventá emerxente "Correxir micrófono/Correxir fonte" che pide que pegues un comando no teu diálogo de Executar ou no teu terminal, ningún sitio web lexítimo na Terra verificará a humanidade pedindo que pegues o código Win + R ou macOS Terminal.
• Use chaves de seguranza de hardware (YubiKey) ou claves de acceso + Requirir re-autenticación para accións sensibles: mentres as cookies de sesión roubadas evitan as solicitudes de inicio de sesión iniciais, as plataformas principais (Google, GitHub, Cloudflare, AWS, Coinbase) aplican Autenticación progresiva (modo Sudo) antes de que YubiK permita a comprobación biométrica de FIDO2 ou esixir unha comprobación biométrica de YubiK. calquera persoa cunha cookie de sesión para cambiar o seu contrasinal, exportar datos ou engadir un enderezo de retirada.
• Comproba se o teu correo electrónico ou rexistro de roubo apareceu nas bases de datos de monitorización de Darknet: Visita haveibeenpwned.com (que agora indexa millóns de enderezos de correo electrónico de vítimas de rexistro de ladróns e dominios comprometidos) e activa as notificacións gratuítas de violación da darknet para os teus enderezos de correo electrónico.
• Illar descargas non fiables, modificacións de xogos e scripts de terceiros dentro dunha máquina virtual ou Windows Sandbox: nunca se execute sen verificar .exe, .msi, .dmg, .bat, ou Python pip / Nodo npm scripts posteriores á instalación directamente no sistema operativo host que mantén as sesións do navegador web autenticadas e os inicios de sesión financeiros. Activa Windows Sandbox (integrado en Windows 10/11 Pro e Enterprise mediante Activar ou desactivar as funcións de Windows > Windows Sandbox) ou utiliza unha máquina virtual illada sen cookies gardadas do navegador cando probes utilidades de terceiros.

Preguntas frecuentes¶

Guías relacionadas¶

• Infección por malware, ransomware e spyware
• MFA phishing e omisión de Adversary-in-the-Middle (AiTM).
• Bloqueo de MFA: como recuperar contas bloqueadas
• Conta de correo electrónico pirateada, regras de reenvío e recuperación
• Drenaxe de carteira de criptomoedas e compromiso de frase semente
• Bloqueo do xestor de contrasinais e recuperación da bóveda de emerxencia
• Directorio de números de emerxencia

Fontes comprobadas¶

• Axencia de Seguridade Cibernética e Infraestrutura (CISA) e FBI (Estados Unidos): Avisos conxuntos de ciberseguridade sobre Infostealer Malware (LummaC2, RedLine, Rhadamanthys) e Mitigating Token/Session Theft (CSAE24 / MITRE ATT&CK T1539: Steal Web Sessions T1539: Cookie Session Web T15:50 Cookies.
• Instituto Nacional de Estándares e Tecnoloxía (NIST) (Estados Unidos): NIST SP 800-63B: Directrices de Identidade Dixital: Xestión de Sesións, Reauthentication e Token Binding.
• World Wide Web Consortium (W3C) e Google Chromium Security Architecture: Especificación de credenciais de sesión vinculadas ao dispositivo (DBSC) e cifrado de aplicacións de Chrome (v20 Elevación DPAPI) Documentación técnica.
• National Cyber ​​Security Center (NCSC) (Reino Unido): Mitigación de malware, infostealers e secuestro de sesións en ambientes empresariais e de consumidores.
• Open Worldwide Application Security Project (OWASP): Folla de trucos de xestión de sesións e estándares de revogación de tokens OAuth 2.0 (RFC 7009).