Door Erik van Straten: Klinkt als: "dankzij MFA dacht je veilig te zijn, maar als je niet onze virusscanner gebruikt zal malware jouw session cookies stelen en heeft MFA geen meerwaarde". Los van dat er juist vanalles mis is met MFA (zoals ik gisteren beschreef in https://security.nl/posting/765284): als criminelen session-cookies kunnen stelen, dan komt dat meestal door: 1) http i.p.v. https (is toch opgelost?) 2) bug(s) in webbrowser 3) client device of account gecompromitteerd In dat laatste geval heeft de betrokkene sowieso een groot probleem, want dan kan er veel meer gestolen worden dan alleen session cookies. Bovendien zal een regelmatige cookie-opruiming zelden helpen (malware kan sowieso wachten tot je weer inlogt). En nee, Sophos heeft niet een oplossing die alle malware in alle gevallen blokkeert. In het tweede geval gaat het om een fundamenteel probleem, namelijk dat browsers vertrouwelijke informatie lekken naar websites van derden. Nb. voordat iemand zoiets voorstelt: met het wijzigen van ...