Gebruikers kunnen zich wel tegen een nieuwe aanval beschermen waarbij aanvallers met gegevens van besmette computers cookies kunnen genereren, om zo toegang tot het account van een slachtoffer te krijgen, ook al heeft die in de tussentijd zijn wachtwoord gewijzigd. Dat laat Google in een reactie tegenover Android Police en 9to5Google weten.

Onlangs maakten twee securitybedrijven bekend dat aanvallers een manier hadden gevonden waardoor ze via gegevens die van een besmette computer zijn gestolen op Google-accounts kunnen inloggen, ook al heeft de eigenaar het wachtwoord inmiddels aangepast. Google is over de methode ingelicht, maar doet niets om het probleem te verhelpen, zo stelden securitybedrijven Hudson Rock en CloudSek.

De aanval begint met een computer die al met malware is besmet. Deze malware steelt, voordat die verwijderd wordt, eerst tokens en account-ID's uit Google Chrome. Met deze gegevens is het vervolgens mogelijk om bij een Google API (application programming interface) een nieuw cookie te genereren, waarmee toegang tot het account kan worden verkregen. Ook als het slachtoffer in de tussentijd zijn wachtwoord heeft gewijzigd. Inmiddels maken meerdere malware-exemplaren gebruik van deze methode.

In een reactie tegenover de media stelt Google dat aanvallen waarbij malware cookies en tokens steelt niet nieuw zijn. In dit geval claimt Google dat het maatregelen heeft genomen om accounts die via de cookie-aanval zijn gecompromitteerd en die het heeft kunnen vinden te beschermen. Daarnaast stelt het techbedrijf dat berichtgeving dat gebruikers niets kunnen doen onterecht zijn. Gebruikers kunnen gestolen sessies ongeldig maken door uit de getroffen browser uit te loggen of die via de apparatenpagina in te trekken.