Vercel implanta Device Bound Session Credentials para neutralizar cookies roubados por infostealers
A Vercel começou a implantar gradualmente o DBSC (Device Bound Session Credentials), tecnologia que vincula o cookie de sessão a uma chave privada armazenada no TPM do dispositivo, tornando o cookie inútil se copiado para outra máquina por malware infostealer. A medida é resposta direta ao crescimento de ataques de roubo de sessão como vetor de account takeover, inclusive um incidente que a própria Vercel sofreu em abril.
O modelo de negócio por trás da maior parte dos infostealers modernos (famílias como Redline, Lumma, Vidar e similares) não é mais roubar só senhas, e sim exportar em massa os cookies de sessão salvos no navegador da vítima. Com o cookie em mãos, o atacante replica a sessão em outra máquina e entra direto na conta já autenticada, sem precisar saber senha nem responder a nenhum desafio de MFA — porque, do ponto de vista do serviço, aquela sessão já passou por login e verificação antes. Esses cookies circulam em volume em mercados de 'stealer logs', alimentando boa parte do account takeover em SaaS corporativo, e-mail, bancos e varejo.
O DBSC ataca exatamente esse elo da cadeia. Em vez de o cookie ser um token autossuficiente que vale por si só, ele passa a ser assinado por uma chave privada gerada e mantida dentro do TPM (Trusted Platform Module) do dispositivo — o mesmo chip usado para proteger dados biométricos. A chave nunca sai do TPM: não pode ser exportada, copiada ou lida por nenhum processo, nem mesmo pela própria Vercel. Na prática, mesmo que o infostealer consiga exfiltrar o cookie inteiro do navegador, ele estará amarrado a uma chave que só existe naquele hardware específico; tentar reutilizá-lo em outra máquina falha na verificação de assinatura, e a sessão é invalidada.
Isso muda a defesa de 'detectar depois que o uso indevido já ocorreu' para 'impedir estruturalmente o reaproveitamento do material roubado' — um controle mais parecido com device binding do que com os modelos comportamentais tradicionais de antifraude (risk scoring, device fingerprinting), mas que ataca o mesmo problema de fundo: sessão sequestrada = conta sequestrada. A Vercel está combinando isso com DPoP para sua CLI e com o Chrome App-Bound Encryption do Google, formando uma defesa em camadas contra exfiltração de credenciais de sessão.
Para equipes de segurança e produto, a lição prática é dupla: primeiro, priorizar a adoção de mecanismos de device binding de sessão (DBSC, DPoP ou equivalentes) em qualquer plataforma que gerencie dados sensíveis ou acesso a infraestrutura, já que eles neutralizam infostealers sem depender de o usuário notar algo errado; segundo, manter sessões de curta duração com step-up authentication para ações sensíveis mesmo nessas plataformas, como camada adicional caso a implementação de device binding tenha brechas de compatibilidade durante o rollout gradual (hoje limitado a Chrome em macOS/Windows). Para usuários finais, a recomendação de sempre vale: evitar softwares piratas e cracks, principal vetor de distribuição desses infostealers que caçam exatamente cookies de sessão como o que a Vercel está tentando neutralizar.