Cookies

[1.] Definição

Em informática, um cookie [em português biscoito ou bolacha] é um pequeno arquivo de texto que um site envia para o navegador do usuário, sendo armazenado no seu dispositivo e contendo dados como preferências de navegação, informações de login ou itens de um carrinho de compras. A tecnologia permite que sites "lembrem" do usuário em visitas futuras, personalizando a experiência e facilitando a navegação, mas também pode ser usada para rastrear o usuário, gerando preocupações de privacidade que são reguladas por leis como a LGPD.

[2.] Como funcionam os cookies

Criação:

Quando você visita um site, o servidor envia um cookie contendo informações sobre seu acesso ou preferências.
Armazenamento:

O navegador armazena esse cookie no seu computador ou dispositivo móvel.
Reenvio:

Em visitas futuras ao mesmo site, o navegador envia de volta o cookie ao servidor.
Identificação:

O servidor lê o cookie para reconhecer o usuário e oferecer uma experiência personalizada, como manter o login ou as configurações do site.

[3.] Funções dos cookies

Personalização:

Memorizam suas preferências, como idioma, tema e configurações de exibição.
Autenticação:

Mantêm o usuário logado em sites e serviços, evitando que ele precise fazer login a cada visita.
Carrinho de Compras:

Em e-commerces, os cookies lembram os produtos que você adicionou ao carrinho.
Análise:

Podem ser usados para coletar dados sobre como os usuários interagem com o site, ajudando a melhorar suas funcionalidades e interações.

[.4] Tipos de cookies

Cookies de Sessão: São temporários e apagados quando você fecha o navegador.
Cookies Persistentes: Permanecem no dispositivo do usuário por um período determinado.

[5.] Aspectos sobre a Privacidade

Rastreamento:

Alguns cookies, especialmente os de terceiros, podem ser usados para rastrear o comportamento do usuário entre diferentes sites, levantando preocupações sobre a privacidade.
Regulamentação:

Leis de proteção de dados, como a LGPD no Brasil e o RGPD na Europa, exigem que os sites obtenham o consentimento dos usuários antes de coletar e usar seus dados por meio de cookies.

[6.] LGPD

A Lei Geral de Proteção de Dados [LGPD] regula os cookies ao exigir que o tratamento de dados pessoais, mesmo quando coletados por meio de cookies, seja feito de forma transparente e com o consentimento explícito e informado do titular. A legislação não menciona a palavra "cookie" diretamente, mas se aplica a qualquer tipo de dado que possa identificar uma pessoa natural.

Principais pontos de regulação da LGPD sobre cookies:

1. Necessidade de consentimento:

A base para o uso de cookies que coletam dados pessoais é o consentimento do usuário. Isso significa que as empresas precisam:

Obter autorização: Não podem presumir que o usuário consente apenas por continuar navegando. O consentimento deve ser dado de forma explícita e inequívoca, geralmente por meio de um banner ou pop-up.
Oferecer opções claras: O usuário deve ter a opção de aceitar ou rejeitar cookies, e essa escolha deve ser tão fácil quanto a de aceitar.
Permitir revogação: O consentimento pode ser retirado a qualquer momento, e a empresa deve fornecer um mecanismo simples para que o usuário altere suas preferências.

2. Transparência na informação:

Os sites são obrigados a informar claramente ao usuário:

Quais cookies são usados: Os tipos de cookies (essenciais, de terceiros, de publicidade, etc.) devem ser explicados.
A finalidade da coleta: O motivo pelo qual cada tipo de cookie está sendo usado, como para personalizar a experiência, rastrear o comportamento ou exibir publicidade direcionada.
Link para a política de privacidade: O banner de consentimento deve incluir um link para a política de privacidade, onde as informações sobre os cookies e o tratamento de dados são detalhadas.

3. Diferentes tipos de cookies e consentimento:

A LGPD exige diferentes níveis de consentimento para diferentes tipos de cookies:

Cookies essenciais/necessários: São aqueles estritamente necessários para o funcionamento básico do site (por exemplo, segurança ou funcionalidade de carrinho de compras). Para esses, o consentimento do usuário pode não ser exigido, desde que se prove a necessidade.
Cookies de funcionalidade, desempenho e publicidade: Para cookies que não são essenciais, a empresa deve obter o consentimento do usuário antes de instalá-los. Isso inclui cookies de terceiros, que rastreiam o comportamento do usuário em diferentes sites.

4. Consequências do descumprimento:

O não cumprimento das normas da LGPD, incluindo as que se aplicam aos cookies, pode resultar em sanções graves para as empresas:

Multas: Podem chegar a 2% do faturamento da empresa no ano anterior, com um limite de R$ 50 milhões por infração.
Outras penalidades: Advertências, publicização da infração, e até a suspensão ou proibição do tratamento de dados pessoais podem ser aplicadas.

A regulação de cookies pela LGPD tem como objetivo principal devolver ao usuário o controle sobre seus dados pessoais, garantindo que o tratamento ocorra de forma transparente, ética e segura, em conformidade com as normas de proteção.

[7.] Riscos Associados

[7.1] Riscos associados ao uso de cookies:

Tipo de Risco	Descrição	Como ocorre	Consequências
Violação de Privacidade	A coleta excessiva e o rastreamento de informações pessoais, especialmente por cookies de terceiros, podem resultar em uma vigilância invasiva do comportamento online do usuário.	Empresas de publicidade e análise usam cookies para rastrear a atividade em múltiplos sites, criando perfis detalhados de interesse, hábitos e preferências do usuário.	Publicidade direcionada e invasiva, sensação de vigilância e perda de controle sobre dados pessoais.
Sequestro de Sessão	Um atacante rouba o cookie de sessão do usuário para ter acesso não autorizado à sua conta, se passando por ele.	Ocorre através de ataques como Cross-Site Scripting (XSS), Man-in-the-Middle (MitM) ou por meio de malwares instalados no computador do usuário.	Acesso não autorizado a contas bancárias, e-mails e redes sociais, roubo de identidade e fraudes financeiras.
Envenenamento de Cookies	Um cibercriminoso altera o conteúdo de um cookie para fins maliciosos, manipulando a interação do usuário com o site.	O atacante injeta código ou modifica o cookie armazenado no navegador do usuário, explorando falhas de segurança no site.	Acesso a informações sensíveis, alteração de privilégios de usuário, e redirecionamento para sites fraudulentos.
Roubo de Dados (Cookie Theft)	Ocorre quando um malware (como um infostealer) instalado no dispositivo do usuário rouba os cookies armazenados.	Um programa malicioso vasculha o sistema do usuário em busca de arquivos de cookies, copiando-os e enviando-os a um servidor controlado pelo atacante.	Acesso a contas online, roubo de identidade e exposição de dados confidenciais, mesmo após o usuário encerrar a sessão.
Ataques via Redes Públicas	Ocorre quando usuários acessam redes Wi-Fi públicas sem segurança (como em cafés ou aeroportos).	Um invasor na mesma rede pode interceptar o tráfego de dados, incluindo os cookies de sessão não criptografados, e obter acesso a contas do usuário.	Acesso não autorizado a contas, roubo de informações e interceptação de dados de navegação.
Falsificação de Solicitação Entre Sites (CSRF)	O invasor força o navegador do usuário a realizar ações não intencionais no site que está logado, utilizando os cookies de autenticação do próprio usuário.	O atacante insere um link ou imagem maliciosa em um site confiável. Ao clicar, a vítima executa a ação sem saber, utilizando seus cookies de sessão.	Ações como alteração de senha, transferência de dinheiro ou postagem de conteúdo indesejado na conta do usuário, tudo sem o conhecimento da vítima.
Ataques de phishing	Embora os cookies não sejam a causa direta, podem ser usados por atacantes para complementar ataques de phishing.	Um e-mail de phishing pode direcionar o usuário a um site falso que tenta roubar o cookie de sessão ou outras credenciais de login.	Roubo de informações pessoais e credenciais, levando a fraudes financeiras ou roubo de identidade.

[7.2] Malwares Não

Embora não seja viável injetar malwares diretamente nos cookies, pois estes são apenas pequenos arquivos de texto que armazenam dados. Por não serem programas executáveis e, portanto, não conteremcódigos maliciosos que se instalem no seu computador, fogem do padrão de ataques de malwares. No entanto, criminosos cibernéticos podem explorar vulnerabilidades relacionadas aos cookies para realizar ataques.

[7.3] Possíveis Ataques

Os principais riscos e tipos de ataque que exploram cookies são:

Roubo de cookies (sequestro de sessão): Um atacante pode roubar seu cookie de sessão por meio de ataques como cross-site scripting (XSS), ataque man-in-the-middle (MitM) ou por meio de softwares maliciosos. Com o cookie de sessão em mãos, o invasor pode se passar por você e ter acesso não autorizado à sua conta, dados confidenciais e privilégios de usuário.
Envenenamento de cookies (cookie poisoning): Este é um ataque mais direto onde o invasor modifica o conteúdo de um cookie para fins maliciosos. Isso permite a ele contornar mecanismos de segurança, obter acesso não autorizado a informações sensíveis ou manipular o aplicativo web.
Exploração de vulnerabilidades: O risco não está no cookie em si, mas em vulnerabilidades do site ou do navegador que permitem que um atacante roube ou altere o cookie. Por exemplo, um site com uma falha de XSS pode permitir que um invasor injete um código malicioso no navegador da vítima, que então rouba o cookie da sessão e o envia para o atacante.
Malwares que roubam cookies: Programas maliciosos, conhecidos como infostealers, são projetados especificamente para vasculhar e roubar dados sensíveis, incluindo cookies, de um computador infectado. Eles podem acessar cookies armazenados na memória ou em arquivos, burlando as proteções tradicionais.

[7.4.] Medidas de proteção:

Configurações do navegador: Bloqueie cookies de terceiros para evitar que empresas rastreiem seu comportamento em diferentes sites.
Antivírus e antimalware: Mantenha um software de segurança atualizado para proteger seu computador contra malwares que tentem roubar seus dados, incluindo cookies.
Consciência na navegação: Seja cauteloso ao clicar em links suspeitos, especialmente aqueles em redes públicas ou e-mails de phishing.
Atualizações: Mantenha seu navegador e sistema operacional sempre atualizados para corrigir vulnerabilidades que possam ser exploradas por atacantes.

[8.] Prós e Contras

Prós e contras do uso de cookies

Prós (Vantagens)	Contras (Riscos)
Melhora a experiência do usuário: Permitem que sites "se lembrem" de informações importantes, como login, preferências de idioma e itens em um carrinho de compras, tornando a navegação mais rápida e conveniente.	Violação de privacidade: Cookies de terceiros podem rastrear a atividade online do usuário em diferentes sites para coletar dados e criar perfis detalhados, o que é considerado invasivo por muitos.
Facilita o login: Evita que o usuário precise inserir credenciais repetidamente em cada visita, especialmente em sites e redes sociais de uso frequente.	Vulnerabilidade a ataques cibernéticos: Cookies, especialmente os que armazenam dados sensíveis (como informações de login), podem ser roubados por cibercriminosos por meio de ataques como sequestro de sessão e cross-site scripting (XSS).
Personalização de conteúdo: Permitem que os sites adaptem o conteúdo, anúncios e recomendações com base no histórico e interesses do usuário, resultando em uma experiência mais relevante.	Invasão de publicidade direcionada: Empresas de publicidade usam cookies de terceiros para exibir anúncios altamente personalizados e, muitas vezes, indesejados, o que pode ser visto como uma forma de monitoramento.
Análise de desempenho: Fornecem dados valiosos para os desenvolvedores sobre o comportamento dos usuários, ajudando a otimizar o desempenho e a funcionalidade do site.	Armazenamento de dados não criptografados: Cookies são armazenados em texto simples, o que significa que podem ser abertos e lidos por qualquer pessoa que tenha acesso ao computador, representando um risco de segurança.
Gestão de sessão: Os cookies de sessão garantem uma navegação contínua e funcional, mantendo a consistência durante a interação do usuário com um site.	Restrições de tamanho: Os navegadores impõem limites de tamanho para o armazenamento de cookies (cerca de 4 KB), o que pode ser uma limitação para algumas aplicações web.
Não utiliza recursos do servidor: Os cookies são armazenados no dispositivo do usuário, o que ajuda a reduzir a carga sobre os servidores e otimiza o desempenho geral do site.	Dependência do usuário: A funcionalidade de alguns sites pode ser limitada se o usuário desabilitar ou excluir os cookies, o que pode prejudicar a experiência de navegação.

[9.] Como Desabilitar os Cookies: Gerenciamento

É possível gerenciar as configurações de cookies diretamente no navegador, podendo habilitá-los ou bloqueá-los de acordo com suas preferências de privacidade. Nas configurações do navegador é possível desabilitar os cookies. Mas o processo varia um pouco dependendo do programa que você usa. Além de desabilitar, você pode gerenciar quais cookies deseja bloquear ou permitir.

[9.1] Google Chrome (desktop)

Clique no ícone de três pontos verticais no canto superior direito e selecione Configurações.
Clique em Privacidade e segurança na barra lateral esquerda.
Vá até Cookies de terceiros (em versões mais antigas do Chrome, pode ser "Cookies e outros dados do site").
Nessa página, você pode escolher:
- Bloquear cookies de terceiros.
- Bloquear todos os cookies (não recomendado, pois pode prejudicar a funcionalidade de muitos sites).
- Ver todos os dados de sites e autorizações para excluir dados de sites específicos.

[9.2] Mozilla Firefox

Clique no ícone de três linhas horizontais no canto superior direito e vá em Configurações.
Clique em Privacidade e Segurança.
Em Proteção Aprimorada contra Rastreamento, você pode escolher o nível de bloqueio de cookies. A opção Padrão bloqueia cookies de rastreamento de terceiros, enquanto a Rigorosa bloqueia mais cookies, mas pode causar problemas em alguns sites.
Você também pode usar a opção Personalizada para ter mais controle sobre o que bloquear.

[9.3] Microsoft Edge

Clique nos três pontos no canto superior direito e selecione Configurações.
Vá em Privacidade, pesquisa e serviços no menu à esquerda.
Em Limpar dados de navegação agora, clique em Escolher o que limpar.
Você pode selecionar Cookies e outros dados do site e o intervalo de tempo para apagar os cookies existentes.
Em Permissões do site, você pode gerenciar as permissões e bloquear cookies de forma mais específica.

[9.4] Safari (iPhone, iPad e Mac)

Vá em Ajustes > Safari (no iOS) ou Safari > Preferências > Privacidade (no Mac).
Ative a opção Bloquear Todos os Cookies.
Uma mensagem de aviso pode aparecer, informando que alguns sites podem não funcionar corretamente.

[9.5] Medidas Importantes:

Limpeza total: Ao desabilitar ou excluir cookies, você pode ser desconectado de sites onde estava logado e suas preferências de navegação (como idioma ou configurações de layout) podem ser perdidas.
Impacto na experiência: Embora desabilitar cookies aumente a privacidade, pode prejudicar a funcionalidade e a experiência em muitos sites que dependem deles para oferecer serviços essenciais.
Cookies essenciais: Alguns cookies, chamados de essenciais ou necessários, são fundamentais para o funcionamento de um site e podem não ser bloqueados sem comprometer a navegação

[10.] Glossário de Termos

[10.1] Termos relacionados a cookies

Cookie de terceiros (Third-party cookie): Cookie criado por um domínio diferente do site que o usuário está visitando. Geralmente utilizado por empresas de publicidade para rastrear a atividade do usuário em diversos sites.
Cookie de sessão: Cookie temporário que é apagado quando o usuário fecha o navegador. É usado para manter o estado da sessão de navegação, como itens no carrinho de compras.
Cookie persistente: Cookie que permanece no dispositivo do usuário por um período predeterminado ou até ser excluído manualmente. É usado para lembrar informações como login e preferências de idioma para acessos futuros.
Cookie primário (First-party cookie): Cookie criado pelo próprio site que o usuário está visitando. É considerado menos invasivo à privacidade.
Cookies essenciais: Cookies estritamente necessários para o funcionamento básico de um site. Não exigem consentimento explícito do usuário, mas precisam ser informados.
Cookies analíticos: Cookies usados para coletar informações sobre como os visitantes interagem com um site, como as páginas mais acessadas e o tempo de permanência. Ajuda os desenvolvedores a otimizar o desempenho do site.

[10.2] Termos relacionados à privacidade e LGPD

Consentimento: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
Dado pessoal: Informação relacionada a uma pessoa natural identificada ou identificável. Cookies podem ser considerados dados pessoais se puderem identificar um indivíduo.
LGPD (Lei Geral de Proteção de Dados): Lei brasileira que estabelece regras sobre a coleta, armazenamento e compartilhamento de dados pessoais, exigindo consentimento explícito para o uso de cookies que coletam esses dados.
Política de privacidade: Documento que explica como um site coleta, usa e protege os dados pessoais dos usuários.
Titular dos dados: Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
Tratamento de dados: Qualquer operação realizada com dados pessoais, como coleta, armazenamento, uso e compartilhamento. A LGPD regula todo o ciclo de tratamento de dados.
Violação de privacidade: Ocorre quando informações pessoais são acessadas ou usadas de forma indevida ou sem autorização, o que pode acontecer com o uso de cookies de terceiros sem consentimento.

[10.3] Termos relacionados à segurança da informação

CSRF (Cross-Site Request Forgery): Ataque no qual o invasor força o navegador do usuário a realizar ações indesejadas em um site em que ele esteja autenticado, usando os cookies de sessão.
Infostealer: Tipo de software malicioso projetado para roubar informações confidenciais, como cookies, senhas e dados bancários, de um dispositivo infectado.
MitM (Man-in-the-Middle): Ataque onde o criminoso intercepta a comunicação entre o navegador e o servidor para roubar dados, incluindo cookies de sessão não criptografados.
Phishing: Técnica de fraude por meio da qual um criminoso tenta enganar um usuário para que forneça informações pessoais, que podem ser usadas para roubar cookies ou credenciais de login.
Sequestro de sessão: Ataque no qual um criminoso rouba o cookie de sessão para se passar pelo usuário e obter acesso a uma conta ou a dados confidenciais.
XSS (Cross-Site Scripting): Ataque que permite a um invasor injetar códigos maliciosos em páginas web visualizadas por outros usuários, podendo roubar cookies de sessão.

VIDE: