Una credenziale di sessione vincolata al dispositivo è un token di accesso o uno stato di sessione collegato crittograficamente a un dispositivo o a una chiave specifici. Invece di accettare un cookie copiato da solo, un servizio può richiedere al dispositivo di dimostrare di possedere la chiave privata associata. Questo può rendere meno utile a un aggressore un cookie del browser rubato.
Negli attacchi, i malware infostealer possono copiare i cookie di sessione per dirottare account senza conoscere la password. Il vincolo al dispositivo può limitare il riutilizzo di questi cookie, ma la protezione dipende da come il servizio e il client lo implementano; non impedisce al malware di agire all'interno di una sessione già autenticata sul dispositivo compromesso. Le misure di difesa possono includere token vincolati al dispositivo, una nuova autenticazione basata sul rischio e la revoca delle sessioni attive dopo un sospetto compromissione.