IT用語
ログイン中の利用者のセッションIDを盗むなどして、その利用者になりすます攻撃。
セッションハイジャックは、ログイン中の利用者を識別するための情報（セッション ID など）を盗んだり推測したりして、その利用者になりすます攻撃です。パスワードを知らなくても、ログインした状態を乗っ取ることができてしまいます。
仕組み
Webサイトは、ログインに成功した利用者に、セッション ID などを含む Cookie を発行し、以降のリクエストではその値で本人を識別します。この値を盗まれると、攻撃者はそれを自分のブラウザに設定するだけで、本人としてサイトを操作できます。
盗まれる主な経路
- XSS による Cookie の読み取り
- 暗号化されていない通信の盗聴（中間者攻撃）
- 情報窃取型の マルウェア による、ブラウザに保存された Cookie の窃取
- 攻撃者が用意したセッション ID を使わせる（セッション固定攻撃）
対策
- サイト全体を HTTPS にし、Cookie に Secure・HttpOnly・SameSite 属性を付ける
- ログインに成功したらセッション ID を作り直す
- 一定時間操作がなければセッションを終了する
- 重要な操作の前に、パスワードの再入力などで本人確認をする