セッションハイジャックとは？
せっしょんはいじゃっく
セッションハイジャックとは、正規ユーザーの認証済みセッションを攻撃者が乗っ取り、本人になりすまして操作を行うサイバー攻撃です。
セッションハイジャック（Session Hijacking）とは、Webサービスなどにおいてログイン中のユーザーが持つ「セッションID」を攻撃者が不正に取得・使用し、そのユーザーになりすましてサービスを操作するサイバー攻撃の手法です。
通常、Webサービスはログイン後にユーザーを識別するためセッションIDを発行し、クッキーなどに保存します。セッションハイジャックはこのIDを盗み取ることで成立します。主な攻撃手法には以下のものがあります。
- パケットスニッフィング：暗号化されていない通信をネットワーク上で盗み見てセッションIDを取得する
- クロスサイトスクリプティング（XSS）：悪意あるスクリプトをWebページに埋め込み、被害者のクッキーを盗む
- セッション固定攻撃：攻撃者がセッションIDをあらかじめ被害者に使わせておいてから認証後に乗っ取る
- 中間者攻撃（MITM）：通信経路に割り込み、セッション情報を傍受・改ざんする
対策としては、HTTPS（TLS）による通信の暗号化、HttpOnlyおよびSecure属性付きクッキーの使用、ログイン後のセッションID再発行、セッションの有効期限設定などが有効です。Webアプリケーション開発において基本的かつ重要なセキュリティ対策のひとつとされています。
使い方・例文
公共のWi-Fiで暗号化されていないWebサイトにログインしたとき、同じネットワーク上の攻撃者にセッションIDを盗まれると、被害者がログアウトするまでアカウントを乗っ取られるリスクがあります。
この用語をシェア
最終更新: