Secuestro de sesión
¿Qué es Secuestro de sesión?
Secuestro de sesiónAtaque que toma el control de la sesión autenticada de una víctima robando o falsificando su identificador de sesión, para actuar como el usuario sin sus credenciales.
El secuestro de sesión apunta al token usado para mantener una sesión autenticada —típicamente una cookie o un token portador— y lo reutiliza desde un cliente controlado por el atacante. Los tokens pueden capturarse mediante sniffing en redes sin cifrar, exfiltración por XSS, malware en el cliente, generación de identificadores de sesión predecibles, fijación de sesión o robos a terceros. Al reproducir la sesión, el atacante elude la autenticación, incluida cualquier MFA ya superada. Las defensas incluyen HTTPS en todas partes con HSTS, banderas de cookie seguras (Secure, HttpOnly, SameSite), CSP estricta frente a XSS, tokens cortos y rotados, tokens vinculados al dispositivo (DPoP, Token Binding, passkeys), reautenticación basada en riesgo y detección de anomalías (IP, fingerprint, ASN).
● Ejemplos
- 01
Un payload de XSS exfiltra la cookie de sesión de un usuario autenticado al atacante, que la pega en su navegador para suplantarlo.
- 02
Un malware en una estación de trabajo roba un token de refresco OAuth, otorgando acceso persistente a una aplicación SaaS.
● Preguntas frecuentes
¿Qué es Secuestro de sesión?
Ataque que toma el control de la sesión autenticada de una víctima robando o falsificando su identificador de sesión, para actuar como el usuario sin sus credenciales. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa Secuestro de sesión?
Ataque que toma el control de la sesión autenticada de una víctima robando o falsificando su identificador de sesión, para actuar como el usuario sin sus credenciales.
¿Cómo defenderse de Secuestro de sesión?
Las defensas contra Secuestro de sesión combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Secuestro de sesión?
Nombres alternativos comunes: Secuestro de cookie, Hijack de sesión.