セッションハイジャック

セッションハイジャックは、認証済みセッションを維持するためのトークン(通常はクッキーやベアラートークン)を狙い、攻撃者の制御下にあるクライアントで再利用します。トークンの入手手段には、暗号化されていない通信のスニッフィング、XSS による持ち出し、クライアント上のマルウェア、推測可能なセッション ID、セッション固定、サードパーティでの漏えいなどがあります。セッションが再生されると、既に通過した多要素認証も含めて認証を回避できます。対策には、HSTS を伴うサイト全体の HTTPS、Secure/HttpOnly/SameSite といったクッキー属性、XSS を防ぐ厳格な CSP、短寿命でローテーションされるトークン、デバイス結合トークン(DPoP、Token Binding、Passkey)、リスクベースの再認証、IP・デバイスフィンガープリント・ASN などの異常検知などが挙げられます。