セッションハイジャック

セッションハイジャックとは、ひとことで言えば、利用者がログイン後に発行されたセッションID（Cookie等）を盗み出し、本人になりすまして通信を乗っ取る攻撃です。たとえば、HTTP通信の盗聴やXSSによりセッションCookieを窃取し、攻撃者がそのまま管理画面にアクセスします。対策はTLSの全面適用、HttpOnly/Secure属性、定期的なセッションIDの再生成、SameSite Cookie属性の設定などです。