セッションクッキー窃取
ログイン後に発行されたセッションクッキーをマルウェアやXSSで盗み、認証を経ずになりすます攻撃。ログインの瞬間を守る認証方式では防げない。
- 概念URI
https://comcomponent.com/knowledge/session-cookie-theft/- 別名・表記
- セッションハイジャック
- 最終確認日
- 2026-08-01
- 機械可読データ
- JSON-LD
この概念が関わる関係
- AiTM(中間者)型フィッシングはセッションクッキー窃取の原因になることがあります。偽サイトが本物へリアルタイム中継してログインを成立させ、発行されたセッションクッキーを奪う経路になり得る / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- セッションクッキー窃取はアカウント乗っ取りの原因になることがあります。ログイン後のセッションクッキーを盗めば、認証方式によらずログイン済みの状態そのものを乗っ取れる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- パスキーをセッションクッキー窃取に用いることは推奨されません。パスキーが守るのはログインの瞬間だけで、ログイン後のセッションクッキー窃取への対策としては別レイヤー(トークンの有効期間・バインディング等)が必要 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- 格納型XSSはセッションクッキー窃取の原因になることがあります。cookieにHttpOnly属性が付いていなかったため、攻撃スクリプトはdocument.cookieでセッションIDを読み取れた / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- HttpOnly属性はセッションクッキー窃取を防ぎます。HttpOnly属性はcookieのスコープをHTTPリクエストに限定し、document.cookie等の非HTTP APIからのアクセスを妨げる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
この概念を扱う記事
一次資料
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。