セッションハイジャック とは？

Webサイトにログインすると「セッションID」という通行証が発行されるよね。このIDを攻撃者が盗むと、パスワードを知らなくてもログイン済みの状態でシステムにアクセスできてしまうんだ。まさに通行証を盗んで本人のふりをするんだよ。

主に3つの手法があるよ。1つ目はXSSでJavaScriptを使ってCookieを盗む方法。2つ目は暗号化されていない通信を盗聴する方法。3つ目はセッション固定攻撃で、攻撃者が用意したセッションIDを被害者に使わせる方法だよ。

CookieにSecure属性（HTTPS限定）とHttpOnly属性（JavaScriptからアクセス不可）を付ける。セッションIDを十分にランダムにする。ログイン時にセッションIDを再生成する。セッションの有効期限を適切に設定する。この4つが基本だよ。

公衆Wi-Fiでの重要な操作を避ける、ブラウザのプライベートモードを使う、こまめにログアウトする、URLにセッションIDが含まれているサイトは注意する、などだね。あとHTTPS以外のサイトでログインするのは避けた方がいいよ。