セッションハイジャックとは？
セッションハイジャックとは、Webサービスのログイン状態を維持するために使われる「セッションID」を、盗聴や推測によって不正に入手し、正規の利用者になりすましてサービスを利用する攻撃手法。
応用情報技術者試験の過去問では1回出題されています。
せっしょんはいじゃっく
セッションハイジャックの意味
Webサービスのログイン状態を維持するために使われる「セッションID」を、盗聴や推測によって不正に入手し、正規の利用者になりすましてサービスを利用する攻撃手法。
セッションハイジャックの具体例
暗号化されていない通信でやり取りされるセッションIDを盗聴して入手し、そのIDを使って自分のブラウザから正規利用者としてログイン済みのサービスにアクセスする。
セッションハイジャックは試験でどう引っ掛けられる？
対策として、セッションIDをHTTPSで暗号化して送る、一定時間でセッションを無効化する、ログイン後にセッションIDを再発行するといった手法が用いられる。
セッションハイジャックと関連する用語
セッションハイジャックが出た過去問
Webシステムにおいて、セッションの乗っ取りの機会を減らすために、利用者のログアウト時にWebサーバ又はWebブラウザにおいて行うべき処理はどれか。ここで、利用…
正解：Webサーバにおいてセッション IDを無効にする。
要点：ログアウト時はサーバ側でセッションIDを無効化する
セッションハイジャックを防ぐには、ログアウト時にサーバ側でセッションIDを破棄し、以後そのIDを提示されても認証済みとして扱わないようにすることが基本である。ブラウザ側のクリアだけでは、既に盗まれたIDが有効なままとなり、乗っ取りを防げない。
出典：平成30年度 春期 応用情報技術者試験 午前 問43（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。