セッションハイジャックとは？
セッションハイジャックとは、ログイン中の利用者を識別するセッションIDを盗んだり推測したりして、その利用者になりすます攻撃です。IDを固定させて使わせるセッションフィクセーションも同系統。対策は推測困難なIDの生成、ログイン後のID再発行、通信の暗号化です。
せっしょんはいじゃっく
セッションハイジャックの意味
ログイン中の利用者を識別するセッションIDを盗んだり推測したりして、その利用者になりすます攻撃です。IDを固定させて使わせるセッションフィクセーションも同系統。対策は推測困難なIDの生成、ログイン後のID再発行、通信の暗号化です。
セッションハイジャックの具体例
XSSでクッキーを盗む、平文HTTPの通信を傍受する、連番のセッションIDを総当たりする、といった経路があります。クッキーにSecure属性とHttpOnly属性を付ければ、平文送信とスクリプトからの読み取りを防げます。
セッションハイジャックは試験でどう引っ掛けられる？
セッションIDはパスワードと同等の価値がある、という感覚を持てるかが鍵です。「パスワードが漏れていないから安全」は誤り。またURLのクエリにセッションIDを載せる実装は、リファラ経由で漏れるため避けます。
セッションハイジャックと関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。