セッションハイジャックとは？
セッションハイジャックとは、利用者のセッションIDを盗む・推測する・固定することで、認証済みのセッションを乗っ取る攻撃。
情報処理安全確保支援士試験の過去問では2回出題されています（2018年度〜2021年度）。
せっしょんはいじゃっく
セッションハイジャックの意味
利用者のセッションIDを盗む・推測する・固定することで、認証済みのセッションを乗っ取る攻撃。
セッションハイジャックの具体例
セッションIDが連番や時刻から生成されていると推測できる。XSSやネットワーク盗聴による窃取も経路になる。
セッションハイジャックは試験でどう引っ掛けられる？
対策はセッションIDを暗号論的乱数で生成し、TLSで保護し、CookieにSecureとHttpOnlyを付け、ログイン成功時にセッションIDを再発行すること。
セッションハイジャックと関連する用語
セッションハイジャックが出た過去問
cookieにsecure属性を設定しなかったときと比較した,設定したときの動作の差として,適切なものはどれか。
正解：URLのスキームがhttpsのときだけ,Webブラウザからcookieが送出される。
要点：secure属性はHTTPS通信のときだけcookieを送らせる
secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信に乗ってセッションIDが漏れる事態を防ぐための属性であり、盗聴によるセッションハイジャック対策として基本となる。スクリプトからの読み出し禁止はHttpOnly属性、送出範囲の制御はpathやdomain属性と、役割が分かれている点に注意したい。
出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）cookieにSecure属性を設定しなかったときと比較した、設定したときの動作として、適切なものはどれか。
正解：URL内のスキームがhttpsのときだけ、Webブラウザからcookieが送出される。
要点：Secure属性はHTTPS通信のときだけcookieを送らせる
Secure属性を付けたcookieは、HTTPSで保護された通信のときにしかブラウザから送出されない。平文のHTTP通信でセッションIDが流れて盗聴される事態を防ぐ属性であり、盗聴によるセッションハイジャック対策の基本となる。スクリプトからの読み出し禁止はHttpOnly、送出範囲の制御はpathやdomain、失効はexpiresと、役割が分かれている。
出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問10（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。