セッションハイジャックとは
セッションハイジャック（Session Hijacking）とは、ユーザーのセッションID（ログイン状態を維持するための識別子）を盗み取ることで、そのユーザーになりすましてWebサービスに不正アクセスする攻撃です。
セッションIDの盗取方法
①XSS攻撃でCookieからセッションIDを盗む、②通信の傍受（HTTPの場合）、③セッション固定化攻撃（攻撃者が指定したセッションIDをログイン後も使わせる）、④ネットワーク上のパケットスニッフィングが主な手口です。
被害の深刻さ
セッションIDを盗まれると、パスワードを知らなくてもユーザーとしてログインした状態を乗っ取れます。ネットバンキングの不正送金・ECサイトでの不正注文・SNSアカウントの乗っ取りなどの被害が発生します。
対策方法
①HTTPS通信の強制（HTTPでのCookieのやりとりを防ぐ）、②HttpOnly属性付きCookie（JavaScriptからのCookieアクセスを防ぐ）、③Secure属性付きCookie（HTTPS通信時のみCookieを送信）、④ログイン後にセッションIDを再生成する、⑤セッションの有効期限を適切に設定することが対策です。
