Перехват сессии (session hijacking) — атака, при которой злоумышленник захватывает уже авторизованный сеанс пользователя, украв или подделав токен сессии, и получает доступ без пароля.
Как происходит перехват сессии
После входа сайт выдаёт браузеру токен сессии, обычно в cookie, чтобы не спрашивать пароль на каждой странице. Тот, кто предъявит этот токен, считается вами. Получить его можно несколькими способами:
- Кража cookie вредоносом — инфостилеры копируют cookie браузера, преступники продают их и импортируют в свои браузеры (pass-the-cookie).
- Фишинг с посредником (adversary-in-the-middle) — наборы вроде Evilginx проксируют настоящую страницу входа и перехватывают cookie после прохождения MFA.
- Межсайтовый скриптинг — внедрённый скрипт читает незащищённые cookie.
- Атака «человек посередине» на незашифрованных соединениях.
- Фиксация сессии — жертву вынуждают использовать заранее известный атакующему идентификатор сессии.
Почему это важно
Украденная сессия обходит пароль и даже двухфакторную аутентификацию, ведь вход уже выполнен. Кража сессий стала ключевой техникой захвата облачных, почтовых аккаунтов и соцсетей — включая крупные YouTube-каналы — и частым первым шагом компрометации деловой почты.
Как предотвратить
- Разработчикам — выставлять cookie с флагами Secure, HttpOnly и SameSite, менять идентификатор сессии после входа и ограничивать время её жизни.
- Привязывать сессию к устройству (например, Device Bound Session Credentials в Chrome) и повторно проверять пользователя при рискованных действиях.
- Использовать устойчивую к фишингу аутентификацию (passkeys), которая не работает через прокси-страницы.
- Пользователям — защищать устройства от инфостилеров и завершать незнакомые сеансы.
Синонимы:
угон сессии, кража сессии, session hijacking
