Перехоплення сесії (session hijacking) — атака, під час якої зловмисник захоплює вже авторизований сеанс користувача, викравши чи підробивши токен сесії, і отримує доступ без пароля.
Як відбувається перехоплення сесії
Після входу сайт видає браузеру токен сесії, зазвичай у cookie, щоб не запитувати пароль на кожній сторінці. Той, хто пред’явить цей токен, вважається вами. Отримати його можна кількома способами:
- Крадіжка cookie шкідливим ПЗ — інфостилери копіюють cookie браузера, злочинці продають їх та імпортують у свої браузери (pass-the-cookie).
- Фішинг із посередником (adversary-in-the-middle) — набори на кшталт Evilginx проксіюють справжню сторінку входу й перехоплюють cookie після проходження MFA.
- Міжсайтовий скриптинг — впроваджений скрипт читає незахищені cookie.
- Атака «людина посередині» на незашифрованих з’єднаннях.
- Фіксація сесії — жертву змушують використовувати заздалегідь відомий зловмиснику ідентифікатор сесії.
Чому це важливо
Викрадена сесія обходить пароль і навіть двофакторну автентифікацію, адже вхід уже виконано. Крадіжка сесій стала ключовою технікою захоплення хмарних, поштових акаунтів і соцмереж — зокрема великих YouTube-каналів — і частим першим кроком компрометації ділової пошти.
Як запобігти
- Розробникам — встановлювати cookie з прапорцями Secure, HttpOnly і SameSite, змінювати ідентифікатор сесії після входу й обмежувати час її життя.
- Прив’язувати сесію до пристрою (наприклад, Device Bound Session Credentials у Chrome) і повторно перевіряти користувача під час ризикових дій.
- Використовувати стійку до фішингу автентифікацію (passkeys), яка не працює через проксі-сторінки.
- Користувачам — захищати пристрої від інфостилерів і завершувати незнайомі сеанси.
Синоніми:
викрадення сесії, угон сесії, session hijacking
