セッションフィクセーションとは？

セッションフィクセーションとは、攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者がログインした後に同じIDで正規セッションへ入り込む攻撃。セッションIDの固定化ともいう。FEではログイン時のID再発行が対策として問われる。

せっしょんふぃくせーしょん

基本情報技術者試験の頻出用語／テクノロジ系

セッションフィクセーションの意味

攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者がログインした後に同じIDで正規セッションへ入り込む攻撃。セッションIDの固定化ともいう。FEではログイン時のID再発行が対策として問われる。

攻撃者がセッションIDを埋め込んだURLを利用者にメールで送る。利用者がそのURLからログインすると、そのIDが認証済みになる。攻撃者は同じIDを持っているため、そのままログイン後の画面を操作できてしまう。

セッションハイジャックが「後から盗む」のに対し、こちらは「先に渡しておく」点が逆。対策はログイン成功時にセッションIDを必ず新しく発行し直すことで、IDを長くしたり乱数性を高めたりするだけでは防げない。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。