セッションハイジャックとは？せっしょんはいじゃっく
セッションハイジャックとは、ログイン中の利用者を識別するセッションIDを盗んだり推測したりして、その利用者になりすます攻撃です。IDを固定させて使わせるセッションフィクセーションも同系統。対策は推測困難なIDの生成、ログイン後のID再発行、通信の暗号化です。
最終更新：2026-10-09
基本情報を最短で暗記・合格する →具体例
XSSでクッキーを盗む、平文HTTPの通信を傍受する、連番のセッションIDを総当たりする、といった経路があります。クッキーにSecure属性とHttpOnly属性を付ければ、平文送信とスクリプトからの読み取りを防げます。
試験での引っ掛け
セッションIDはパスワードと同等の価値がある、という感覚を持てるかが鍵です。「パスワードが漏れていないから安全」は誤り。またURLのクエリにセッションIDを載せる実装は避けます。直前に見ていたページのURLを次に開いたサイトへ伝える情報（リファラ）に、セッションIDごとURLが載って外部へ漏れるためです。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。