1. セッションハイジャックとは
セッションハイジャックとは、ログイン後の「認証済みの状態（セッション）」を盗み取り、正規利用者になりすます攻撃です。「セッション」とは、一度ログインした後、サービスが「この利用者は認証済みだ」と覚えておく仕組みのこと。私たちがWebサービスに一度ログインすれば、しばらくは再入力なしで使い続けられるのは、このセッション（多くはブラウザに保存される「クッキー」）のおかげです。
セッションハイジャックは、この「認証済みの証明書」であるセッション情報そのものを盗みます。攻撃者は、盗んだセッションを自分のブラウザに取り込むことで、パスワードもMFAも入力することなく、すでにログインした状態を「乗っ取る」のです。いわば、正規利用者が入館後に発行された「入館済みのパス」を横取りして、そのまま中を歩き回るようなものです。だから「ハイジャック（乗っ取り）」と呼ばれます。
2. なぜMFAをすり抜けられるのか
セッションハイジャックが近年とりわけ警戒されているのは、多要素認証（MFA）をすり抜けてしまうからです。「MFAを入れているのに、なぜ？」と思うかもしれません。その理由は、セッションハイジャックが狙うタイミングにあります。
パスワードやMFAが力を発揮するのは、「ログインするとき」です。しかしセッションハイジャックが狙うのは、「ログインした後」。つまり、MFAによる認証がすでに完了し、「認証済みのセッション」が発行された、その後を狙うのです。攻撃者は、認証のプロセスそのものを突破するのではなく、認証の「結果」であるセッションを横取りします。だから、入口をMFAでどれだけ固めても、その後に発行されたセッションを盗まれれば、なりすまされてしまうのです。「MFAを設定していたのに乗っ取られた」という事例の背景には、しばしばこのセッションハイジャックがあります。
3. セッションはどう盗まれるのか
| 手口 | 内容 |
|---|---|
| 中間者型（AiTM）フィッシング | 偽サイトが本物との通信を中継し、ログイン時にセッション情報まで盗み取る。近年の主流 |
| マルウェア（インフォスティーラー） | 端末に感染したマルウェアが、ブラウザに保存されたセッション（クッキー）を盗み出す |
| 通信の盗聴 | 暗号化されていない通信を盗聴し、セッション情報を傍受する |
| クロスサイトスクリプティング（XSS） | Webサイトの脆弱性を悪用し、利用者のセッションを盗む |
近年、最も脅威となっているのが中間者型（AiTM）フィッシングです。精巧な偽サイトが、利用者と本物のサイトの間に入り込み、パスワード・MFAコードだけでなく、ログイン後に発行されるセッション情報まで、リアルタイムで盗み取ります。また、端末に感染して情報を盗む「インフォスティーラー」と呼ばれるマルウェアも、ブラウザ内のセッション（クッキー）を狙う代表的な脅威です。いずれも、認証の「結果」であるセッションを直接奪う点で共通しています。
4. セッションハイジャックの対策
- ① 通信を暗号化する：すべての通信をHTTPSで暗号化し、通信経路での盗聴を防ぎます（基本対策）。
- ② 端末をマルウェアから守る：インフォスティーラーの感染を防ぎ、セッション窃取の経路を断ちます。
- ③ セッションの適切な管理：セッションの有効期限を適切に設定し、不審な場合は無効化します。
- ④ 継続的認証（ログイン後も検証する）：ログイン後も、アクセス元や挙動を監視し、セッションが乗っ取られた兆候を検知します。
- ⑤ フィッシングに強い認証を使う：セッション窃取の最大の起点である中間者型フィッシングを、そもそも成立させない。
これらのうち、特に重要なのが④ 継続的認証と⑤ フィッシングに強い認証です。④は、「入口で一度確認したら終わり」をやめ、ログイン後も継続的に「本当に本人か」を検証し続ける考え方です（継続的認証とは）。これにより、セッションが乗っ取られても、途中の異変を捉えられます。そして⑤が、次に述べる、最も根本的な対策です。
5. 起点を断つ——パスワードレスと継続的認証
セッションハイジャックの最大の起点は、前述の中間者型（AiTM）フィッシングです。ならば、この起点そのものを断つことが、最も効果的な根本対策になります。そして、それを実現するのが、フィッシングに強いパスワードレス認証（FIDO2/パスキー）です。
FIDO2は、認証の際に「今アクセスしているサイトが本物かどうか」を技術的に確認します。偽サイトに対しては、そもそも認証を成立させません。つまり、中間者型フィッシングが原理的に成立しないため、その過程でセッションを盗む機会そのものが失われるのです。セッションハイジャックの最大の入口が、認証の仕組みのレベルで閉じられます。さらに、FIDO2をベースにした最新の仕組みでは、セッション自体を特定の端末に紐づけ、盗まれたセッションを別の端末で使えなくする取り組みも進んでいます。
まとめると、セッションハイジャックへの答えは2段構えです。まず、フィッシングに強いパスワードレス認証で、セッション窃取の起点（中間者型フィッシング）を断つ。そのうえで、継続的認証で、ログイン後も検証を続け、万一の乗っ取りの兆候を捉える。入口を根本から固め、その後も守り続ける——これが、MFAをすり抜けるセッションハイジャックに対抗する、確実な道です。米国NISTをはじめ世界のセキュリティガイドラインが最終的に求める認証も、このフィッシングに強いパスワードレスです。「ログインさえ守れば安心」の時代は終わり、入口と、その後の両方を守ることが求められています。
6. まとめ
セッションハイジャックとは、ログイン後の「認証済みの状態（セッション）」を盗み、パスワードやMFAを経ずに正規利用者になりすます攻撃です。認証の「結果」であるセッションを狙うため、入口をMFAで固めてもすり抜けられ、近年急増しています。中間者型フィッシングやインフォスティーラーが、その主要な手口です。
対策は2段構えです。まず、セッション窃取の最大の起点である中間者型フィッシングを、フィッシングに強いパスワードレス認証（FIDO2/パスキー）で原理的に断つこと。そして、継続的認証で、ログイン後も検証を続けること。世界のセキュリティガイドラインが最終的に求める認証も、このフィッシングに強いパスワードレスです。「ログインさえ守れば安心」ではなく、入口と、その後の両方を守りましょう。まず自社の認証がフィッシングに耐えられるかを確認することから始めてください。対策でお困りなら、専門家にご相談ください。