セッションハイジャックとは？被害発生の原因と効果的な対策

セッションとは

セッションとは、ユーザーがWebサイトにアクセスしてから、一定の時間内に行う一連の操作のことを指します。具体的には、ログインしてからログアウトするまでの一連の流れなどが該当します。

これは、サーバーとユーザー間で情報のやり取りをスムーズに行うために必要な仕組みで、このセッションを利用しているところを攻撃者に利用され、セッションハイジャックが発生します。

セッションIDとは

セッションIDとは、サーバーが各ユーザーのセッションを識別するために用いる識別子のことです。一般的には、ユーザーがWebサイトにログインするとサーバーからセッションIDが発行され、これをクライアント側が保持します。

サーバーはこのセッションIDを基に、ユーザーが過去にどのような操作をしたのかを把握します。セッションハイジャックでは、攻撃者がこのセッションIDを盗むことで、そのユーザーとして行動を起こすことができるのです。

セッションIDが推測される

セッションIDが第三者に推測されるという事態は、セッションID生成の規則性や予測可能性に問題がある場合に生じます。

例えば、セッションIDが日付や登録名など、簡単に予測できるものであった場合、攻撃者はそれを推測してセッションIDを特定します。規則性が高いものについては、総当たり攻撃で推測してくる可能性があるため注意が必要です。

セッションIDが奪取される

セッションハイジャックは、セッションIDが奪取されることでも起こります。具体的には、攻撃者がWebサイトの脆弱性を突くなどして、不正にユーザーとWebサービスの間に介入し、正規ユーザーからセッションIDを盗み取ります。

特にセッションIDが平文で通信されている場合や、SSL等の暗号化が適切に行われていない場合は注意が必要です。

ID固定化によるなりすまし

ID固定化によるなりすましによっても、セッションハイジャックは発生します。ID固定化とは、一度生成されたセッションIDを継続的に使用し続けることです。

これは、攻撃者が取得した正規のセッションIDを、何かしらを経由して正規ユーザーに使用させ、Webサイトにログインしたことを確認した後、攻撃者が乗っ取るというものです。

「YouTube」の不正アクセス事件

YouTubeは2010年に、セッションハイジャックによる不正アクセス被害を受けました。動画のコメントが閲覧できなくなったほか、デマ情報が記載されたポップアップなどが表示されました。

不正アクセスが起こった原因は、コメント出力データの暗号化処理の脆弱性だとされています。脆弱性を突いた攻撃者がセッションIDを奪取し、多くのユーザーに障害を与えました。ただ、YouTubeの運営会社であるGoogleは、この問題を2時間程度で解決に導きました。

「Apache」のサーバ不正アクセス事件

Apacheは広く利用されているWebサーバーソフトウェアで、このサービスも2010年にセッションハイジャックの対象となりました。同サーバの管理者が悪質なURLをクリックしたことで、管理者権限を含んだセッションが攻撃者に奪われました。

また、攻撃者は同時に「JIRA login.jsp」に対してブルートフォース攻撃（総当たり攻撃）を行い、JIRAアカウントのパスワードを推測しています。このどちらかが成功し、管理者権限が奪われてシステムに侵入され、JIRA、Bugzilla、Confluenceユーザのハッシュ化されたパスワードが流出した可能性が浮上しました。

「Twitter」のウイルス拡散事件

大手SNSのTwitterもまた、セッションハイジャックの被害に遭っています。2010年にTwitterの公式アプリ「Tweet Deck」に罠が仕掛けられ、ユーザーのデバイスにワーム（独立したマルウェア）が感染したことで、ユーザーのアカウントが乗っ取られました。

ワームに感染したユーザーは、遠隔操作で意味不明な内容のリツイートが大量に投稿されるなどの被害を受けました。しかし、犯人のほとんどはPCの操作に興味を持ったユーザーであり、好奇心に駆られて攻撃を行ったとされています。

【関連記事】マルウェアの対策方法とは？感染前後の対処法を詳しく紹介！

セッションIDをURLに含めない

まずは、セッションIDをURLに含めないことが大切です。攻撃者がセッションIDを知る1つの手段として、URLからの収集方法が挙げられます。

そのため、WebサイトのURLにセッションIDを含めると、セッションハイジャックの格好の的になってしまい、サイバー攻撃を受けやすくなります。これを防ぐため、セッションIDはCookieを用いて管理する方法などに切り替えましょう。

推測が難しいセッションIDに変更する

セッションIDが容易に推測できるものだと、攻撃者による強引なブルートフォース攻撃により、セッションIDが特定されるリスクがあります。このリスクを防ぐためにも、推測が難しいセッションIDに変更することが重要です。

▼推測が難しい具体的なセッションID

• ランダムな文字列
• ひたすらに長い文字列

規則性のあるセッションIDが設定されている場合は、推測が困難なものに変更しましょう。

ワンタイムセッションIDを発行する

ワンタイムセッションIDを発行するのも1つの手です。ワンタイムセッションIDとは、一度しか使用できないセッションIDのことです。

これにより、一度使用されたセッションIDは無効となるため、攻撃者にセッションIDを奪われても悪用されることがありません。セッションハイジャックのリスクを軽減するためにも、ワンタイムセッションIDの発行をご検討ください。

セキュリティサービスでセッション管理の安全性を高める

セッション管理のセキュリティ対策を強化するには、信頼性の高いセキュリティサービスの活用が効果的です。セキュリティサービスを導入すれば、セッションハイジャックなどのサイバー攻撃を瞬時に検知でき、適切な対応を取ることが可能になります。

「GMOサイバーセキュリティ byイエラエ」はセッション管理だけでなく、広範囲なセキュリティ対策を提供し、あらゆるサイバー攻撃のリスクを軽減します。安全にWebサービス・アプリを運営したい方は、本サービスの導入をご検討ください。

【関連記事】企業が取り組むべきセキュリティ対策とは？重要性や対策内容を解説