セッションハイジャック

正規ユーザーのセッションID（通信の識別情報）を盗み、そのユーザーになりすまして不正にサービスを利用する攻撃手法。

利用者のセッションIDを盗んだり推測したりして、ログイン中の状態を乗っ取る攻撃。通信の暗号化、推測されにくいセッションIDの生成、ログイン後のIDの再発行が対策となる。

利用者のセッションIDを盗む、あるいは推測して、その利用者になりすまして通信を乗っ取る攻撃。推測困難なセッションIDの生成、通信全体のTLS化、Cookieへのsecure・HttpOnly属性の付与、ログイン後のID再発行で防ぐ。

正規の利用者のセッションIDを盗み取り、その利用者になりすましてWebアプリケーションを不正に利用する攻撃。セッションIDの推測、盗聴、クロスサイトスクリプティングなどの手法で奪取される。

認証後の利用者を識別するセッションIDを、盗聴、推測、クロスサイトスクリプティングなどで攻撃者が取得し、その利用者になりすましてサービスを不正に利用する攻撃。推測が困難なセッションIDの使用、通信の暗号化、ログイン後のセッションIDの再発行で対策する。

技術的な手法ではなく、人間の心理的な弱点を突いて情報を詐取する手法。電話で管理者を装ってパスワードを聞き出す、肩越しに画面を覗き見る（ショルダーハッキング）、ゴミ箱を漁る（トラッシング）などの手口がある。

取引先や経営者などになりすましたメールを送り、偽の銀行口座へ送金させるなどの詐欺。攻撃者はメールのやり取りを事前に盗み見て、適切なタイミングで偽のメールを送りつける。

正当な利用者やシステムを装って不正に活動する行為。他人のIDやパスワードを使ってログインしたり、IPアドレスやメールアドレスを偽装して通信したりする手法がある。

辞書に載っている単語やよく使われるパスワードのリストを使って、パスワードを解読する攻撃手法。一般的な単語やフレーズを組み合わせて試行するため、単純なパスワードは容易に破られる。

パスワードとして考えられるすべての文字の組み合わせを順番に試行して、正しいパスワードを見つけ出す攻撃手法。ブルートフォース攻撃とも呼ばれる。時間がかかるが、十分な時間があれば必ず解読できる。パスワードの長さや複雑さで対抗する。

他のサービスから流出したID・パスワードのリストを使って、別のサービスへの不正ログインを試みる攻撃。複数のサービスで同じパスワードを使い回している利用者が被害に遭いやすい。