セッションハイジャック

正規ユーザーのセッションID（通信の識別情報）を盗み、そのユーザーになりすまして不正にサービスを利用する攻撃手法。

正規の利用者のセッションIDを盗み取り、その利用者になりすましてWebアプリケーションを不正に利用する攻撃。セッションIDの推測、盗聴、クロスサイトスクリプティングなどの手法で奪取される。

利用者のセッションIDを盗んだり推測したりして、ログイン中の状態を乗っ取る攻撃。通信の暗号化、推測されにくいセッションIDの生成、ログイン後のIDの再発行が対策となる。

利用者のセッションIDを盗む、あるいは推測して、その利用者になりすまして通信を乗っ取る攻撃。推測困難なセッションIDの生成、通信全体のTLS化、Cookieへのsecure・HttpOnly属性の付与、ログイン後のID再発行で防ぐ。

正規の利用者のセッションIDを盗み取り、その利用者になりすましてWebアプリケーションを不正に利用する攻撃。セッションIDの推測、盗聴、クロスサイトスクリプティングなどの手法で奪取される。

深層学習などのAI技術を用いて実在の人物の顔や声を合成し、本物と見分けにくい偽の画像・動画・音声を作る技術、またはそれによって作られたコンテンツ。偽情報の拡散、経営者の声をまねた送金指示のようななりすまし詐欺、名誉毀損などに悪用される。電子透かしや来歴情報による真正性の確認、検知技術などの対策が進められている。

電気通信事業の公正な競争と利用者の利益の保護を目的とした法律。電気通信事業者が取り扱う通信の秘密を侵してはならないことを定め、事業の登録・届出、利用者への説明義務などを規定する。2023年施行の改正で、Webサイトやアプリが利用者の情報（Cookieなど）を外部に送信させる場合に、その内容の通知・公表などを求める外部送信規律が設けられた。

Webサイトやアプリで、Cookieなどによる利用者情報の取得・利用や第三者への提供について、利用者の同意を取得・記録・管理する仕組みやツール。同意を求めるバナーの表示、目的ごとの同意・拒否の選択、同意の撤回の受付、同意状況の記録と、それに応じたタグの制御などを行う。GDPRや電気通信事業法の外部送信規律への対応に使われる。

不正アクセス禁止法で禁止される行為で、アクセス制御機能を持つコンピュータに、ネットワークを通じて他人の識別符号（ID・パスワードなど）を無断で入力して利用できる状態にする行為（なりすまし）と、脆弱性を突く情報や指令を入力して利用の制限を免れる行為（セキュリティホールへの攻撃）がある。ネットワークを介さない操作は対象外。3年以下の拘禁刑または100万円以下の罰金が科される。

取引先や経営者などになりすました電子メールで企業の担当者をだまし、攻撃者の口座へ送金させたり、機密情報を送らせたりする詐欺。乗っ取ったメールアカウントや似せたドメインを使うため見破りにくく、送金先の変更などの依頼は電話など別の経路で確認することが有効である。

IPパケットの送信元IPアドレスを偽装して、別のホストになりすます手法。IPアドレスによるアクセス制御の回避や、送信元を偽ったDoS攻撃、リフレクション攻撃に使われる。外部から届いたパケットのうち送信元が内部のアドレスになっているものを境界で遮断する、などの方法で対策する。