Session-Hijacking
Übernahme des angemeldeten Kontos einer Person durch Diebstahl des Tokens, den der Browser bereits besitzt, wodurch sowohl das Passwort als auch die Zwei-Faktor-Authentifizierung umgangen werden.
Wenn Sie sich auf einer Website anmelden, fragt die Website nicht auf jeder Seite erneut nach Ihrem Passwort. Es übermittelt Ihrem Browser ein Sitzungscookie, ein kleines Token mit der Bedeutung „Diese Person hat bereits bewiesen, wer sie ist.“ Jede anschließende Anfrage präsentiert stattdessen dieses Token.
Beim Session-Hijacking wird einfach das Token kopiert und woanders verwendet. Da die Anmeldung bereits erfolgt ist, sieht der Angreifer nie eine Passwortabfrage und löst nie eine Zwei-Faktor-Authentifizierung aus. Deshalb ist ein sehr sicheres Passwort allein kein Schutz: Das Schloss wurde nie geknackt, der Schlüssel wurde fotokopiert. Auf der anderen Seite gibt es die üblichen Abwehrmaßnahmen: Sitzungen abmelden, wenn etwas nicht stimmt, Token an ein Gerät binden und den Computer von der Malware fernhalten, die sie überhaupt kopiert.