トークンハイジャック（とーけんはいじゃっく）
最終更新：2026/4/25
トークンハイジャックは、正規のユーザーの認証情報を不正に入手し、そのトークンを悪用してシステムへのアクセス権を得る行為である。
別名・同義語 セッションハイジャック認証情報窃取
ポイント
トークンハイジャックは、セッションハイジャックと類似するが、より広範な認証メカニズムを対象とする。APIキーやOAuthトークンなども含まれる。
トークンハイジャックとは
トークンハイジャックとは、WebアプリケーションやAPIなどのセキュリティシステムにおいて、正規のユーザーが持つ認証用トークンを不正に入手し、そのトークンを悪用してシステムへのアクセス権を奪う攻撃手法です。トークンは、ユーザーが認証された際にシステムから発行され、一定期間、ユーザーを識別するために使用されます。
トークンハイジャックの手法
トークンハイジャックは、主に以下の手法で行われます。
- クロスサイトスクリプティング (XSS): 悪意のあるスクリプトをWebサイトに埋め込み、ユーザーのブラウザ上で実行させることでトークンを盗み取ります。
- 中間者攻撃 (Man-in-the-Middle Attack): ユーザーとサーバー間の通信を傍受し、トークンを盗み取ります。暗号化されていない通信や、不適切なSSL/TLS設定が脆弱性となります。
- マルウェア感染: ユーザーのデバイスにマルウェアを感染させ、トークンを盗み取ります。
- ブルートフォースアタック: トークンを推測するために、総当たり攻撃を行います。
- セッション固定攻撃: ユーザーに特定のセッションIDを強制的に使用させ、そのセッションIDを悪用します。
トークンハイジャックの影響
トークンハイジャックに成功すると、攻撃者は正規のユーザーになりすまして、機密情報にアクセスしたり、不正な操作を行ったりすることができます。具体的には、以下のような影響が考えられます。
- 個人情報の漏洩: ユーザーの個人情報やクレジットカード情報などが漏洩する可能性があります。
- 不正な取引: ユーザーのアカウントを悪用して、不正な取引が行われる可能性があります。
- システムの改ざん: システムに不正にアクセスし、データを改ざんしたり、システムを停止させたりする可能性があります。
トークンハイジャック対策
トークンハイジャックを防ぐためには、以下の対策が有効です。