La falsificazione della sessione consiste nella creazione o nella manipolazione di un token di sessione in modo che un attaccante possa impersonare un utente o un amministratore legittimo. Un token di sessione può essere un cookie, un bearer token o un identificatore firmato che indica a un server chi è connesso. Se quel token può essere indovinato, falsificato, riprodotto o alterato senza essere rilevato, il server può accettare l'attaccante come affidabile.
Questo è importante perché i controlli di sessione spesso proteggono le funzioni più sensibili in un sistema: gestione degli account, modifiche di configurazione, accesso ai dati e azioni amministrative. Negli attacchi reali, la falsificazione della sessione può derivare da casualità debole, segreti di firma esposti, convalida insufficiente dei token o durate di sessione compromesse. Le difese includono l'uso di casualità crittograficamente قوية, la protezione delle chiavi di firma, il vincolo delle sessioni ai controlli attesi del server, la scadenza tempestiva dei token e la loro invalidazione dopo cambi di privilegio o logout. Anche password robuste e MFA possono essere aggirati se la sessione stessa non è più affidabile.