Lo stato della sessione autenticata è la prova in tempo reale che un utente ha già completato l'accesso ed è ancora riconosciuto da un servizio come connesso. Nelle applicazioni web, questo stato è in genere trasportato da cookie, token o altri artefatti conservati nel browser che consentono al server di fidarsi delle richieste successive senza chiedere di nuovo la password.
Questo è importante perché rubare lo stato della sessione può essere potente quanto rubare le credenziali. Negli attacchi reali, il malware infostealer su un endpoint può copiare i dati della sessione del browser e riutilizzarli da un altro dispositivo, consentendo a un aggressore di agire come la vittima, accedere agli account SaaS e consumare risorse o dati. Le difese includono la revoca delle sessioni attive, l'obbligo di una nuova autenticazione, la protezione degli endpoint dal malware e il monitoraggio di accessi insoliti o di viaggi impossibili. Lo stato della sessione dovrebbe essere trattato come una credenziale sensibile, non solo come una funzione di comodità.