El secuestro de sesiones, también conocido como secuestro lateral de cookies, es otra forma de ataque man-in-the-middle que le dará a un hacker acceso completo a una cuenta en línea. Cuando inicia sesión en una cuenta en línea como Facebook o Twitter, la aplicación devuelve una “cookie de sesión”, un dato que identifica al usuario en el servidor y le da acceso a su cuenta. Siempre que el dispositivo del usuario conserve ese token de sesión, el servidor le permitirá usar la aplicación.
Cuando un usuario cierra sesión en una aplicación, el servidor invalida el token de sesión y todo acceso posterior a la cuenta requiere que el usuario vuelva a ingresar sus credenciales de inicio de sesión.
En un ataque de secuestro de sesión, el hacker roba el token de sesión del usuario y lo usa para acceder a la cuenta del usuario. Hay varias formas en que un atacante puede organizar un ataque de secuestro de sesión, como infligir al dispositivo del usuario un malware que monitorea y roba los datos de la sesión. Otro método es el uso de ataques de secuencias de comandos entre sitios cruzados, en los que un atacante carga una secuencia de comandos de programación en una página web que el usuario visita con frecuencia y obliga a la computadora del usuario a enviar los datos de la cookie de sesión al servidor. Otros métodos de secuestro de sesiones aprovechan las fallas en la programación de la aplicación para adivinar o revelar información de cookies de sesión.
Como evitar un ataque de secuestro de sesión
La protección contra el secuestro de sesiones recae principalmente en los desarrolladores de aplicaciones, quienes deberán asegurarse de que sus prácticas de programación sean seguras. Los usuarios pueden protegerse contra los ataques de secuestro mediante el uso de comunicaciones cifradas (a través de HTTPS y VPN). También pueden minimizar los posibles ataques de secuestro de sesión cerrando con frecuencia la sesión de sus cuentas para invalidar sus cookies de sesión.
