Una sessione di identità è lo stato autenticato che esiste dopo che un utente ha eseguito correttamente l'accesso. Di solito è gestita da un cookie di sessione, un token di accesso o credenziali simili che indicano a un'applicazione: “questa identità è già verificata.” Questo rende la sessione preziosa per gli attaccanti: se la rubano o ingannano un utente facendola approvare, possono agire come quell'utente senza mai conoscere la password.
Nelle attacchi reali, le sessioni di identità vengono prese di mira tramite phishing, abuso dei prompt MFA, furto di token e furto dell'accesso tramite reverse proxy. Una volta che una sessione è attiva, un attaccante può spesso leggere i dati, spostarsi tra le applicazioni cloud o impostare una persistenza fino alla scadenza della sessione o alla sua revoca. I difensori riducono questo rischio con MFA resistente al phishing, durate di sessione brevi, associazione al dispositivo, accesso condizionale, controlli forti di logout e revoca, e monitoraggio di viaggi impossibili, nuovi dispositivi o uso insolito dei token.