La compromissione della sessione è l'acquisizione non autorizzata di una sessione utente attiva autenticata. Invece di rubare una password e accedere da zero, un attaccante sfrutta una sessione già considerata attendibile dall'applicazione, dal dispositivo o dal provider di identità. Poiché la sessione è "attiva", l'attaccante può ereditare privilegi, stato di single sign-on, cookie, token o fiducia del dispositivo senza conoscere le credenziali originali.
Questo è importante perché molti attacchi moderni prendono di mira il livello di sessione invece della schermata di accesso. Negli ambienti Windows e di identità cloud, una sessione desktop compromessa può talvolta essere usata per accedere alla posta, alle app cloud o ai token di identità, anche quando è in uso l'accesso senza password. I difensori cercano uso anomalo dei token, registrazione imprevista del dispositivo, cambiamenti di privilegi o accessi che seguono la compromissione dell'endpoint. Difese efficaci includono token a breve durata, nuova autenticazione per le azioni sensibili, isolamento del dispositivo, revoca dei token e un attento monitoraggio degli eventi di sessione e di identità.