セッション トークン ハイジャック、Infostealer マルウェア、およびグローバル セッション失効¶

攻撃者があなたの YouTube、Instagram、Discord、または X アカウントから暗号通貨詐欺を投稿したり、Gmail や Microsoft 365 の受信トレイに転送ルールを作成したり、携帯電話で 2FA コードや「新規ログイン」電子メール アラートをトリガーしたりすることなく 企業クラウド コンソールにアクセスしたことを発見したことは、Infostealer によって引き起こされた セッション Cookie / トークン ハイジャッキング (Pass-the-Cookie) の紛れもない特徴です。マルウェア。 Web サイトにログインし、「サインインしたままにする」 にチェックを入れると、サーバーは暗号化された HTTP セッション Cookie または OAuth ベアラー トークン (Google など) を発行します。 SID / SAPISID、マイクロソフトの ESTSAUTHPERSISTENT、またはDiscordの Authorization トークン）は、Web ブラウザのローカル SQLite データベース内に保存されます。

Lumma Stealer、RedLine、Vidar、Raccoon、StealC、RisePro、Rhadamanthys、Atomic macOS Stealer (AMOS) などのコモディティ情報窃盗マルウェア ファミリは、従来のウイルスのようにコンピュータ上で待機しません。インフォスティーラーは、偽のゲーム MOD、クラックされたソフトウェア インストーラー、偽の「ClickFix」PowerShell CAPTCHA プロンプト、またはスポンサー コラボレーション PDF を装うことが多く、4 秒以内で実行され、Chrome、Edge、Brave、または Firefox を復号化します。 Cookies そして Login Data データベースをメモリ内に保存し、デスクトップの暗号通貨ウォレット ファイルとともに圧縮し、アーカイブを Telegram または C2 サーバーにアップロードして、自身を削除します。攻撃者が盗んだセッション Cookie を検出防止ブラウザにインポートすると (Multilogin、 Dolphin{anty}、 または Gologin)、Web サーバーは、攻撃者がすでに認証されているコンピューターであるとみなし、パスワードと 2 要素認証の両方を完全にバイパスします。

今すぐこれを実行してください¶

1. 感染したコンピュータのパスワードを変更するのをやめ、ただちにその PC または Mac を Wi-Fi から切断し、イーサネット ケーブルを抜いてください。 これは被害者が犯す最大の間違いです。被害者は、Discord、Steam、または Gmail がハイジャックされたことに気づき、まったく同じ感染したデスクトップ PC の前に座って、Chrome に新しいパスワードを入力します。インフォスティーラー永続ローダーまたはスケジュールされたタスクがそのマシン上でまだアクティブな場合、新しいパスワードと新しいセッション Cookie がすぐにキャプチャされ、攻撃者に直接送信されます。パスワードの変更とセッションの取り消しは、クリーンなスマートフォン (セルラー データまたはクリーンな Wi-Fi) または別の何も触れていないラップトップから 100% 実行してください。
2. パスワードを変更するだけでは、盗まれたセッション Cookie や OAuth リフレッシュ トークンが常に無効になるわけではないことを理解してください。明示的に [すべてのセッションからサインアウト] をクリックし、サードパーティの OAuth アプリを取り消す必要があります。 いくつかのプラットフォーム (および Google の文書化されていない機能) MultiLogin / issueToken OAuth エンドポイントまたは有効期間の長いセッション トークン）、以下の表にあるプラットフォーム固有の グローバル セッションとトークンの取り消し 手順を実行しない限り、パスワードを変更するか 2FA をローテーションするだけで、既存のセカンダリ セッション トークンまたは OAuth デスクトップ トークンが生きたままになる可能性があります。
3. 感染したコンピュータにソフトウェア暗号通貨ウォレット拡張機能 (MetaMask、Phantom、Rabby、Trust Wallet、Coinbase Wallet、Exodus、Electrum) がインストールされている場合は、今すぐクリーンな携帯電話を使用して、資金を新しいハードウェア ウォレットのシード フレーズに避難させてください。 Infostealer ログは、暗号化されたボールト ファイル (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask 用) をブラウザに保存したパスワードと一緒に表示します。たとえ攻撃者がまだあなたの暗号通貨に触れていなかったとしても、あなたのボールトファイルはすでにダークネット市場に存在し、オフラインの GPU クラッカーを待っています。私たちの 暗号通貨ウォレットの流出とシードフレーズの侵害 すぐに案内します。
4. 最初の 10 分で「Apex ID アカウント」 (プライマリメール、パスワードマネージャー、Apple/Google アカウント、および企業 SSO) を保護します。 クリーンなスマートフォンで、プライマリ Google / Gmail (myaccount.google.com/device-activity) および Microsoft (mysignins.microsoft.com) アカウントを最初に作成します。すべてのデスクトップ セッションからサインアウトし、マスター パスワードをローテーションし、[設定] > [転送と POP/IMAP] および [フィルター/ルール] を確認して、攻撃者が他のサービスからのパスワード リセット電子メールを隠すために作成した非表示の電子メール転送ルールを削除し、登録されているパスキーと認証デバイスを確認します。
5. Windows レジストリを監査する Run 最近「ClickFix」偽の CAPTCHA コマンドを実行した場合は、キー、タスク スケジューラ、および PowerShell の履歴 (Win + R -> Ctrl + V). 現在、最も急速に成長している情報窃取ベクトルの 1 つは、Web ページ上にある偽の Cloudflare または Google CAPTCHA ポップアップで、「」を押してくださいと指示します。 Win + R、 プレス Ctrl + Vを押して、 Enter あなたが人間であることを確認するため」 (隠されたコードをサイレントに実行します) mshta.exe または powershell -w hidden -enc ... コマンドがクリップボードにコピーされました)。
6. 侵害に企業インフラや恐喝が含まれている場合は、見通しを維持し、物理的な安全を保護します。 Infostealer のログにより、盗まれたパスワードを引用した自動身代金要求メールやセクストーション メールが頻繁にトリガーされます。恐喝者には決してお金を支払わないでください。私たちのを参照してください セクストーションとオンライン恐喝 ガイドを参照し、物理的な脅威に直面した場合は、最寄りの緊急電話番号 (米国とカナダでは 911、欧州連合では 112、英国では 999) に電話してください。 緊急電話番号 ディレクトリ)。

Infostealer とセッション Cookie ハイジャックのインシデント対応デシジョン ツリー¶

flowchart TD
    Root["セッション Cookie ハイジャックまたは Infostealer マルウェア感染の疑い"] --> IsolatePC["ステップ 1: 感染した PC/Mac を Wi-Fi およびイーサネットから直ちに切断します (感染した PC のパスワードは変更しないでください)"]

    IsolatePC --> CryptoCheck{"その PC には暗号ウォレット拡張機能 (MetaMask、Phantom、Exodus) がありましたか?"}
    CryptoCheck -->|"はい"| EvacCrypto["クリーンな携帯電話/ハードウェアウォレットをすぐに使用して、すべての暗号資産を真新しいシードフレーズにスイープします"]
    CryptoCheck -->|"いいえ"| ApexLock["ステップ 2: クリーンなスマートフォンで、最初にプライマリ電子メール (Gmail、Outlook、Proton) をロックダウンします"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["ステップ 3: すべての重要なアカウントに対してグローバル セッション + OAuth トークン + パスキー取り消しを実行します (以下のプラットフォーム マトリックスを参照)"]

    GlobalRevoke --> ExportList["ステップ 4: オフラインの感染した PC で、保存されているすべてのブラウザのパスワードと Cookie のリストをエクスポートして、どのアカウントが盗まれたかを正確に知ることができます"]

    ExportList --> CleanOS["ステップ 5: 個人ドキュメントのみをバックアップする -> OS のクリーン ワイプ/再インストールを実行する -> パスキーを再登録し、Chrome アプリにバインドされた暗号化を有効にする"]

Infostealer が 2FA および DPAPI / キーチェーン暗号化をバイパスする方法を理解する¶

Google Chrome、Microsoft Edge、Brave がハードドライブ上で暗号化しているパスワードとセッション Cookie を、200 キロバイトのプログラムがどのように盗むのでしょうか?

1. Windows DPAPI (CryptUnprotectData) および Chrome アプリバインド暗号化 (v20):
2. Windows では、Chromium ベースのブラウザ (Chrome、Edge、Brave、Opera、Vivaldi) は保存されたパスワードを内部に保存します。 %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data そしてその中にセッションクッキーが入っています \Network\Cookies。
3. これらの SQLite データベースは、次の場所に保存されている AES-256-GCM マスター キーを使用して暗号化されます。 %LOCALAPPDATA%\Google\Chrome\User Data\Local State、これは、ログインしている Windows ユーザー アカウントに関連付けられた Windows Data Protection API (DPAPI) によって保護されています。
4. Infostealer を 自分のログイン Windows ユーザーとして実行したため、ユーザー アカウントで実行されているプロセスはこれまで、 CryptUnprotectData() Windows にキーを復号化するよう要求します。 Chrome 127 以降のアプリバインド暗号化 (v20 エレベーター サービス)、最新の情報窃取者はヘッドレス サーバーに直接侵入します chrome.exe デバッグプロセス (--remote-debugging-port) または、COM 昇格を使用して、Chrome 自体にすべてのライブ復号化された Cookie をダンプするように依頼します。
5. macOS キーチェーンとアトミック macOS スティーラー (AMOS / PoseStealer):
6. Apple macOS では、次のように偽装した情報窃取者が存在します。 .dmg downloads (often asking you to "Right-click -> Open" or drag the icon to Terminal to bypass Apple Gatekeeper) pop up a fake native macOS dialog box reading "System Preferences wants to access your confidential information: Enter your Mac login password". The instant you type your Mac login password into that prompt, the script unlocks -/Library/Keychains/login.keychain-db and copies Safari/Chrome cookies, Apple Notes, and iCloud tokens.
7. Google MultiLogin / OAuthLogin トークン再生エクスプロイト:
8. Security researchers revealed that infostealers do not just steal standard web cookies, they also extract undocumented oauth_token service tokens from Chrome's Web Data (token_service table) SQLite file. Even after a victim changes their Google password once, attackers could previously replay the stolen token_service OAuth token against Google's internal OAuthLogin endpoint to mint brand-new valid SID browser cookies unless the user explicitly signed out the compromised Chrome device session AND revoked third-party/OAuth device access.

Step 1: Global Session, Cookie, OAuth, and Passkey Revocation Matrix¶

Using a clean smartphone or clean secondary computer, work down this exact table from top to bottom. Order matters: always do Step A (Sign out all active sessions/devices) and Step B (Change password) and Step C (Audit 2FA/Passkeys/OAuth/Forwarding) together, if you only change your password without terminating active sessions, the attacker's live browser tab stays logged in and can watch you or add a rogue recovery method.

ステップ 2: 感染したコンピュータ上で公開されたすべてのアカウントを見つける方法¶

クリーンな携帯電話で上位 10 の重要なアカウントをロックダウンした後、あなたは気の遠くなるような質問に直面します。「そのコンピュータを 4 年間使用しました。インフォスティーラーが実行されたときに、250 の Web サイトのうちどの Web サイトが Chrome/Edge 内にパスワードやアクティブな Cookie を保存していたかをどうやって知ることができますか?」

感染したコンピュータを 100% オフライン (Wi-Fi オフ、イーサネットは接続されていない) に保ちながら、マシンをワイプする前にコンピュータの電源を入れ、正確な暴露インベントリを抽出します。

1. ブラウザに保存されているパスワード リストをエクスポートします (CSV):
2. ブラウザをオフラインで開きます (chrome://password-manager/settings Chromeでは、 edge://wallet/settings エッジで、または about:logins Firefox の場合)、パスワードのエクスポート をクリックして保存します Chrome Passwords.csv クリーンな USB フラッシュ ドライブにコピーします。
3. このファイルがリカバリにとって最適な理由: インフォスティーラーは、まさにこのデータベースを盗みました。持っている Chrome Passwords.csv あなたの目の前には、攻撃者が現在所有しているすべての Web サイトのユーザー名とパスワードの正確なチェックリストが表示されるため、古い税務ポータル、航空会社のマイル アカウント、またはクレジット カードが保存されているショッピング サイトを見逃すことはありません。
4. どの Web サイトにアクティブなセッション Cookie があったのかを調べます (chrome://settings/content/all):
5. Chrome または Edge (オフライン時) で、** に移動します。chrome://settings/content/all** (or edge://settings/content/all) and sort by Data stored or Most visited. Any website where you stayed logged in without typing a password was vulnerable to session cookie theft and needs its session terminated.
6. Check if your Standalone Password Manager (1Password, Bitwarden, KeePassXC) was Unlocked at the Moment of Infection:
7. If your 1Password, Bitwarden, or KeePassXC vault was LOCKED when the infostealer ran: The malware could only grab the encrypted local vault cache (data.json または .kdbx), which is protected by PBKDF2-SHA256 / Argon2id + your Master Password (and 34-character Secret Key in 1Password). If your Master Password is strong, your vault contents remain safe, though you should still rotate your Master Password as a precaution.
8. If your password manager browser extension was UNLOCKED in memory when the malware ran (or if you saved your Password Manager Master Password inside Chrome's built-in autofill.): Assume the infostealer dumped your vault or captured your Master Password, and rotate all critical credentials inside your vault.

Step 3: Hunting and eradicating Infostealer persistence before wiping the OS¶

Before backing up your personal documents and performing a clean OS reinstall, you can inspect how the infostealer entered your system and whether it dropped a persistent secondary loader (such as a Scheduled Task, Registry Run key, Startup .lnk shortcut, or malicious Chrome Extension):

1. Run this Offline PowerShell Persistence Audit (Windows)¶

Open PowerShell (Admin) on the offline PC and run these four read-only forensic checks:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Why a Clean OS Reinstall (via USB Media) is Recommended After an Infostealer¶

While running Microsoft Defender Offline Scan and Malwarebytes after clearing Defender exclusions removes known persistence loaders, commodity infostealers frequently bundle a secondary RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, or clipper malware (which silently monitors your Windows clipboard and swaps any copied Bitcoin/Ethereum wallet address with the hacker's address). - Once you have copied your personal documents, photos, and Chrome Passwords.csv off the offline PC, perform a clean Windows 11 USB Reinstall (or macOS Erase All Content and Settings) following our マルウェア、ランサムウェア、スパイウェア感染ガイド。

3. Auditing macOS and Linux Systems for Infostealer Artifacts (Atomic macOS Stealer / AMOS、 Poseidon, and Malicious Browser Extensions)¶

If your infected machine is an Apple MacBook/iMac or a Linux developer workstation rather than a Windows PC, run these offline terminal checks to detect and eradicate persistence:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, and AWS IAM)¶

インフォスティーラーに感染したコンピューターが、Microsoft Entra ID (Azure AD)、Okta、Google Workspace、AWS、または Cloudflare でアクティブなセッションを行っていたソフトウェア エンジニア、DevOps 管理者、または会社員のものである場合、ローカル デバイスのクリーンアップは戦いの半分にすぎません。これらのクラウド ディレクトリの取り消しをすぐに実行します。

• Microsoft Entra ID (Revoke-MgUserSignInSession): 1 つのブラウザーで [サインアウト] をクリックしても、プライマリ リフレッシュ トークン (PRT) または Azure CLI (az login / .azure/msal_token_cache.bin) トークンがディスクからコピーされました。 Entra 管理者が実行する必要があります Revoke-MgUserSignInSession -UserId user@company.com Microsoft Graph PowerShell でユーザーの signInSessionsValidFromDateTime 属性を変更し、すべてのエンドポイントのすべてのリフレッシュ トークンを同時に無効にします。
• AWS CLI と開発者トークンのローテーション (-/.aws/credentials、 -/.npmrc、 -/.pypirc、 -/.kube/config): コモディティ情報窃取者は、すべてのユーザーのホーム ディレクトリを明示的にスキャンします。 .aws/credentials、 .ssh/id_ed25519、 .gitconfig、 .env、Docker/Kubernetes 構成ファイル。すべての AWS IAM アクセス キー (AKIA...) AWS コンソールで GitHub Personal Access Tokens (ghp_...)、公開された SSH 公開キーを運用サーバーから削除します (-/.ssh/authorized_keys）。
• デスクトップ メッセージングと VPN クライアント トークンのパージ (Telegram デスクトップ) tdata、Signal、Slack、OpenVPN、WireGuard): Web ブラウザを超えて、infostealer モジュールは特に %APPDATA%\Telegram Desktop\tdata ディレクトリ (これにより、攻撃者は SMS コードなしで Telegram アカウント全体を自分の PC に複製できます)、 %APPDATA%\Slack\storage、OpenVPN (.ovpn) / ワイヤーガード (.conf) 企業 VPN プロファイル。携帯電話で Telegram を開き ([設定] > [デバイス] -> [他のすべてのセッションを終了])、すべての Slack ワークスペースからサインアウトします (slack.com/account/settings -> 他のすべてのセッションからサインアウト)、ネットワーク管理者に企業 VPN クライアント証明書を取り消して再発行するように依頼してください。

予防: ブラウザとアカウントをインフォスティーラーに耐性のあるものにする方法¶

システムがクリーンになり、アカウントが復元されたら、情報窃取者が再びあなたのデジタル ライフを乗っ取ることがないよう、次の 5 つの防御策を実装してください。

• ハードウェア/マスター キーを使用せずに、Web ブラウザーの組み込みパスワード マネージャー (Chrome / Edge / Brave / Firefox Autofill) 内にパスワードを保存しないでください: 地球上のすべての商品情報窃取者は、Chrome のパスワードをターゲットにしています。 Login Data まず SQLite テーブル。 オフ 「パスワードの保存を提案」 をオフにします chrome://password-manager/settings システムがロックされたとき、または 5 分間のアイドル時間が経過するとすぐに自動ロックするように構成された、専用のゼロ知識パスワード マネージャー (1Password、Bitwarden、Proton Pass、または KeePassXC) 内にパスワードを保存します。
• Chrome 127 以降で「デバイスにバインドされたセッション認証情報 (DBSC)」と「アプリにバインドされた暗号化」を有効にする: Google Chrome または Edge が最新バージョンに更新され、デフォルトのシステム ディレクトリにインストールされていることを確認してください (C:\Program Files\Google\Chrome\Application) それで、 GoogleChromeElevationService デバイス バインド セッション資格情報 (DBSC) を介して、Cookie 暗号化をシステム特権レベルおよび TPM ハードウェア キーにバインドできます。
• **Windows の実行ボックスを無効にする (Win + R）または mshta.exe 「ClickFix」偽の CAPTCHA 攻撃をブロックするには : ** は決して押さないでくださいWin + R -> Ctrl + V -> Enter Web サイトの CAPTCHA、偽の Cloudflare 画面、または「マイクの修正 / フォントの修正」ポップアップが、コマンドを実行ダイアログまたはターミナルに貼り付けるように求めた場合、地球上にコードを貼り付けるよう求めて人間性を確認する正規の Web サイトは存在しません。 Win + R またはmacOSターミナル。
• ハードウェア セキュリティ キー (YubiKey) またはパスキーを使用し、機密性の高いアクションには再認証が必要: 盗まれたセッション Cookie は最初のログイン プロンプトをバイパスしますが、主要なプラットフォーム (Google、GitHub、Cloudflare、AWS、Coinbase) では、セッション Cookie を持つユーザーがパスワードの変更、データのエクスポート、または出金の追加を許可する前に、物理的な FIDO2 YubiKey タップまたはパスキーの生体認証チェックを必要とする ステップアップ認証 (Sudo モード) が強制されます。住所。
• 電子メールまたはスティーラー ログがダークネット監視データベースに表示されているかどうかを確認します: ** にアクセスしてください。haveibeenpwned.com** (現在、何百万ものスティーラー ログ被害者の電子メール アドレスと侵害されたドメインのインデックスが作成されています)、電子メール アドレスに対する無料のダークネット侵害通知を有効にします。
• 信頼できないダウンロード、ゲーム MOD、サードパーティのスクリプトを仮想マシンまたは Windows サンドボックス内に隔離します: 未検証で実行しないでください。 .exe、 .msi、 .dmg、 .bat、またはPython pip / ノード npm 認証された Web ブラウザ セッションと財務ログインを保持するホスト オペレーティング システムに、ポストインストール スクリプトを直接インストールします。 Windows サンドボックス (Windows の機能のオンまたはオフ > Windows サンドボックス で Windows 10/11 Pro および Enterprise に組み込まれています) を有効にするか、サードパーティ ユーティリティをテストするときにブラウザー Cookie が保存されていない分離された仮想マシンを使用します。

よくある質問¶

関連ガイド¶

• マルウェア、ランサムウェア、スパイウェアの感染
• MFA フィッシングと中間者攻撃 (AiTM) バイパス
• MFA ロックアウト: ロックされたアカウントを回復する方法
• 電子メールアカウントのハッキング、転送ルール、および回復
• 暗号通貨ウォレットの流出とシードフレーズの侵害
• パスワードマネージャーのロックアウトと緊急保管庫の回復
• 緊急電話番号ディレクトリ

ソースを確認しました¶

• サイバーセキュリティ・インフラストラクチャ・セキュリティ庁 (CISA) および FBI (米国): Infostealer マルウェア (LummaC2、RedLine、Rhadamanthys) およびトークン/セッション盗難の軽減に関する共同サイバーセキュリティ勧告 (CSAE24 / MITRE ATT&CK T1539: Web セッション Cookie の盗用および T1550.004: Web セッション Cookie)。
• 米国国立標準技術研究所 (NIST) (米国): NIST SP 800-63B: デジタル ID ガイドライン: セッション管理、再認証、およびトークン バインディング。
• World Wide Web Consortium (W3C) および Google Chromium セキュリティ アーキテクチャ: デバイス バインド セッション認証情報 (DBSC) 仕様および Chrome アプリバインド暗号化 (v20 DPAPI 昇格) 技術ドキュメント。
• National Cyber​​ Security Center (NCSC) (英国): エンタープライズおよびコンシューマー環境におけるマルウェア、インフォスティーラー、およびセッション ハイジャックを軽減。
• Open Worldwide Application Security Project (OWASP): セッション管理チートシートおよび OAuth 2.0 トークン取り消し (RFC 7009) 標準。