你以為安全登出，騙徒早已借用你的帳戶

你度過了一個忙碌的上午，處理各種生活行政瑣事，登入不同帳戶查閱結餘和付款。幾個小時後，你關上手提電腦，轉向下一項工作。你不知道的是，騙徒已經騎劫了你與銀行的登入連線階段，現在可以進入你的帳戶。你已經成為 cookie 盜竊的受害者，而這種欺詐屬於「連線階段騎劫」。

Cookie 盜竊的核心，是偷走你在登入後取得的 session cookie。網站為了確認你已經通過驗證，會發出一個臨時的數碼憑證，讓伺服器在短時間內認得這部裝置。這個憑證就像一把只在一段短時間內有效的鎖匙，讓你不必每個動作都重新輸入密碼。問題是，騙徒一旦取得這把鎖匙，就可以繞過登入程序，直接用你已經驗證的身分操作帳戶。

session cookies 是黑客的主要目標，因為它們可以被用來騎劫帳戶。與傳統的密碼盜竊不同，cookie 盜竊不一定需要知道你的密碼。密碼是長期使用的身分證明，session cookie 則是你登入後的即時通行證。前者可以更改，後者被偷走後，攻擊者能在一段時間內冒充你，而你未必立即察覺。

登出不再等於安全

這種攻擊對普通人的影響，首先在於「登出」這個動作不再等於安全。你以為關掉瀏覽器或手提電腦便結束了連線，但被偷走的 session cookie 可能仍然有效。騙徒可以在你離開後繼續查看帳戶、發起付款或讀取資料。你完成了一個有生產力的上午，關上電腦，但銀行連線階段已經落入他人手中。

其次，這類風險會隨着網上服務的密度上升。銀行及其他需要登入的帳戶，都要求用戶保持登入狀態，方便快速查看結餘和付款。每一次保持登入都產生一個 session cookie。對用戶來說，這是便利；對攻擊者來說，這是更多可以下手的數碼鎖匙。未來幾年，民眾在生活行政上愈依賴這些服務，cookie 盜竊就愈可能由銀行帳戶蔓延至其他帳戶。

被騎劫的「已驗證」身分

Cookie 盜竊不只是付款風險。當攻擊者以你的身分進入帳戶，他看到的可能包括你剛才查閱的結餘、付款紀錄，以及帳戶內儲存的其他資料。用戶之所以難以發現，是因為系統看到的不是陌生裝置強行登入，而是一個已經通過驗證的 session。對銀行或服務商來說，分辨正常用戶和被騎劫的 session，遠比攔截密碼錯誤更困難。

報道將 session cookie 形容為「你帳戶的數碼鎖匙」。這個說法點出了問題的性質：用戶花大量精力保護密碼，卻很少意識到登入之後的狀態同樣需要保護。session cookie 被盜後，攻擊者不必破解密碼，就能以合法登入狀態出現。這使風險不再完全由用戶的密碼習慣決定。

未來幾年的生活管理，將更難用「密碼夠強」來安心。用戶可能要更留意帳戶的異常活動，銀行及服務商亦要更着力分辨正常與被騎劫的 session。無論技術如何演變，有一點會愈來愈清晰：你關上電腦那一刻，帳戶未必隨之關閉。