Hijacking bezeichnet die Übernahme einer bestehenden Verbindung, Sitzung oder Ressource durch einen Angreifer. Die bekannteste Form ist das Session Hijacking, bei dem das Sitzungsmerkmal einer angemeldeten Person gestohlen wird, meist ein Cookie; wer es besitzt, gilt für den Server als angemeldet, ohne das Passwort zu kennen. Genau deshalb umgeht dieser Angriff auch die Zwei-Faktor-Authentifizierung, denn die Prüfung ist zum Zeitpunkt des Diebstahls längst erfolgt.
Weitere Spielarten sind Browser Hijacking durch untergeschobene Erweiterungen, DNS Hijacking mit umgeleiteten Namensauflösungen, Domain Hijacking durch Übernahme eines Registrar-Kontos und BGP Hijacking, das ganze Datenströme im Internet umleitet. Schutz bieten durchgängiges HTTPS, korrekt gesetzte Cookie-Merkmale, das Neuvergeben der Sitzungskennung nach der Anmeldung, kurze Gültigkeiten und die Prüfung auf Wechsel von Gerät oder Netz.
Für Unternehmen ist das Domain-Konto ein oft übersehener Ernstfall, weil dessen Übernahme Website und E-Mail zugleich in fremde Hand gibt; ein eigener, mit Zweitfaktor gesicherter Zugang ist deshalb Pflicht.