會話憑證是某人已登入的證明。攻擊者一旦竊取到 Cookie，就能在沒有密碼、也無需觸發多重身份驗證的情況下，直接進入帳戶，因為這些驗證在會話開始時就已完成。事後更改密碼並不能終止會話；只有使會話失效才能做到。
正是這個事實，讓此議題不僅應存在於工程文件中，更應納入資安意識培訓。員工被教導多重身份驗證能保護帳戶，確實如此，但這保護只到憑證被惡意軟體、惡意瀏覽器擴充功能，或介於用戶與真實登入頁面之間的代理釣魚頁面竊取的那一刻為止。任何實際的會話或 Cookie 值，包括截斷的部分，都不會出現在發布版本中，因為包含真實會話痕跡的培訓資料，其潛在風險遠超培訓本身。
此範本將透過七個場景，追蹤一個被竊取的會話：一個場景以淺白語言解釋何謂會話；兩個場景說明憑證被竊取的三種途徑；一個場景解釋為何重設密碼無法解決問題；一個場景指出用戶實際能察覺的跡象；一個場景關於正確的報告方式；最後一個場景則闡述資安團隊如何終止會話。
這是最難以簡短說明，卻又能提升資安意識的議題，因為其機制確實涉及技術層面，且受眾對大多數防禦措施並無控制權。這部影片應精準傳達兩項非技術背景觀眾可實際執行的事項，其餘部分則交由應用程式團隊處理。
憑證是登入的證明，竊取它就能跳過登入步驟。關於 Cookie、標頭和憑證生命週期的所有其他細節，都可在不削弱訊息核心的情況下省略。
擴充功能是大多數員工親自啟用，且唯一能直接控制的途徑。這是整個議題中唯一可實際執行的項目。
人們普遍認為更改密碼就能修復洩漏。若不糾正此觀念，將導致報告延遲和持續的未授權存取，因此需要直接反駁，而非僅是補充說明。
一旦收到可信的報告，會話將在數分鐘內被集中終止。員工若知道處理迅速且無需證明任何事，會更樂於及時報告。
上傳您的事件應變手冊、會話與瀏覽器政策，或上次憑證事件的報告——支援 PDF、DOC、DOCX、PPTX 或 TXT 格式，上限 200 MB。回傳的內容可編輯，且原始檔案不會被修改。
.PNG)
這種保證只有具體說明才有效。請在螢幕上呈現負責團隊、溝通管道和實際的應變時間，而非僅是泛泛地承諾資安團隊會採取行動。
.PNG)
有些組織完全禁止安裝擴充功能，有些則允許經核准的清單。通用建議會與您的任何政策產生衝突，而員工往往會遵循影片所說，而非政策規定。
.PNG)
資安意識影片通常在共享辦公室的座位上靜音觀看。從九種字幕樣式中選擇，並在整個資安系列中保持一致，讓格式本身具有辨識度。
一旦會話建立，就無法阻止。多重身份驗證保護的是登入的當下，而被竊取的憑證代表一個已通過驗證的登入。這是此議題中最常見的誤解，值得直接闡明而非暗示。
在帳戶活動中發現不認識的會話、意外登出，以及非本人建立的郵件規則或轉發設定。這些跡象單獨來看都不完全可靠，因此報告的門檻應是懷疑而非確定。
不行。請使用虛構值。即使是過期的憑證，也能識別基礎設施和用戶帳戶，而培訓影片的傳播範圍和生命週期，遠比其所基於的事件更廣更長。
因為活躍會話在密碼更改前就已獲得授權，且大多數應用程式預設不會在密碼更改時使現有會話失效。重設密碼和終止會話是兩個獨立的動作，只有後者才能真正移除攻擊者。
資安團隊維護的事件應變手冊是唯一所需的輸入——在下次全員資安更新前，重新修改草稿。
