Злоумышленники могут использовать украденные сессионные куки для аутентификации в веб-приложениях и сервисах. Эта техника позволяет обойти некоторые протоколы многофакторной аутентификации, так как пользователь уже аутентифицирован.

Веб-приложения, в том числе облачные сервисы, обычно используют сессионные куки, которые создаются после аутентификации пользователя, чтобы исключить повторную передачу учетных данных и частую аутентификацию. Как правило, куки остаются в силе достаточно долго, даже если веб-приложение активно не используется. После получения файла куки с помощью таких техник, как Кража сессионных куки или Веб-куки, злоумышленник может импортировать его в подконтрольный ему браузер и пользоваться сайтом или приложением от имени пользователя в течение времени жизни сессионного куки. Получив доступ к сайту, злоумышленник может просматривать конфиденциальную информацию, читать электронную почту или выполнять другие действия, пользуясь доступными владельцу учетной записи правами.

Известны случаи, когда вредоносное ПО целенаправленно перехватывало сессионные куки для обхода механизмов многофакторной аутентификации.