Session אכן נשמר על השרת, אך יש דרכים לערוך אותו \ לזייף Session.
אמרתי שזה לא הגנה ב100% מפני פישינג, ולרוב דווקא הוא כן שולח - כדי שתחשוב שאתה באתר הנכון.

בנאדם מומלץ,נוצר קשר.

נכון הוא שולח אל האתר, אבל זה רק אחרי ביצוע הפישינג (לוקח את הפרטים ומעביר) מה שאומר שמאוחר מדי.
ובקשר לסשן זה נשמר בשרת ואי אפשר לערוך אותו, כמובן שיש משהו קטן שנשמר אצל המשתמש אבל הוא לא משפיע על הערך של הסשן, לדוגמה תראה את השימוש בOCR בקאפטצ'ות(בחלקן), רק רציתי להבין את הערך של האבטחה בסשן והבנתי.
אני מצטער אם אני נשמע גס אבל אלו שאלות שאמורות לעניין לקוחות שרוצים לקנות (לפחות אותי)

לא צריך פרטים אחי, יש לי אלגוריתם שבודק את זה.
בקשר לסיישן, אפשר לפרוץ לשרת ולערוך את הסיישן ואפשר לזייף סיישן אם יש באג במערכת.