У пользователя хранится ID сессии в куки. Таким образом, если злоумышленник доберется до компьютера жертвы, он может просто скачать себе ее cookie?
Да, может. Точно так же, как злоумышленник, укравший ваш кошелёк, может пользоваться вашими деньгами/картами.
Если все манипуляции проводятся на одном устройстве и в одной сети, то подмена сработает, только вот смысла в этом нет никакого. Ведь вся соль в том, чтоб подменить на произвольной машине и оказаться авторизованным. А раз есть доступ к машине, то проще украсть пароль и надеяться что этого хватит, а не плясать с заменой, которая сработает только на очень примитивных сайтах, которые на 99.9999% бесполезны.