Как сервер в PHP идентифицирует пользователя по сессии?

Cache-Control: public / private / no-cache / no-store / must-revalidate / proxy-revalidate
private - говорит о том, что ответ сервера является специфическим для пользователя и не должен кэшироваться различными промежуточными прокси (разрешается кэширование браузеру пользователя).
Из-за этого мог быть такой глюк, иначе как еще к вам мог попасть cookie сотрудницы, которая не сидела с вами?