كلمتا مرور لا تساويان عاملين
"فعّل المصادقة الثنائية" — نصيحة تسمعها في كل مكان. لكن معظم الناس يفعّلون نسخة الرسائل النصية — رمز مكوّن من 6 أرقام يُرسَل إلى هاتفهم — ويعتبرون أنفسهم بأمان. أكثر أماناً من عدم استخدام 2FA، نعم. لكن المصادقة الثنائية عبر SMS تمتلك نقاط ضعف حقيقية وموثقة جيداً يجب أن تعرفها.
الهدف ليس إبعادك عن SMS 2FA. بل مساعدتك على فهم ما تحصل عليه فعلاً، ومتى تحتاج شيئاً أقوى.
ما هي المصادقة الثنائية؟
عوامل المصادقة ثلاثة أنواع:
- شيء تعرفه — كلمة المرور، رمز PIN
- شيء تمتلكه — هاتف، مفتاح مادي، تطبيق المصادقة
- شيء أنت عليه — بصمة الإصبع، التعرف على الوجه
المصادقة الثنائية (2FA) تعني استخدام نوعين مختلفين. كلمة المرور + رمز SMS هو "شيء تعرفه" + "شيء تمتلكه." هذه 2FA حقيقية — وهي أفضل بكثير من كلمة مرور وحدها.
المشكلة ليست في 2FA نفسها. المشكلة أن "شيء تمتلكه (هاتف)" يمكن اختطافه دون سرقة هاتفك جسدياً.
لماذا يمكن اعتراض SMS 2FA
مبادلة الشريحة (SIM Swapping)
أكثر هجمات SMS شيوعاً. إليك كيف تعمل:
- يتصل مهاجم بمشغّل شبكتك متظاهراً بأنه أنت
- يدّعي فقدان هاتفه ويطلب نقل الرقم إلى شريحة جديدة
- يُحوّل المشغّل رقمك إلى شريحته
- كل رسائل SMS المرسلة إلى "رقمك" تصل الآن إليه
- يطلب إعادة تعيين كلمات المرور + رموز SMS لحساباتك
حدث هذا لشخصيات بارزة. حسابات بورصات العملات المشفرة، حسابات البريد الإلكتروني، وسائل التواصل الاجتماعي — مبادلة SIM ناقل هجوم معروف لأن التحقق من الهوية لدى المشغّلين يطبَّق بشكل متفاوت.
ثغرات بروتوكول SS7
بروتوكول SS7 هو البنية التحتية التقنية التي يبلغ عمرها 40 عاماً وتوجّه المكالمات والرسائل النصية حول العالم. يحتوي على ثغرات أمنية معروفة تتيح للمهاجمين المدعومين من الدول والمجموعات الإجرامية المتطورة اعتراض الرسائل النصية في العبور — دون لمس هاتفك أو مشغّل شبكتك.
بالنسبة لمعظم الناس، هجمات SS7 نظرية. بالنسبة للأهداف عالية القيمة (المديرين، الصحفيين، الناشطين)، فهي تهديد حقيقي.
تصيد رموز SMS في الوقت الفعلي
الهجوم الأكثر شيوعاً ضد المستخدمين العاديين: صفحة تسجيل دخول مزيفة تلتقط كلمة مرورك ورمز SMS في آنٍ واحد، ثم تُعيد تشغيلهما على الموقع الحقيقي قبل انتهاء صلاحية الرمز.
تُدخل بياناتك في موقع مزيف مقنع ← يسجلون الدخول إلى الموقع الحقيقي ← الموقع الحقيقي يرسل لك SMS ← تُدخل الرمز في الموقع المزيف ← يحصل المهاجم على جلستك.
يُسمى هذا "هجوم تصيد في الوقت الفعلي" أو "خصم في المنتصف" (AiTM). يعمل ضد SMS 2FA حتى لو لم تُسلّم هاتفك.
ما هو أقوى من SMS
تطبيقات المصادقة (TOTP)
تطبيقات مثل Google Authenticator أو Authy أو أي تطبيق متوافق مع TOTP تُولّد رموزاً مبنية على الوقت محلياً على جهازك. لا رسائل نصية، لا مشغّل شبكة متورط.
لماذا هو أفضل: الرموز تُنشأ على جهازك وليس عبر شبكة. مبادلة SIM لا تفيد — الرمز على هاتفك الأصلي. التصيد في الوقت الفعلي لا يزال يعمل (إذا أدخلت الرمز في موقع مزيف)، لكن هجمات SS7 لا تنطبق.
استخدمه لـ: أي خدمة تدعمه. افضّله على SMS.
مفاتيح الأمان المادية (FIDO2/WebAuthn)
أجهزة مادية (YubiKey، Google Titan، إلخ) تتوصل عبر USB أو تُلمَس عبر NFC. عند تسجيل الدخول، تلمس المفتاح مادياً.
لماذا هو أقوى: دليل تشفيري، لا رموز لاعتراضها، مقاوم للتصيد (المفتاح يتحقق من أنه يتحدث إلى الموقع الحقيقي بفحص النطاق). التصيد في الوقت الفعلي لا يعمل — المفتاح لن يصادق نطاقاً مزيفاً.
استخدمه لـ: أهم حساباتك — البريد الإلكتروني، البنك، حسابات الشركة.
مفاتيح المرور (Passkeys)
تُحل Passkeys محل كلمات المرور تماماً باستخدام تشفير المفتاح العام المخزّن على جهازك. مدعومة من Apple وGoogle وMicrosoft وقائمة متنامية من الخدمات.
لماذا هي أقوى: لا كلمة مرور للسرقة، لا رمز للاعتراض، مقاومة للتصيد بالتصميم (ربط تشفيري بالنطاق). المفتاح الخاص لا يغادر جهازك أبداً.
استخدمها لـ: أي خدمة تدعمها (Apple ID، حساب Google، GitHub، PayPal، 1Password والمزيد).
الترتيب الأمني الصادق
من الأقل إلى الأكثر أماناً:
- بدون 2FA — كلمة مرور فقط (تجنّب)
- SMS 2FA — أفضل من لا شيء، عُرضة لمبادلة SIM + تصيد AiTM
- تطبيق المصادقة (TOTP) — محصّن ضد مبادلة SIM، لا يزال عُرضة لتصيد AiTM
- مفتاح مادي (FIDO2) — مقاوم للتصيد، يتطلب حضوراً مادياً
- Passkeys — مقاومة للتصيد، بدون كلمة مرور، أفضل تجربة بين الخيارات القوية
ما يجب فعله عملياً
لمعظم الناس:
- استخدم تطبيق المصادقة (لا SMS) حيثما أمكن
- استخدم SMS إذا كان الخيار الوحيد — لا يزال أفضل بكثير من لا شيء
- فعّل 2FA على البريد الإلكتروني أولاً — إنه المفتاح الرئيسي لجميع حساباتك الأخرى
للحسابات عالية القيمة (البنك، التشفير، وصول الشركة):
- مفتاح أمان مادي أو Passkeys
- كلمة مرور فريدة وقوية (استخدم مولّد كلمات المرور)
- تحقق مما إذا كان بريدك الإلكتروني في اختراق بيانات (فاحص اختراق البريد)
للجميع:
- لا تُعيد استخدام كلمات المرور بين المواقع
- عند حدوث اختراق: غيّر كلمة المرور، تحقق مما إذا كانت نفس كلمة المرور مستخدمة في مكان آخر، فعّل 2FA إذا لم تكن قد فعلت ذلك
الخلاصة
SMS 2FA أفضل من لا 2FA. إذا كان الخيار الوحيد، استخدمه. لكن إذا كانت الخدمة تقدم تطبيق مصادقة أو مفتاحاً مادياً، اغتنمه — التحسن الأمني كبير.
الأهم من كل شيء: امتلاك 2FA على حساب البريد الإلكتروني الخاص بك. البريد الإلكتروني هو آلية استرداد كل شيء آخر — إذا سيطر مهاجم على بريدك، يمكنه إعادة تعيين جميع كلمات مرورك الأخرى.
تحقق مما إذا كان بريدك الإلكتروني في اختراق بيانات — ثم فعّل 2FA عليه اليوم.