تطبيق المصادقة أم رموز SMS: أيهما أكثر أمانًا؟

كيف يعمل التحقق الثنائي عبر الرسائل القصيرة (SMS 2FA)

يضيف التحقق الثنائي (2FA) قفلاً ثانياً لحساباتك، ورموز الرسائل القصيرة (SMS) هي النسخة التي يتعامل معها معظم الناس أولاً. فبدلاً من الاعتماد على كلمة المرور وحدها، ترسل الخدمة رمزاً قصيراً للاستخدام مرة واحدة إلى هاتفك عبر رسالة نصية. تدخل كلمة المرور كالمعتاد، ثم تكتب ذلك الرمز لإتمام تسجيل الدخول.

يعمل النظام لأنه يُفترض أنك وحدك من يتحكم في رقم الهاتف المرتبط بحسابك. عند طلب تسجيل الدخول، ترسل الخدمة رمزاً بالرسائل النصية—عادةً ستة أرقام، صالحاً لبضع دقائق—إلى ذلك الرقم. لا رمز، لا دخول. ورمز واحد صالح لاستخدام واحد فقط؛ حتى لو تسرب، لن يفيد أحداً في المحاولة التالية.

أكبر نقطة قوة له هي الراحة:

• لا شيء لتثبيته. كل هاتف محمول يستطيع استقبال الرسائل النصية.
• لا شيء جديد لتتعلمه. أنت تعرف بالفعل كيف تقرأ رسالة نصية.
• يعمل على أي هاتف، من أحدث هاتف ذكي إلى هاتف قابل للطي قديم.
• لا يحتاج إنترنت أو بطارية كافية لتشغيل تطبيق؛ الشبكة وحدها تكفي.

العقبة: أنه يعتمد كلياً على بقاء رقم هاتفك وشبكة الهاتف المحمول الخاصة بك تحت سيطرتك. تذكّر أيضاً أن الرسائل النصية قد تتأخر أو لا تصل في المناطق ضعيفة التغطية، ما يتركك خارج حسابك في اللحظة الحاسمة.

كيف تعمل تطبيقات المصادقة

تُنشئ تطبيقات المصادقة رموز تسجيل الدخول الخاصة بك مباشرة على جهازك. أثناء الإعداد، تمسح رمز QR الذي يخزّن سرًا مشتركًا داخل التطبيق. ومنذ ذلك الحين، يحسب التطبيق والموقع بشكل مستقل الرمز المكوّن من ستة أرقام نفسه، مع تدويره إلى رمز جديد كل 30 ثانية. لا توجد مشاركة لشبكة الهاتف المحمول أو الإنترنت — تُحسب الرموز دون اتصال، لذا فهي تعمل حتى في وضع الطيران.

الفرق الجوهري: لا رقم هاتف

ذلك السر المشترك موجود في التطبيق، وليس على شريحة SIM. رموزك مرتبطة بالجهاز الذي يحتفظ بالسر، وليس برقم هاتفك، لذا لا يوجد شيء لاعتراضه في هجوم قائم على شركة الاتصالات.

تطبيقات شائعة

• Google Authenticator — بسيط ومدعوم على نطاق واسع
• Microsoft Authenticator — يدعم أيضًا موافقات الدفع لحسابات Microsoft
• Authy — يضيف نسخًا احتياطيًا مشفرًا عبر الأجهزة

بعض المواقع تعرض أيضًا رموز QR لكل حساب على حدة، فيمكنك تفعيل التحقق الثنائي لعدة مواقع ضمن التطبيق نفسه دون إعادة إعداد في كل مرة. إذا فقدت الجهاز أو استبدلته، لن تنتقل الرموز تلقائيًا إلا إذا كان التطبيق يدعم النسخ الاحتياطي؛ لذا احفظ رموز الاسترداد التي يمنحكها الموقع قبل الاعتماد على التطبيق وحده. الخطأ الشائع: مسح رمز QR للجهاز القديم ثم حذفه قبل التحقق من نجاح تسجيل الدخول على الجهاز الجديد. اختبر الرمز الجديد أولًا، ثم احذف الإدخال القديم.

سيحتاج المهاجم إلى الجهاز نفسه لإنتاج رمز صالح.

التهديد 1: تبديل شريحة SIM (SIM Swapping)

تبديل شريحة SIM (SIM swapping) هو هجوم يستهدف بشكل مباشر المصادقة الثنائية المعتمدة على الرسائل القصيرة SMS. يتواصل المهاجم مع شركة الاتصالات الخاصة بك منتحلاً شخصيتك، ويقنعه بنقل رقم هاتفك إلى شريحة SIM يسيطر عليها. يمكن أن يحدث ذلك عبر قصة مقنعة، أو بيانات شخصية مسروقة من تسريب بيانات، أو موظف مُرَشّى. فشركات الاتصالات غير متسقة في التحقق من الهوية، ولذلك ينجح هذا الهجوم أكثر مما ينبغي.

بمجرد نقل رقمك، يستلم هاتف المهاجم كل رسالة SMS كانت ستصلك — بما في ذلك رموز تسجيل الدخول ورسائل إعادة تعيين كلمة المرور. أما هاتفك الفعلي فيصمت. العلامة الأولى غالباً هي فقدان مفاجئ للشبكة على هاتفك مع بقاء الجهاز يعمل: إذا توقف هاتفك عن استقبال المكالمات والرسائل دون سبب واضح، فتحقق فوراً من حساباتك المهمة واتصل بشركة الاتصالات.

للحد من خطر هذا الهجوم إذا كنت لا تزال تستخدم SMS:

• ضع رمز PIN أو كلمة مرور على حسابك لدى شركة الاتصالات واسأل إن كان يمكن قفل إمكانية نقل الرقم (port-out lock). هذا يجبر الموظف على التحقق قبل أي نقل.
• لا تنشر رقم هاتفك الأساسي علناً على مواقع التواصل؛ فكل معلومة يراها المهاجم تُستخدم لإقناع خدمة العملاء.
• فعّل تنبيهات الحساب البنكي وبريدك الإلكتروني لرصد محاولات تسجيل دخول غريبة مبكراً.

وتتجاوز تطبيقات المصادقة (Authenticator apps) هذا الخطر تماماً. فهي تُنشئ الرموز على جهازك، مرتبطة بحساباتك، دون أي رقم هاتف. فلا شيء يستطيع المهاجم نقله، ولا يمكن لشركة الاتصالات تسريب ما لا تملكه أصلاً.

التهديد الثاني: التصيّد الاحتيالي (Phishing)

يغلِب التصيّد الاحتيالي رموز الرسائل النصية القصيرة بسهولة محرجة. ينقر الضحية على رابط يؤدي إلى صفحة تسجيل دخول مزيفة مقنعة، ثم يُدخل كلمة المرور الخاصة به. الموقع، الذي يسيطر عليه المهاجم، يطلب فورًا رمز التحقق — ويخترقه. ولأن المهاجم يتوسط عملية تسجيل الدخول، فإنه يتلقى الرمز لحظة كتابة الضحية له، قبل فترة طويلة من انتهاء صلاحيته. ثم يسجّل الدخول بنفسه؛ ولا يرى الضحية سوى صفحة خطأ.

تُعقّد تطبيقات المصادقة هذا الأمر لكنها لا تمنعه. الرمز المعتمد على الوقت يدوم نحو 30 ثانية، مما يُضيّق نافذة المهاجم. وتتعامل معها حزم التصيّد الحديثة بالعمل كوكيل مباشر: فهي تُمرّر الرمز فورًا، أو تُبقي الجلسة مفتوحة وتطلب من الضحية رمزًا جديدًا إذا انتهت صلاحية الرمز الأول.

الدرس المستفاد: أي رمز تكتبه في موقع إلكتروني يمكن سرقته أثناء كتابتك له. عمر الرمز يحدد الموعد النهائي للمهاجم — ولا شيء أكثر من ذلك.

كيف تحمي نفسك عمليًا؟ لا تدخل رمزًا وصل إليك دون طلب منك. إذا وصلك رمز وأنت لم تحاول تسجيل الدخول، فهذه علامة اختراق محتملة، لا مجرد خطأ تقني. تحقق دائمًا من عنوان URL في شريط العنوان قبل كتابة أي شيء، وليس من شكل الصفحة أو شعارها؛ فالمهاجمون ينسخون التصميم بدقة، لكن النطاق يكشفهم. اكتب عنوان البنك أو الخدمة يدويًا أو استخدم علامة مرجعية محفوظة بدل النقر على روابط في رسائل أو بريد إلكتروني.

خطأ شائع: الاعتماد على رمز التحقق كطبقة أمان وحيدة. إذا كشفت كلمة المرور أصلًا عبر التصيّد، فالمهاجم يملك نصف المعادلة. الحل الأقوى هو مفاتيح المرور أو مفاتيح الأمان المادية، لأنها ترتبط بالنطاق الحقيقي للموقع، فتفشل صفحة التصيّد في استلامها من الأساس.

فروق عملية أخرى

الموثوقية. تعتمد رموز الرسائل القصيرة (SMS) على شركة الاتصالات لديك. ضعف الإشارة أو وضع الطيران أو ازدحام الشبكة قد يؤخر الرمز دقائق أو يمنعه تمامًا، مما يتركك مقفلًا في منتصف تسجيل الدخول. وتفشل الحالة أيضًا إذا امتلأت صندوق الرسائل أو حجب تطبيق anti-spam رسالة المزوّد عنك.

التكلفة والسفر. تولّد تطبيقات المصادقة الرموز على الجهاز نفسه. تعمل دون اتصال، على متن طائرة، أو في الخارج، دون رسوم تجوال. أما استلام الرسائل القصيرة في الخارج فقد يكون بطيئًا أو مكلفًا، وقد لا يصل الرمز أصلًا في بعض الشبكات الأجنبية. جرّب قبل السفر: اطلب رمزًا من حساب تجريبي وتأكد من وصوله.

فقدان الهاتف. يربط كلا الأسلوبين الرموز بجهاز واحد، لكن استعادة إعداد يعتمد على الرسائل القصيرة فقط أسهل: فالرموز تصل إلى رقمك على أي حال. أما إذا فُقد هاتف عليه تطبيق مصادقة أو مُسحت بياناته دون نسخة احتياطية، فتختفي تلك الرموز حتى تستخدم رموز الاسترداد أو عملية استعادة الحساب لدى المزوّد. خطأ شائع: مسح الهاتف القديم قبل التأكد من نقل الحسابات إلى الجهاز الجديد — انتظر حتى تسجّل الدخول بنجاح مرة واحدة على الأقل.

البطارية والتحديثات. تحتاج التطبيقات إلى هاتف مشحون ويعمل. وتحتاج الرسائل القصيرة إلى الشيء نفسه، إضافة إلى الإشارة.

لا شيء منهما مثالي؛ التطبيقات ببساطة تفشل في حالات أقل.

الخلاصة: أيهما أكثر أمانًا

تتفوق تطبيقات المصادقة على الرسائل النصية القصيرة (SMS) في مواجهة مساري الهجوم الرئيسيين:

• انتحال شريحة SIM: رموز SMS مرتبطة برقم هاتفك، وهو ما يستطيع المهاجمون اختطافه. أما رموز التطبيق فتُخزَّن على جهازك ولا تمر عبر شبكة الهاتف إطلاقًا. لذلك حتى لو نجح المهاجم في نقل رقمك إلى شريحة جديدة، فلن يجيد سوى شيء: لا شيء ليستقبل.
• التصيّد الاحتيالي (Phishing): تجعل الرسائل النصية من السهل قراءة رمز ولصقه مباشرة في موقع مزيف. رموز التطبيق تتجدد كل 30 ثانية ومرتبطة بحساب محدد واحد، ما يقلّص نافذة إساءة الاستخدام — مع ذلك يمكن للمحتال المُصرّ أن يخدعك للحصول على رمز صالح. الخطأ الشائع هنا: قراءة رمز من التطبيق والصقه في رابط وصل بك عبر رسالة دون التحقق من العنوان في شريط المتصفح. رمز واحد مسرّب يكفي لأن يفقد كل شيء معناه.

مع ذلك، فإن المصادقة الثنائية عبر SMS أفضل بكثير من عدم وجود مصادقة ثنائية إطلاقًا. إذا كان SMS هو الخيار الوحيد الذي يقدمه الموقع، فعّلها. الحساب المحمي بـ SMS يصعب اختراقه بكثير من حساب يعتمد على كلمة مرور وحدها، لأن المهاجم يحتاج لاختراق شريحة الهاتف أيضًا.

الأقوى من كليهما: مفاتيح الأمان المادية، التي تتحقق تشفيريًا من الموقع الذي تسجّل الدخول إليه ومصمَّمة لمقاومة التصيّد الاحتيالي. إذا كان الموقع يدعمها، فاستخدم واحدة.

كيفية التحويل إلى تطبيق مصادقة

ابدأ بأهم حساباتك: البريد الإلكتروني أولاً، ثم الخدمات المصرفية، ثم كل شيء آخر. البريد الإلكتروني يأتي أولاً لأنه غالبًا بوابة الاسترداد لكل الحسابات الأخرى؛ من يسيطر على بريدك يستطيع إعادة تعيين كلمات مرور خدمات كثيرة.

1. افتح إعدادات الأمان. ابحث عن "المصادقة الثنائية" أو "2FA" أو "الأمان" في كل حساب. ليست كل الخدمات تدعم تطبيقات المصادقة، لذا تحقق قبل التخطيط لأي شيء آخر. إن لم تدعم الخدمة سوى الرسائل النصية، اتركها مفعّلة — حماية ناقصة أفضل من لا حماية.
2. اختر "تطبيق المصادقة" كطريقة. سيعرض الموقع رمز QR.
3. امسحه ضوئيًا باستخدام تطبيقك. في Google Authenticator أو Authy أو ما شابه، انقر على زر الإضافة (+) ووجّه الكاميرا نحو الرمز. سيظهر الحساب في التطبيق ويبدأ في إنشاء الرموز فورًا. إن كنت تُعدّ الإعداد من جهاز الكمبيوتر ولا تستطيع مسح الشاشة، تقدم معظم الخدمات مفتاحًا نصيًا (secret key) يمكن كتابته يدويًا في التطبيق. خطأ شائع: مسح الرمز من حساب آخر قديم أو تسمية الإدخال بشكل غامض — سمِّه باسم واضح مثل "البنك — بريد العمل" حتى لا تتحير لاحقًا بين عدة رموز متشابهة.
4. احفظ رموز النسخ الاحتياطي دون اتصال. تعرض معظم الخدمات رموز استرداد تُستخدم مرة واحدة أثناء الإعداد. اكتبها على الورق أو خزّنها في مدير كلمات مرور — وليس في لقطة شاشة على الهاتف نفسه، لأن ضياع الهاتف أو اختراقه يعني ضياعها معه. احفظ الورقة في مكان آمن تعرفه، فبدونها قد يُغلق الحساب نهائيًا عند فقدان الهاتف.
5. أكّد قبل إزالة الرسائل النصية (SMS). أدخل رمزًا من التطبيق للتأكد من أنه يعمل. عندها فقط فكّر في تعطيل رموز الرسائل النصية. انتظر حتى نجاح تسجيل دخول كامل واحد على الأقل بالتطبيق قبل تعطيل الطريقة القديمة.

من المقبول إبقاء الطريقتين مفعّلتين لفترة قصيرة؛ أما الاعتماد على الرسائل النصية وحدها فليس كذلك. كرّر العملية حسابًا تلو الآخر على مدار أيام بدل محاولة إنجازها دفعة واحدة؛ فالتسرع يؤدي غالبًا إلى نسيان رموز الاسترداد.

التخطيط للاسترداد

فقدان هاتفك لا يعني بالضرورة فقدان حساباتك. خطط للاسترداد قبل أن تحتاج إليه — لأن الاسترداد بعد وقوع الفقدان يكون متأخرًا في كثير من الأحيان؛ فبعض الخدمات تفرض فترات انتظار تمتد أيامًا للتحقق من الهوية قبل استعادة الوصول.

احفظ رموز النسخ الاحتياطي

تعرض معظم الخدمات مجموعة من رموز النسخ الاحتياطي ذات الاستخدام الواحد عند تفعيل تطبيق المصادقة — عشرة رموز عادةً. خزّنها دون اتصال بالإنترنت — مطبوعة على ورق أو مكتوبة ومحفوظة في مكان آمن، مثل وثائقك المهمة. لا تتركها في لقطة شاشة أو تطبيق ملاحظات أو ملف نصي عادي على الجهاز نفسه الذي تحاول حمايته؛ فمن يصل إلى هاتفك غير المقفل يصل إلى الرموز معه.

خطأ شائع: حفظ الرموز في ملف صور ضمن ألبوم الكاميرا، ثم مزامنة الألبوم تلقائيًا مع خدمة تخزين سحابية — أي أن الرموز أصبحت متصلة بالإنترنت دون أن تلاحظ.

احتفظ بخطة بديلة

• اطبع رموز النسخ الاحتياطي واحفظها في مكان آمن، بعيدًا عن الهاتف نفسه.
• فكّر في تسجيل جهاز ثانٍ، مثل جهاز لوحي، إذا كانت الخدمة تسمح بمصادقات متعددة.
• تقدم بعض التطبيقات نسخًا احتياطيًا مشفرًا أو دعمًا لأجهزة متعددة — راجع وثائق تطبيقك قبل الاعتماد عليها، وفعّل كلمة مرور للنسخة الاحتياطية إن توفرت.
• جرّب رمزًا احتياطيًا واحدًا للتأكد من أنه يعمل، ثم سجّل ذلك في ملاحظتك الورقية.

قبل التخلص من هاتف قديم أو مسح بياناته

1. أعد تسجيل تطبيق المصادقة على الجهاز الجديد.
2. تأكد من أن كل خدمة تقبل الرموز منه — افتح كل خدمة وأدخل رمزًا فعليًا من التطبيق الجديد.
3. عندها فقط امسح بيانات الهاتف القديم. تجاهل هذه الخطوة هو السبب الأكثر شيوعًا لحجب الأشخاص أنفسهم عن حساباتهم.

الترتيب بسيط: الرسائل النصية القصيرة (SMS) أفضل من عدم استخدام المصادقة الثنائية (2FA)، وتطبيق المصادقة أفضل من الرسائل النصية القصيرة، ورموز النسخ الاحتياطي تنقذك عندما يفشل الاثنان. جهّز رموزك اليوم — الاسترداد لا ينجح إلا إذا جهّزته مسبقًا.