كيف يسرق التصيّد رموز 2FA الخاصة بك — وكيف توقفه

لماذا أصبحت رموز 2FA هدفًا الآن

لعقود، كانت النصائح الأمنية تُختصر في سطر واحد: استخدم كلمة مرور قوية وفريدة. لا تزال هذه النصيحة مهمة، لكنها لم تعد كافية. ومع انتشار المصادقة الثنائية في حسابات البنوك والبريد الإلكتروني ووسائل التواصل الاجتماعي، اصطدم المهاجمون بجدار — فكلمة المرور المسروقة وحدها لم تعد تفتح الباب.

لذا غيّروا تكتيكاتهم. فبدلًا من مهاجمة كلمة المرور، يستهدفون الآن العامل الثاني نفسه: الرمز لمرة واحدة الذي يصل عبر الرسائل النصية أو تطبيق المصادقة (authenticator app) أو إشعارات الدفع.

الرمز هو الجائزة الجديدة

قد تبدو هذه الرموز عابرة — ستة أرقام، صالحة لثوانٍ معدودة. لكن خلال تلك الثواني القليلة، يكون الرمز بنفس قوة كلمة المرور. نادرًا ما "يخترق" المهاجمون الرمز؛ بل يخدعونك لتسليمه، عبر صفحة تسجيل دخول مزيفة أو مكالمة هاتفية مقنعة أو رسالة عاجلة تطلب منك "التحقق" من رقم وصلتك للتو.

والخطورة هنا أن الرمز الواحد قد لا يكفيهم. بعض مواقع تسجيل الدخول المزيفة تعمل كوسيط حقيقي: تُدخل الرمز فيها، فتستخدمه فورًا في الموقع الأصلي، ثم تطلب منك رمزًا ثانيًا لخطوة تحقق إضافية — وأنت تكتبه بلا شك. بهذا يمكن للمهاجم تجاوز أكثر من طبقة تحقق دفعة واحدة.

لماذا لا يزال هذا الأسلوب ناجحًا

ينجح التصيّد الاحتيالي (Phishing) ليس باختراق التقنية، بل باستغلال العادات البشرية: الثقة بالعلامات المألوفة، والخوف من مشاكل الحساب، والضغط للتصرف بسرعة. رسالة تقول "تم تسجيل دخول غريب، اضغط هنا لإلغائه" تصنع ذعرًا كافيًا لتخطي تفكيرك المعتاد. ولا حاجة لوجود أي خلل تقني حتى ينجح هذا الأسلوب — وهذا بالضبط سبب استمراره في النجاح. إن فهم هذا التحول هو الخطوة الأولى لإيقافه.

صفحات تسجيل الدخول المزيفة: الخدعة الكلاسيكية

الخدعة الأقدم لا تزال الأكثر شيوعًا: موقع إلكتروني يبدو مطابقًا تمامًا للموقع الذي تثق به. ينسخ المهاجمون شاشة تسجيل الدخول الحقيقية — الشعار نفسه والألوان نفسها والحقول نفسها — ويستضيفونها على نطاق يشبه النطاق الأصلي. تعتمد هذه العناوين على تفاصيل يسهل تفويتها في نظرة سريعة: حرف مُبدَّل، أو كلمة إضافية مثل "secure" أو "login"، أو نهاية غير مألوفة حيث تتوقع ".com". قد يظهر النطاق المزيف هكذا: paypa1.com بحرف الرقم "1" بدل الحرف "l"، أو yourbank.login-secure.net حيث الجزء الموثوق وحده هو login-secure.net وليس اسم البنك.

تتصرف الصفحة تصرف الأصل تمامًا، وهذه هي المشكلة بالضبط. تكتب اسم المستخدم وكلمة المرور. ثم يطلب الموقع المزيف الخطوة الثانية، تمامًا كما يفعل الموقع الحقيقي، فتُدخل الرمز من تطبيق المصادقة أو رسالة SMS.

في تلك اللحظة، يملك المهاجم كل شيء. بمجرد وصول بياناتك إلى خادمهم، يفتحون الموقع الحقيقي ويُسجّلون الدخول بكلمة المرور الخاصة بك ورمزك الجديد. يحدث هذا عادةً خلال ثوانٍ، قبل وقت طويل من انتهاء صلاحية الرمز الصالح لثلاثين ثانية. بالنسبة للموقع الحقيقي، يبدو الأمر كعملية تسجيل دخول طبيعية تمامًا.

ثم تعرض الصفحة المزيفة خطأً، أو رسالة "انتهت صلاحية الجلسة"، أو تعيد توجيهك ببساطة — أي شيء يمنعك من التساؤل عن سبب فشل تسجيل الدخول بصمت. خطأ "انتهت صلاحية الجلسة" خيار مفضل لأنه يفسّر فشل تسجيل الدخول دون إثارة الشك، وكثير من المستخدمين يعيدون المحاولة على الموقع الحقيقي ويظنون أن المشكلة كانت مؤقتة.

الخطأ الأكثر شيوعًا هو الوصول إلى الموقع عبر رابط في رسالة بريدية أو نصية. الموقع الحقيقي لا يرسل روابط "تأكيد الحساب" عاجلة تطلب رمز 2FA خلال ساعة. إذا وصلك رابط كهذا، فافتح المتصفح واكتب العنوان بنفسك بدلًا من النقر.

تحقق من النطاق كاملًا، من اليسار إلى اليمين قبل النطاق الأعلى. التحذير الأمني: العنوان يُقرأ من اليمين؛ الأجزاء اليسرى مجرد أسماء فرعية يمكن لأي أحد تملكها.

التصيّد الاحتيالي في الوقت الفعلي: الوسيط العدائي

صفحات تسجيل الدخول المزيفة تصبح أذكى. النسخة الأكثر خطورة لا تكتفي بجمع كلمة مرورك — بل تستخدمها فورًا.

كيف يعمل الترحيل

يستخدم هجوم الوسيط العدائي (AiTM) موقعًا وسيطًا يقف بينك وبين الموقع الحقيقي. تنقر رابطًا، فتصل إلى نسخة شبه مثالية من صفحة تسجيل الدخول، وتكتب بيانات اعتمادك. يمرّر الوسيط تلك البيانات إلى الموقع الأصلي ويعيد كل شيء إليك — فتتصرف الصفحة تمامًا كالحقيقية.

ثم تُدخل رمز التحقق الثنائي (2FA). يمرّره الوسيط في الوقت الفعلي، ويقبله الموقع الحقيقي، ويكتمل تسجيل الدخول — لكن لدى المهاجم.

الرابط يصل غالبًا برسالة: «تنبيه أمني: سيتم تعطيل حسابك خلال 24 ساعة». الاستعجال هو الأداة، لا التقنية. افحص عنوان URL الكامل في شريط العنوان، لا الشعار والتصميم فحسب؛ فالموقع الوسيط نطاق ملكه المهاجم مهما بدا مقنعًا.

لماذا لا تنقذك مدة صلاحية الرمز القصيرة

نافذة الرمز ذات الثلاثين ثانية تفترض أن المهاجم يرى كلمة مرورك أولًا ورمزك لاحقًا. يلغي الوسيط العدائي (AiTM) تلك الفجوة: يُستخدم الرمز لحظة كتابته، وهو ما يزال صالحًا. تصبح مدة الصلاحية بلا معنى.

الخطأ الشائع هنا: الاعتقاد أن «رمزي يتجدد كل 30 ثانية فأنا بأمان». هذا صحيح ضد الهجمات المتأخرة فقط، لا ضد الترحيل الفوري.

الجائزة الحقيقية: جلستك

بعد تسجيل الدخول، يسلّم الموقع الأصلي كوكي الجلسة (session cookie) إلى متصفح المهاجم — لا متصفحك. يحمل المهاجم الآن جلسة موثّقة، ويمكنه قراءة بريدك الإلكتروني، أو إعادة تعيين كلمات مرور أخرى، أو البقاء مسجّل الدخول بهدوء. لم تُسرق كلمة مرورك ولا رمزك؛ بل استُعيرا مباشرة — وهذا أسوأ.

ولهذا قد لا تلاحظ شيئًا: لا رسالة تغيير كلمة مرور، ولا تنبيه دخول جديد. الجلسة المسروقة تبدو كمتصفح مسجّل الدخول من قبل.

الهندسة الاجتماعية خارج نموذج تسجيل الدخول

ليست كل الهجمات تنطوي على موقع إلكتروني مزيف. بعض اللصوص يتخطون التكنولوجيا تمامًا ويستهدفون الشخص الذي يحمل الهاتف.

فيشينج (Vishing): المكالمة التي تطلب رمزك

«فيشينج» هو تصيّد عبر الهاتف. يتصل بك شخص يدّعي أنه من بنكك أو جهة عملك أو فريق دعم، ويخلق إحساسًا بالاستعجال — معاملة مشبوهة، حساب مقفل — ثم يطلب منك قراءة رمز التحقق بصوت عالٍ «لتأكيد هويتك». لن يطلب منك أي خدمة مشروعة أبدًا إلقاء رمزك بصوت عالٍ. المتصل يسجّل الدخول في هذه اللحظة، ورمزك هو آخر ما ينقصه.

القاعدة العملية بسيطة: أغلق الخط، واتصل بنفسك برقم الشركة الرسمي الموجود على بطاقتك أو موقعها. المهاجم يراهن على أنك تستمر في المكالمة نفسها؛ قطع الاتصال يكسر الخدعة فورًا. خطأ شائع: الرد على رقم مشابه لرقم جهتك (رقم مكوَّن من بضعة أرقام إضافية) والثقة به لأنه «يبدو مألوفًا» — تزييف معرّف المتصل أمر ممكن ولا يعني شيئًا.

إجهاد إشعارات الدفع (Push Notification Fatigue)

إذا كان تطبيقك يرسل طلبات موافقة، فيمكن للمهاجمين الذين يعرفون كلمة مرورك أصلًا إغراقك بطلبات «الموافقة على تسجيل الدخول؟» في الثانية صباحًا، على أمل أن تضغط «قبول» لتُوقفهم. نقرة واحدة متعبة تُسلّم حسابك. تضيف بعض التطبيقات ميزة مطابقة الأرقام — عليك كتابة الرقم الظاهر على الشاشة — تحديدًا لأن الموافقات غير المقصودة شائعة.

إذا وصلتك موافقة لم تطلبها، لا تضغط «رفض» فقط لكي تهدأ الإشعارات، بل غيّر كلمة المرور فورًا — وصول الطلب يعني أن كلمة مرورك مُسرِّبة أو مخمَّنة بالفعل. ومتى توفر في تطبيقك خيار المطابقة الرقمية، فعّله؛ إنه يجعل الضغط الخاطئ عديم الفائدة للمهاجم.

تبديل شرائح SIM واعتراض الرسائل النصية (SMS)

الرموز المرسلة عبر الرسائل النصية مرتبطة برقم هاتفك، وأرقام الهواتف يمكن سرقتها. في هجوم تبديل شريحة SIM، يُقنع المحتال شركة الاتصالات لديك بنقل رقمك إلى شريحته، ثم يتلقى رموزك مباشرة. الرسائل النصية (SMS) هي أضعف قنوات التحقق بخطوتين (2FA)؛ تعامل معها كخيار احتياطي، لا كأساس.

أضف كلمة سر أو رقم تعريف (PIN) لحسابك لدى شركة الاتصالات — يمنع نقل الرقم دون تحقق إضافي. راقب إشارة هاتفك: انقطاع مفاجئ وطويل قد يعني أن رقمك انتقل لشريحة أخرى، وحينها اتصل بالشركة من قناة أخرى فورًا.

دفاعات توقف سرقة الرموز فعليًا

مفاتيح المرور ومفاتيح الأمان: محصّنة ضد التصيّد بحكم التصميم

مفاتيح المرور ومفاتيح FIDO2 المادية مرتبطة تشفيريًا بالموقع الإلكتروني الدقيق الذي سجّلها — وهي خاصية تُعرف باسم ربط المنشأ (origin binding). قبل توقيع أي شيء، يتحقق جهازك من أنه يتواصل مع النطاق الأصلي الحقيقي. في صفحة تسجيل دخول مزيفة، حتى لو كانت تشغّل وسيطًا (proxy) في الوقت الفعلي، يرفض المفتاح ببساطة. لا شيء يمكن سرقته ولا شيء يمكن إعادة إرساله؛ يفشل تسجيل الدخول من تلقاء نفسه. هذا هو الدفاع الوحيد هنا الذي يوقف التصيّد تلقائيًا، دون أن تضطر إلى ملاحظة أي شيء.

خطوات عملية للانتقال:

• فعّل مفاتيح المرور أولًا على حساباتك الأكثر استهدافًا: البريد الإلكتروني الأساسي، ثم الحسابات البنكية، ثم مدير كلمات المرور. سبب الترتيب: حساب البريد هو مفتاح إعادة تعيين كل كلمات المرور الأخرى، فأغلب الاختراقات تبدأ من هناك.
• احتفظ بمفتاح FIDO2 مادي واحد على الأقل كنسخة احتياطية مخزّنة خارج جهازك اليومي. إذا فُقد هاتفك مع الاعتماد حصريًا على مفاتيح مرور داخل التطبيقات، قد تجد نفسك مقفولًا خارج حساباتك.
• سجّل مفتاحًا ثانيًا واحفظه في مكان مادي آمن — درج منزلي مقفل أو خزنة. المفتاح المفرد يعني نقطة فشل واحدة؛ المفتاحان يعنيان خطة استرداد.
• عند تسجيل مفتاح مرور، احذف كلمة المرور القديمة من خيارات تسجيل الدخول إن سمحت الخدمة بذلك، حتى لا يبقى مسار تصيّد قديم مفتوحًا.

خطأ شائع: الظن أن مفاتيح المرور المخزّنة في مدير كلمات المرور تمنح الحماية نفسها تلقائيًا. تمنحها، لكن المدير نفسه يصبح هدفًا — لهذا تحميه مفاتيح FIDO2 أيضًا، لا كلمة مرور وحدها.

فضّل التطبيقات على الرسائل النصية (SMS)

رموز تطبيقات المصادقة أفضل من رموز SMS، التي يمكن اعتراضها عبر استبدال شريحة SIM أو توجيهها إلى وسيط للمهاجم قبل وصولها إليك. تبقى رموز التطبيقات على جهازك — لكن يمكن لمصيّد صبور أن يقنعك بقراءتها بصوت عالٍ، لذا تعامل مع كل طلب رمز بشك. لحسابات البريد الإلكتروني والخدمات المصرفية ومدير كلمات المرور، أضف مفتاح FIDO2 ماديًا كخيار الأقوى.

لتقوية هذه الطبقة:

• احفظ رموز الاسترداد التي تعطيك الخدمة عند تفعيل المصادقة الثنائية في مكان آمن دون اتصال بالإنترنت، وليس في ملاحظات الهاتف نفسه الذي تحتفظ فيه برموز TOTP. فقدان الهاتف دون نسخة احتياطية يعني فقدان الوصول إلى كل الحسابات المحمية به.
• عند ظهور طلب رمز لم تبدأ أنت عملية تسجيل دخول، لا تقرأه ولا تنقر "موافق". رمز لم تطلبه يعني أن أحدهم يملك كلمة مرورك الآن. غيّر كلمة المرور فورًا.
• فعّل إخفاء رموز TOTP في التطبيق — كثير من تطبيقات المصادقة تتيح إظهار الرمز فقط عند النقر — حتى لا يُقرأ الرمز فوق كتفك أو في لقطة شاشة.

اجعل مدير كلمات المرور طائر الكناري

تملأ مديرات كلمات المرور بيانات الاعتماد تلقائيًا (autofill) فقط على النطاق الدقيق الذي حُفظت فيه. في موقع مقلّد، لا يُملأ أي شيء. اعتبر غياب الملء التلقائي علامة خطر: تحقق من شريط العناوين قبل كتابة أي شيء يدويًا.

الخطأ الأكثر تكرارًا هو تجاوز هذه الحماية: وصول بريد "عاجل" يطلب تحديث بيانات الدفع، لا يملأ المدير شيئًا، فتفتح كلمات المرور المحفوظة وتنسخها يدويًا — وهكذا تُسلّم بياناتك للمهاجم بنفسك. القاعدة: لا يُملأ تلقائيًا = لا تُكتب يدويًا. أغلق التبويب، وافتح الموقع بكتابة عنوانه بنفسك أو من إشارة مرجعية قديمة.

انتبه أيضًا للنطاقات المتشابهة: بعض صفحات التصيّد تستخدم نطاقًا حقيقيًا مسجلًا حديثًا يحاكي الاسم، مثل إضافة كلمة أو تغيير الامتداد. مدير كلمات المرور لن يملأ شيئًا في هذه الحالة أيضًا، لأن النطاق لم يُحفظ فيه قط — والصمت هنا هو الإنذار نفسه. راجع أسماء النطاقات حرفًا حرفًا، خاصةً الحروف المتشابهة بصريًا، فهذه دقة تفصيلية يصعب تزييفها في لحظة استعجال.

عادات يومية تحافظ على أمان الرموز

الدفاعات القوية تفشل عندما تتراجع الروتين اليومي. بضع عادات تغلق معظم الثغرات المتبقية.

لا تشارك رمزًا أبدًا. لن يطلب أي خدمة مشروعة أو بنك أو موظف دعم رمز 2FA أو كلمة مرور أو "رقم تحقق" عبر الهاتف أو البريد الإلكتروني أو الدردشة. من يطلب ذلك مهاجم. الرمز مفتاح، وليس كلمة مرور للتأكيد. الخطأ الشائع هنا هو الخلط بين "التحقق من الهوية" و"التحقق من الحساب": قد يتصل بك مهاجم مدّعيًا أنه من الدعم ويعرض عليك رمزًا وهميًا "للتأكيد"، ثم يطلب منك قراءة الرمز الحقيقي الذي وصل هاتفك. لا تقرأ أي شيء. أنشئ أنت الاتصال عبر رقم الدعم الرسمي إذا كانت لديك شكوك، ولا تجب على مكالمة واردة.

تحقق من المكان الذي تكتب فيه. قبل إدخال بيانات الاعتماد، انظر إلى العنوان الكامل في شريط المتصفح — وليس فقط الشعار الظاهر على الصفحة. انتبه للأخطاء الإملائية الدقيقة مثل paypa1.com أو نطاقات فرعية مثل login.bank-secure.example.com، فهذه من أكثر الحيل شيوعًا. والأفضل من ذلك، تجنّب الفحص تمامًا: استخدم الإشارات المرجعية للمواقع المهمة، أو اكتب العنوان بنفسك. الروابط في رسائل البريد الإلكتروني والرسائل هي الطريقة التي يجد بها المهاجمون ضحاياها للصفحات المزيفة. حالة حدّية تستحق الانتباه: الرمز الصالح يعمل عادةً لمدة ثلاثين ثانية أو نحوها، فلا تكتبه في صفحة مفتوحة من قبل ولا تعرف مصدرها — أنشئ جلسة تسجيل دخول جديدة بنفسك قبل إدخال الرمز.

إذا كتبت رمزًا في صفحة مشبوهة:

1. غيّر كلمة مرور ذلك الحساب فورًا.
2. سجّل الخروج من جميع الجلسات الأخرى في إعدادات أمان الحساب.
3. تواصل مع مقدّم الخدمة عبر قنوات الدعم الرسمية وأبلغ عن الحادث.
4. إذا أعدت استخدام كلمة المرور نفسها في أي مكان آخر، فغيّرها هناك أيضًا.

السرعة مهمة — الرمز المسروق يُستخدم عادةً خلال دقائق. لا تنتظر "التأكد من وجود اختراق" قبل التصرف؛ الخطوة الأولى والثانية لا ضرر منهما حتى لو كان إنذارًا كاذبًا.

النمط في الأقسام الستة كلها بسيط: المهاجمون يطاردون الرموز لأن الرموز تفتح الحسابات. احتفظ بالرموز لنفسك، وتحقق من المكان الذي تدخلها فيه، وفضّل مفاتيح المرور (passkeys) أو مفاتيح العتاد عندما تتيحها الخدمة. افعل ذلك، ويبقى للتصيّد الاحتيالي القليل جدًا لسرقته.