حسابك ليس آمنًا بكلمة مرور وحدها

 

يظن كثيرون أن كلمة المرور الطويلة المعقدة تكفي لحماية حساباتهم، فيختارون واحدة قوية ويطمئنون إليها سنوات في كل موقع يسجلون فيه. لكن كلمة المرور تُسرق في أغلب الحالات من خوادم المواقع المخترقة أو من صفحات مزيفة، لا بتخمينها، ولذلك لا تحميها قوتها حين تصل إلى يد المهاجم. وقد أعلنت مايكروسوفت أن التحقق متعدد العوامل يمنع أكثر من 99.9 بالمئة من هجمات اختراق الحسابات، وهو رقم يوضح حجم الفجوة التي تتركها كلمة المرور وحدها.

يشرح هذا المقال الطرق التي تُسرق بها كلمات المرور، ولماذا يجعل تكرار الكلمة نفسها اختراق حساب واحد بابًا مفتوحًا إلى بقية الحسابات الأخرى. ثم يقارن بين وسائل التحقق بخطوتين من حيث القوة، ويعرّف بمفاتيح المرور ومديري كلمات المرور، ويوضح لماذا يستحق البريد الإلكتروني حماية مضاعفة قبل غيره. ويختم بخطة عملية تستطيع تنفيذها في ساعة واحدة لتأمين أهم حساباتك، مع التحذير من حيلة رموز التحقق التي يقع فيها كثيرون عبر تطبيقات المراسلة.

كيف تُسرق كلمات المرور دون أن تخطئ أنت؟

الطريقة الأكثر شيوعًا هي تسريب قواعد البيانات، إذ يخترق المهاجمون موقعًا أو تطبيقًا ويحصلون على بيانات مستخدميه، ثم تُنشر هذه البيانات أو تُباع لاحقًا في منتديات متخصصة. وقد تكون كلمات المرور في هذه القواعد مشفرة بطريقة ضعيفة أو غير مشفرة أصلًا، فيستطيع المهاجم قراءتها واستخدامها مباشرة في مواقع أخرى. ويمكنك معرفة ما إذا كان بريدك قد ظهر في تسريبات معروفة عبر خدمات مثل Have I Been Pwned، أو عبر أدوات فحص كلمات المرور في المتصفحات الحديثة.

والطريقة الثانية هي التصيد الإلكتروني، حيث تصلك رسالة تقودك إلى صفحة تشبه صفحة الدخول الحقيقية تمامًا، فتكتب بياناتك فيها بنفسك وتصل مباشرة إلى المهاجم. والثالثة هي البرمجيات الخبيثة التي تسرق كلمات المرور المحفوظة في الجهاز، وتنتشر غالبًا عبر برامج مقرصنة أو ملفات مجهولة المصدر أو إضافات متصفح مشبوهة. وفي الحالات الثلاث لا تنفع قوة كلمة المرور شيئًا، لأن المهاجم لا يخمنها وإنما يحصل عليها جاهزة، ولذلك تحتاج إلى طبقة حماية لا تعتمد عليها وحدها.

لماذا تُعد إعادة استخدام كلمة المرور الخطأ الأخطر؟

حين تستخدم كلمة المرور نفسها في عدة مواقع، فإن تسريبها من موقع واحد ضعيف الحماية يكفي لفتح حساباتك في كل المواقع الأخرى المهمة. ويعتمد المهاجمون على هذه العادة في هجوم يسمى حشو بيانات الاعتماد، إذ يجربون أزواج البريد وكلمة المرور المسربة آليًا على مئات المواقع الشهيرة في وقت قصير. ولا يحتاج هذا الهجوم إلى مهارة كبيرة، لأن البرامج تنفذه تلقائيًا، ويكفي أن ينجح في نسبة صغيرة من الحسابات ليحقق للمهاجم مكسبًا كبيرًا.

ولذلك فإن كلمة مرور متوسطة القوة وفريدة لكل موقع أكثر أمانًا في الواقع من كلمة مرور قوية جدًا مكررة في عشرة مواقع مختلفة أو أكثر. والتعديلات البسيطة على الكلمة نفسها، كإضافة اسم الموقع أو رقم في آخرها، لا تكفي غالبًا، لأن برامج الاختراق تجرب هذه الأنماط المتوقعة تلقائيًا وبسرعة. كما توصي إرشادات المعهد الوطني الأمريكي للمعايير والتقنية بالتركيز على طول كلمة المرور، وبعدم إجبار المستخدمين على تغييرها دوريًا ما لم يظهر دليل على تسريبها.

ما الذي يضيفه التحقق بخطوتين إلى حماية حسابك؟

التحقق بخطوتين يعني أن الدخول إلى حسابك يحتاج إلى شيئين معًا، شيء تعرفه وهو كلمة المرور، وشيء تملكه كهاتفك أو مفتاح أمان مادي. فإذا حصل المهاجم على كلمة المرور من تسريب أو صفحة مزيفة، يبقى عاجزًا عن الدخول لأنه لا يملك الهاتف أو المفتاح المطلوب للخطوة الثانية. وبحسب ما أعلنته مايكروسوفت، فإن هذه الطبقة الإضافية تمنع الغالبية العظمى من هجمات اختراق الحسابات الآلية التي تعتمد على كلمات المرور المسروقة. ولهذا توفرها اليوم معظم الخدمات الكبرى، من البريد والشبكات الاجتماعية إلى البنوك وتطبيقات المراسلة الشائعة.

ويمكن تفعيلها عادة من إعدادات الأمان أو الخصوصية في كل حساب، تحت اسم التحقق بخطوتين أو المصادقة الثنائية أو التحقق متعدد العوامل. وعند التفعيل تعطيك معظم الخدمات مجموعة من رموز الاسترداد الاحتياطية، وهذه الرموز تنقذ حسابك إذا فقدت هاتفك، فاحفظها في مكان آمن بعيد عن الهاتف. وفي واتساب توجد ميزة مستقلة تسمى التحقق بخطوتين، تضيف رمزًا سريًا من ستة أرقام يُطلب عند تسجيل رقمك على جهاز جديد، وتفعيلها يستغرق دقيقة واحدة.

الرسائل النصية وتطبيقات المصادقة ومفاتيح الأمان: أيها أقوى؟

الرسائل النصية القصيرة أضعف وسائل التحقق بخطوتين، لأنها معرضة لهجمات مثل تبديل شريحة الهاتف، حيث يقنع المهاجم شركة الاتصالات بنقل رقمك إلى شريحة جديدة. كما يمكن خداع صاحب الحساب نفسه ليقرأ الرمز للمهاجم في مكالمة، ومع ذلك تبقى الرسائل أفضل كثيرًا من عدم تفعيل التحقق بخطوتين أصلًا. أما تطبيقات المصادقة مثل Google Authenticator وMicrosoft Authenticator، فتولد رموزًا مؤقتة على الهاتف نفسه، فلا تتأثر بتبديل الشريحة ولا تمر عبر شبكة الاتصالات. ومن يستخدمها يجب أن يتأكد من نقلها أو نسخها احتياطيًا قبل تغيير هاتفه حتى لا يفقد حساباته.

وأقوى الوسائل مفاتيح الأمان المادية التي تتصل بالجهاز عبر المنفذ أو الاتصال اللاسلكي القريب، لأنها ترتبط بالموقع الحقيقي ولا تعمل على الصفحات المزيفة. فحتى لو دخلت إلى صفحة تصيد متقنة، لن يسلم المفتاح بياناته لها، وهذا ما يجعله مقاومًا للتصيد بطريقة لا توفرها الرموز التي تُكتب يدويًا. وتناسب هذه المفاتيح أصحاب الحسابات الحساسة كالصحفيين والمديرين ومسؤولي الأنظمة ومن يتعاملون مع أموال كثيرة، بينما يكفي تطبيق المصادقة لمعظم المستخدمين في حياتهم اليومية.

مفاتيح المرور بديل جديد عن كلمات المرور التقليدية

مفاتيح المرور تقنية حديثة تدعمها شركات كبرى مثل جوجل وآبل ومايكروسوفت، وتتيح الدخول إلى الحساب ببصمة الإصبع أو الوجه أو رمز قفل الهاتف بدل كتابة كلمة مرور. وتعتمد على مفتاحين مرتبطين، أحدهما يبقى على جهازك ولا يغادره، والآخر يُحفظ لدى الموقع، فلا يوجد سر مشترك يمكن سرقته من خوادم الموقع عند اختراقها. كما ترتبط بعنوان الموقع الحقيقي، فلا تعمل على الصفحات المزيفة، وهو ما يجعلها مقاومة للتصيد مثل مفاتيح الأمان المادية تقريبًا.

وتحفظ مفاتيح المرور عادة في مدير كلمات المرور الخاص بالنظام أو في تطبيق مستقل، وتُزامن بين أجهزتك، فلا تضيع بضياع جهاز واحد إذا فُعلت المزامنة. وقد بدأت خدمات كثيرة تعرض إنشاءها عند تسجيل الدخول، ومن الحكمة قبولها في الحسابات المهمة التي تدعمها، مع إبقاء وسيلة استرداد احتياطية مفعلة. ولا تزال كلمات المرور حاضرة في مواقع كثيرة لا تدعم هذه التقنية، ولذلك يبقى مدير كلمات المرور ضروريًا خلال هذه المرحلة الانتقالية التي قد تطول سنوات.

ولإنشاء مفتاح مرور، ادخل إلى إعدادات الأمان في الحساب وابحث عن خيار مفاتيح المرور، ثم اتبع الخطوات التي تطلب تأكيد هويتك ببصمة أو برمز القفل. وبعدها سيعرض عليك الموقع هذه الطريقة في كل مرة تسجل فيها الدخول، دون أن تكتب شيئًا، وهو ما يوفر الوقت إلى جانب الأمان. ومن المفيد إنشاء مفتاح على جهازين مختلفين على الأقل، أو الاعتماد على مدير يزامنها، حتى لا يعتمد الدخول على هاتف واحد قد يضيع أو يتعطل.

مدير كلمات المرور وكيف يحل مشكلة التذكر

مدير كلمات المرور تطبيق يولد لكل موقع كلمة مرور طويلة وعشوائية، ويحفظها مشفرة، ثم يملؤها تلقائيًا عند الدخول، فلا تحتاج إلى تذكر إلا كلمة مرور رئيسية واحدة. وتتوفر مديرات مدمجة في أنظمة الهواتف والمتصفحات، كمدير كلمات المرور في جوجل وتطبيق كلمات السر في أجهزة آبل، إلى جانب تطبيقات مستقلة مجانية ومدفوعة. ومن مزاياه غير المعروفة أنه لا يملأ البيانات في الصفحات المزيفة، لأن عنوانها لا يطابق العنوان المحفوظ، وهذا تنبيه مجاني على أنك في المكان الخطأ.

وكلمة المرور الرئيسية هي أهم كلمة في حياتك الرقمية، ولذلك يجب أن تكون طويلة وفريدة، ويمكن أن تكون عبارة من عدة كلمات لا يربطها معنى واضح. ويجب تفعيل التحقق بخطوتين على حساب مدير كلمات المرور نفسه، وعلى الحساب المرتبط به كحساب جوجل أو آبل، لأنه يحمل مفاتيح كل شيء آخر. ويتساءل بعض الناس عن خطر وضع كل كلمات المرور في مكان واحد، والجواب أن هذا الخطر أقل كثيرًا من خطر التكرار أو الكتابة في ورقة أو ملف.

وعند اختيار تطبيق مستقل، ابحث عن تطبيق معروف له سجل أمني واضح، ويدعم التحقق بخطوتين ومفاتيح المرور، ويعمل على كل الأجهزة والأنظمة التي تستخدمها. وتجنب التطبيقات المجهولة التي تعد بمزايا كبيرة مجانًا دون جهة واضحة تقف خلفها، فهذه التطبيقات ستحمل أهم بياناتك على الإطلاق، ولا مجال فيها للتجربة. وبعد التثبيت انقل كلمات المرور المحفوظة في المتصفح إلى التطبيق، ثم ابدأ تغيير المكرر منها تدريجيًا، مع إيقاف الحفظ في المتصفح لتجنب تكرار النسخ وتضاربها.

البريد الإلكتروني هو المفتاح الرئيسي لبقية حساباتك

معظم الخدمات تتيح استعادة كلمة المرور عبر رابط يرسل إلى البريد الإلكتروني، ولذلك فإن من يسيطر على بريدك يستطيع الدخول إلى أغلب حساباتك الأخرى. ويستطيع كذلك قراءة رسائلك القديمة، والاطلاع على الفواتير والمستندات والصور المرفقة، وانتحال شخصيتك في مراسلة أصدقائك وزملائك وجهات عملك. ولهذا يستحق البريد الرئيسي أقوى حماية ممكنة، بكلمة مرور فريدة وتحقق بخطوتين بتطبيق مصادقة أو مفتاح مرور، لا برسالة نصية إن أمكن. ومن المفيد أيضًا أن تراجع بين حين وآخر قائمة الأجهزة المتصلة بالحساب وتخرج أي جهاز لا تعرفه.

ويجب التأكد من صحة معلومات الاسترداد المسجلة في البريد، كرقم الهاتف والبريد الاحتياطي، لأن الرقم القديم الذي تخليت عنه قد يصل إلى شخص آخر. وتفيد كذلك مراجعة إعدادات إعادة التوجيه والفلاتر، لأن بعض المهاجمين ينشئون قاعدة تعيد توجيه رسائلك إلى بريدهم دون أن تلاحظ شيئًا في صندوقك. ومن الأفضل تخصيص بريد مستقل للحسابات المالية والمهمة، وعدم استخدامه في التسجيل بالمواقع العشوائية والمسابقات والنشرات التسويقية، لأن ظهوره في تسريب هذه المواقع يجعله هدفًا للتصيد.

رمز التحقق الذي لا يجوز أن تعطيه لأحد

رمز التحقق الذي يصلك في رسالة هو المفتاح الأخير لحسابك، ولا توجد جهة شرعية تطلبه منك، لا البنك ولا شركة الاتصالات ولا فريق دعم واتساب. ومع ذلك تنتشر حيلة متكررة، يصل فيها رمز إلى هاتفك، ثم تأتيك رسالة من رقم صديق تقول إنه أرسل الرمز إليك بالخطأ ويطلب إعادته. والحقيقة أن حساب صديقك مخترق، وأن المهاجم يحاول تسجيل رقمك أنت على جهازه، فإذا أعطيته الرمز فقدت حسابك وانتقل المهاجم إلى أصدقائك.

وقد يتصل المحتال منتحلًا صفة موظف في البنك، ويذكر بعض بياناتك الصحيحة ليكسب ثقتك، ثم يطلب الرمز بحجة إلغاء عملية مشبوهة أو تحديث البيانات. والقاعدة البسيطة أن أي طلب لرمز التحقق عبر مكالمة أو رسالة هو احتيال، مهما بدا المتصل مقنعًا أو عارفًا بتفاصيل حسابك. وإذا شككت في مكالمة، فأغلقها واتصل بالبنك على الرقم المطبوع على بطاقتك أو الموجود في موقعه الرسمي، لا على الرقم الذي اتصل بك. واقرأ نص الرسالة التي تحمل الرمز، فكثير من الخدمات تكتب فيها صراحة ألا تشاركه مع أحد.

وإذا أعطيت الرمز بالفعل، فحاول فورًا إعادة تسجيل رقمك في التطبيق على هاتفك، لأن ذلك يطلب رمزًا جديدًا يصل إليك ويخرج المهاجم من الحساب غالبًا. فإن كان المهاجم قد فعّل التحقق بخطوتين قبلك، فقد تضطر إلى الانتظار فترة يحددها التطبيق قبل استعادة الحساب، فتواصل مع فريق الدعم من داخل التطبيق. وأبلغ أصدقاءك وعائلتك من وسيلة أخرى بأن حسابك مخترق، وأن أي رسالة تطلب مالًا أو رموزًا باسمك في هذه الفترة ليست منك.

خطة عملية لتأمين حساباتك المهمة في ساعة

ابدأ بترتيب حساباتك بحسب أهميتها، فالبريد الإلكتروني الرئيسي أولًا، ثم حسابات البنوك والمحافظ الإلكترونية، ثم تطبيقات المراسلة والشبكات الاجتماعية، ثم حساب مدير كلمات المرور. وفي أول عشرين دقيقة فعّل التحقق بخطوتين على البريد وحساب الهاتف الرئيسي، واحفظ رموز الاسترداد، وراجع رقم الهاتف والبريد الاحتياطي المسجلين. وفي العشرين دقيقة التالية فعّل الحماية نفسها على الحسابات المالية وتطبيقات المراسلة، بما فيها رمز التحقق بخطوتين في واتساب. وفي الدقائق الأخيرة غيّر كلمة المرور لأي حساب مهم يشترك في كلمته مع موقع آخر، واجعلها فريدة ومحفوظة في مدير كلمات المرور.

وبعد هذه الساعة يمكنك متابعة بقية الحسابات تدريجيًا، بتغيير كلمة مرور حسابين أو ثلاثة كلما دخلت إليها، حتى تصبح كل كلماتك فريدة خلال أسابيع. وحذف الحسابات القديمة التي لم تعد تستخدمها خطوة مفيدة أيضًا، لأن كل حساب مهمل يحمل بياناتك قد يكون مصدر التسريب القادم. ومن الأفضل تحديث نظام الهاتف والمتصفح والتطبيقات فور صدور التحديثات، لأن كثيرًا منها يسد ثغرات أمنية يستغلها المهاجمون لسرقة البيانات المحفوظة. وبهذه الخطوات تنتقل حساباتك من الاعتماد على كلمة المرور وحدها إلى حماية متعددة الطبقات يصعب اختراقها.