المصادقة الثنائية واحدة من قلائل نصائح الأمان الرقمي التي يتفق عليها كل خبير تقريباً، ولسبب وجيه: تُغلق أكثر طريقة شيوعاً للاستيلاء على الحسابات، وهي كلمة مرور مسروقة أو مُعاد استخدامها من اختراق سابق. لكن "إضافة عامل ثانٍ" ليست مرادفة لـ"لا يمكن هزيمتها"، والفجوة بين الفكرتين اتسعت مع بناء المهاجمين أدوات متطورة بشكل متزايد مُصمَّمة خصيصاً حول 2FA. فهم أين تصمد المصادقة الثنائية فعلياً وأين تفشل بهدوء وأي الطرق تستحق الاحتكاك الإضافي الصغير هو الفارق بين عادة أمنية تحمي حسابك فعلياً وأخرى تمنح شعوراً زائفاً بالأمان.
ما الذي تحجبه المصادقة الثنائية فعلياً
في جوهرها، تتطلب المصادقة الثنائية من تسجيل الدخول الجمع بين شيء يعرفه المستخدم، مثل كلمة مرور، وشيء يملكه أو هو جزء منه، كهاتف أو مفتاح مادي أو بصمة، بحيث لا تكفي كلمة المرور المسروقة وحدها للوصول إلى الحساب.
هذا يُبطل مباشرة أكبر مُحرِّك للاستيلاء على الحسابات على مستوى الصناعة: حشو بيانات الاعتماد، حيث تُجرَّب كلمات مرور مُسرَّبة من موقع مُخترَق آلياً ضد خدمات أخرى كثيرة، إذ حتى كلمة مرور مُخمَّنة بشكل صحيح تفشل بدون العامل الثاني.
بالنسبة للغالبية الساحقة من الهجمات اليومية، وهي آلية وغير مُستهدَفة وتعمل على نطاق هائل ضد ملايين الحسابات دفعة واحدة، أي شكل من 2FA كافٍ لإيقاف المحاولة تماماً، وهذا سبب بقائها نصيحة أساسية رغم حدودها المعروفة.
رموز الرسائل النصية ومشكلة تبديل شريحة SIM
إرسال رمز لمرة واحدة عبر رسالة نصية كان أول شكل مُنتشَر على نطاق واسع من 2FA، ولا يزال شائعاً لأنه لا يتطلب تثبيت تطبيق، لكنه يعتمد كلياً على أمان رقم الهاتف نفسه بدلاً من جهاز أو بيانات اعتماد يتحكم بها المستخدم مباشرة.
يستغل تبديل شريحة SIM هذا الاعتماد: يجمع المهاجم تفاصيل شخصية كافية عن الضحية لإقناع موظفي دعم شركة الاتصالات بنقل رقم الضحية إلى شريحة يتحكم بها المهاجم، وبعدها تصل كل رموز الرسائل النصية بهدوء إلى جهاز المهاجم بدلاً من الضحية.
لا يتطلب هذا الهجوم اختراق أي تقنية على الإطلاق — إنه يستهدف العملية البشرية التي تستخدمها شركات الاتصالات للتحقق من ملكية الحساب، وهذا سبب معاملة فرق الأمان لرقم الهاتف بشكل متزايد كمرتكز هوية ضعيف لا آمن.
ثغرات شبكة SS7: اعتراض الرسائل دون لمس الهاتف
بعيداً عن تبديل الشريحة، بروتوكول الإشارات الذي يُوجِّه المكالمات والرسائل بين شركات الاتصالات عالمياً، والمعروف بـSS7، له ثغرات موثَّقة منذ زمن طويل تتيح لمهاجم ذي موارد كافية اعتراض الرسائل النصية أثناء نقلها دون الاتصال بشركة الضحية أو هاتفه إطلاقاً.
استغلال SS7 يتطلب وصولاً متخصصاً غير متاح للمهاجمين العاديين، لذا ارتبط غالباً بجهات ذات موارد كبيرة أو مرتبطة بدول تستهدف أفراداً محددين ذوي قيمة عالية بدلاً من مجرمين عاديين يُشغِّلون هجمات جماعية.
رغم كونه تهديداً أضيق نطاقاً من تبديل الشريحة في الممارسة، فإن مجرد وجوده سبب بنيوي يجعل باحثي الأمن يصفون الرسائل النصية بأنها قناة أضعف بطبيعتها من الطرق القائمة على التطبيقات أو الأجهزة، بغض النظر عن مدى حرص تأمين حساب فردي معين.
عدة التصيد الفوري التي تسرق الرموز أثناء كتابتها
تجاوز التصيد الحديث بكثير صفحات تسجيل الدخول المزيفة الثابتة التي تجمع كلمة المرور فقط؛ عدة هجوم الوسيط، التي شاعتها أدوات مفتوحة المصدر مثل Evilginx، تُشغِّل خادماً وسيطاً عكسياً فورياً يجلس بين الضحية والموقع الحقيقي أثناء تسجيل الدخول.
عندما يكتب الضحية كلمة مروره ورمزه لمرة واحدة في ما يبدو صفحة تسجيل دخول عادية، يُرسل الوسيط تلك القيم بالضبط للموقع الحقيقي فورياً، ثم يلتقط الجلسة المُصادَق عليها الناتجة — مُكمِّلاً تسجيل الدخول كأنه المهاجم، لا الضحية.
لأن هذا يحدث خلال نفس الثواني القليلة لمحاولة دخول شرعية، فإنه يهزم رموز الرسائل النصية ورموز تطبيقات المصادقة وحتى إشعارات الموافقة، إذ تعتمد كلها في النهاية على إنسان يؤكد شيئاً على صفحة قد تكون الموقع المزيف للمهاجم.
لماذا يمكن دائماً تصيّد رمز يكتبه إنسان
الضعف الجوهري المشترك بين الرسائل النصية وتطبيقات المصادقة وحتى الإشعارات هو أن الثلاثة تُسلِّم في النهاية معلومة أو موافقة لإنسان، لا يملك طريقة موثوقة للتحقق من أن الموقع الذي يطلبها هو الحقيقي لا نسخة مقنعة منه.
رمز OTP مجرد سلسلة أرقام؛ بمجرد توليده، يعمل أينما أُدخل ضمن نافذة صلاحيته القصيرة، ما يعني أن موقع تصيد يستطيع تمريره للخدمة الحقيقية بنفس سهولة استخدام الموقع الشرعي له.
هذا قيد بنيوي، لا مسألة إهمال من المستخدم — لا كمية من اليقظة تُغلق الفجوة تماماً، لأن الرمز نفسه لا يحمل أي معلومة عن الموقع الذي يُستخدَم عليه.
ربط النطاق: لماذا تقاوم المفاتيح المادية ومفاتيح المرور التصيد
مفاتيح الأمان المادية ومفاتيح المرور المبنية على معياري FIDO2 وWebAuthn تحل هذه المشكلة بنيوياً بدلاً من الاعتماد على حكم المستخدم: أثناء الإعداد، يربط المفتاح نفسه تشفيرياً باسم النطاق الدقيق للموقع المُسجَّل.
عند محاولة تسجيل دخول، يتحقق المتصفح والمفتاح تلقائياً من تطابق النطاق الطالب مع النطاق المُخزَّن أثناء الإعداد، وإذا كان موقع تصيد يستخدم نطاقاً مشابهاً، يرفض المفتاح ببساطة الاستجابة، بغض النظر عن مدى إقناع الصفحة المزيفة لإنسان.
هذه الخاصية، المُسمَّاة ربط النطاق، هي ما يفصل المصادقة المقاومة للتصيد عن كل طريقة مذكورة سابقاً — تُزيل الإنسان من القرار كلياً، فلا وجود لنسخة "من فضلك انسخ هذا الرمز" أو "من فضلك وافق على هذا الطلب" يستطيع مهاجم استغلالها اجتماعياً.
هجمات إرهاق المصادقة والقصف بالإشعارات
المصادقة الثنائية القائمة على إشعارات الدفع، حيث يضغط المستخدم "موافقة" على هاتفه ببساطة بدلاً من كتابة رمز، أكثر راحة من الرسائل النصية أو TOTP لكنها تُدخل ضعفاً مميزاً بمجرد امتلاك مهاجم لكلمة مرور صالحة.
في هجوم إرهاق المصادقة، المعروف أيضاً بالقصف بالإشعارات، يُطلق المهاجم محاولات دخول متكررة، مُرسلاً سيلاً من طلبات الموافقة لهاتف الضحية، غالباً في أوقات غير مناسبة كمنتصف الليل، آملاً أن يضغط الضحية موافقة في النهاية فقط لإيقاف الإشعارات.
نُسبت عدة اختراقات مؤسسية بارزة علناً لهذه التقنية بالضبط، وهذا سبب طلب بعض المنصات الآن إدخال رقم يظهر على شاشة تسجيل الدخول داخل التطبيق، مضيفة خطوة تحقق صغيرة لا يستطيع ضغط رد فعلي بحت تلبيتها.
تطبيقات المصادقة (TOTP) مقابل الرسائل النصية: فجوة أمنية حقيقية
تُولِّد تطبيقات المصادقة كلمة مرور لمرة واحدة قائمة على الوقت (TOTP) محلياً على الجهاز باستخدام مفتاح سري أُنشئ أثناء الإعداد، ما يعني أن لا رمز يسافر عبر شبكة شركة اتصالات ولا شيء يستطيع هجوم تبديل شريحة أو SS7 اعتراضه.
هذا يُغلق فئة كاملة من الهجمات تبقى الرسائل النصية مُعرَّضة لها، وهذا سبب تصنيف إرشادات الأمان باستمرار لتطبيقات المصادقة كأقوى بشكل ملموس من رموز الرسائل النصية، رغم أن كليهما يُنتج في النهاية رمزاً رقمياً قصيراً يكتبه إنسان.
الضعف المتبقي هو نفسه الذي يؤثر على كل رمز مكتوب: صفحة تصيد فوري بهجوم الوسيط لا تزال قادرة على تمرير رمز TOTP لحظة إدخاله، لذا الفجوة التي يُغلقها هي تحديداً فئة اعتراض الشبكة، لا التصيد نفسه.
الرموز الاحتياطية والحلقة الضعيفة في استعادة الحساب
تقريباً كل خدمة تُقدِّم 2FA تُقدِّم أيضاً مسار استعادة لحالة فقدان المستخدم هاتفه أو مفتاحه المادي، عادة مجموعة رموز احتياطية لمرة واحدة أُنشئت عند الإعداد أو عملية تحقق هوية يُديرها الدعم الفني.
مسارات الاستعادة هذه غالباً الهدف الأسهل في النظام بأكمله، إذ رموز احتياطية مُخزَّنة بإهمال، كملاحظة غير مُشفَّرة أو صورة شاشة في مكتبة الصور، يمكن لأي شخص لديه وصول للجهاز أو الحساب السحابي إيجادها، متجاوزاً طريقة 2FA كلياً.
الهندسة الاجتماعية لاستعادة الحساب، حيث يتصل مهاجم بفريق دعم شركة مُتظاهراً بأنه مستخدم مُقفَل، أثبتت فعاليتها مراراً ضد خدمات ذات خطوات تحقق هوية ضعيفة، إذ تستهدف عملية بشرية لا تشفير العامل الثاني نفسه.
سرقة رمز الجلسة: تجاوز 2FA بعد إتمامها
حتى تسجيل دخول بـ2FA مُنفَّذ بشكل مثالي يمكن تقويضه لاحقاً، لأن تسجيل الدخول الناجح يُولِّد رمز جلسة أو ملف تعريف ارتباط يُبقي المستخدم مُسجَّل دخوله دون تكرار عملية تسجيل الدخول في كل صفحة.
برمجيات خبيثة تسرق رموز الجلسة هذه مباشرة من المتصفح، أو عدة تصيد بهجوم وسيط تلتقط الرمز المُولَّد فور إتمام الضحية لتسجيل دخول حقيقي، تُتيح لمهاجم تحميل الرمز المسروق في متصفحه الخاص والوصول للحساب دون الحاجة لكلمة المرور أو رمز 2FA مجدداً أبداً.
هذا سبب اقتران فرق الأمان بشكل متزايد بين 2FA وتدابير مراقبة الجلسة، مثل وضع علامة على تسجيلات الدخول من أجهزة أو مواقع غير مألوفة وتحديد مدة صلاحية رمز الجلسة، إذ 2FA وحدها تحمي لحظة تسجيل الدخول لا بالضرورة كل ما يليها.
لماذا لا تزال 2FA توقف الغالبية العظمى من الهجمات
الهجمات الموصوفة حتى الآن — تبديل الشريحة، اعتراض SS7، التصيد بهجوم الوسيط، إرهاق المصادقة — تتطلب كلها جهداً واستهدافاً أكبر بكثير، وأحياناً تفاعلاً فورياً، من الهجمات الآلية الانتهازية التي تُشكِّل الغالبية العظمى من محاولات اختراق الحسابات اليومية.
روبوتات حشو بيانات الاعتماد الآلية، التي تُجرِّب أزواج اسم مستخدم وكلمة مرور مُسرَّبة ضد صفحات تسجيل الدخول على نطاق هائل، لا تملك آلية لاعتراض رسالة نصية أو تمرير جلسة تصيد فورياً أو قصف إشعار دفع — تفشل ببساطة لحظة طلب عامل ثانٍ.
هذه هي الفكرة الدقيقة المفقودة غالباً في عناوين الأخبار عن تجاوز 2FA: الهجمات الموصوفة حقيقية وفعّالة ضد ضحايا مُستهدَفين تحديداً، لكنها تُمثِّل جزءاً صغيراً جداً من إجمالي حجم الهجمات مقارنة بهجمات حشو وإعادة استخدام بيانات الاعتماد التي توقفها أي طريقة 2FA بموثوقية.
ماذا أفادت جوجل ومايكروسوفت عن فعالية 2FA
مزودو المنصات الكبرى ذوو الرؤية على مليارات محاولات تسجيل الدخول نشروا مراراً أبحاثاً تشير إلى أن تفعيل أي عامل مصادقة إضافي يحجب الغالبية العظمى من محاولات الاستيلاء الآلية الجماعية على الحسابات، حتى عندما يكون ذلك العامل طريقة ضعيفة نسبياً كالرسائل النصية.
أبرز باحثو أمان مايكروسوفت تحديداً أن الحسابات المُفعَّل عليها أي شكل من المصادقة متعددة العوامل أقل عرضة بشكل كبير للاختراق من حسابات تعتمد على كلمة مرور وحدها، مُؤطِّرين اختيار طريقة 2FA المحددة كتحسين ثانوي بعد الخطوة الأهم وهي تفعيل أي شكل منها أصلاً.
وصفت فرق أمان جوجل نتائج مشابهة من دراسات تدفقات استعادة الحساب ومحاكاة التصيد، مُشيرة باستمرار إلى إشعارات الأجهزة والمفاتيح المادية كأقوى من الرسائل النصية بينما تجد أيضاً أن الرسائل النصية تتفوق بشكل ملموس على عدم وجود عامل ثانٍ إطلاقاً.
التحول نحو مفاتيح المرور كخليفة مقاومة للتصيد
مفاتيح المرور معيار مصادقة أحدث، مبني على نفس تشفير FIDO2/WebAuthn لمفاتيح الأمان المادية، يهدف لاستبدال كلمات المرور كلياً بدلاً من مجرد تكملتها، مُخزِّناً زوج مفاتيح تشفيري على جهاز أو مُتزامناً بأمان عبر أجهزة المستخدم من خلال نظام تشغيله أو مدير كلمات مروره.
لأن تسجيل دخول بمفتاح مرور مربوط بالنطاق بنفس طريقة المفتاح المادي، فإنه يرث نفس مقاومة التصيد — لا كلمة مرور لسرقتها ولا رمز لتمريره، ما يُلغي فئة هجمات التصيد بهجوم الوسيط الموصوفة سابقاً بخطوة واحدة.
منصات كبرى، بما فيها جوجل ومايكروسوفت وآبل، ما زالت تُطلق دعم مفاتيح المرور بنشاط عبر حسابات المستهلكين، عاكسة رهاناً على مستوى الصناعة بأن المصادقة المربوطة بالنطاق وبدون كلمات مرور هي الحل الأكثر واقعية طويل الأمد لضعف التصيد المتأصل في الرموز المكتوبة.
ترتيب طرق 2FA من الأضعف إلى الأقوى
تتقارب إرشادات الأمان الآن على تسلسل هرمي متسق نسبياً: تحتل الرموز عبر الرسائل النصية القاع بسبب التعرض لتبديل الشريحة وSS7، تليها رموز TOTP القائمة على التطبيقات، التي تُغلق فجوة اعتراض الشبكة لكنها تبقى قابلة للتصيد فورياً.
تجلس إشعارات الدفع فوق TOTP الأساسي عندما تتضمن تحقق مطابقة الرقم، إذ تُقلِّل تلك الخطوة الإضافية خطر إرهاق المصادقة بشكل ملموس، رغم بقائها عرضة لقصف إشعارات مُصِّر بما يكفي ولتمرير هجوم وسيط في بعض التطبيقات.
تجلس المفاتيح المادية ومفاتيح المرور بوضوح في قمة هذا التسلسل الهرمي، إذ يُزيل ربط النطاق نقطة الضعف القائمة على حكم الإنسان المشتركة بين كل طريقة أخرى في القائمة، ما يجعلها الخيار الوحيد المتاح على نطاق واسع والمقاوم فعلياً للتصيد الفوري.
حملات واقعية استغلت الثغرات العمياء لـ2FA
وثَّق باحثو الأمن ومستجيبو الحوادث حملات عديدة خلال السنوات الأخيرة استهدفت تحديداً مؤسسات باستخدام بنية تصيد بهجوم وسيط واسعة النطاق، مُرسلة صفحات دخول مقنعة مشابهة لآلاف الموظفين دفعة واحدة وحاصدة جلسات كل من أكمل العملية.
بشكل منفصل، تعقَّبت موجة من الاختراقات المؤسسية المُبلَّغ عنها علناً إلى تكتيكات إرهاق المصادقة، حيث استنزف مهاجمون حصلوا بالفعل على كلمات مرور الموظفين عبر وسائل غير متعلقة الضحايا بطلبات موافقة متكررة حتى قُبل أحدها.
تشترك هذه الحوادث في خيط مشترك: لم يهزم أي منها تشفير 2FA نفسه، بل هزمت القرار البشري المُضاف فوقه، وهذا بالضبط الضعف الذي صُمِّمت المصادقة المربوطة بالنطاق المادية لإزالته.
كيف تتعرف على محاولة تصيد أو قصف إشعارات حية
صفحة تسجيل دخول تظهر فوراً بعد النقر على رابط في بريد أو رسالة غير متوقعة، خاصة واحدة تُلحّ بشأن تنبيه أمني أو تعليق حساب، هي الإعداد الكلاسيكي لمحاولة تصيد بهجوم وسيط وتستحق فحصاً يدوياً للرابط قبل إدخال أي شيء.
سيل مفاجئ من طلبات موافقة الدفع لم يُبادر بها المستخدم ليس عطلاً تقنياً — ينبغي معاملته كإشارة قوية على أن شخصاً آخر يملك بالفعل كلمة مرور الحساب ويحاول إتمام تسجيل الدخول، ما يستدعي تغيير كلمة المرور فوراً بدلاً من ضغط رد فعلي.
في الحالتين، الاستجابة الأكثر أماناً هي الانتقال إلى الخدمة مباشرة بكتابة عنوانها بدلاً من النقر على أي رابط، إذ يتجاوز ذلك كلياً آلية النطاق المشابه التي تعتمد عليها هذه الهجمات.
منظور المؤسسات وفرق الأمان
المؤسسات التي تُؤمِّن أعداداً كبيرة من حسابات الموظفين تُعامل بشكل متزايد اختيار طريقة 2FA كقرار إدارة مخاطر لا مجرد خانة تحقق، وغالباً ما تُلزِم بمفاتيح مادية أو مفاتيح مرور للمدراء والأهداف عالية القيمة الأخرى بينما تسمح بطرق أضعف للحسابات الأقل خطورة.
تنشر فرق الأمان أيضاً سياسات وصول مشروط تُقيِّم إشارات مثل صحة الجهاز وموقع تسجيل الدخول وسمعة الشبكة إلى جانب نتيجة 2FA نفسها، بحيث يمكن تحدي عامل ثانٍ مُكتمَل بنجاح أكثر إذا بدا السياق المحيط غير معتاد.
هذا النهج متعدد الطبقات القائم على المخاطر يعكس تحولاً أوسع في الصناعة بعيداً عن معاملة 2FA كبوابة ثنائية واحدة نحو معاملتها كإشارة واحدة من بين عدة إشارات تُحدِّد معاً ما إذا كان تسجيل الدخول جديراً بالثقة.
دفاعات متعددة الطبقات بعد المصادقة الثنائية
لأن لا ضابطاً واحداً، بما فيه 2FA، يستطيع القضاء على خطر الاستيلاء على الحساب كلياً، تُقرِن فرق الأمان به تدابير مُكمِّلة: فلترة البريد ومراقبة النطاقات لالتقاط بنية التصيد قبل وصولها للمستخدمين، وحماية نقاط النهاية لكشف برمجيات سرقة رموز الجلسة، وتدريب توعية أمنية مُركَّز تحديداً على أنماط التصيد الفوري وإرهاق المصادقة.
تقصير مدة صلاحية رمز الجلسة، وإعادة طلب المصادقة عند الإجراءات الحساسة لا فقط عند تسجيل الدخول الأولي، يُقلِّل قيمة جلسة مسروقة واحدة ويحد من حجم الضرر الناتج عن أي تجاوز ناجح.
لا يستبدل أي من هذه التدابير 2FA فردياً — إنها موجودة تحديداً لتغطية الفجوات الموصوفة عبر هذا المقال، مُشكِّلة دفاعاً يتدهور بتدرج بدلاً من الانهيار كلياً إذا هُزمت طبقة واحدة.
اختيار طريقة 2FA المناسبة لحساباتك
لمعظم الناس، النصيحة العملية واضحة: فعِّل مفتاحاً أمنياً مادياً أو مفتاح مرور أينما توفر، خاصة لحسابات البريد الإلكتروني والحسابات المالية، إذ اختراق البريد الإلكتروني غالباً ما يمنح مهاجماً طريقاً لإعادة تعيين كلمات المرور في كل مكان آخر.
حيث لا تُدعَم المفاتيح المادية، تطبيق مصادقة خيار أفضل بشكل ملموس من الرسائل النصية، وحيث تتوفر إشعارات الدفع فقط، اختيار خدمة تتطلب مطابقة رقم يُضيف طبقة حماية حقيقية ضد إرهاق المصادقة.
2FA عبر الرسائل النصية، رغم نقاط ضعفها، لا تزال أفضل بشكل كبير من عدم وجود عامل ثانٍ إطلاقاً، لذا الاستنتاج الصحيح ليس عدم الثقة بـ2FA عموماً بل الترقي إلى أقوى طريقة متاحة لكل حساب، بدءاً بالأهم منها.
المصادقة الثنائية ليست حصينة تماماً، ومعاملتها كدرع لا يُخترق تُغفل بالضبط نوع الهجمات المُستهدَفة والفورية التي نمت حولها خلال السنوات الأخيرة. لكن الصورة الحقيقية أكثر طمأنة من كونها مُقلقة: الطرق التي تفشل هي تلك المعتمدة على إنسان يُمرِّر رمزاً أو يضغط موافقة، بينما تُغلق الطرق المربوطة بالنطاق كالمفاتيح المادية ومفاتيح المرور تلك الفجوة بنيوياً، وحتى أضعف شكل من 2FA لا يزال يحجب الغالبية العظمى من الهجمات الآلية التي تواجهها معظم الحسابات فعلياً. الدرس العملي ليس التخلي عن 2FA — بل الصعود بالسلم من الرسائل النصية نحو الطرق المقاومة للتصيد أينما توفرت، والبقاء متيقظاً للعلامات المحددة، كالطلبات غير المُبرَّرة أو صفحات الدخول المُلحّة، التي تُميِّز المجموعة الأضيق من الهجمات التي لا تستطيع 2FA وحدها إيقافها.
المصادر
- وكالة أمن الأنظمة والبنية التحتية الأمريكية (CISA) — إرشادات حكومية أمريكية حول المصادقة متعددة العوامل والطرق المقاومة للتصيد.
- منشور NIST الخاص 800-63B — إرشادات هوية رقمية فيدرالية تغطي مستويات ضمان المصادقة ومتطلبات أمان العامل الثاني.
- تحالف FIDO — هيئة صناعية تُشرف على معياري FIDO2 وWebAuthn وراء المفاتيح الأمنية المادية ومفاتيح المرور.
- مدونة جوجل للسلامة والأمان — أبحاث جوجل المنشورة عن استعادة الحساب ومحاكاة التصيد وفعالية طرق المصادقة.
- مدونة أمان مايكروسوفت — أبحاث ونتائج حوادث مايكروسوفت حول فعالية المصادقة متعددة العوامل وهجمات إرهاق المصادقة.
الأسئلة الشائعة
هل تُوقف المصادقة الثنائية كل أنواع الاستيلاء على الحسابات؟
لا. تُوقف الغالبية الساحقة من الهجمات الآلية الجماعية مثل حشو بيانات الاعتماد، لكن مهاجماً مُصمِّماً يستخدم عدة تصيد فوري أو تبديل شريحة SIM لا يزال قادراً على تجاوز طرق معينة من 2FA، خاصة الرسائل النصية والرموز لمرة واحدة.
لماذا تُعتبر المصادقة الثنائية عبر الرسائل النصية الخيار الأضعف؟
يمكن اعتراض رموز الرسائل النصية عبر هجمات تبديل شريحة SIM، حيث يُقنع مهاجم موظفي شركة الاتصالات بنقل رقم الضحية إلى شريحة جديدة، أو عبر ثغرات شبكة SS7 التي تُتيح للمهاجمين إعادة توجيه الرسائل دون لمس هاتف الضحية إطلاقاً.
ما الذي يجعل مفاتيح الأمان المادية مقاومة للتصيد الاحتيالي؟
مفاتيح FIDO2 وWebAuthn تربط تسجيل الدخول تشفيرياً بنطاق الموقع الدقيق الذي طلبه، فحتى لو خُدع المستخدم لموقع مزيف مشابه، يرفض المفتاح ببساطة الاستجابة، على عكس رمز مكتوب يمكن خداع إنسان لإدخاله في أي مكان.
ما هو إرهاق المصادقة متعددة العوامل أو القصف بالإشعارات؟
إنه هجوم حيث يُطلق شخص يمتلك بالفعل كلمة مرور الضحية إشعارات موافقة متكررة، أملاً أن يضغط الضحية موافقة في النهاية من الانزعاج أو الارتباك دون إدراك أنه يوافق على محاولة دخول مهاجم.
هل ينبغي على الناس تفعيل 2FA رغم هذه النقاط الضعيفة؟
نعم. أفادت منصات كبرى بأن تفعيل أي شكل من 2FA يحجب الغالبية العظمى من محاولات الاستيلاء الآلية على الحسابات، وحتى الطرق القابلة للتصيد كالرسائل النصية أكثر أماناً بكثير من كلمة مرور وحدها.
ما هو أقوى شكل من المصادقة الثنائية المتوفر اليوم؟
مفاتيح الأمان المادية ومفاتيح المرور المبنية على معيار FIDO2/WebAuthn تُعتبر حالياً الأقوى والأكثر مقاومة للتصيد، تليها تطبيقات المصادقة ثم إشعارات الدفع، بينما تبقى الرسائل النصية الطريقة الأضعف المتاحة على نطاق واسع.
عن الكاتب
نعتمد على إرشادات وكالة أمن الأنظمة والبنية التحتية الأمريكية (CISA)، ومنشور NIST الخاص 800-63B، وتحالف FIDO، ومدونتي أمان جوجل ومايكروسوفت لشرح خلفية وفهم هذا الموضوع.
هل أعجبك المقال؟
شارك عبر واتساب ← شارك عبر واتساب
احصل على المزيد من الأدلة في بريدك — اشترك في نشرتنا البريدية للحصول على قصص أسبوعية مثيرة للاهتمام من مصر والسعودية ودبي وأكثر.