يظن معظمنا أن الاستيلاء على حساب ما يعني أن يخمّن أحدهم كلمة المرور أو يسرقها. لكن نمطاً بدأ يظهر في عدة حوادث أخيرة يعمل بطريقة مختلفة: فالمهاجم لا يلمس كلمة المرور إطلاقاً. بدلاً من ذلك، يدفعك إلى تسليم شيء يعمل كمفتاح احتياطي لحساب أنت بالفعل مسجّل الدخول إليه — جهاز مرتبط، أو رمز تفويض، أو جلسة — ليتجاوز بذلك الأقفال التي كنت تعتمد عليها عادة.

مثالان يوضحان هذه الآلية بشكل ملموس. وصف باحثو أمن مؤخراً عملية احتيال على واتساب تنتشر من حسابات مخترَقة بالفعل، حيث تصلك رسالة تطلب منك "التصويت" لصديق في مسابقة. تقودك هذه الرسالة عبر صفحة تحاكي شاشة إعداد "الجهاز المرتبط" في واتساب، أو تطلب منك كتابة رمز في قائمة الأجهزة المرتبطة الخاصة بك. وإتمام هذه الخطوات يضيف هاتف المهاجم كجهاز ثانٍ مصرَّح له بالكامل على حسابك — بصلاحية قراءة وإرسال كاملة — دون أن يُدخل كلمة المرور مطلقاً. ولأن كلمة المرور لم تُمس، فلن تصلك رسالة إعادة تعيين كلمة مرور ولا تنبيه بمحاولة دخول فاشلة. تبقى الجلسة الدخيلة هادئة في قائمة أجهزتك وكأنها مجرد إدخال إضافي.

وعلى صعيد منفصل، حذّرت مايكروسوفت من حملة تستغل بوابات واي فاي الأسيرة في الفنادق والمؤتمرات — تلك الصفحة التي تطلب منك "الموافقة على الشروط" عند الاتصال. يقوم المهاجمون الموجودون على مسار الشبكة بإعادة توجيه الضحايا إلى صفحات دخول مزيفة أو نوافذ "رمز الجهاز" وهمية، تسلّم عند إتمامها رموز تفويض بدلاً من كلمات المرور. والنتيجة واحدة في الحالتين: جلسة تبدو شرعية بالنسبة للخدمة، لأنها من الناحية التقنية جلسة شرعية فعلاً — لكنها الآن تخص شخصاً آخر.

لماذا تفشل وسائل دفاعك المعتادة في رصد هذا

مدير كلمات المرور يحمي كلمة المرور. والمصادقة الثنائية تحمي لحظة تسجيل الدخول. لكن لا واحد منهما يراقب ما يحدث بعد أن يُصرَّح لجهاز أو جلسة بالوصول، وهذه بالضبط هي الثغرة التي صُمّمت هذه الهجمات لاستغلالها. والطريقة الوحيدة الموثوقة لرصد هذا النوع من الاختراق هي التحقق يدوياً وبشكل دوري من الأجهزة والتطبيقات التي تملك حالياً صلاحية وصول قائمة إلى حساباتك — لا انتظار تنبيه صُممت هذه الهجمات خصيصاً كي لا تُطلقه.

مراجعة الجلسات في 15 دقيقة

طبّق هذا على الحسابات الأكثر أهمية (البريد الإلكتروني، واتساب/تيليجرام، الحسابات المصرفية، وأي شيء مرتبط بهويتك أو أموالك)، واضبط تذكيراً دورياً لتكرار العملية. وحيث تتغير أسماء القوائم بمرور الوقت، ابحث عن عبارات مثل "الأجهزة" أو "الجلسات" أو "التطبيقات المتصلة":

  • واتساب: الإعدادات ← الأجهزة المرتبطة. أي جهاز لا تتعرف عليه، اضغط عليه وسجّل خروجه فوراً.
  • جوجل: myaccount.google.com/security ← "أجهزتك"، وبشكل منفصل، "تطبيقات وخدمات الجهات الخارجية" (تُسمى أحياناً "تسجيل الدخول عبر جوجل"). ألغِ صلاحية الوصول عن أي شيء لا تستخدمه فعلياً.
  • حساب مايكروسوفت: account.microsoft.com/devices لقائمة الأجهزة؛ و account.microsoft.com/activity لسجل عمليات تسجيل الدخول.
  • معرّف آبل (Apple ID): الإعدادات ← [اسمك] على آيفون/آيباد، أو إعدادات النظام على ماك، يعرض كل جهاز مسجّل الدخول بمعرّف آبل الخاص بك.
  • فيسبوك/إنستغرام (ميتا): الإعدادات ← مركز الحسابات ← كلمة المرور والأمان ← أماكن تسجيل الدخول.
  • تطبيقات البنوك والتطبيقات المالية: يتوفر في معظمها شاشة "إدارة الأجهزة" أو "الجلسات النشطة" ضمن إعدادات الأمان، وإن كانت الصياغة تختلف من مؤسسة لأخرى — تحقق من تطبيقك الآن كي تعرف مكانها قبل أن تحتاجها.

وبينما أنت في هذه القوائم، ألقِ نظرة أيضاً على أي قائمة لـ"التطبيقات المتصلة" أو أذونات OAuth — فالتطبيقات وإضافات المتصفح القديمة التي صرّحت لها قبل سنوات ثم نسيتها هي بالضبط النوع من الوصول الدائم الذي تحاول هذه الفئة من الهجمات إنشاءه من جديد.

إذا وجدت شيئاً لا تتعرف عليه

أزل الجهاز أو التطبيق غير المألوف أو سجّل خروجه أولاً — لا تنتظر. بعدها، وحتى لو لم يكن المهاجم بحاجة إلى كلمة المرور، غيّرها على أي حال كإجراء احترازي إضافي، وأعد تفعيل المصادقة الثنائية إن كانت قد أُوقفت (بعض عمليات الاختراق تُوقفها لتسهيل العودة إلى الحساب لاحقاً). تحقق من أي شيء ربما أعدّه المهاجم لضمان استمرار وصوله، مثل قواعد إعادة توجيه جديدة في البريد الإلكتروني، أو أرقام هواتف أو عناوين بريد استرداد جديدة، أو أجهزة جديدة أُضيفت في مكان آخر — فغالباً ما تُستخدم الجلسة المخترَقة لزرع موطئ قدم ثانٍ قبل اكتشاف الأول. وأخيراً، إذا كان الحساب المخترَق من النوع الذي يثق به جهات اتصالك (مثل واتساب)، فنبّه من حولك إلى أن الرسائل التي وصلتهم منك في الفترة الأخيرة — خصوصاً أي رسالة تطلب مالاً أو تصويتاً أو رموزاً — قد لا تكون منك فعلاً.

فخ خاص بالسفر يستحق التنبيه

إذا كنت تتصل بشبكة واي فاي في فندق أو مطار أو مؤتمر، وطلبت منك صفحة البوابة الأسيرة "تسجيل الدخول" إلى حساب مايكروسوفت أو جوجل أو ما شابه، أو عرضت عليك رمز جهاز لإدخاله، فكن متشككاً بشكل افتراضي — فشبكات الواي فاي الفندقية الشرعية لا تحتاج تقريباً أبداً إلى مصادقة حساب سحابي شخصي كي تتصل بالإنترنت. أغلق المتصفح، واتصل بدلاً من ذلك عبر نقطة اتصال هاتفك الخلوي أو عبر VPN، وإن اضطررت لاستخدام واي فاي الفندق، فتجنب تسجيل الدخول إلى أي شيء حساس عليه إطلاقاً.

ملاحظة أخيرة، إن كنت تكتب أو تنشر أكواداً برمجية

نفس منطق "المشكلة ليست في كلمة مرورك، بل في جلستك أو رمزك المميز" ينطبق على بيانات اعتماد المطورين. ففي حادثة أخيرة من نوع هجمات سلسلة التوريد شملت حزمة npm مسمومة، كانت الحزمة تراقب تحديداً عملية تدوير بيانات الاعتماد ويمكن أن تُفعَّل عند حدوثها — أي أن الخطوة الأولى الغريزية (تدوير الرموز) كانت، في تلك الحالة، الخطوة الأولى الخاطئة. فإذا شككت يوماً في تسرب بيانات اعتماد خاصة بالبناء أو التكامل المستمر، تحقق أولاً مما فعلته الحزمة المخترَقة فعلياً قبل تدوير أي شيء، بدلاً من افتراض أن التدوير وحده يكفي لإغلاق الثغرة.

ضعها في التقويم

لا شيء من هذا حلٌّ يُطبَّق مرة واحدة — إنه عادة، تماماً كما أن مراجعة كشف حسابك المصرفي عادة. اختر تاريخاً متكرراً (أول كل شهر مناسب جداً) وراجع قوائم الأجهزة/الجلسات المذكورة أعلاه. إنه فحصٌ لا يستغرق سوى خمس عشرة دقيقة، لكنه يرصد بالضبط ذلك النوع الهادئ من الاستيلاء على الحسابات دون كلمة مرور، والذي صُمم كل شيء آخر في إعدادات أمانك ليُخطئه.