لكنني أستخدم المصادقة متعددة العوامل!

كان يُفترض أن تنهي مفاتيح المرور (Passkeys) عصر التصيد. لكن أسلوباً يُعرف بتصيد رمز الجهاز يثبت أنها لم تفعل، بل نقلت الهجوم إلى طبقة لا يراقبها أحد.

لسنوات، كانت النصيحة بسيطة: فعّل المصادقة متعددة العوامل، والأفضل أن تنتقل إلى مفاتيح المرور، فيتوقف التصيد عن النجاح. هذه النصيحة لم تعد صحيحة، بهدوء. فتصيد رمز الجهاز، وهو أسلوب يسيء استخدام ميزة مشروعة في بروتوكول OAuth بدلاً من سرقة كلمة المرور، تحوّل خلال أقل من عام من أداة محدودة مرتبطة بجهات حكومية إلى أداة إجرامية متاحة للجميع. فقد رصدت Push Security ارتفاعاً بمقدار ٣٧٫٥ ضعفاً في صفحات تصيد رمز الجهاز خلال الأشهر الأربعة الأولى من ٢٠٢٦ وحدها. وتتبعت Huntress قفزة بنسبة ١٬٣٨٠٪ في حالات الاكتشاف، مع إصابة ٣٤٤ مؤسسة في موجة واحدة عبر أداة تصيد تُقدَّم كخدمة تُدعى EvilTokens. وسجلت Barracuda أكثر من ٧ ملايين محاولة خلال أربعة أسابيع فقط. وأصبحت ١٨ أداة تصيد منفصلة على الأقل تقدم هذا الأسلوب ميزةً قياسية.

لماذا لا توقف كلمات المرور ومفاتيح المرور هذا الهجوم

لا يحاول تصيد رمز الجهاز سرقة كلمة مرور ولا تزييف صفحة تسجيل دخول. بل يسيء استخدام منح تفويض الأجهزة في OAuth 2.0، وهي ميزة مشروعة صُممت للأجهزة التي لا تملك متصفحاً عادياً، مثل التلفاز الذكي أو أدوات سطر الأوامر، ليتمكن المستخدم من تسجيل الدخول من جهاز آخر والموافقة على الوصول برمز قصير. يرسل المهاجمون طُعماً، غالباً في هيئة مستند أو رسالة صوتية أو طلب "تحقق من أنك إنسان" الشائع بأسلوب ClickFix، يقود الضحية إلى إدخال رمز في صفحة تسجيل الدخول الحقيقية لمايكروسوفت أو لمزود الخدمة. تسجّل الضحية الدخول في الموقع الأصلي وتُكمل المصادقة متعددة العوامل فعلاً. لا شيء مزيف في عملية الدخول. لكن رمز الجلسة الذي يصدر بعدها يصل إلى جهاز المهاجم بدلاً من جهاز الضحية. ولأن الهجوم يستهدف التفويض لا المصادقة، فلا فرق إن استخدمت الضحية كلمة مرور أو تطبيق مصادقة أو مفتاح مرور مادياً. كلها تستوفي تسجيل دخول لم يكن من حقها الموافقة عليه أصلاً.

وتبين الأرقام لماذا يتجاوز الأمر مجرد أسلوب ذكي. فقد وجدت Proofpoint أن ٥٩٪ من الحسابات المستولى عليها في ٢٠٢٦ كانت المصادقة متعددة العوامل مفعّلة فيها حينها. وأفادت Obsidian Security بأن المصادقة متعددة العوامل لم توقف المهاجم في ٨٤٪ من الحوادث التي استجابت لها. ويضع تقرير IBM لتكلفة اختراق البيانات لعام ٢٠٢٦ التصيد بوصفه أعلى نقاط الدخول تكلفة، بمتوسط ٥٫٢٩ مليون دولار. الضابط ليس معطلاً. المهاجمون ببساطة توقفوا عن مهاجمته.

سد الفجوة التي تراها سايبرت أكثر من غيرها

تُبنى معظم برامج الهوية لتقوية شاشة تسجيل الدخول: تعقيد كلمات المرور، وفرض المصادقة متعددة العوامل، ومفاتيح المرور على نحو متزايد. وقليل منها يُبنى لمراقبة ما يحدث بعد نجاح الدخول، وهو بالضبط موضع هذا الأسلوب. هذه الفجوة التي ينبغي لتقييمات الحوكمة ومخاطر الهوية أن تختبرها مباشرة بدلاً من افتراض تغطيتها، وهنا تساعد شركات مثل سايبرت المؤسسات في الخليج على تجاوز قائمة تحقق شاشة الدخول في أمن الهوية:

• قيّد تدفق رمز الجهاز في OAuth أو احظره عبر سياسات الوصول المشروط حيثما لم يكن ضرورياً للعمل، فمايكروسوفت نفسها توصي الآن بتعطيله افتراضياً.
• تعامل مع رموز الجلسات بوصفها بيانات اعتماد، بأعمار أقصر وضوابط لربط الرموز، حتى لا يمكن إعادة استخدام جلسة مسروقة إلى ما لا نهاية.
• راقب عمليات الدخول برمز الجهاز من مستخدمين أو تطبيقات لا تستخدمها عادة، ونشاط رموز التحديث القادم من مواقع غير مألوفة.
• اختبر الموظفين بطُعوم حقيقية لرمز الجهاز وبأسلوب ClickFix، لا بقوالب تصيد عامة فقط، لأن تجربة الضحية هنا تبدو مشروعة تماماً.
• أدرج الإلغاء في دليل الاستجابة للحوادث، بحيث يؤدي أي اشتباه في الاختراق إلى إلغاء فوري لرموز التحديث، لا مجرد إعادة تعيين كلمة المرور.

الخلاصة

كانت المصادقة متعددة العوامل المقاومة للتصيد ومفاتيح المرور خطوة حقيقية إلى الأمام، وما زالت توقف الهجمات التي صُممت لها. لكن الأمن المبني بالكامل حول شاشة الدخول يترك طبقة التفويض مكشوفة، وقد انتبه المهاجمون إلى ذلك أسرع مما تكيفت معظم برامج الهوية. السؤال الحقيقي ليس هل تفرض مؤسستك مصادقة قوية، بل هل سيلاحظ أحد إن خرج رمز جلسة من الباب الخلفي.