ما بعد كلمة المرور: لماذا لا يكفي MFA لحماية بياناتك

By Mirko Peters · 2026-08-28

أهلاً بعودتكم يا عشاق الأمن! إذا كنتم مثلي، فمن المرجح أنكم تتذكرون التنفس الصعداء الجماعي الذي شعر به مجتمع التقنية حين انتشرت المصادقة متعددة العوامل (MFA). لسنوات طويلة، اعتمدنا على كلمات مرور هشة يسهل تخمينها. كان يُفترض أن يكون MFA الحل السحري، الدرع الرقمي الذي يبعد المتسللين نهائياً. ننصح عملاءنا وأصدقاءنا وزملاءنا بتفعيله في كل مكان: الحسابات المصرفية ووسائل التواصل الاجتماعي وبوابات العمل

Automatically translated with AI from the original post. Read the English original

أهلاً بعودتكم يا عشاق الأمن! إذا كنتم مثلي، فمن المرجح أنكم تتذكرون التنفس الصعداء الجماعي الذي شعر به مجتمع التقنية حين انتشرت المصادقة متعددة العوامل (MFA). لسنوات طويلة، اعتمدنا على كلمات مرور هشة يسهل تخمينها. كان يُفترض أن يكون MFA الحل السحري، الدرع الرقمي الذي يبعد المتسللين نهائياً. ننصح عملاءنا وأصدقاءنا وزملاءنا بتفعيله في كل مكان: الحسابات المصرفية ووسائل التواصل الاجتماعي وبوابات العمل. فإذا كان للخدمة شاشة تسجيل دخول، فأضف إليها MFA واعتبر الأمر منتهياً.

لكن الحقيقة الصعبة التي علينا مواجهتها اليوم هي أن MFA لا يكفي. بل إن الاعتماد عليه كخط دفاع وحيد مخاطرة خطيرة. لقد تطور مجرمو الإنترنت، والتهديدات المتقدمة التي تواجه شبكاتنا اليوم تتجاوز مطالبات MFA التقليدية كأنها غير موجودة.

في هذا المقال، سنزيل وهم الأمان المطلق، وننظر في الثغرات الواضحة الكامنة في أنظمة المصادقة متعددة العوامل الحديثة، ونستكشف ما يلزم فعلاً لبناء استراتيجية دفاع متينة في عالم تُخترق فيه كلمات المرور والرموز التقليدية بشكل روتيني. سواء كنت محترف تقنية معلومات تسعى لتأمين بيئة مؤسسية، أو مجرد شخص يريد تأمين حياته الرقمية، فإن فهم هذه المخاطر أمر لا غنى عنه. هيا بنا نبدأ.

النقاط الرئيسية

• MFA ليس حلاً محكماً. لا يمكنه ضمان أمان البيانات بمفرده.
• تستطيع هجمات التصيد تجاوز MFA عبر خداع المستخدمين للكشف عن بيانات اعتمادهم.
• تتيح هجمات منح موافقة OAuth وصولاً غير مصرح به حتى بعد إكمال MFA.
• يمكن لتبديل شرائح SIM اعتراض رموز MFA المرسلة عبر الرسائل النصية، مما يعرّض الأمان للخطر.
• يستغل اختطاف الجلسات الجلسات النشطة، مما يسمح للمهاجمين بتجاوز MFA.
• قد تؤدي مشكلات تجربة المستخدم إلى التخلي عن MFA، مما يزيد من التعرض للاختراق.
• فكّر في استخدام مديري كلمات المرور لتعزيز الأمان وإدارة كلمات المرور بفعالية.
• اعتمد نموذج الثقة الصفرية للتحقق المستمر من هويات المستخدمين وتقييد الوصول.

ثغرات MFA

هجمات التصيد

نظرة عامة على التصيد

لا تزال هجمات التصيد من أكثر التهديدات شيوعاً لأمان البيانات. تخدعك هذه الهجمات لكشف معلومات حساسة، مثل كلمات المرور أو رموز المصادقة. كثيراً ما يستخدم مجرمو الإنترنت أساليب الهندسة الاجتماعية للتلاعب بك وحملك على تقديم هذه التفاصيل. قد يرسلون رسائل بريد إلكتروني تبدو شرعية، تدفعك إلى النقر على روابط خبيثة أو تنزيل مرفقات ضارة.

يمكن لهجمات التصيد تجاوز المصادقة متعددة العوامل (MFA) باستخدام تقنيات مثل تصيد الوسيط المهاجم (AiTM) وسرقة الرموز. تستغل هذه الأساليب نقاط الضعف في عملية المصادقة، مما يتيح الوصول غير المصرح به دون إكمال تحديات MFA. وتتزايد وتيرة هذه الهجمات، مع ارتفاع ملحوظ في استخدام هذه التقنيات خلال السنوات الأخيرة.

أمثلة من الواقع

تأمل التقنيات التالية التي يستخدمها المهاجمون لتجاوز MFA:

• الهندسة الاجتماعية: يستغل المتسللون نقاط الضعف البشرية عبر خداعك لتقديم رموز المصادقة أو بيانات الاعتماد من خلال رسائل التصيد الإلكترونية أو المكالمات.
• هجوم إرهاق MFA: يغمر المهاجمون مستخدمي MFA بطلبات متكررة، فيدفعونهم إلى الموافقة على أحد الطلبات بدافع الإحباط.
• هجمات OTP عبر الرسائل النصية: تتيح تقنيات مثل تبديل شرائح SIM للمهاجمين اعتراض كلمات المرور لمرة واحدة المرسلة عبر الرسائل النصية، متجاوزين MFA.

تشهد عمليات التصيّد الاحتيالي في السنوات الأخيرة تطوراً نحو حملات أكثر تعقيداً. فعلى سبيل المثال، تضع حملات AiTM البنية التحتية للتصيّد بينك وبين الخدمات المشروعة، فتلتقط بيانات اعتمادك ورموز MFA معاً. وهذا يتيح للمهاجمين الوصول إلى الحساب دون تفعيل MFA. أما سرقة الرموز فتعني الاستيلاء على رموز المصادقة، ما يمنح وصولاً غير مصرّح به دون الحاجة إلى كلمات المرور أو اجتياز تحديات MFA.

هجمات الموافقة على OAuth

كيف تعمل الموافقة على OAuth

تستغل هجمات الموافقة على OAuth المستخدم لدفعه إلى منح أذونات لتطبيقات خبيثة. تستهدف هذه الهجمات طبقة التفويض لا عملية المصادقة. وبمجرد منح الموافقة، يحصل المهاجمون على رموز وصول تعمل بمعزل عن MFA، ما يتيح وصولاً مستمراً إلى حساباتك.

مخاطر الوصول غير المصرّح به

المخاطر المرتبطة بهجمات الموافقة على OAuth كبيرة. فيمكن للمهاجمين الوصول إلى بياناتك حتى بعد إتمام MFA. وهذا يعني أن إجراءات الأمان التقليدية مثل MFA لا توفر حماية من الوصول غير المصرّح به بعد منح الموافقة. وتُظهر الاتجاهات الحديثة زيادةً ملحوظة في التطبيقات المؤسسية الخبيثة التي تستهدف عملاء Microsoft 365.

تبديل شريحة SIM

كيف يعمل تبديل شريحة SIM

تبديل شريحة SIM أسلوب يتمكن من خلاله المهاجمون من السيطرة على رقم هاتفك، وذلك بإقناع مشغّل الاتصالات بنقل الرقم إلى شريحة SIM جديدة. وهذا يتيح لهم اعتراض رسائل SMS، بما فيها الرسائل التي تحتوي على رموز MFA.

دراسات حالة

ازداد انتشار هجمات تبديل شريحة SIM بشكل كبير. فقد أفادت لجنة التجارة الفيدرالية الأمريكية (FTC) بوقوع زيادة بنسبة 400% في هجمات تبديل شريحة SIM بين عامي 2021 و2022. كما وجدت دراسة أجرتها جامعة برينستون عام 2020 أن 80% من محاولات الاحتيال عبر تبديل شريحة SIM الأولية نجحت، ويرجع ذلك في معظمه إلى ضعف أساليب المصادقة لدى مشغّلي الاتصالات.

في سبتمبر 2023، استهدف المهاجمون فيتاليك بوترين، المؤسس المشارك لإيثيريوم، في هجوم تبديل شريحة SIM تمكنوا من خلاله من اختراق حسابه على Twitter. كما وقع موظف في Kroll ضحية لهجوم تبديل شريحة SIM في أغسطس 2023، ما أدى إلى وصول غير مصرّح به إلى معلومات حساسة للشركة.

قد تكون عواقب هجمات تبديل شريحة SIM وخيمة:

• يمكن للمهاجمين اعتراض رموز MFA المرسلة عبر SMS، ما يتيح الوصول غير المصرّح به إلى الحسابات.
• يمكن أن يؤدي الوصول إلى المعلومات الحساسة إلى اختراقات للبيانات وفقدان الملكية الفكرية.
• أفاد مكتب التحقيقات الفيدرالي (FBI) بخسائر تقارب 50 مليون دولار نتيجة هجمات تبديل شريحة SIM.

اختطاف الجلسات

استغلال ملفات تعريف الارتباط للجلسات

يحدث اختطاف الجلسة عندما يسيطر المهاجمون على جلستك النشطة مع تطبيق ويب. ويستغلون ملفات تعريف الارتباط للجلسات، وهي بيانات صغيرة تُخزَّن على جهازك بعد تسجيل الدخول. تتيح هذه الملفات البقاء مسجلاً للدخول دون إعادة إدخال بيانات اعتمادك. غير أنه إذا سرق المهاجمون هذه الملفات، فيمكنهم انتحال هويتك والوصول غير المصرّح به إلى حساباتك.

فيما يلي بعض الأساليب الشائعة التي يستخدمها المهاجمون لاختطاف الجلسات:

• سرقة رموز الجلسة (ملفات تعريف الارتباط) بعد مصادقة المستخدم.
• استخدام هجمات الوسيط المتدخّل (AitM) عبر الوكلاء باستخدام أدوات مثل Evilginx لاعتراض بيانات الاعتماد ورموز MFA في الوقت الفعلي.
• توظيف برمجيات التجسس على المعلومات (infostealer) لاستخراج ملفات تعريف الارتباط للجلسات من أجهزة الضحايا.
• سرقة ملفات تعريف الارتباط عبر البرمجيات الخبيثة أو التصيّد.
• التنصت على الشبكات عبر شبكات Wi-Fi غير المؤمّنة لاعتراض بيانات الجلسة.
• هجمات البرمجة النصية عبر المواقع (XSS) لسرقة ملفات تعريف الارتباط.
• اختطاف جلسات TCP عبر التنبؤ بأرقام التسلسل.

تتيح هذه التقنيات للمهاجمين تجاوز كلمات المرور وطلبات MFA معًا. فبمجرد حصولهم على ملف تعريف الارتباط الخاص بجلستك، يمكنهم الوصول إلى حسابك دون الحاجة إلى كلمة المرور أو رمز MFA.

تأثير ذلك على فعالية MFA

تتراجع فعالية MFA بشكل كبير عندما ينجح المهاجمون في اختطاف جلستك. يمكنهم انتحال هويتك وتنفيذ إجراءات كما لو كانوا أنت، متجاوزين في الوقت نفسه نقاط التحقق الخاصة بـ MFA. فعلى سبيل المثال، إذا سرق المهاجم ملف تعريف الارتباط الخاص بجلستك، يمكنه تسجيل الدخول إلى حسابك دون الحاجة إلى إدخال كلمة المرور أو رمز MFA.

للحماية من ذلك، تجنّب استخدام خيار "البقاء مسجلاً للدخول" على الأجهزة غير الموثوقة. وإذا اشتبهت في أن حسابك قد يكون مُعرّضًا للاختراق، فافرض تسجيل الخروج من جميع الجلسات فورًا. يمكن لهذا الإجراء أن يساعد في تخفيف المخاطر المرتبطة باختطاف الجلسات.

حدود المصادقة متعددة العوامل

تجربة المستخدم مقابل الأمان

الموازنة بين الراحة والسلامة

كثيرًا ما تواجه معضلة عند استخدام المصادقة متعددة العوامل (MFA). فبينما تعزز MFA الأمان، قد تُعقّد تجربة المستخدم أيضًا. يجد كثير من المستخدمين أن عمليتي الإعداد والاسترداد مربكتان. ويمكن أن يؤدي هذا التعقيد إلى الإحباط والتخلي عن MFA تمامًا. بل إن يتخلى المستخدمون عنها كثيرًا بسبب سوء تجربة الاستخدام ومن العوامل التي تسهم في ذلك:

• التعقيد: قد يستغرق إعداد MFA وقتًا طويلًا ويكون مربكًا، خاصة لمن لا تتوفر لديهم خبرة تقنية كبيرة.
• الإزعاج: قد تُحبط طلبات المصادقة المتكررة، مما يؤدي إلى انخفاض معدلات الاعتماد.
• نقص الإرشادات: تترك التعليمات غير الكافية المستخدم يكافح لإكمال خطوات MFA.
• مقاومة المستخدمين: قد يدفع العبء العام لـ MFA المستخدم إلى رفضها أو التخلي عنها.

تسهم تحديات قابلية الاستخدام هذه بشكل مباشر في إحباط المستخدمين وتخليهم عن أنظمة MFA.

مشكلات الامتثال من قبل المستخدمين

يلعب امتثال المستخدمين دورًا حاسمًا في فعالية MFA. عندما تقاوم MFA بسبب ما تراه من إزعاج أو تعقيد، فإنك تعرّض نفسك ومؤسستك للمخاطر. ويمكن أن يؤدي ضعف الامتثال إلى:

• تجاوز MFA تمامًا.
• مقاومة نشرها، مما يجعل الأنظمة عرضة للهجمات القائمة على كلمات المرور.
• عدم الاستفادة الكاملة من MFA أو إساءة تهيئتها، مما يقلل من فوائدها الوقائية.

أوجه القصور التقنية

القنوات غير الآمنة

تعتمد MFA على قنوات اتصال متعددة، إلا أن ليست جميعها آمنة. فعلى سبيل المثال، يمكن أن يُضعف استخدام الرسائل النصية القصيرة للمصادقة أمانك بشكل كبير. فإذا تمكن المهاجمون من اختراق رقم هاتفك، يمكنهم اعتراض الرسائل النصية، بما في ذلك رموز MFA. كما أن الاعتماد على كلمات المرور وحدها يتيح للمهاجمين الوصول إلى الحسابات دون أي حواجز إضافية في حال تسريب بيانات الاعتماد.

غياب التوحيد القياسي

يؤدي غياب التوحيد القياسي في تطبيقات MFA إلى تباين الأساليب عبر المنصات المختلفة. ويؤثر هذا التباين سلبًا في موثوقية MFA. فعلى سبيل المثال، تستخدم قطاعات مثل إنترنت الأشياء والخدمات الإلكترونية بروتوكولات MFA متباينة، مما قد يخلق ثغرات أمنية.

تُبرز هذه القيود التحديات التي تواجهها المؤسسات عند تطبيق MFA. ويُعدّ فهم هذه المشكلات أمراً ضرورياً لتحسين وضعكم الأمني.

بدائل MFA

في المشهد الرقمي اليوم، قد يُعرّضكم الاعتماد على المصادقة متعددة العوامل (MFA) وحدها للخطر. لذا، فكّروا في تطبيق إجراءات أمنية بديلة تعزز حمايتكم. إليكم بعض الخيارات الفعّالة:

مديرو كلمات المرور

فوائد استخدام مديري كلمات المرور

يُبسّط مديرو كلمات المرور أمانكم الإلكتروني. فهم يخزّنون كلمات المرور ويشفّرونها، ما يجعل من السهل عليكم استخدام كلمات مرور فريدة ومعقدة لكل حساب. وهذا يقلل من خطر سرقة بيانات الاعتماد وإعادة استخدام كلمات المرور.

كيف تعزز هذه الأدوات الأمان

باستخدام مدير كلمات المرور، يمكنكم توليد كلمات مرور قوية تلقائياً. يُلغي ذلك الحاجة إلى تذكر عدة كلمات مرور، ما يتيح لكم التركيز على الأمان بدلاً من الحفظ. إضافةً إلى ذلك، تقدّم العديد من مديري كلمات المرور ميزات مثل مشاركة كلمات المرور وتنبيهات الاختراق، ما يعزز أمان هويتكم بشكل أكبر.

المصادقة البيومترية

أنواع الطرق البيومترية

تستخدم المصادقة البيومترية خصائص جسدية فريدة للتحقق من هويتكم. تشمل الطرق الشائعة:

• مسح بصمة الإصبع
• مسح راحة اليد
• مسح شبكية العين وقزحيتها
• التعرف على الصوت
• استشعار التنفس
• مطابقة الحمض النووي (DNA)
• مسح الأوردة
• التعرف على طريقة المشي

تُعتمد هذه الطرق على نطاق واسع في قطاعات مثل الرعاية الصحية والتصنيع، خاصةً حيث تكون الأجهزة المشتركة شائعة.

إيجابيات المصادقة البيومترية وسلبياتها

تقدّم المصادقة البيومترية عدة مزايا:

1. أمان قوي وانخفاض خطر سرقة الهوية.
2. الراحة: لم يعد عليكم تذكر كلمات المرور.
3. تحسين تجربة المستخدم: وصول سريع إلى الأجهزة أو الخدمات.

مع ذلك، توجد عيوب:

بينما تعزز الطرق البيومترية الأمان، فإنها تثير أيضاً مخاوف بشأن خصوصية البيانات واحتمال حدوث خروقات.

نموذج الثقة الصفرية

مبادئ الثقة الصفرية

يعمل نموذج الأمان القائم على الثقة الصفرية وفق مبدأ "لا تثق أبداً، وتحقق دائماً". يتطلب هذا النهج مصادقة وتفويضاً صارمين لكل طلب وصول. وتشمل المبادئ الرئيسية:

• عدم افتراض الثقة الضمنية لأي وصول إلى الشبكة.
• تطبيق إجراءات حماية متعددة، مثل التشفير.
• تقييد الوصول إلى البيانات بصرامة وفق مبدأ الحاجة إلى المعرفة فقط.

تطبيق الثقة الصفرية في المؤسسات

يمكن للمؤسسات تطبيق الثقة الصفرية من خلال التحقق المستمر من هويات المستخدمين وتقييد الوصول إلى المستخدمين والموارد المعتمدة. يركز هذا النموذج على المصادقة والتفويض القائمين على الهوية لجميع الاتصالات. ومن خلال مراقبة سلوك المستخدمين وسلامة الأجهزة، يمكن للمؤسسات تفويض الوصول ديناميكياً، ما يقلل الاعتماد على MFA بوصفه الإجراء الأمني الوحيد.

تعاني المصادقة متعددة العوامل MFA من ثغرات وقيود كبيرة يجب عليكم إدراكها. يمكن للمهاجمين استغلال صفحات تسجيل دخول مزيفة لالتقاط بيانات اعتمادكم، ما يقوّض فعالية MFA. إضافةً إلى ذلك، لدى 61% من المؤسسات حسابات جذر (root) بلا MFA، وهذا يبرز مخاطر الاعتماد على هذه الطريقة وحدها.

لحماية بياناتك، اتبع أسلوبًا استباقيًا يشمل عدة طبقات من الأمان. فكّر في تطبيق ما يلي:

• ضوابط الوصول المستندة إلى الأدوار للحد من كشف البيانات.
• الامتثال للوائح مثل HIPAA و GDPR من أجل مصادقة قوية.
• المراقبة المستمرة لنشاط تسجيل الدخول لاكتشاف السلوك المشبوه.

من خلال تنويع إجراءات الأمان لديك، تستطيع حماية معلوماتك الحساسة بشكل أفضل.

الأسئلة المتداولة

ما هي MFA؟

MFA، أي المصادقة متعددة العوامل، تضيف مستوى إضافيًا من الأمان من خلال طلب طريقتين أو أكثر للتحقق. وقد تشمل هذه الطرق شيئًا تعرفه (مثل كلمة المرور)، أو شيئًا تملكه (مثل الهاتف)، أو شيئًا أنت عليه (مثل بصمة الإصبع).

كيف يتجاوز التصيّد الاحتيالي MFA؟

تخدعك هجمات التصيّد الاحتيالي لتكشف بيانات اعتمادك أو رموز MFA. ويمكن للمهاجمين استخدام تقنيات مثل تصيّد AiTM (adversary-in-the-middle) لالتقاط كلمة المرور ورمز MFA معًا، مما يتيح لهم الوصول إلى حساباتك دون الحاجة إلى اجتياز MFA.

ما هو هجوم موافقة OAuth؟

يحدث هجوم موافقة OAuth عندما يتلاعب المهاجمون بك لتمنح أذونات لتطبيقات خبيثة. وبمجرد أن تمنح الموافقة، يحصلون على رموز الوصول التي تمكنهم من الوصول إلى بياناتك دون الحاجة إلى MFA.

لماذا يُعد تبديل شريحة SIM خطيرًا؟

يتيح تبديل شريحة SIM للمهاجمين السيطرة على رقم هاتفك. ويمكنهم اعتراض رسائل SMS، بما في ذلك رموز MFA، وهذا يمكّنهم من تجاوز MFA والوصول إلى حساباتك دون علمك.

كيف يعمل اختطاف الجلسة؟

يحدث اختطاف الجلسة عندما يسرق المهاجمون ملفات تعريف الارتباط الخاصة بجلستك بعد تسجيل الدخول. ويمكنهم انتحال هويتك والوصول إلى حساباتك دون الحاجة إلى كلمة المرور أو رمز MFA، مما يُضعف فعالية MFA.

ما البدائل المتاحة لـ MFA؟

تشمل بدائل MFA استخدام مديري كلمات المرور، والمصادقة البيومترية، واعتماد نموذج الأمان القائم على Zero Trust. تعزز هذه الأساليب وضعك الأمني وتقلل الاعتماد على MFA وحده.

هل يمكنني الاعتماد على كلمات المرور وحدها للأمان؟

لا، فالاعتماد على كلمات المرور وحدها محفوف بالمخاطر، إذ يمكن سرقتها أو تخمينها. أما تطبيق إجراءات أمان إضافية، مثل MFA أو مديري كلمات المرور، فيحسّن حمايتك من الوصول غير المصرّح به بشكل ملحوظ.

كيف أحسّن وضعي الأمني؟

لتعزيز أمانك، فكّر في استخدام كلمات مرور قوية وفريدة، وتفعيل MFA حيثما أمكن، ومراقبة حساباتك بانتظام بحثًا عن أي نشاط مشبوه. ويُعد اعتماد نهج أمني متعدد الطبقات ضروريًا لحماية بياناتك.

الخاتمة

كما استعرضنا في هذه المقالة، فإن اعتبار المصادقة متعددة العوامل الحل السحري المطلق خطأ خطير. فبين حملات تصيّد AiTM المتطورة، وتبديل شرائح SIM بلا رحمة، واختطاف الجلسات، واستغلال موافقات OAuth الخفية، وجد المهاجمون طرقًا كثيرة للتسلل عبر حواجز MFA التقليدية. تظل MFA أداة حيوية في ترسانتك الأمنية، لكنها مجرد طبقة واحدة ضمن لغز أكبر بكثير. ولحماية أصولك الرقمية حقًا، يجب تبنّي عقلية الدفاع المتعدد الطبقات، والجمع بين أساليب المصادقة القوية ومديري كلمات المرور الموثوقين، والتوجه نحو بنية Zero Trust.

إذا أردت التعمق أكثر في كيفية حدوث استغلالات الهوية الحديثة، وتحديدًا كيف يستفيد المهاجمون من أذونات التطبيقات للحفاظ على وصول طويل الأمد، فمن الضروري أن تطّلع على حلقة البودكاست المصاحبة. للاستماع إلى الشرح الكامل، توجّه إلى Stop OAuth Consent Attacks in Microsoft Entra ID. كن آمنًا دائمًا، وواصل التشكيك في افتراضاتك، وأراك في الحلقة القادمة!