لماذا لم تعد المصادقة متعددة العناصر عبر الرسائل النصية القصيرة آمنة لـ Microsoft 365

By Mirko Peters · 2026-10-26

تعرّف على الأسباب التي تجعل المصادقة متعددة العناصر عبر الرسائل النصية القصيرة تُعرّض مستأجرات Microsoft 365 للخطر من تبديل بطاقة SIM والتصيد الاحتيالي، وعلى البديل الأنسب لها.

Automatically translated with AI from the original post. Read the English original

ظلّت المصادقة متعددة العناصر عبر الرسائل النصية القصيرة الخطوة الثانية الافتراضية لمسؤولي تقنية المعلومات والمستخدمين النهائيين على حد سواء، غير أن اعتمادها على شبكة الاتصالات التقليدية يجعلها عرضة بشدة للخطر أمام الهجمات السيبرانية الحديثة، مثل تبديل بطاقة SIM والتصيد الاحتيالي الموجّه.

النقاط الرئيسية

• تعتمد المصادقة متعددة العناصر القائمة على الرسائل النصية القصيرة على شبكة الهاتف العامة، ما يجعلها عرضة للاعتراض وتبديل بطاقة SIM.
• تُظهر أبحاث Google وVerizon أن رموز الرسائل النصية تفشل أمام هجمات التصيد الاحتيالي الموجّهة بدرجة أكبر بكثير من إشعارات الدفع الحديثة أو مفاتيح المرور.
• توصي تقارير الاختراقات السنوية الصادرة عن Verizon صراحةً بعدم استخدام رموز الرسائل النصية القصيرة للتحقق عند تسجيل الدخول.
• يتطلب الانتقال بعيداً عن الرسائل النصية القصيرة التخطيط لطريقتين للتحقق على الأقل، لتجنب إثقال كاهل مكتب المساعدة وحالات قفل الحسابات بشكل دائم.

وهم الأمان مع رموز الرسائل النصية القصيرة

عندما تطبّق المؤسسات المصادقة متعددة العناصر للمرة الأولى، غالباً ما تبدو الرسائل النصية القصيرة إنجازاً جيداً. فهي مدعومة على نطاق واسع، ولا تتطلب تثبيت أي برنامج، وتعمل على كل جهاز محمول تقريباً. غير أنها من منظور بنية الأمان تنتهك قاعدة أساسية في التحقق الهوياتي المتين: آلية التسليم نفسها معيبة من الأساس.

تنتقل الرسالة النصية القصيرة عبر شبكة الاتصالات التقليدية حتى تصل إلى هاتفك المحمول. وبما أن هذه البنية التحتية صُمّمت قبل عقود مع قدر ضئيل جداً من الاعتبارات الأمنية، فيمكن اعتراضها أو تحويل مسارها أو التلاعب بها. ويستغل المجرمون هذه الثغرة بشكل روتيني عبر أسلوب يُعرف بتبديل بطاقة SIM، إذ يخدع المهاجمون موظفي دعم مزودي خدمة الهاتف المحمول بالهندسة الاجتماعية، فينقلون رقم هاتفك إلى بطاقة SIM داخل هاتفهم الذكي. وبمجرد اكتمال النقل، تصل كل رمز مصادقة مخصص لحسابك مباشرة إلى المهاجم.

ما تقوله الأبحاث عن المصادقة متعددة العناصر عبر الرسائل النصية

تُظهر بيانات الأمان صورة قاتمة فيما يتعلق بفاعلية التحقق عبر الرسائل النصية القصيرة. فبينما توفر الرموز النصية دفاعاً مقبولاً ضد هجمات حشو بيانات الاعتماد الآلية منخفضة الجهد، تتراجع فاعليتها بشدة عندما يكون الخصم بشرياً حقيقياً.

كشفت دراسات أمنية مرجعية أجرتها Google أن رموز الرسائل النصية القصيرة حجبت نحو ستة وتسعين بالمئة من محاولات التصيد الاحتيالي الجماعي، لكن فاعليتها انخفضت بصورة ملحوظة أمام الحملات الموجّهة. فعندما يركّز المهاجم جهوده على فرد أو مؤسسة بعينها، تفشل الرموز النصية في توفير حماية موثوقة. ونتيجة لذلك، تنصح الأطر الأمنية الكبرى وتحقيقات الاختراقات السنوية، ومنها تقارير Verizon، اليوم بالتخلص التدريجي من الرسائل النصية والمكالمات الصوتية للتحقق عند تسجيل الدخول بالكامل.

هجمات الوسيط المتلاعب (Adversary-in-the-Middle)

القيد الأساسي في أي رمز يُكتب يدويًا هو إمكانية إعادة توجيهه. في هجوم الوسيط (Adversary-in-the-Middle)، تنشر جهة خبيثة نسخةً مقلَّدة بدقة متناهية، مطابقةً للبكسل، لصفحة تسجيل الدخول إلى Microsoft 365. عندما تكتب كلمة المرور ورمز الرسالة النصية القصيرة في هذه البوابة المزيفة، يقوم الوكيل الوسيط فورًا بتمرير بيانات اعتمادك إلى الخدمة الحقيقية. يمنح النظام الوصول، فتلتقط الجهة المهاجمة رمز جلسة نشطًا، متجاوزةً دفاعاتك بالكامل رغم أنك أدخلت رمزًا صالحًا.

الترقية من الرسائل النصية القصيرة إلى البدائل الحديثة

يتطلب الابتعاد عن الرسائل النصية فهمَ التسلسل الهرمي لعوامل التحقق الثانية المتاحة. ولحماية بيئة Microsoft 365 لديك حمايةً حقيقية، يجب على المؤسسات نقل المستخدمين نحو طرق تُلغي الأسرار القابلة لإعادة الاستخدام والاعتماد على شبكات الاتصالات.

تطبيقات المصادقة ومطابقة الأرقام

تمثل تطبيقات المصادقة قفزةً كبيرة مقارنةً بالرسائل النصية القصيرة. فهي تولّد كلمات مرور لمرة واحدة متغيرة ومبنية على الوقت محليًا على الجهاز، وبذلك تتجاوز شبكة الهاتف كليًا. علاوةً على ذلك، عند استخدام حلول المؤسسات مثل تطبيق Microsoft Authenticator، تُبطل ميزات مثل مطابقة الأرقام هجمات قصف الطلبات (Prompt Bombing). يُطلب من المستخدمين النظر إلى شاشة تسجيل الدخول، وقراءة رقم عشوائي، وإدخاله في تطبيق الهاتف المحمول، مما يضمن أنهم يوافقون بوعي على محاولة تسجيل دخول بدأوها فعلًا.

مفاتيح المرور المقاومة للتصيّد ومفاتيح الأمان

المعيار الذهبي للمصادقة الحديثة هو مفاتيح الأمان الصلبة المقاومة للتصيّد أو مفاتيح المرور المدمجة في المنصة. تعتمد هذه الآليات على التشفير بالمفتاح العام. يحتفظ جهازك بمفتاح تشفير خاص لا يغادر العتاد أبدًا. عند المصادقة، يرسل الموقع تحديًا تشفيريًا يوقّعه جهازك. لا يستطيع موقع التصيّد المزيف تزوير هذا التوقيع، فتصبح هجمات الوسيط غير فعّالة تمامًا. وتُظهر المقاييس الخاصة بمايكروسوفت أن تسجيلات الدخول بمفاتيح المرور أسرع بكثير من كلمات المرور التقليدية مع مطالبات MFA القياسية، مما يثبت أن الأمان الأقوى لا يأتي بالضرورة على حساب تجربة المستخدم.

إدارة الانتقال داخل مؤسستك

قد يواجه فرض نهج يحظر مصادقة الرسائل النصية القصيرة مقاومةً إذا لم يُتعامل معه بعناية. يجب على مسؤولي تقنية المعلومات تخطيط عمليات النشر بشكل استراتيجي. ابدأ باستهداف الحسابات عالية الخطورة، مثل حسابات المسؤولين العامين، والموظفين الماليين، والمستخدمين الذين يملكون صلاحية الوصول إلى بوابات البنية التحتية الحرجة. وزوّد المستخدمين بطريقتين صالحتين للتحقق على الأقل، ومسارات استرداد واضحة ومختبرة، لتجنب حرمان المستخدمين الشرعيين من حساباتهم عند فقدان الهاتف أو تغييره.

الخاتمة والخطوات التالية

على الرغم من أن أي شكل من أشكال المصادقة متعددة العوامل أفضل بلا شك من الاعتماد على كلمة مرور منفردة، فإن الاستمرار في استخدام رموز الرسائل النصية القصيرة يُعرّض بيئات السحابة الحديثة لمخاطر يمكن تفاديها. إن الترقية إلى تطبيقات المصادقة مع مطابقة الأرقام، أو إلى مفاتيح المرور المقاومة للتصيّد بالكامل، تحوّل وضعك الأمني من عائق سرعة هش إلى دفاع متين.

للتعمق أكثر في آليات حماية الهوية، وإعدادات أمان السحابة، واستراتيجيات المصادقة الحديثة، تأكد من الاطلاع على النقاش ذي الصلة في بودكاستنا. استمع إلى الحلقة كاملة وانضم إلينا ونحن نشرح كل ما تحتاجه لتأمين بيئتي Microsoft 365 وAzure.

الأسئلة المتداولة

لماذا تُعدّ الرسائل النصية القصيرة وسيلة ضعيفة للمصادقة متعددة العوامل؟

تنتقل رموز الرسائل النصية القصيرة عبر شبكة الاتصالات بدلًا من قناة تطبيق مشفّرة. وهذا يجعلها عرضة لهجمات تبديل بطاقة SIM، حيث يخدع المجرمون شركات الاتصالات لنقل رقم هاتفك إلى جهاز يتحكمون فيه.

هل يتيح Microsoft 365 للمسؤولين تعطيل مصادقة الرسائل النصية القصيرة؟

نعم، يمكن لمسؤولي Microsoft 365 استخدام عناصر تحكم نهج طرق المصادقة في Entra ID لتقييد خيارَي الرسائل النصية القصيرة والمكالمات الصوتية أو تعطيلهما، ودفع المستخدمين نحو خيارات أكثر أمانًا مثل تطبيق Microsoft Authenticator أو مفاتيح FIDO2.

كيف تمنع طرق مطابقة الأرقام في تطبيقات المصادقة التصيّد؟

تتطلب مطابقة الأرقام من المستخدم إدخال رقم محدد يظهر على شاشة تسجيل الدخول في تطبيق المصادقة الخاص به. وهذا يمنع المستخدمين من الموافقة بشكل أعمى أثناء إجهاد المطالبات أو هجمات الوسيط.

ما هو أفضل بديل لرموز الرسائل النصية القصيرة للمستخدمين في المؤسسات؟

توفّر مفاتيح الأمان FIDO2 ومفاتيح المرور (passkeys) الحديثة أعلى مستوى من الأمان، لأنها مقاومة للتصيّد تماماً وتعتمد على التشفير بالمفتاح العام بدلاً من الرموز القابلة لإعادة الاستخدام.