كيف تُخترق الحسابات فعلاً: نموذج تهديد هادئ

معظم عمليات الاستيلاء على الحسابات ليست من عمل عبقري كما في الأفلام. إنها تعتمد على عدد قليل من الحيل العادية التي تنجح مرة بعد مرة. وعندما تعرف الطرق الرئيسية للدخول، تستطيع أن تغلقها بهدوء، واحدة تلو الأخرى.

شاهد ملخص الدقيقة الواحدة (بالإنجليزية)

شاهد الدليل المصوّر الكامل لهذه الوحدة (بالإنجليزية)

فكّر كمدافع: نموذج التهديد الخاص بك

• يستخدم خبراء الأمن ما يسمى «نموذج التهديد»: إجابة قصيرة وصادقة عن خمسة أسئلة. ما الذي أملكه ويستحق الحماية؟ من قد يريده؟ ما الطريقة الأرجح لدخوله؟ ماذا سيحدث لو نجح؟ وماذا سأفعل حيال ذلك؟
• بالنسبة لمعظم المراهقين، الأشياء الثمينة هي بريدك الإلكتروني، ورقم هاتفك، وحسابات التواصل الاجتماعي والألعاب، وصورك، وأي تطبيق بنكي أو تطبيق دفع، والهوية الرقمية (UAE Pass) أو حساب الدخول إلى المدرسة.
• المهاجمون المحتملون في الغالب ليسوا أشخاصاً يعرفونك. إنهم مجرمون يعملون على نطاق واسع، ويجربون الحيل نفسها على آلاف الحسابات في الوقت نفسه.
• ذكر مجلس الأمن السيبراني لحكومة دولة الإمارات في سبتمبر 2025 أن أكثر من 1.4 مليار حساب تُخترق حول العالم كل شهر، وشدد على أن كل مستخدم مسؤول عن تقليل أثره الرقمي (وكالة أنباء الإمارات، وام).
• الهدف ليس الخوف، بل أن تضع جهدك حيث يقلل الخطر فعلاً: بريدك الإلكتروني أولاً، ثم رقم هاتفك، ثم كل شيء آخر.

الطريق الأول: تكرار كلمات المرور و«حشو بيانات الدخول»

• عندما يتعرض موقع إلكتروني للاختراق، تنتهي قوائم عناوين البريد الإلكتروني وكلمات المرور إلى أيدي مجرمين يتداولونها.
• يصف مجتمع OWASP، وهو مجتمع محترم في مجال أمن الويب، «حشو بيانات الدخول» بأنه إدخال آلي لأزواج من أسماء المستخدمين وكلمات المرور المسروقة في نماذج تسجيل الدخول لمواقع أخرى.
• ينجح هذا الأسلوب لأن كثيراً من الناس يكررون البريد الإلكتروني وكلمة المرور نفسيهما. ويستشهد OWASP بتحليل لموقعين مخترقين تبيّن فيه أن ثلثي المستخدمين الموجودين في الموقعين استخدموا كلمة المرور نفسها في كليهما.
• يحذر المركز الوطني للأمن السيبراني البريطاني (NCSC) من أن المجرمين، عند تكرار كلمات المرور، «لا يحتاجون إلا إلى كلمة مرور واحدة للوصول إلى جميع حساباتك».
• الحل بسيط: كلمة مرور مختلفة لكل حساب مهم، بدءاً ببريدك الإلكتروني (الدرس cy-02).

الطريق الثاني: التصيّد الاحتيالي وصفحات الدخول المزيفة

• يخدعك التصيّد الاحتيالي لتكتب كلمة مرورك أو رمزك في صفحة مزيفة، أو لتثبّت شيئاً ضاراً. وتتناول وحدة الاحتيال والخداع الجانب المالي بالتفصيل.
• تذكر وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) هذه العلامات: لغة مستعجلة أو عاطفية، وطلب معلومات شخصية أو مالية، وروابط مختصرة غير موثوقة، وعناوين تكاد تكون صحيحة مثل «amazan.com».
• وتنبه CISA أيضاً إلى أن الأخطاء اللغوية لم تعد علامة يُعتمد عليها، لأن أدوات الذكاء الاصطناعي أصبحت تكتب رسائل خالية من الأخطاء.
• غالباً ما تبدو صفحات الدخول المزيفة متقنة تماماً. والعادة الأكثر أماناً ألا تسجّل الدخول أبداً من رابط في رسالة: افتح التطبيق أو اكتب العنوان بنفسك.

الطريق الثالث: تسريبات بيانات لم تتسبب فيها

• قد تتسرب بياناتك عندما تتعرض شركة تتعامل معها للاختراق، حتى لو لم ترتكب أي خطأ.
• يحذر NCSC من أن رسائل الاحتيال قد تصل «بعد مدة من الإعلان عن الاختراق»، مستخدمة البيانات المسربة لتبدو مقنعة.
• إذا ذكرت رسالة مريبة كلمة مرور ما زلت تستخدمها، فغيّرها في كل مكان استخدمتها فيه (NCSC).
• يقترح NCSC أن تتحقق مما إذا كان بريدك الإلكتروني قد ظهر في تسريبات معروفة باستخدام أداة مثل haveibeenpwned، أو أداة فحص مشابهة مدمجة في مدير كلمات المرور أو برنامج مكافحة الفيروسات.

الطريق الرابع: رقم هاتفك وحيل تجاوز التحقق بخطوتين

• تبديل شريحة SIM يعني أن يقنع مجرمٌ مزوّدَ خدمة الهاتف بنقل رقمك إلى شريحته، فتذهب رموز الرسائل النصية إليه. وتحذر لجنة التجارة الفيدرالية الأمريكية (FTC) من أنه يستطيع بعدها تغيير كلمات مرورك ومنعك من الدخول إلى حساباتك (BleepingComputer، 2019).
• نصيحة FTC: ضع رمزاً سرياً (PIN) أو كلمة مرور على حسابك لدى مزود الهاتف إن كان يتيح ذلك، واستخدم للحسابات الحساسة تطبيق مصادقة أو مفتاح أمان، لأن التحقق عبر الرسائل النصية قد لا يمنع تبديل الشريحة.
• القصف بالإشعارات (ويسمى أيضاً إرهاق المصادقة متعددة العوامل) يعني إغراقك بطلبات الموافقة على تسجيل الدخول حتى تضغط «موافقة» لتتوقف. وتعدّه CISA من أبرز الطرق التي يتجاوز بها المجرمون التحقق بخطوتين (Infosecurity Magazine).
• قاعدة عامة: لا توافق أبداً على طلب تسجيل دخول لم تبدأه بنفسك، مهما تكرر ظهوره.

الطريق الخامس: التطبيقات الضارة وغير الرسمية

• حذّر مجلس الأمن السيبراني لحكومة دولة الإمارات من أن تنزيل التطبيقات من مصادر غير معتمدة قد يؤدي إلى المراقبة أو سرقة البيانات أو الوصول غير المصرح به إلى الملفات الشخصية، ومنها الصور والمحادثات (غلف نيوز، 2025).
• ونصيحته أن تثبّت التطبيقات من المتاجر الرسمية فقط، وأن تراجع أذونات التطبيقات (يتوسع الدرس cy-05 في ذلك).
• احذر الألعاب «المعدّلة»، والنسخ المجانية من التطبيقات المدفوعة، وأي شيء يرسله لك شخص غريب لتثبيته. هذه طرق معروفة لتسريب برامج ضارة إلى الجهاز.