المصادقة عبر الرسائل النصية: لماذا ليست آمنة وكيف تنتقل لبدائل أكثر أمانًا

0 3 دقائق

المصادقة عبر الرسائل النصية (SMS) هي طريقة شائعة لاختبار هويتك عند تسجيل الدخول أو تأكيد إجراء ما. لكنها تحمل نقاط ضعف فعلية يمكن أن تعرّض حساباتك للخطر. في هذا المقال نستعرض لماذا المصادقة عبر الرسائل النصية ليست الخيار الأمثل، ومتى قد تبقى مقبولة، وكيف تنتقل عمليًا إلى بدائل أكثر أمانًا.

المصادقة عبر الرسائل النصية

شاشة إعداد تطبيق المصادقة كبديل للمصادقة عبر الرسائل النصية

طريقة المصادقة عبر الرسائل النصية تعتمد على إرسال رمز مؤقت إلى رقم هاتفك. الفكرة بسيطة وسهلة للاستخدام، وهذا سبب انتشارها. لكن سهولة الاستخدام ليست مقياسًا للأمان: طرق اعتراض الرسائل أو تحويل رقمك لطرف آخر (SIM swap) أو ثغرات شبكات المحمول تجعل SMS ضعيفًا مقارنة بخيارات أحدث.

لماذا تعتبر المصادقة عبر الرسائل النصية معرضة للخطر؟

هجمات تحويل شريحة الهاتف (SIM swap): مهاجمون يضغطون على مزوّد الخدمة لنقل رقمك إلى شريحة يملكونها ثم يستقبلون رموز التحقق.
اعتراض الشبكات والبنية التحتية: بروتوكولات قديمة في شبكات الهاتف أو ثغرات في خدمات الرسائل قد تسمح باعتراض الرسائل.
الهواتف المسروقة أو المفقودة: الوصول المادي للهاتف يمنح المهاجم القدرة على قراءة الرسائل.
الهجمات الاجتماعية والاحتيال: خداع موظفي شركات الاتصالات أو رسائل تصيد تقنعك بالإفصاح عن الرموز.

⚠️ تنبيه: الاعتماد الكامل على SMS كمكوّن وحيد للمصادقة يجعل حماية حساباتك تعتمد على أمان مزوّد الخدمة الهاتفية، وهو عنصر خارجي قد لا تتحكم فيه.

متى يمكن أن تظل المصادقة عبر الرسائل النصية مقبولة؟

قد تظل SMS خيارًا مقبولًا كطبقة إضافية مؤقتة عندما لا تتوفر بدائل أفضل، أو عند إعداد حسابات ثانوية أو خدمات قليلة الحساسية. لكن لا تعتمد عليها لحماية حسابات مهمة مثل البريد الإلكتروني، المصرفية، أو حسابات العمل.

كيف تنتقل من المصادقة عبر الرسائل النصية لبدائل أكثر أمانًا

الهدف هو استخدام طرق توفر مقاومة لهجمات التحويل والاعتراض. البدائل العملية التي تُوصى بها غالبًا هي تطبيقات المصادقة (TOTP)، مفاتيح الأمان المادية (FIDO2/WebAuthn)، أو أنظمة دفع الإشعارات (push-based MFA).

تطبيقات المصادقة (TOTP): مثل Google Authenticator أو Authy أو Microsoft Authenticator. تولّد رموزًا مؤقتة على هاتفك دون الحاجة للشبكة.
مفاتيح الأمان المادية: مفاتيح USB أو NFC مثل YubiKey أو مفاتيح متوافقة مع WebAuthn توفر مستوى عالٍ من الأمان لأنها تعتمد على تشفير مفتاح عام/خاص ولا تُرسل رموز عبر الشبكات.
المصادقة الدفعية (Push): إشعارات من مزوّد الخدمة تطلب تأكيدًا على جهازك وتكون أكثر أمانًا من SMS لأن التحقق يكون داخل قنوات مشفرة للتطبيقات.

💡 نصيحة: ابدأ بحماية حساب البريد الإلكتروني أولًا، لأن استعادة الحسابات الأخرى غالبًا تتم عبر البريد. فعّل تطبيق مصادقة أو مفتاح أمان لبريدك قبل بقية الحسابات.

خطوات عملية للانتقال من SMS إلى طرق أقوى

راجع حساباتك: ضع قائمة بالخدمات التي تستخدم رقمك للـ2FA (بريد، مصرف، سوشال ميديا).
افعل تطبيق مصادقة أولًا: سجّل الدخول إلى إعدادات الأمان في كل خدمة وابحث عن “التوثيق متعدد العوامل” أو “Authenticator”. فعّل خيار TOTP وامسح رمز QR باستخدام تطبيق المصادقة.
احفظ أكواد الاسترجاع: بعد تفعيل كل خدمة ستحصل على أكواد احتياطية؛ خزّنها في مكان آمن (مدير كلمات مرور مشفّر أو ورقة مخزّنة بأمان).
أضف مفتاح أمان إن أمكن: للخدمات المهمة أضف مفتاح FIDO2 كطريقة احتياطية أو أساسية.
اختبر الاسترجاع: جرّب تسجيل الخروج وإعادة الدخول للتأكد من أن كل شيء يعمل دون الاعتماد على SMS.
أوقف SMS تدريجيًا: بعد التأكّد من البدائل، قم بإلغاء خيار الرسائل النصية أو اجعله خيارًا احتياطيًا فقط.

ماذا تفعل إذا لم تتوفّر بدائل سهلة للخدمة التي تستخدمها؟

بعض المواقع القديمة لا تدعم تطبيقات المصادقة أو مفاتيح الأمان. في هذه الحالة:

فعّل رموز الاسترجاع واحتفظ بها آمنًا.
أضف رقم هاتف احتياطي من شريحة مختلفة إذا أمكن.
واصل الضغط على مزوّد الخدمة لتمكين خيارات أفضل إذا كانت الخدمة حساسة.

متى يجب الاتصال بمزوّد الخدمة الهاتفية؟

إذا لاحظت رسائل تسجيل دخول لم تقم بها أو فقدت اتصالك فجأة، اتصل بمزوّد الشبكة فورًا واطلب حماية رقمك من النقل (port-out/SIM swap protection) وضع PIN أو كلمة سر على حساب المشترك.

مصادر رسمية مفيدة

إرشادات المؤسسات الأمنية مثل معايير NIST تؤكد أن SMS ليس الخيار الأفضل لمصادقة المستخدمين؛ يمكنك الاطلاع على التوصيات الرسمية عبر صفحة NIST الخاصة بمعايير الهوية الرقمية: NIST SP 800‑63B.

لمزيد قراءة حول الانتقال إلى طرق مصادقة أحدث وعمليات الاسترجاع، قد يفيدك مقالنا عن كيف تعمل المفاتيح البديلة وكيف تنتقل إليها بأمان، وكذلك مقالنا عن خطوات سريعة عند تعطل مدير كلمات المرور لتجنّب فقدان الوصول أثناء الانتقال.

الأسئلة الشائعة

هل يجب إيقاف SMS تمامًا؟

ليس بالضرورة؛ إن لم تتوفر بدائل لبعض الخدمات، اجعل SMS خيارًا احتياطيًا فقط واحمِ رقمك عبر إجراءات لدى مزوّد الخدمة.

ما أفضل تطبيق مصادقة؟

التطبيقات الشائعة مثل Authy وGoogle Authenticator وMicrosoft Authenticator كلها تقترن بطرق TOTP. اختر تطبيقًا يدعم النسخ الاحتياطي المشفّر إذا أردت سهولة النقل بين الأجهزة.

هل مفاتيح الأمان قابلة للفقدان؟

نعم، لذا احفظ طريقة احتياطية (رموز استرجاع أو مفتاح بديل) في مكان آمن. مفاتيح الأمان توفر أفضل حماية ضد هجمات التحويل والاعتراض.

ماذا أفعل إذا تم نقل رقم هاتفي بدون إذن مني؟

اتصل بمزوّد الشبكة فورًا وأخبرهم بهجوم SIM swap، وغيّر كلمات المرور، وفعّل طرق مصادقة بديلة فورًا لاستعادة الأمان.

خاتمة

الاعتماد على المصادقة عبر الرسائل النصية سهل لكنه يحمل مخاطر حقيقية. الانتقال إلى تطبيقات المصادقة أو مفاتيح الأمان هو استثمار أمني بسيط نسبياً ويقلل بشكل كبير من فرص سرقة حساباتك. ابدأ بحماية بريدك الإلكتروني وحساباتك المصرفية ثم أكمل بقية الخدمات باتباع خطوات الانتقال العملية المذكورة أعلاه.