كلمة المرور بمفردها تفصل بينها وبين أن تصبح ملكًا لشخص آخر تخمينٌ واحد، أو تسريبٌ واحد، أو صفحة تصيد واحدة. تُضيف المصادقة متعددة العوامل (MFA) إثباتًا ثانيًا، بحيث لا تكون كلمة المرور المسروقة كافية بمفردها. إنها واحدة من أكثر الخطوات الفردية فعالية لحماية الحساب، لكنها تعمل بدرجات متفاوتة؛ فبعض الطرق توقف تقريبًا كل هجوم جماعي، بينما تفشل طرق أخرى أمام الحيل التي يستخدمها المهاجمون في الغالب.
تشرح هذه الصفحة ماهية المصادقة متعددة العوامل (MFA)، ومدى فائدتها، وكيف تتقاطع الطرق الرئيسية، وما لا يمكن لكل منها إيقافه. إنها لا توصي بتطبيقات أو مفاتيح محددة؛ اختر الطريقة المناسبة لما تحميه، وهو ما يساعدك قسم نمذجة التهديدات في تقديره.
ما هي المصادقة متعددة العوامل بعبارات بسيطة
تُعنى المصادقة (Authentication) بإثبات أنك صاحب الحساب. وهناك ثلاثة أنواع من الإثباتات: شيء تعرفه (مثل كلمة المرور)، وشيء تمتلكه (مثل الهاتف أو مفتاح الأمان)، وشيء يمثلك (مثل بصمة الأصبع). تطالب MFA بإثبات من نوعين مختلفين على الأقل. كلمة المرور بالإضافة إلى رمز من هاتفك هي MFA. أما كلمة المرور بالإضافة إلى كلمة مرور ثانية فليست كذلك، لأن كلاهما أشياء تعرفها.
ستراها أيضًا بمسّميات مثل “المصادقة الثنائية” (2FA) و“التحقق بخطوتين” (2-step verification). وهي تصف الشيء نفسه تقريبًا: كلمة مرور بالإضافة إلى فحص إضافي واحد.
الفكرة بسيطة: كلمة المرور المسروقة لا فائدة منها لشخص يحتاج أيضًا إلى هاتفك. معظم الهجمات التي تستهدف عامة الناس تبدأ بكلمة مرور مسروقة أو معادة الاستخدام أو مخمنة، وهو ما يغطيه قسم التهديدات الشائعة، لذا فإن العامل الثاني يقطع المسار الأكثر شيوعًا للدخول.
مدى فائدتها
تقدم دراستان كبيرتان أفضل الأرقام في هذا المجال، وإن كانت لهما حدود معينة.
درس باحثو Microsoft حسابات تجارية أظهرت نشاطًا مشبوهًا على مدار عدة أشهر في عام 2022. ووجدوا أن MFA قللت من خطر الاختراق بنسبة 99.22% بين المجموع الكلي، وبنسبة 98.56% للحسابات التي تسربت اعتماداتها بالفعل. كما وجدوا أن تطبيق المصادقة المخصص تفوق على رموز SMS، وإن كان كلاهما أفضل بكثير من عدم وجود MFA. كانت هذه حسابات عمل على منصة مزود واحد، لذا لن تنتقل الأرقام بالضرورة بنفس الدقة إلى حساباتك الشخصية.
أما دراسة Google لعام 2019 مع جامعة نيويورك وجامعة كاليفورنيا في سان دييغو، فقد تناولت الحسابات الشخصية. وأظهرت أن رمز SMS المرسل إلى هاتف الاسترداد حظر جميع البرامج الآلية، و96% من هجمات التصيد الموسع، و76% من الهجمات المستهدفة. بينما حظرت الإشعارات المباشرة على الجهاز 100% و99% و90% على التوالي. ولم يقع أي مستخدم اعتمد فقط على مفاتيح الأمان ضحية للتصيد الاحتيالي المستهدف أثناء الدراسة.
النمط واضح: أي عامل ثانٍ يوقف جميع الهجمات الجماعية تقريبًا، ويصبح اختيار الطريقة أكثر أهمية كلما زاد إصرار المهاجمين.
الطرق الرئيسية وما يوقفه كل منها
تجمع وكالة الأمن السيبراني الأمريكية CISA الطرق حسب مدى مقاومتها للهجمات النمطية في الواقع. وعلى الرغم من أن إرشاداتها مكتوبة للمؤسسات، إلا أن الترتيب ينطبق عليك أيضًا.
| الطريقة | هجمات كلمات المرور الجماعية | القصف بالإشعارات (Push bombing) | التصيد الاحتيالي | نقطة الضعف الرئيسية |
|---|---|---|---|---|
| رسالة نصية أو رمز صوتي | تُوقف | لا ينطبق | عرضة للهجوم | تبديل الشريحة، التصيد، والاعتراض |
| رمز عبر البريد الإلكتروني | تُوقف إذا كان البريد محميًا | لا ينطبق | عرضة للهجوم | آمنة بقدر أمان حساب البريد نفسه |
| إشعار موافقة بدون مطابقة أرقام | تُوقف | عرضة للهجوم | عرضة للهجوم | الموافقة بالخطأ أو بدافع الانزعاج |
| إشعار موافقة مع مطابقة أرقام | تُوقف | مقاومة | عرضة للهجوم | التصيد الاحتيالي |
| رمز تطبيق المصادقة (TOTP) | تُوقف | مقاومة | عرضة للهجوم | التصيد الاحتيالي؛ فقدان الجهاز |
| مفتاح أمان أو مفتاح مرور (FIDO/WebAuthn) | تُوقف | مقاومة | مقاومة | التكلفة، الدعم، وتخطيط الاسترداد |
تقييمات الرموز عبر البريد الإلكتروني هي قراءتنا الخاصة، بينما تغطي تصنيفات CISA المنشورة الأسطر الأخرى.
الرسائل النصية والرموز الصوتية
ترسل هذه الطرق رمزًا يستخدم لمرة واحدة إلى رقم هاتفك. وهي الأسهل إعدادًا والأضعف بين الخيارات الشائعة. تذكر ورقة الحقائق الصادرة عن CISA أن الرسائل النصية والرموز الصوتية عرضة للتصيد الاحتيالي ولنقاط الضعف في شبكة الهاتف ولعمليات تبديل الشريحة (SIM Swap)، وتنصح بأن تكون خيارًا أخيرًا. وتصنف NIST (هيئة المعايير الأمريكية) التحقق القائم على SMS كـ “مُصادِق مقيد”، وهو مسموح به ولكن مع قبول مخاطره عن معرفة. فعند تبديل الشريحة، يقنع المحتال مزود الخدمة بنقل رقمك إلى شريحته لتصل إليه رموزك بدلاً منك. يوضح قسم التهديدات الشائعة كيف يعمل ذلك.
هذا لا يجعل الرموز النصية عديمة الفائدة؛ إذ تُظهر أرقام Google أعلاه أنها توقف معظم الهجمات الآلية. إنها خطوة كبيرة للأمام مقارنة بعدم وجود حماية، لكنها خيار ضعيف للحسابات المهمة بحق.
إشعارات الموافقة المباشرة (Push Prompts)
يطلب منك تطبيق على هاتفك الموافقة على تسجيل الدخول أو رفضه. إنها طريقة مريحة، ولها نقطة ضعف معروفة. في القصف بالإشعارات (Push bombing)، والذي يُسمى أيضًا إنهاك MFA، يستمر المهاجم الذي يمتلك كلمة مرورك في إطلاق طلبات الموافقة حتى توافق على أحدها. وتصف CISA ذلك بإمطار المستخدم بالطلبات حتى يوافق بالخطأ أو بدافع الانزعاج.
تُعد حادثة اختراق Uber عام 2022 أشهر الحالات؛ حيث اشترى مهاجم اعتمادات أحد المتعاقدين، وأرسل تدفقًا من طلبات الإشعارات، ثم راسل المتعاقد على WhatsApp يدعي أنه من الدعم الفني، مشيرًا إلى أن الطلبات ستتوقف إذا وافق على أحدها، فوافق المتعاقد. توصي CISA بمطابقة الأرقام (Number matching)، حيث يتوجب عليك كتابة رقم يعرضه موقع الدخول داخل التطبيق، مما يحظر الموافقة الأعمى.
رموز تطبيق المصادقة (TOTP)
يعرض تطبيق المصادقة رمزًا مكونًا من ستة أرقام يتغير كل 30 ثانية تقريبًا. هذه هي طريقة كلمة المرور الموقتة لمرة واحدة (TOTP) المعرفة في معيار الإنترنت RFC 6238. عند إعدادها (عن طريق مسح رمز QR عادةً)، يتشارك موقع الخدمة وتطبيقك سرًا. بعد ذلك، يحسب كلاهما الرمز نفسه بناءً على السر والوقت الحالي، لذا يعمل الرمز حتى بدون اتصال بالإنترنت.
تقاوم طريقة TOTP القصف بالإشعارات وتبديل الشريحة لأن الرمز لا ينتقل عبر شبكة الهاتف أبدًا. ونقطة ضعفها هي أنك تكتب الرمز في صفحة، ويمكن لصفحة مزيفة التقاطه واستخدامه فورًا. تدرج CISA الرموز القائمة على التطبيقات كمقاومة للقصف بالإشعارات لكنها لا تزال عرضة للتصيد الاحتيالي.
مفاتيح الأمان ومفاتيح المرور (Passkeys)
تستخدم هذه الطرق معايير FIDO وWebAuthn القائمة على التشفير بالمفتاح العام. يحتفظ جهازك أو مفتاح الأمان بمفتاح خاص، وتتضمن الخدمة المفتاح العام المطابق فقط. كل اعتماد هو فريد لخدمة واحدة؛ لا يوجد سر مشترك للسرقة، وتُربط عملية تسجيل الدخول بنطاق الموقع الحقيقي، فلا يمكن لموقع مزيف استخدامها. لهذا السبب تعُد CISA أسلوب FIDO/WebAuthn الطريقة الوحيدة المتاحة على نطاق واسع والمقاومة للتصيد الاحتيالي.
مفتاح الأمان هو جهاز فيزيائي صغير توصلها أو تقربها بتقنية NFC. أما مفتاح المرور (Passkey) فهو التكنولوجيا نفسها مخزنة على هاتفك أو حاسوبك ومزامنة عبر أجهزتك. يذكر تحالف FIDO أن مفاتيح المرور يمكنها التخلي عن نمط كلمة المرور والرمز القديم، وتعتبر إرشادات NIST لعام 2025 مفاتيح المرور القابلة للمزامنة مصادقة متعددة العوامل. يغطي قسم إنشاء الحسابات مفاتيح المرور عند التسجيل.
التنازلات هنا هي التكلفة، ودعم الخدمة التفاوت، والحاجة لتخطيط حالة فقدان الجهاز.
ما لا تستطيع المصادقة متعددة العوامل إيقافه
المصادقة متعددة العوامل ليست درعًا مطلقًا. اعرف حدودها:
- تصيد الرمز: يمكن لصفحة مزيفة مقنعة جمع كلمة المرور والرمز وتمريرهما إلى الموقع الحقيقي في الوقت الفعلي. الطرق المقاومة للتصيد الاحتيالي فقط هي من توقف هذا.
- الضغط والخداع: القصف بالإشعارات والمكالمات المدعية أنها من “الدعم الفني” تطلب منك الموافقة. ارفض أي طلب لم تبدأه بنفسك، ولا تقرأ رمزًا لأي متصل أبدًا.
- الاستيلاء على رقم الهاتف: يربك تبديل الشريحة الرموز النصية وتتيح للمهاجم الوصول إلى الحسابات التي تستخدم رقمك للاسترداد.
- مسارات الاسترداد الضعيفة: إذا كان بإمكان المهاجم إعادة ضبط كلمة مرورك عبر بريد إلكتروني غير محمي أو عبر مكتب الدعم، فقد لا تتفعل خطوة العامل الثاني أصلاً. احمِ بريدك الإلكتروني بـ MFA أولاً.
تجنب الحرمان من الوصول (Getting Locked Out)
تزيد المصادقة القوية من تكلفة فقدان الجهاز. هذه النصيحة تتبع منطق عمل الطرق:
- سجل طريقة احتياطية: أضف مفتاح أمان ثانٍ أو تطبيق مصادقة على جهاز ثانٍ قبل أن تحتاج إليه.
- احفظ رموز الاسترداد: تمنحك العديد من الخدمات رموزًا لمرة واحدة عند تفعيل MFA. احفظها بدون اتصال بالإنترنت (Offline)، وليس في المكان نفسه الذي تحفظ فيه كلمات المرور.
- اعرف أين توجد أسرار تطبيق المصادقة: إذا كان تطبيق المصادقة لا يقدم نسخًا احتياطيًا أو مزامنة، فإن فقدان الهاتف قد يحرمك من كل حساب يعتمد عليه.
- تحقق من الطرق الأخرى المتاحة: الحساب قوي بقدر أضعف طريقة مسموح بها. إذا كنت تستخدم مفتاح أمان ولكنك تركت الرموز النصية مفعلة، فقد يستخدم المهاجم الرموز النصية للتجاوز.
من أين تبدأ
تتدرج هذه الخطوات من الأكثر إلى الأقل فائدة:
- فعل المصادقة متعددة العوامل (MFA) لبريدك الإلكتروني أولاً، ثم مدير كلمات المرور، ثم حسابك البنكي. البريد الإلكتروني يعيد ضبط كل شيء آخر.
- استخدم أعتى طريقة تقدمها كل خدمة. بياض الترتيب: مفتاح أمان أو مفتاح مرور (Passkey)، ثم تطبيق مصادقة أو إشعار بمطابقة الأرقام، ثم الرسائل النصية.
- إذا كنت تستخدم إشعارات الموافقة، فعل مطابقة الأرقام إن توفرت، وارفض أي طلب لم تطلبه.
- أعدَّ طريقة احتياطية واحفظ رموز الاسترداد بدون اتصال بالإنترنت قبل الاعتماد على أي من هذا.
- حيثما تتوفر طريقة قوية، أوقف تشغيل الطرق الأضعف لذلك الحساب حتى لا تُستخدم للالتفاف عليه.
يعتمد مدى تعمقك على ما يحميه الحساب؛ فحساب منتدى عابر لا يحتاج إلى مفتاح أمان، بينما قد يحتاجه بريدك الإلكتروني. يغطي قسم مقدمة في كلمات المرور العامل الأول.
المصادر
- Implementing Phishing-Resistant MFA، وكالة CISA، أكتوبر 2022.
- CISA Discourages Use of App-Based, SMS and Voice MFAs and Encourages Phishing-Resistant MFAs، Bricker Graydon، 2022.
- Implementing Phishing-resistant MFA، CompliancePoint، 2022.
- Why you need phishing-resistant MFA، Route Fifty، 2022.
- How effective is multifactor authentication at deterring cyberattacks?، بحث من Microsoft، 2023.
- New research: How effective is basic account hygiene at preventing hijacking، مدونة أمان Google، 2019.
- What Is MFA Fatigue (Push Bombing)?، PowerDMARC (تقرير حادثة Uber لعام 2022).
- How Uber Was Breached Through MFA Fatigue، Centrex IT.
- What is TOTP?، Logto (شرح معيار RFC 6238).
- What is TOTP? A short guide for developers (RFC 6238 explained)، Authgear.
- How FIDO works، تحالف FIDO.
- Passkeys، تحالف FIDO.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management، المعهد الوطني للمعايير والتكنولوجيا، 2025.
- NIST 800-63 Article 22، Presencis.
- FTC Issues Guidance On Protecting Against SIM Swap Attacks، BleepingComputer.