معظم عمليات الاستيلاء على الحسابات ليست ذكية؛ إذ تتسرب كلمة مرور من موقع ما أو تُكتب في صفحة مزيفة، ليحاول شخص ما (أو برنامج ما) تجريبها في كل مكان آخر. يعني تأمين الحساب في المقام الأول إفشال هذه الخطوة الأولى، والتأكد من أن الخطوة الثانية ستوقف المهاجم إذا نجح في الأولى.
تغطي ثلاث عادات معظم المخاطر: كلمة مرور مختلفة لكل حساب، خطوة تحقق ثانية (أو مفتاح مرور بدلاً من كلمة المرور)، وعناية إضافية بحساب بريدك الإلكتروني، لأن البريد يمكنه إعادة ضبط كل شيء آخر تقريبًا. خطط لإنجاز ذلك في إحدى الأمسيات؛ إذ إن أول خطوتين في قائمة الإجراءات أدناه هما الأهم.
تغطي هذه الصفحة الحسابات الشخصية. وهي لا تغطي حماية أنظمة الشركات، وليست خطة لشخص يواجه خصمًا على مستوى دولة، وهو ما يحتاج إلى نهج مختلف (راجع نمذجة التهديدات).
ماذا يعني أمان الحساب عمليًا
لنأخذ حالة افتراضية ولكنها شائعة: في عام 2019، انضممت إلى منتدى هوايات صغير باستخدام بريدك الإلكتروني وكلمة المرور نفسها التي تستخدمها لبريدك. في عام 2024، تعرض المنتدى للخرق وبيعت قائمة مستخدميه. ثم جربت برمجيات كل زوج مسرب من البريد الإلكتروني وكلمة المرور على المواقع الشهيرة تلقائيًا. لم يخترك أحد بالاسم، بل قام نص برمجي بذلك.
تُسمى هذه العملية “حشو الاعتمادات” (Credential stuffing)، ويشير فريق أمان Microsoft إلى أن إعادة استخدام كلمات المرور هي السبب الرئيسي في نجاحها (Microsoft, 2019). وإذا وصل النص البرمجي إلى بريدك الإلكتروني، فيمكنه استخدام “نسيت كلمة المرور” للوصول إلى الباقي. يذكر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) ذلك بدقة: يمكن للمجرم الذي يخترق بريدك الإلكتروني إعادة ضبط كلمات مرور حساباتك الأخرى، وقراءة معلوماتك الخاصة، وانتحال شخصيتك (NCSC).
لذا فإن تأمين الحساب ينطوي على ثلاث مهام: جعل كلمة المرور بلا قيمة لأي شخص يجدها في مكان آخر، وإضافة خطوة تحقق ثانية لا يمكن لكلمة المرور المسربة تلبيتها، والتأكد من أن مسار الاسترداد (بريدك الإلكتروني، رقم هاتفك، رموزك الاحتياطية) لا يمكن توجيهه ضدك.
كيف يُستولى على الحسابات
تتسبب أربعة مسارات في معظم ما يواجهه عامة الناس:
- كلمات المرور المعاد استخدامها: الحالة المذكورة أعلاه؛ لا تتطلب مهارة وتعمل تلقائيًا.
- التصيد الاحتيالي: ترسل لك رسالة رابطًا إلى صفحة دخول مزيفة تجمع كلمة مرورك، ورمزك الموقت إذا قمت بكتابته. توضح إرشادات NIST أن تسجيل ضربات المفاتيح والتصيد والاحتيال الاجتماعي تعمل بفعالية ضد كلمات المرور الطويلة والمعقدة تمامًا كما تعمل ضد القصيرة منها (NIST SP 800-63B-4, appendix A). ويذكر تقرير خرق البيانات لعام 2026 الصادر عن Verizon أن الناس يقعون في فخ الاستدراج عبر المحمول (الرسائل النصية والمكالمات) أكثر من وقوعهم في التصيد عبر البريد الإلكتروني (Verizon, 2026).
- الاستيلاء على رقم الهاتف: في عملية تبديل الشريحة (SIM Swap)، يخبر المحتال شركة المحمول الخاصة بك بأن هاتفك قد فُقد ويطلب نقل رقمك إلى شريحة يحملها (FTC, 2019). وتصل رسائلك ومكالماتك، بما فيها رموز الدخول، إليه حينئذ. تحذر Google من أن الرموز المرسلة عبر الرسائل أو المكالمات يمكن أن تكون عرضة للهجمات القائمة على أرقام الهواتف (مساعدة حساب Google). لم نتمكن من العثور على إحصاء عالمي موثوق لعمليات تبديل الشريحة، لذا لا يمكننا تحديد مدى احتمال حدوثها بدقة. وهي تتطلب خداع أو رشوة موظف لدى شركة الاتصالات، مما يجعلها أقل شيوعًا من هجمات إعادة استخدام كلمات المرور التي تعمل بذاتها، ولكنها مسار موثق.
- مسار الاسترداد: إذا كان بإمكان المهاجم إعادة ضبط كلمة مرورك عبر حساب بريد إلكتروني ضعيف، أو عبر أسئلة أمان ذات إجابات يمكن تخمينها، فإن كلمة المرور القوية لن تجدي نفعًا. يلاحظ NCSC أيضًا أن المجرمين ينشئون أحيانًا قاعدة إعادة توجيه في حساب البريد المخترق لتصلهم نسخ من بريدك ويمكنهم إعادة ضبط كلمات المرور الأخرى (NCSC).
لمحة عامة: وجد تقرير Verizon لعام 2026، ولأول مرة في تاريخه، أن استغلال الثغرات البرمجية (31% من الاختراقات) تجاوز الاعتمادات المسروقة كالسبب الأول لاختراق المؤسسات. يحسب التقرير اختراقات الشركات وليس الحسابات الشخصية، لذا فهو لا يحدد احتمالاتك الفردية، ولكنه تذكير جيد بأن الأجهزة غير المحدثة تشكل مسارًا للدخول أيضًا.
كيف تعمل كل حماية
كلمات مرور طويلة وفريدة ومدير كلمات المرور
تتعامل إرشادات NIST الحالية مع الطول باعتباره المحرك الرئيسي لقوة كلمة المرور. وتذكر أن قواعد التكوين (تضمين حرف كبير، رقم، رمز) تدفع الناس نحو خيارات متوقعة مثل Password1!. بالنسبة لكلمة المرور التي تشكل عامل الدخول الوحيد، تطلب NIST من الخدمات فرض 15 حرفًا على الأقل، وقبول 64 حرفًا على الأقل، وفحص كلمات المرور الجديدة مقابل قوائم الكلمات المسربة، والسماح بمديري كلمات المرور واللصق (NIST SP 800-63B-4).
ينشئ مدير كلمات المرور كلمة مرور مختلفة ويخزنها لكل موقع، بحيث يظل الخرق الواحد محصورًا في موقع واحد. يصف NCSC نوعين: المدير المدمج في متصفحك أو هاتفك، وتطبيقات الطرف الثالث. وتنصح بتنسيق استخدام المدير المدمج إذا كانت السهولة هي الأهم، واستخدام تطبيق طرف ثالث موثوق إذا كنت تريد ميزات إضافية أو تستخدم أنواعًا متعددة من الأجهزة أو لا تريد الانغلاق مع مورد واحد (NCSC, 2025). المقايضة تكمن في التركيز: فأنت تعتمد الآن على كلمة مرور رئيسية واحدة وحساب واحد. ويضيف NCSC أن الشخص الذي يصل إلى حاسوبك المحمول غير المقفل قد يصل إلى كلمات المرور المحفوظة، لذا اقفل أجهزتك واحْمِ حساب المدير بخطوة ثانية.
خطوة التحقق الثانية
تعني الخطوة الثانية أن كلمة المرور المسروقة بمفردها ليست كافية. وتختلف الأنواع بشكل كبير فيما توقفه (اعتبارًا من أكتوبر 2026):
| الخطوة الثانية | توقف هجمات كلمات المرور المعاد استخدامها | توقف صفحات الدخول المزيفة | توقف تبديل الشريحة |
|---|---|---|---|
| مفتاح المرور أو مفتاح الأمان الفيزيائي | نعم | نعم | نعم |
| رمز تطبيق المصادقة | نعم | لا، يمكن تمرير الرمز المكتوب في صفحة مزيفة | نعم |
| إشعار الموافقة على هاتفك | نعم | لا، يمكنك الموافقة على طلب بدأه المهاجم | نعم |
| رمز عبر الرسائل النصية أو المكالمة الصوتية | نعم | لا | لا |
إدخالات “لا” تأتي من NIST، التي تنص على أن الطرق التي تكتب فيها قيمة أو توافق عليها ليست مقاومة للتصيد الاحتيالي لأن القيمة غير مرتبطة بالموقع الحقيقي. وتتعامل NIST أيضًا مع الرموز المرسلة عبر شبكة الهاتف كـ “طريقة مقيدة”، مما يعني أنه يجب على الخدمات تقديم بديل. عمود تبديل الشريحة يمثل قراءتنا لكيفية عمل كل طريقة: تطبيق المصادقة أو الإشعار لا يعتمدان على رقم هاتفك، وتذكر Google أن إشعاراتها تساعد في الحماية ضد تبديل الشريحة. تفشل الخطوة الثانية القوية أيضًا إذا سمحت الخدمة لشخص ما بتجاوزها عبر رسالة نصية، لذا تحقق مما تسمح به خيارات الاسترداد لديك.
تصف وكالة CISA الأمريكية للأمن السيبراني معيار FIDO/WebAuthn (التكنولوجيا التي تقف خلف مفاتيح المرور ومفاتيح الأمان) بأنه أعتى أشكال المصادقة متعددة العوامل (CISA, 2022).
مفاتيح المرور (Passkeys)
يستبدل مفتاح المرور كلمة المرور التقليدية؛ إذ ينشئ جهازك زوجًا من المفاتيح المشفرة لكل موقع: يحتفظ الموقع بالمفتاح العام، ويحتفظ جهازك بالمفتاح الخاص، وتوافق على تسجيل الدخول بالأسلوب نفسه الذي تفتح به هاتفك (بصمة إصبع، وجه، أو رمز PIN). لا يغادر المفتاح الخاص جهازك بصيغة يمكن لأي شخص قراءتها، وهو يستجيب فقط لعنوان الموقع الحقيقي، فلا تحصل الصفحة المزيفة على شيء. وأي خرق للموقع لا يسرب شيئًا يمكن إعادة استخدامه (FIDO Alliance, 2026; NCSC, 2025).
يمكن مزامنة مفاتيح المرور بين أجهزتك عبر مزود (Apple، Google، Microsoft، أو مدير كلمات المرور) أو إبقاؤها على جهاز واحد مثل مفتاح الأمان الفيزيائي. يذكر تحالف FIDO (الذي يعزز مفاتيح المرور) أن المزامنة مشفرة بين الطرفين، وأن المفاتيح المرتبطة بالجهاز على العتاد تقدم أعلى مستويات الضمان. النقطة العملية هي أن مفتاح المرور المتزامن يكون آمنًا بقدر أمان الحساب الذي يزامنه؛ لذا احمِ ذلك الحساب كبريدك الإلكتروني.
اعتبارًا من أبريل 2026، يوصي NCSC بمفاتيح المرور كخيار أول أينما توفرت في الخدمة، بعد أن أفاد بأنها آمنة على الأقل كأقوى كلمة مرور مدعومة بخطوة ثانية. وحيثما لا تدعمها الخدمة، ينصح بمدير كلمات مرور بالإضافة إلى التحقق بخطوتين (NCSC, 2026). وكان NCSC قد امتنع عن هذه النصيحة قبل عام بسبب مشكلات في التطبيق، لذا توقع بعض التعقيدات العملية عند التنقل بين الأجهزة أو المنصات.
مسارات الاسترداد
رموز الاسترداد الاحتياطية هي شبكة الأمان المعتادة إذا فقدت هاتفك. تتيح لك Google، على سبيل المثال، طباعة أو تنزيل مجموعة منها والاحتفاظ بها في مكان آمن (مساعدة حساب Google). تطلب NIST من الخدمات عدم استخدام الأسئلة المعرفية (“اسم أول أليف”) لكلمات المرور، لأن إجاباتها يمكن تخمينها أو العثور عليها، فإذا فرضتها عليك خدمة ما، فتعامل مع الإجابات ككلمات مرور إضافية ولا تجب بصدق. كما يوصي NCSC بعمل نسخة احتياطية لخيارات الاسترداد، مثلاً عبر مفاتيح استرداد أو جهات اتصال موثوقة.
ما تحمي منه هذه الخطوات، وما لا تحمي منه
توقف هذه الخطوات مجتمعة الهجوم الأكثر شيوعًا على عامة الناس: المحاولات الآلية لكلمات المرور المسربة. أفادت Microsoft في عام 2019 أن المصادقة متعددة العوامل تحظر أكثر من 99.9% من هجمات اختراق الحسابات على خدماتها السحابية. يُقرأ هذا الرقم كقياس من مورد لبياناته الخاصة؛ حيث يحسب أكثر من 300 مليون تسجيل دخول احتيالي يوميًا (معظمها برامج آليّة)، لذا فالرقم يعبر عن الهجمات الآلية أكثر مما يعبر عن شخص يستهدفك بحد ذاتك.
وهي لا توقف:
- صفحة تصيد احتيالي في الوقت الفعلي تجمع رمزك وتستخدمه فورًا، ما لم تكن تستخدم مفتاح مرور أو مفتاح أمان.
- البرمجيات الخبيثة على هاتفك أو حاسوبك، والتي يمكنها قراءة ما تكتبه أو ما هو محفوظ.
- شخص يمتلك جهازك وهو غير مقفل، أو يمتلك كلمة المرور الرئيسية لمدير كلمات المرور.
- موظف شركة اتصالات أو دعم فني ينطلي عليه الخداع لإعادة ضبط الأمور للمهاجم.
- عمليات الاحتيال التي تسلم فيها الأموال أو الرموز بطوع إرادتك، مثل متصل يدعي أنه من بنكك أو مزود الخدمة. وتؤكد Google أنها لن تتصل بك أبدًا للتحقق من رمز.
الخرق في خدمة تستخدمها قد يكشف اسمك وبريدك الإلكتروني وبيانات أخرى. كلمات المرور الفريدة تحد من الضرر ليقتصر على تلك الخدمة بمفردها.
خرافات شائعة
“يجب عليّ تغيير كلمات المرور الخاصة بي كل بضعة أشهر.” تذكر NIST أن الخدمات لا ينبغي أن تفرض تغييرات دورية، ويجب فرضها فقط عند وجود دليل على الانكشاف. التغييرات المتكررة القسرية تنتج في الغالب تنويعات متوقعة.
“كلمات المرور التي تحتوي على رموز وأحرف كبيرة هي الأقوى.” الطول أهم بكثير. تذكر إرشادات NIST أن قواعد التكوين تدفع الناس نحو أنماط يخمنها المهاجمون بالفعل. عبارة مرور من عدة كلمات عشوائية بطول 15 حرفًا على الأقل تغلب Tr0ub4dor&3.
“رموز الرسائل النصية عديمة الفائدة.” ليست كذلك؛ فهي توقف معظم الهجمات الآلية، وإيقاف تشغيلها أثناء انتظارك لشيء أفضل يتركك في وضع أسوأ. ترقَّ إلى خيار أقوى عندما يتوفر، ولا تتخلَّ عما لديك حاليًا.
“وضع كل كلمات المرور في مكان واحد أمر ينطوي على مخاطرة.” إنه تركيز للمخاطر بالفعل، ولكن البديل لمعظم الناس هو إعادة الاستخدام، وهو أسرأ. ويرى NCSC أن مدير كلمات المرور آمن بكثير من الذاكرة أو الملاحظات اللاصقة أو كلمات المرور المعاد استخدامها، بشرط اختيار تطبيق موثوق وتأمينه بشكل صحيح.
ما يجب فعله، بالترتيب
- أَمِّن حساب بريدك الإلكتروني أولاً (حوالي 15 دقيقة): امنحه كلمة مرور طويلة لا يستخدمها أي حساب آخر، وأضف خطوة ثانية. إذا أعدت استخدام كلمة المرور تلك في أي وقت، فغيرها اليوم. البريد الإلكتروني هو المفتاح لجميع عمليات إعادة الضبط الأخرى.
- انقل كلمات المرور المهمة إلى مدير كلمات المرور (حوالي ساعة): ابدأ بالبريد الإلكتروني، والمعاملات البنكية والمدفوعات، وشركة المحمول، وحساب Apple أو Google أو Microsoft، والتواصل الاجتماعي. دع المدير ينشئها، واجعل كلمة المرور الرئيسية عبارة مرور من عدة كلمات عشوائية بطول 15 حرفًا على الأقل. المدير المدمج في هاتفك أو متصفحك هو بداية جيدة.
- فعّل خطوة ثانية، باستخدام أعتى نوع تقدمه كل خدمة: فضل مفتاح المرور أو مفتاح الأمان، ثم تطبيق المصادقة أو إشعار الموافقة، ثم الرسائل النصية. على حساب Google، واعتبارًا من أكتوبر 2026، انتقل إلى صفحة
الأمان وتسجيل الدخولواخترالتحقق بخطوتين. احفظ رموز الاسترداد الاحتياطية في مكان آخر غير الهاتف الذي يتلقى الرموز. - أنشئ مفاتيح مرور حيث توفرها الخدمات: احتفظ بجهاز ثانٍ أو مفتاح أمان كخيار احتياطي، واحْمِ الحساب الذي يزامنه.
- احْمِ رقم هاتفك: أضف رمز PIN أو كلمة مرور لحسابك لدى شركة الاتصالات، كما تنصح FTC. وحيثما يمكنك الاختيار، استخدم مفتاح مرور أو تطبيقًا أو إشعارًا بدلاً من الرسائل النصية. لا تقرأ رمز الدخول أبدًا لأي شخص يتصل بك.
- افحص، ثم حافظ على التحديث المستمر: ابحث عن عناوين بريدك الإلكتروني على موقع Have I Been Pwned، وهو خدمة مجانية لفحص الاختراقات يديرها الباحث الأمني Troy Hunt منذ عام 2013. غير أي كلمة مرور تظهر هناك، وأي حساب آخر يشاركها. فعّل التحديثات التلقائية لأجهزتك، وأعد فحص بريد الاسترداد ورقم الهاتف مرة في السنة.
إذا كنت تعتقد أن حسابك قد استُولي عليه بالفعل
نصيحة NCSC، بالترتيب:
- استخدم عملية استرداد الحساب لدى المزود.
- إذا كان حساب بريد إلكتروني، فافحص مرشحاته وقواعد إعادة التوجيه بحثًا عن أي شيء لم تضفه.
- غير كلمة المرور، وغير كلمة المرور في أي حساب آخر يشاركها.
- سجل الخروج من الحساب على جميع الأجهزة والتطبيقات.
- أعدَّ خطوة تحقق ثانية.
- حدث تطبيقاتك وأجهزتك، وأخبر جهات اتصالك بعدم الوثوق بالرسائل الأخيرة القادمة منك، وافحص الكشوف البنكية.
إذا حُوّلت أموال، لاتصل ببنكك باستخدام الرقم الموجود على بطاقتك أو موقعه الرسمي. هذه الصفحة هي معلومات عامة وليست استشارة مالية أو قانونية. بلّغ عن الاحتيال للخدمة الوطنية لديك.
المصادر
- Authenticator and Verifier Requirements and Strength of Passwords (appendix A), NIST SP 800-63B-4, NIST, 2025: authenticators, passwords
- Use a strong and separate password for your email, NCSC, 2018 (reviewed 2021): link
- Hacked accounts, NCSC, accessed October 2026: link
- NCSC: Leave passwords in the past - passkeys are the future, NCSC, 2026: link
- Trusting the tech: using password managers and passkeys to help you stay secure online, NCSC, 2025: link
- Turn on 2-Step Verification, Google Account Help, Google, accessed October 2026: link
- Passkeys, FIDO Alliance, 2026: link
- One simple action you can take to prevent 99.9 percent of attacks on your accounts, Microsoft Security Blog, Microsoft, 2019: link
- Implementing Phishing-Resistant MFA, CISA, 2022: link
- SIM swap scams: how to protect yourself, FTC, 2019: link
- 2026 Data Breach Investigations Report, Verizon, 2026: link
- Who, What & Why, Have I Been Pwned, accessed October 2026: link