احمِ الرقم، لكن افحص أيضًا كل مسار في الحساب يعامل الرقم بوصفه إثباتًا للهوية.
ينقل هجوم تبديل شريحة SIM السيطرة على رقم هاتفك إلى شريحة SIM أو eSIM يتحكم فيها المهاجم. وإذا كان حساب المراسلة يقبل الرسائل النصية SMS بوصفها دليلًا كافيًا للتسجيل أو الدخول أو الاسترداد، فقد يستطيع المهاجم استغلال هذا المسار.
النتيجة ليست واحدة في كل تطبيق مراسلة. فقد يغيّر قفل تسجيل إضافي أو مفتاح مرور أو كلمة مرور أو سر استرداد مستقل ما يستطيع المهاجم فعله. كما أن الاستيلاء على الرقم لا يفك تلقائيًا تشفير جميع المحادثات القديمة المخزنة على أجهزتك.
كيف تتحول السيطرة على الرقم إلى سيطرة على الحساب
تصف إرشادات لجنة التجارة الفيدرالية الأمريكية بشأن تبديل شرائح SIM كيف يقنع المهاجمون شركة الاتصالات بتفعيل رقم الضحية على شريحة أخرى. ويمكن عندئذ أن تصل رسائل التحقق والمكالمات الواردة إلى المهاجم.
نقطة الضعف المعنية هي قرار الحساب الوثوق بذلك الرقم. فقد تستخدمه الخدمة للتسجيل الأولي أو خطوة تحقق إضافية أو إعادة تعيين كلمة المرور. وهذه قدرات مختلفة. راجعها جميعًا، بما فيها الخيارات البديلة، بدلًا من فحص شاشة تسجيل الدخول المعتادة فقط.
قد يكون الانقطاع المفاجئ لخدمة الهاتف أو إشعار غير متوقع بتفعيل شريحة SIM علامة تحذير، مع أن أعطال الشبكة ومشكلات الحساب العادية قد تبدو مشابهة. تحقّق مع شركة الاتصالات عبر مسار رسمي معروف.
افصل انتحال الهوية عن الوصول إلى الرسائل السابقة
قد يتمكن جهاز مسجل حديثًا يتحكم فيه المهاجم من انتحال شخصيتك أو استقبال اتصالات مستقبلية، بحسب قواعد التطبيق. أما السجل القديم فيتطلب تفسيرًا إضافيًا: نسخة مقروءة على الخادم، أو وصولًا إلى نسخة احتياطية مشفرة ومفتاحها، أو جهازًا مرتبطًا، أو نسخة محلية.
| الأصل | هل توفره السيطرة على الرقم وحدها بالضرورة؟ |
|---|---|
| رموز التحقق الواردة عبر SMS | ربما، بعد نقل الرقم |
| تسجيل الحساب أو إعادة تعيينه | فقط إذا قبلت الخدمة ذلك المسار دون متطلب مستقل |
| جلسات الأجهزة القائمة | ليس تلقائيًا؛ فقواعد إدارة الجلسات مهمة |
| سجل المحادثات القديم المشفر من طرف إلى طرف | ليس تلقائيًا؛ فلا يزال المهاجم يحتاج نسخة يمكن الوصول إليها والمفاتيح المطلوبة |
| رسائل مستقبلية موجهة إلى هوية قُبلت حديثًا | خطر يعتمد على التحقق من الهوية وسلوك الحساب |
يمكن لتحذيرات تغيير المفاتيح والتحقق المستقل من هوية جهة الاتصال أن يساعدا في اكتشاف نقطة نهاية جديدة غير متوقعة. ولا ينبغي تجاهلهما لمجرد أن رقم الهاتف المألوف بقي كما هو.
ما الذي يقدمه SRP وما الذي لا يمكنه أن يَعِد به
يصادق SRP على معرفة كلمة المرور دون إرسال تلك الكلمة في التبادل المقصود. فإذا كان الدخول يتطلب فعلًا كلمة مرور مستقلة، ولم يوجد مسار بديل عبر SMS يتجاوزها، فإن سرقة الرقم وحدها لا تستوفي هذا المتطلب.
لا يحدد SRP نفسه سياسة التطبيق المتعلقة بأرقام الهواتف أو عملية إعادة التعيين أو إجراءات الدعم. ولا يجعل كلمة المرور الضعيفة قوية، ولا يمنع شيفرة التصيد من قراءة النص المدخل في صفحة خبيثة. كما تظل قيمة التحقق لدى الخادم حساسة: يصف القسم 3.3 من RFC 5054 تخمين كلمات المرور بعد سرقة قيمة التحقق.
مفاتيح المرور ومفاتيح الأمان طرق أخرى ممكنة لتقليل الاعتماد على SMS، حين تدعمها الخدمة. يصف شرح تحالف FIDO لمفاتيح المرور بيانات اعتماد المفتاح العام ومقاومة التصيد. ويظل مسار استرداد الحساب الفعلي بحاجة إلى المراجعة، أيًا كانت طريقة الدخول المعتادة.
الفصل الموثق لدى Livara
تصف صفحة الأمان لدى Livara دخول SRP بصورة منفصلة عن النسخة الاحتياطية المشفرة للهوية. ويغلّف الإصدار 7 مواد الهوية بالتشفير قبل رفعها باستخدام مفتاح استرداد منفصل، ويستعيد الهوية لا سجل المحادثات. ويقول نموذج التهديدات إن كلمة المرور المسروقة وحدها لا تستطيع استعادة مفاتيح التشفير تلك.
تساعد هذه الحدود على التمييز بين المصادقة وفك التشفير. لكنها لا تبرر وعدًا بأن كل مسار للاستيلاء على الحساب قد خضع للتدقيق، أو بأن حادثًا لدى شركة الاتصالات لا يمكن أن يؤثر مطلقًا. افحص خيارات الدخول والاسترداد الحالية في العميل، ولا تستنتج سلوكًا غير موثق من اسم بروتوكول.
يعالج إنشاء المفاتيح المقاوم للهجمات الكمية مشكلة مختلفة: الهجمات المستقبلية على حركة اتصالات مشفرة جرى التقاطها. فهو لا يمنع شركة الاتصالات من نقل رقم هاتف، ولا يمنع الحساب من الوثوق برسالة SMS تم اعتراضها.
قلّل المخاطر قبل وقوع حادث
- احمِ حساب شركة الاتصالات برمز PIN أو كلمة مرور منفصلة، وبضوابط نقل الرقم المتاحة.
- فضّل المصادقة القوية غير المعتمدة على SMS حيث تكون مدعومة، واحتفظ بخيارات الاسترداد بأمان.
- راجع ما إذا كان استرداد الحساب يعود خفية إلى رقم الهاتف كخيار بديل.
- اجعل كلمات المرور فريدة، واحمِ حساب البريد الإلكتروني المستخدم للاسترداد.
- تعرّف على كيفية عرض تطبيق المراسلة للأجهزة المرتبطة وتغييرات التسجيل وتغييرات مفاتيح الطرف الآخر.
إذا شككت في الاستيلاء على رقمك
- اتصل فورًا بشركة الاتصالات عبر قناة موثوقة، واطلب التحقيق واستعادة الرقم.
- أمّن الحسابات المتأثرة من جهاز موثوق، وراجع الجلسات غير المعروفة. فاستعادة الرقم لا تنهي بالضرورة جلسة قائمة للمهاجم.
- افحص إعدادات الاسترداد بحثًا عن تغييرات، وأعد تعيين بيانات الاعتماد المخترقة عبر الإجراءات الرسمية.
- حذّر جهات الاتصال المهمة عبر مسار موثوق آخر إذا كان انتحال الهوية ممكنًا. وأعد التحقق من الهويات التشفيرية التي تغيّرت.
- احتفظ بالإشعارات والطوابع الزمنية ذات الصلة للدعم أو الإبلاغ. ولا ترسل أبدًا رمزًا لمرة واحدة أو كلمة مرور أو عبارة استرداد إلى شخص يعرض في رسالة «إصلاح» المشكلة.
الحماية المفيدة هي تصميم حساب لا يسمح لعامل واحد مسروق بتجاوز جميع الضوابط الأخرى، مع خطة واضحة للاسترداد والاستجابة للجلسات.
