تسريب مليون رمز 2FA يفضح ضعف نظام المصادقة
السوسنة - كشف تحقيق صحفي حديث عن اختراق واسع النطاق طال رسائل المصادقة الثنائية (2FA) المعتمدة من كبرى شركات التكنولوجيا والبنوك العالمية، في حادثة أثارت مخاوف جدية حول مدى أمان أحد أكثر أنظمة الحماية استخدامًا على الإنترنت.وأظهر تحقيق مشترك أجرته "بلومبرغ" وموقع "وايتهاوس ريبورتس"، أن شركة الاتصالات السويسرية "فينك تيليكوم سيرفيسز" تمكنت من الوصول إلى أكثر من مليون رسالة نصية تحتوي على رموز تحقق ثنائية خلال شهر يونيو 2023، من دون علم الشركات الأصلية أو إشرافها المباشر.ووفق التحقيق، استُخدمت الرسائل المصابة في عمليات تسجيل دخول وتوثيق لحسابات على منصات مثل "غوغل"، "أمازون"، "واتساب"، "ميتا"، "سناب شات"، و"تيندر"، إضافة إلى بنوك أوروبية كبرى، واستهدفت مستخدمين في أكثر من 100 دولة.نقطة ضعف في قلب النظامتعتمد المصادقة الثنائية عبر الرسائل النصية على إرسال رموز لمرة واحدة إلى هاتف المستخدم، وتشكل طبقة أمان إضافية في العديد من الخدمات الرقمية. غير أن هذه الطريقة باتت تُصنّف من قبل خبراء الأمن السيبراني ضمن أضعف خيارات الحماية، بسبب سهولة اعتراضها وغياب التشفير.ويعود سبب التسريب، بحسب التقرير، إلى لجوء عدد من الشركات إلى وسطاء اتصالات خارجيين لتقليل تكلفة إرسال الرسائل، عبر ما يُعرف بـ"العناوين العالمية" (Global Titles)، ما يسمح بتمرير الرسائل عبر شبكات متعددة ويزيد من صعوبة تتبعها أو ضبطها أمنيًا.المثير للقلق أن شركة "فينك" لم تكن مزودًا مباشرًا لخدمة الرسائل، بل وسيطًا ضمن سلسلة من المتعاقدين، ما أتاح لها التعامل مع الرسائل دون رقابة من الشركات المالكة للخدمات.دعوات لاعتماد أنظمة أكثر أمانًاأثار التسريب دعوات من خبراء الأمن السيبراني للتخلي عن استخدام الرسائل النصية كوسيلة للمصادقة، لصالح وسائل أكثر أمانًا مثل مفاتيح الأمان الفيزيائية (Security Keys)، أو استخدام تطبيقات توليد الرموز مثل Google Authenticator وAuthy، إلى جانب حلول تعتمد على القياسات الحيوية من خلال بروتوكول WebAuthn.وتتميّز هذه البدائل بأنها تعمل محليًا على أجهزة المستخدمين ولا تمر عبر أطراف ثالثة، ما يقلل من احتمالات التسلل أو التلاعب بالبيانات.
اقرأ أيضاً:
هاشتاغز
جرب ميزات الذكاء الاصطناعي لدينا
اكتشف ما يمكن أن يفعله Daily8 AI من أجلك:
التعليقات
لا يوجد تعليقات بعد...
أخبار ذات صلة
أخبارنا
منذ 2 أيام
- أخبارنا
"غوغل" تحذر مستخدمي Gmail.. والتجاهل قد يفقدك حسابك إلى الأبد!
أخبارنا : أعلنت "غوغل" عن تطبيق تغييرات كبيرة على نظام حماية حسابات Gmail، قد تؤدي إلى فقدان المستخدمين القدرة على الوصول إلى حساباتهم إذا لم يمتثلوا للشروط الجديدة خلال المهلة المحددة. ويأتي هذا القرار في إطار معركة "غوغل" المستمرة ضد تزايد هجمات التصيد الاحتيالي والرسائل المزيفة التي أصبحت متقنة لدرجة يصعب تمييزها عن الرسائل الحقيقية. وبدأت "غوغل" بالفعل في إرسال تحذيرات شخصية للمستخدمين عبر البريد الإلكتروني ورسائل تسجيل الدخول، تحمل إنذارات واضحة بضرورة تحديث إعدادات الأمان خلال فترة زمنية تتراوح بين 15 إلى 30 يوما. وهذه التحذيرات ليست مجرد إرشادات اختيارية، بل تمثل متطلبات إلزامية ستمنع المستخدمين من الوصول إلى حساباتهم عند انتهاء المهلة المحددة. ويتمثل جوهر هذه التغييرات في إلزامية تفعيل نظام التحقق بخطوتين، الذي يجمع بين كلمة المرور التقليدية وطبقة حماية إضافية قد تكون رمزا يصل عبر الرسائل النصية، أو من خلال تطبيقات المصادقة مثل Google Authenticator، أو حتى باستخدام مفاتيح أمنية فعلية يمكن تفعيلها عبر: ولا يتوقف الأمر عند تفعيل التحقق الثنائي فحسب، بل يمتد إلى ضرورة التخلي عن التطبيقات القديمة التي لا تدعم أنظمة تسجيل الدخول الحديثة، والانتقال إلى نظام OAuth 2.0 (نظام تسجيل الدخول الآمن بالرموز) الأكثر أمانا والذي تعتمده معظم التطبيقات الحديثة. كما تحث "غوغل" مستخدميها على تحديث معلومات الاسترداد، بما في ذلك البريد الإلكتروني الاحتياطي ورقم الهاتف، وهي خطوة قد توفر ساعات أو أياما من المعاناة في حال فقدان الوصول إلى الحساب. وتكمن خطورة تجاهل هذه التحديثات في أن حساب Gmail لم يعد مجرد بريد إلكتروني عادي، بل أصبح بوابة للعديد من الخدمات الحساسة مثل مستندات "غوغل"، وحسابات "أندرويد"، والتقويمات، وحتى الأجهزة الذكية في المنزل. واختراق هذا الحساب قد يعني في الواقع اختراقا للحياة الرقمية بالكامل. وهذه الإجراءات تمثل المرحلة الثانية من خطة "غوغل" الأمنية التي بدأت في أكتوبر 2023 بفرض متطلبات أمان مشددة على مرسلي البريد الإلكتروني الكبار، وتأتي الآن لتمس جميع المستخدمين دون استثناء. وفي عالم يتزايد فيه تطور أساليب المجرمين الإلكترونيين، تبدو "غوغل" مصممة على رفع سقف الحماية إلى مستويات غير مسبوقة، حتى لو تطلب ذلك بعض الإزعاج المؤقت للمستخدمين.
السوسنة
منذ 2 أيام
- السوسنة
تسريب مليون رمز 2FA يفضح ضعف نظام المصادقة
السوسنة - كشف تحقيق صحفي حديث عن اختراق واسع النطاق طال رسائل المصادقة الثنائية (2FA) المعتمدة من كبرى شركات التكنولوجيا والبنوك العالمية، في حادثة أثارت مخاوف جدية حول مدى أمان أحد أكثر أنظمة الحماية استخدامًا على الإنترنت.وأظهر تحقيق مشترك أجرته "بلومبرغ" وموقع "وايتهاوس ريبورتس"، أن شركة الاتصالات السويسرية "فينك تيليكوم سيرفيسز" تمكنت من الوصول إلى أكثر من مليون رسالة نصية تحتوي على رموز تحقق ثنائية خلال شهر يونيو 2023، من دون علم الشركات الأصلية أو إشرافها المباشر.ووفق التحقيق، استُخدمت الرسائل المصابة في عمليات تسجيل دخول وتوثيق لحسابات على منصات مثل "غوغل"، "أمازون"، "واتساب"، "ميتا"، "سناب شات"، و"تيندر"، إضافة إلى بنوك أوروبية كبرى، واستهدفت مستخدمين في أكثر من 100 دولة.نقطة ضعف في قلب النظامتعتمد المصادقة الثنائية عبر الرسائل النصية على إرسال رموز لمرة واحدة إلى هاتف المستخدم، وتشكل طبقة أمان إضافية في العديد من الخدمات الرقمية. غير أن هذه الطريقة باتت تُصنّف من قبل خبراء الأمن السيبراني ضمن أضعف خيارات الحماية، بسبب سهولة اعتراضها وغياب التشفير.ويعود سبب التسريب، بحسب التقرير، إلى لجوء عدد من الشركات إلى وسطاء اتصالات خارجيين لتقليل تكلفة إرسال الرسائل، عبر ما يُعرف بـ"العناوين العالمية" (Global Titles)، ما يسمح بتمرير الرسائل عبر شبكات متعددة ويزيد من صعوبة تتبعها أو ضبطها أمنيًا.المثير للقلق أن شركة "فينك" لم تكن مزودًا مباشرًا لخدمة الرسائل، بل وسيطًا ضمن سلسلة من المتعاقدين، ما أتاح لها التعامل مع الرسائل دون رقابة من الشركات المالكة للخدمات.دعوات لاعتماد أنظمة أكثر أمانًاأثار التسريب دعوات من خبراء الأمن السيبراني للتخلي عن استخدام الرسائل النصية كوسيلة للمصادقة، لصالح وسائل أكثر أمانًا مثل مفاتيح الأمان الفيزيائية (Security Keys)، أو استخدام تطبيقات توليد الرموز مثل Google Authenticator وAuthy، إلى جانب حلول تعتمد على القياسات الحيوية من خلال بروتوكول WebAuthn.وتتميّز هذه البدائل بأنها تعمل محليًا على أجهزة المستخدمين ولا تمر عبر أطراف ثالثة، ما يقلل من احتمالات التسلل أو التلاعب بالبيانات. اقرأ أيضاً:
سواليف احمد الزعبي
منذ 2 أيام
- سواليف احمد الزعبي
غوغل تحذر مستخدمي Gmail.. والتجاهل قد يفقدك حسابك إلى الأبد!
#سواليف أعلنت #غوغل عن #تطبيق #تغييرات كبيرة على #نظام_حماية #حسابات_Gmail، قد تؤدي إلى فقدان المستخدمين القدرة على الوصول إلى حساباتهم إذا لم يمتثلوا للشروط الجديدة خلال المهلة المحددة. ويأتي هذا القرار في إطار معركة 'غوغل' المستمرة ضد تزايد هجمات التصيد الاحتيالي والرسائل المزيفة التي أصبحت متقنة لدرجة يصعب تمييزها عن الرسائل الحقيقية. وبدأت 'غوغل' بالفعل في إرسال تحذيرات شخصية للمستخدمين عبر البريد الإلكتروني ورسائل تسجيل الدخول، تحمل إنذارات واضحة بضرورة تحديث إعدادات الأمان خلال فترة زمنية تتراوح بين 15 إلى 30 يوما. وهذه التحذيرات ليست مجرد إرشادات اختيارية، بل تمثل متطلبات إلزامية ستمنع المستخدمين من الوصول إلى حساباتهم عند انتهاء المهلة المحددة. ويتمثل جوهر هذه التغييرات في إلزامية تفعيل نظام التحقق بخطوتين، الذي يجمع بين كلمة المرور التقليدية وطبقة حماية إضافية قد تكون رمزا يصل عبر الرسائل النصية، أو من خلال تطبيقات المصادقة مثل Google Authenticator، أو حتى باستخدام مفاتيح أمنية فعلية يمكن تفعيلها عبر: ولا يتوقف الأمر عند تفعيل التحقق الثنائي فحسب، بل يمتد إلى ضرورة التخلي عن التطبيقات القديمة التي لا تدعم أنظمة تسجيل الدخول الحديثة، والانتقال إلى نظام OAuth 2.0 (نظام تسجيل الدخول الآمن بالرموز) الأكثر أمانا والذي تعتمده معظم التطبيقات الحديثة. كما تحث 'غوغل' مستخدميها على تحديث معلومات الاسترداد، بما في ذلك البريد الإلكتروني الاحتياطي ورقم الهاتف، وهي خطوة قد توفر ساعات أو أياما من المعاناة في حال فقدان الوصول إلى الحساب. وتكمن خطورة تجاهل هذه التحديثات في أن حساب Gmail لم يعد مجرد بريد إلكتروني عادي، بل أصبح بوابة للعديد من الخدمات الحساسة مثل مستندات 'غوغل'، وحسابات 'أندرويد'، والتقويمات، وحتى الأجهزة الذكية في المنزل. واختراق هذا الحساب قد يعني في الواقع اختراقا للحياة الرقمية بالكامل. وهذه الإجراءات تمثل المرحلة الثانية من خطة 'غوغل' الأمنية التي بدأت في أكتوبر 2023 بفرض متطلبات أمان مشددة على مرسلي البريد الإلكتروني الكبار، وتأتي الآن لتمس جميع المستخدمين دون استثناء. وفي عالم يتزايد فيه تطور أساليب المجرمين الإلكترونيين، تبدو 'غوغل' مصممة على رفع سقف الحماية إلى مستويات غير مسبوقة، حتى لو تطلب ذلك بعض الإزعاج المؤقت للمستخدمين.
