التحقق متعدد العوامل: الضابط الوحيد الذي يوقف أغلب عمليات الاستيلاء على الحسابات

كلمات المرور تتسرب: فهي تتكرر عبر المواقع، وتلتقطها صفحات التصيد، وتُباع بالجملة بعد اختراقات لا علاقة لك بها. ويضيف التحقق متعدد العوامل (MFA) إثباتًا ثانيًا للهوية، فلا تكفي كلمة المرور المسروقة وحدها لتسجيل الدخول.

ليست كل أنواع التحقق متساوية

من الأقوى إلى الأضعف:

• الطرق المقاومة للتصيد: مفاتيح الأمان المادية ومفاتيح المرور Passkeys ‏(FIDO2/WebAuthn). ترتبط بالموقع الحقيقي، فلا تستطيع صفحة دخول مزيفة استخدامها. وهي الخيار الأفضل للمديرين وفرق المالية.
• تطبيقات المصادقة ذات الرموز الزمنية (TOTP)، أو الموافقات عبر الإشعارات مع مطابقة رقم. قوية ومجانية، لكن صفحة تصيد متقنة قد تمرر الرمز في الوقت الفعلي.
• الرموز عبر الرسائل النصية SMS. أفضل بكثير من لا شيء، لكنها عرضة لسرقة الشريحة واعتراض الرسائل. استخدمها فقط حيث لا يُدعم غيرها.

أين تفعّله أولًا

1. البريد الإلكتروني: من يتحكم في البريد يستطيع إعادة تعيين أغلب كلمات المرور الأخرى.
2. مسجل النطاقات وDNS: المهاجم الذي يغير DNS يتحكم في موقعك وبريدك.
3. لوحات تحكم الاستضافة والوصول إلى الخوادم ووحدات التحكم السحابية.
4. البنوك وبوابات الدفع وأنظمة المحاسبة.
5. الوصول عن بعد: الشبكة الافتراضية الخاصة وسطح المكتب البعيد وSSH (استخدم المفاتيح مع التحقق متعدد العوامل حيثما أمكن).
6. كل ما عدا ذلك مما يدعمه.

كيف تجعله يستمر

• اجعله إلزاميًا لا اختياريًا، فالتحقق الاختياري يفعّله أقل الناس حاجة إليه.
• سجّل طريقتين على الأقل لكل شخص، حتى لا يعني فقدان الهاتف إغلاق الحساب.
• احفظ رموز الاستعادة بأمان، لا في صندوق البريد نفسه الذي تحميه.
• انتبه لهجمات إرهاق الإشعارات: طلبات موافقة متكررة على أمل أن يوافق مستخدم متعب على أحدها. ومطابقة الرقم تمنع أغلبها.

كيف تساعدك IDX

ننصح بتفعيل التحقق بخطوتين حيثما تدعمه حساباتك، بدءًا بالبريد ومسجل النطاقات ولوحة تحكم الاستضافة. وفي الخوادم التي نديرها، يعدّ فريقنا الوصول عبر SSH بالمفاتيح، ويُبقي واجهات الإدارة بعيدًا عن الإنترنت العام.