أغلب الحسابات لا تُخترق بعبقرية تقنية. تُسرق لأن المخترق حصل على كلمة المرور، أو لأن صاحب الحساب أعطاه رمز التحقق بنفسه. يمكنك أن تغلق أغلب هذه الأبواب بخمس خطوات: تأمين بريدك الإلكتروني أولاً، وتفعيل التحقق بخطوتين، واستخدام كلمة مرور مختلفة لكل حساب عبر مدير كلمات مرور، وعدم مشاركة أي رمز تحقق مع أي شخص، وتحديث أجهزتك وبرامجك باستمرار.
الأرقام تؤكد ذلك. في 23 أبريل 2025 أصدرت شركة فيرايزون تقريرها السنوي لتحقيقات اختراق البيانات (DBIR 2025)، وحللت فيه أكثر من 22 ألف حادث أمني، منها 12,195 اختراقاً مؤكداً. أشهر طريقة دخول في هذه الاختراقات كانت بيانات دخول مسروقة، أي اسم مستخدم وكلمة مرور حقيقيين في يد شخص غريب.
عبارة «أمن المعلومات» تظهر الآن بكثرة في اقتراحات البحث على جوجل، لأن أخبار التسريبات والثغرات صارت شبه أسبوعية، وكل خبر منها يدفع الناس إلى سؤال واحد: كيف أحمي حسابي؟ الإجابة أبسط مما يتوقعه أغلب الناس، لكنها تحتاج إلى أن تفهم أولاً كيف تحدث السرقة.
كيف تُسرق الحسابات عادة؟
أشهر طريقة لسرقة الحسابات هي استخدام كلمات مرور مسروقة، وبعدها تأتي ثغرات البرامج، ثم خداع صاحب الحساب نفسه. وفق تقرير فيرايزون 2025، بدأت 22% من الاختراقات بإساءة استخدام بيانات دخول مسروقة، وبدأت 20% منها باستغلال ثغرات أمنية.
قراءات تحليلية للتقرير نفسه تقول إن العنصر البشري، سواء بخطأ أو بخداع، ظهر في نحو 60% من الاختراقات، وإن التصيّد الاحتيالي وحده كان مدخلاً مباشراً لنحو 16% منها. معنى ذلك أن نقطة الضعف في أغلب الحالات هي لحظة يضغط فيها شخص على رابط أو يكتب كلمة مروره في صفحة مزيفة، وليست خللاً في الخوادم.
من أين تأتي كلمات المرور المسروقة؟ مصدر شائع هو برامج سرقة كلمات المرور (Infostealers). تدخل هذه البرامج الجهاز عبر ملف مقرصن أو مرفق مشبوه، ثم تجمع كلمات المرور المحفوظة في المتصفح وترسلها إلى من زرعها. في يونيو 2025 انتشرت أخبار عن قواعد بيانات مكشوفة فيها بيانات دخول بأعداد ضخمة. شككت شركة كاسبرسكي في حجم التسريب لأنها لم تستطع التحقق منه، لكنها نصحت المستخدمين بحذف كلمات المرور المحفوظة في المتصفح لأنه مصدر شائع للتسريب.
على مستوى الشركات تكون العواقب أكبر. ظهرت برامج الفدية في 44% من الاختراقات التي رصدها تقرير فيرايزون، بزيادة 37% عن العام السابق، وكان الوسيط في الفدية المدفوعة 115 ألف دولار، ورفض 64% من الضحايا الدفع. وكثير من هذه الهجمات بدأ بحساب موظف واحد كلمة مروره ضعيفة أو مسرّبة.
ما الفرق بين كلمة المرور والتحقق بخطوتين؟
كلمة المرور شيء تعرفه أنت، وأي شخص آخر يعرفها يستطيع الدخول بها. التحقق بخطوتين يضيف عاملاً ثانياً لا يملكه غيرك، مثل رمز يصل إلى هاتفك أو إشعار على جهازك أو مفتاح أمان. لذلك لا تكفي كلمة المرور المسروقة وحدها لفتح الحساب.
تشرح لجنة التجارة الفيدرالية الأمريكية (FTC) أن العامل الثاني قد يكون رمزاً لمرة واحدة يصل برسالة نصية أو بريد إلكتروني، أو رمزاً من تطبيق مصادقة. وفي دراسة نشرتها مايكروسوفت للأبحاث في مايو 2023، خفّض التحقق متعدد العوامل خطر اختراق الحسابات بنسبة 99.22%، وبنسبة 98.56% حتى للحسابات التي كانت كلمات مرورها مسرّبة أصلاً. وبقي أكثر من 99.99% من الحسابات التي فعّلته آمناً طوال فترة الدراسة.
طرق التحقق بخطوتين ليست كلها بنفس القوة. في دراسة نشرتها جوجل في 17 مايو 2019، منع رمز الـSMS المرسل إلى هاتف الاسترداد 100% من هجمات البرامج الآلية، و96% من التصيّد الجماعي، و76% من الهجمات الموجّهة. أما إشعار التأكيد على الجهاز فمنع 100% و99% و90% على الترتيب. ولم يقع أي مستخدم يعتمد على مفتاح الأمان وحده ضحية للتصيّد الموجّه. في المقابل، قد تنخفض فعالية أسئلة التحقق المعتمدة على معلومات شخصية، مثل اسم الأم أو المدرسة الأولى، إلى 10% فقط أمام التصيّد.
بعد ذلك ظهرت مفاتيح المرور (Passkeys). في مايو 2023 بدأت جوجل تسمح لأصحاب الحسابات الشخصية بالدخول بها بدلاً من كلمة المرور. تعتمد هذه المفاتيح على التشفير نفسه المستخدم في مفاتيح الأمان المادية، ولذلك تقاوم التصيّد وهجمات استبدال شريحة الهاتف (SIM swapping). والنتيجة العملية أن الرسالة النصية أفضل من لا شيء، وتطبيق المصادقة أو إشعار الجهاز أفضل منها، ومفتاح المرور هو الأقوى من بينها.
كيف تعرف رسالة النصب قبل أن تضغط على الرابط؟
تكشف رسالة النصب عن نفسها غالباً بطريقة كلامها قبل محتواها: تدّعي أنها من جهة رسمية، وتطلب منك التصرف بسرعة. يحدد المركز الوطني البريطاني للأمن السيبراني (NCSC) خمس علامات لها: انتحال صفة جهة رسمية مثل بنك أو جهة حكومية، والاستعجال بمهلة مثل «خلال 24 ساعة» مع التهديد بغرامة، وإثارة مشاعر كالخوف أو الأمل، والإيهام بأن العرض نادر أو محدود، واستغلال الأحداث الجارية والمواسم.
خذ مثالاً يعرفه كثيرون في مصر: رسالة تقول إن بطاقتك البنكية ستُوقف إن لم تحدّث بياناتك اليوم، ثم يطلب منك المتصل الرمز الذي وصلك على الهاتف. هذا هو رمز التحقق لمرة واحدة (OTP)، وكرر البنك المركزي المصري تحذيراته خلال 2026 من مشاركته مع أي شخص. وأكد البنك أن البنوك لا تطلب هذا الرمز بحجة تحديث البيانات ولا لأي سبب آخر، بالتزامن مع حملة البنوك «معاً نكافح الاحتيال».
وسرقة حسابات واتساب تتم بنفس الأسلوب. تشرح وكالة الأمن السيبراني في سنغافورة الطريقة: يسجّل المحتال رقمك على جهاز جديد، فيصل إلى هاتفك رمز تفعيل من 6 أرقام. بعدها يراسلك منتحلاً صفة صديق أو فريق دعم واتساب، أو يقول إنه «كود عرض ترويجي»، ويطلب منك الرمز. إذا أعطيته إياه انتقل حسابك إلى جهازه، ثم يفعّل التحقق بخطوتين ليمنعك من استعادته.
القاعدة التي ينصح بها المركز البريطاني بسيطة: لا تتحقق من الرسالة بالوسائل الموجودة فيها. إذا وصلتك رسالة من البنك، فاتصل بالرقم المكتوب على ظهر بطاقتك أو في الموقع الرسمي، لا بالرقم أو الرابط المكتوب في الرسالة. وإذا طلب منك صديق مالاً عبر واتساب، فاتصل به مكالمة عادية قبل أن ترسل أي شيء.
ما الخطوات الخمس التي تغلق أغلب الأبواب؟
الخطوات الخمس هي: تأمين البريد الإلكتروني أولاً، وتفعيل التحقق بخطوتين على كل حساب مهم، وكلمة مرور مختلفة لكل حساب يحفظها مدير كلمات مرور، وعدم إعطاء أي رمز تحقق لأي شخص، وتحديث الأجهزة والبرامج. وهي قريبة جداً من الخطوات الأربع التي تحددها وكالة الأمن السيبراني الأمريكية (CISA) في حملتها «Secure Our World».
الخطوة الأولى هي البريد الإلكتروني، لأن الوصول إليه يفتح باقي حساباتك. تنصح لجنة التجارة الفيدرالية الأمريكية بتفعيل التحقق بخطوتين عليه قبل أي حساب آخر، لأن من يسيطر على بريدك يستطيع إعادة تعيين كلمات مرور حساباتك الأخرى من خلاله. فعّله اليوم، واختر تطبيق مصادقة أو مفتاح مرور إن كانا متاحين بدلاً من الرسائل النصية.
الخطوة الثانية أن يكون لكل حساب كلمة مرور خاصة به. إذا استخدمت كلمة مرور واحدة لعشرة مواقع ثم تسربت من أحدها، يجرّبها المخترق آلياً على المواقع العشرة. لا أحد يستطيع حفظ عشرات الكلمات الطويلة، ولهذا وُجدت برامج إدارة كلمات المرور. وبعد أن تنقل كلماتك إلى أحدها، احذف المحفوظ منها في المتصفح كما تنصح كاسبرسكي.
الخطوة الثالثة أن تعتبر أي رمز يصلك على الهاتف سرياً تماماً. لا يحتاج موظف البنك ولا فريق دعم واتساب ولا صديقك إلى هذا الرمز. الرابعة: ثبّت التحديثات بمجرد صدورها، لأن 20% من الاختراقات في تقرير فيرايزون بدأت من ثغرات أمنية، وأغلب هذه الثغرات تسدها التحديثات. الخامسة: فعّل رمز التحقق بخطوتين داخل واتساب نفسه من إعدادات الحساب، وراجع بريد الاسترداد ورقم هاتف الاسترداد في حساباتك الكبرى للتأكد من أنهما ما زالا لك.
ماذا تفعل لو اختُرق حسابك؟
ابدأ بفحص جهازك، ثم استعد الحساب من خلال خطوات الاسترداد الرسمية للمنصة، ثم أغلق كل الطرق التي دخل منها المخترق. لكن قبل ذلك تأكد من وجود الاختراق. تذكر لجنة التجارة الفيدرالية الأمريكية علامات واضحة له: لا تستطيع الدخول، أو يصلك إشعار بتغيير كلمة المرور أو اسم المستخدم دون أن تطلبه، أو يصلك تنبيه بدخول من جهاز أو مكان لا تعرفه، أو يستقبل أصدقاؤك منك رسائل غريبة فيها روابط أو طلبات أموال.
توصي اللجنة بفحص الجهاز ببرنامج حماية محدّث قبل أي خطوة أخرى. إذا كان على جهازك برنامج لسرقة كلمات المرور، فسيسرق كلمة المرور الجديدة بمجرد أن تكتبها. بعد الفحص استخدم صفحة الاسترداد الرسمية للمنصة، وليس حساباً على مواقع التواصل يدّعي أنه «يسترجع الحسابات» مقابل مبلغ، فهذا غالباً احتيال جديد.
بعد استعادة الحساب: غيّر كلمة المرور، وسجّل الخروج من كل الأجهزة، وفعّل التحقق بخطوتين. ثم راجع بريد الاسترداد ورقم الاسترداد، وراجع قواعد إعادة توجيه البريد، لأن بعض المخترقين يضيفون قاعدة تنقل نسخة من رسائلك إليهم بهدوء. وفي النهاية أخبر جهات اتصالك بأن الرسائل التي وصلتهم من حسابك لم تكن منك.
استعادة حساب واتساب أسهل مما يتوقعه كثيرون. أعد تسجيل رقمك في التطبيق، وسيصلك رمز جديد يُخرج المحتال من الحساب. أما إذا كان المحتال قد فعّل رمز التحقق بخطوتين، فقد تضطر إلى الانتظار 7 أيام قبل أن تستطيع الدخول بدونه، بحسب وكالة الأمن السيبراني في سنغافورة. وفي هذه الأيام لن يستطيع المحتال مراسلة أصدقائك باسمك.
ماذا يقول القانون المصري وأين تُبلغ عن الاختراق؟
القانون المصري يجرّم الاختراق صراحة، ويمكنك الإبلاغ عنه عبر الخط الساخن 108 الذي يعمل على مدار الساعة. وفق نص قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018 كما نقله موقع مصراوي، يعاقَب من دخل عمداً بغير حق على حساب خاص أو موقع أو نظام معلوماتي بالحبس سنة على الأقل وغرامة من 50 إلى 100 ألف جنيه، أو بإحدى العقوبتين. وترتفع العقوبة إلى الحبس سنتين على الأقل وغرامة من 100 إلى 200 ألف جنيه إذا ترتب على الدخول إتلاف البيانات أو تغييرها أو محوها.
ويعاقب القانون نفسه من أتلف أو عطّل أو اخترق بريداً إلكترونياً أو حساباً خاصاً بأحد المواطنين بالحبس شهراً على الأقل وغرامة من 50 إلى 100 ألف جنيه. وتصل العقوبة إلى الحبس 6 أشهر على الأقل وغرامة من 100 إلى 200 ألف جنيه إذا كان الحساب لشركة أو مؤسسة. وإذا هدد المخترق صاحب الحساب بنشر محتواه مقابل المال أو طلبات أخرى، تتحول القضية إلى جناية ابتزاز وفق قانون العقوبات، وقد تصل عقوبتها إلى السجن المشدد 15 عاماً، كما ذكرت جريدة الدستور في 10 أبريل 2026.
عن طرق الإبلاغ، نشرت بوابة الأهرام في 1 يوليو 2026 أن الضحية يمكنه الاتصال بالخط الساخن 108، أو التوجه إلى مباحث الإنترنت في الإدارة العامة لتكنولوجيا المعلومات بوزارة الداخلية، أو إلى مكاتبها في مديريات الأمن بالمحافظات. ويمكن أيضاً تقديم البلاغ إلكترونياً عبر موقع النيابة العامة والحصول على رقم لمتابعته.
قبل أي بلاغ لا تحذف شيئاً. تنصح المصادر المصرية بالاحتفاظ بالرسائل والمحادثات والصور التي أرسلها الجاني، وبلقطات الشاشة والروابط وتوقيت الواقعة، لأن كل ذلك أدلة. كثير من الضحايا يحذفون الرسائل من الخوف أو الحرج، فيضيع الدليل الذي كانت القضية تحتاجه.
أهم النقاط
- بيانات الدخول المسروقة هي أشهر بداية للاختراق: 22% من الحالات في تقرير فيرايزون 2025، تليها الثغرات الأمنية بنسبة 20%.
- التحقق متعدد العوامل خفّض خطر الاختراق بنسبة 99.22% في دراسة مايكروسوفت.
- مفتاح المرور أو مفتاح الأمان أقوى من رمز الـSMS، لكن الرسالة النصية تظل أفضل بكثير من عدم تفعيل أي عامل ثانٍ.
- ابدأ بالبريد الإلكتروني، لأن من يسيطر عليه يستطيع إعادة تعيين كلمات مرور باقي حساباتك.
- رمز الـOTP أو كود واتساب لا يُعطى لأي شخص، والبنوك لا تطلبه أبداً.
- لا تتحقق من رسالة مشبوهة بالرقم أو الرابط المكتوب فيها، بل بوسائل الاتصال الرسمية للجهة.
- في مصر: أبلغ عبر الخط الساخن 108 أو مباحث الإنترنت أو موقع النيابة العامة، واحتفظ بكل الأدلة قبل البلاغ.
أسئلة شائعة
هل حفظ كلمات المرور في المتصفح آمن؟
ليس الخيار الأفضل، لأن برامج سرقة كلمات المرور تستهدف المتصفح تحديداً. تنصح كاسبرسكي باستخدام مدير كلمات مرور مستقل وحذف كلمات المرور المحفوظة في المتصفح.
هل يمكن اختراق الحساب رغم تفعيل التحقق بخطوتين؟
نعم، لكن الاحتمال أقل كثيراً. أغلب هذه الحالات تحدث عندما يعطي صاحب الحساب الرمز للمحتال بنفسه، أو عندما يُستبدل شريحة هاتفه في حالة رمز الـSMS، ولهذا تقاوم مفاتيح المرور ومفاتيح الأمان هذه الهجمات أكثر من غيرها.
كيف أعرف إن كان أحد يستخدم حسابي على واتساب أو فيسبوك؟
افتح قائمة الأجهزة المرتبطة أو الجلسات النشطة في إعدادات الحساب وابحث عن جهاز أو مكان لا تعرفه. إذا وجدت جهازاً غريباً، فسجّل خروجه فوراً وغيّر كلمة المرور.
ماذا أفعل لو شاركت رمز OTP البنكي بالخطأ؟
اتصل بالبنك فوراً على الرقم الرسمي المكتوب على البطاقة أو في موقع البنك، واطلب إيقاف البطاقة أو العملية. كل دقيقة لها قيمة، لأن المحتال يستخدم الرمز خلال وقت قصير جداً.
ما هي مفاتيح المرور Passkeys وهل أحتاجها؟
هي طريقة دخول تعتمد على التشفير بدلاً من كلمة مرور تكتبها، وتتيحها جوجل للحسابات الشخصية منذ مايو 2023. ميزتها أنها تقاوم التصيّد واستبدال شريحة الهاتف، ولذلك يُفضّل تفعيلها على الحسابات التي تدعمها.
هل الاختراق بدافع المزاح أو الفضول جريمة في مصر؟
نعم، فالقانون 175 لسنة 2018 يعاقب على الدخول العمدي بغير حق إلى حساب خاص بغض النظر عن الدافع. والعقوبة تصل إلى الحبس سنة على الأقل وغرامة من 50 إلى 100 ألف جنيه، وتزيد إذا أُتلفت البيانات أو غُيّرت.
الخلاصة
أغلب ما يحمي حسابك لا يحتاج إلى خبرة تقنية، ويمكنك إنجازه في أقل من ساعة. اليوم، الأحد 1 نوفمبر 2026، افتح إعدادات بريدك الإلكتروني وفعّل التحقق بخطوتين أو مفتاح مرور. ثم فعّل رمز التحقق داخل واتساب، وراجع بريد الاسترداد ورقمه في حساباتك المهمة. خلال هذا الأسبوع ثبّت مدير كلمات مرور وغيّر كلمات المرور المكررة، بادئاً بالحسابات المالية. أما الخطوة التي لا تحتاج إلى أي إعداد فهي ألا تعطي أي رمز يصلك على هاتفك لأي شخص يطلبه، مهما بدا مقنعاً. من يطلب الرمز منك يحتاجه لأنه لا يستطيع الدخول بدونه، وهذا بالتحديد ما يجعل الامتناع عن إعطائه كافياً لإيقاف كثير من محاولات السرقة.
