01. آلية هجوم تبديل الشريحة (SIM Swapping)
يستغل المهاجم الهندسة الاجتماعية أو الرشوة لإقناع موظفي شركة الاتصالات بنقل رقم هاتفك إلى شريحة SIM جديدة بحوزته. في تلك اللحظة ينقطع الاتصال عن هاتفك تماماً، وتصل جميع الرسائل النصية القصيرة الحاملة لأكواد التحقق بخطوتين مباشرة إلى جهاز المخترق، مما يتيح له إعادة تعيين كلمات المرور والسيطرة على حساباتك البنكية والبريدية.
02. ثغرات بروتوكول الإشارات SS7 واعتراض الرسائل عن بُعد
بروتوكول SS7 (نظام الإشارات رقم 7) الذي يربط شبكات الهاتف المحمول عالمياً صُمم في سبعينيات القرن الماضي دون أي آليات تشفير أو تحقق من الهوية. يستطيع المهاجمون المتمرسون شراء وصول إلى شبكة SS7 وإعادة توجيه رسائل SMS الواردة إلى رقمك دون الحاجة لتغيير شريحتك أو لفت انتباهك، مما يجعل 2FA القائم على SMS غير موثوق به كطبقة أمان ثانية.
03. بروكسيات التصيد الاحتيالي المتقدمة (Evilginx و AiTM)
حتى في حال وصول رمز SMS إلى هاتفك بأمان، تستخدم أدوات التصيد الحديثة مثل Evilginx خوادم وسيطة حية (Adversary-in-the-Middle). عندما يدخل المستخدم كلمة المرور ورمز SMS في الصفحة المزيفة، يقوم الخادم الوسيط بإرسالها فوراً إلى الموقع الأصلي وسرقة كوكيز الجلسة الموثقة (Session Token)، متجاوزاً خطوة التحقق بالكامل.
04. البدائل الموصى بها وفق معايير NIST SP 800-63B
أعلن المعهد الوطني للمعايير والتقنية (NIST) صراحة عدم تفضيل رسائل SMS للمصادقة الثنائية. البدائل الأكثر أماناً بالترتيب:
- مفاتيح الأمان العتادية FIDO2/WebAuthn (مثل YubiKey): الحماية القصوى المقاومة للتصيد الاحتيالي بنسبة 100%.
- تطبيقات المصادقة TOTP (مثل 2FA-Tool و Aegis و Bitwarden): توليد أكواد لمرة واحدة محلياً داخل الجهاز دون اتصال بشبكة الاتصالات.
- إشعارات الدفع مع مطابقة الأرقام (Number Matching): تمنع هجمات التعب والإرهاق.