لاحظ صاحب متجر إلكتروني أنّ هاتفه بلا تغطية وهو جالس في مكتبه. ظنّ أنّها عطلٌ عابر في الشبكة فتركه ساعتين. خلال هاتين الساعتين كان شخص آخر يتسلّم رموز التحقق المرسَلة برسائل نصية إلى رقمه، ويعيد ضبط كلمة مرور بريده، ومن البريد ينتقل إلى كل ما تبقّى. لم يُخترق هاتفه ولم يُثبَّت عليه برنامج تجسّس؛ ببساطة صار الرقم ملكًا لغيره.
هذا هو هجوم تبديل شريحة SIM، وأخطر ما فيه أنّه ليس هجومًا تقنيًا على الإطلاق.
الهجوم يقع في مركز خدمة العملاء لا في جهازك
يجمع المهاجم ما يستطيع من معلوماتك العلنية: الاسم الكامل، وتاريخ الميلاد، والعنوان، وربما آخر أرقام بطاقة ظهرت في تسريب قديم. ثم يتصل بمشغّل الشبكة أو يزور فرعًا ويقول إنّه فقد هاتفه ويريد نقل رقمه إلى شريحة جديدة. الموظف الذي يواجه عشرات الطلبات المشروعة يوميًا يوافق. وفي حالات أسوأ لا يحتاج المهاجم إلى الإقناع أصلًا، بل يشتري موظفًا واحدًا في الداخل.
انتشار الشريحة الإلكترونية eSIM جعل الخطوة الأخيرة أسرع، إذ لم يعد المهاجم بحاجة إلى استلام بطاقة بلاستيكية من فرع، بل يكفيه رمز يُفعَّل عن بُعد خلال دقائق. اختصر ذلك المهلة التي كانت تمنح الضحية فرصة للانتباه.
في اللحظة التي تُفعَّل فيها الشريحة الجديدة، تُفصَل شريحتك أنت. كل رسالة نصية تحمل رمز تحقق، وكل مكالمة تأكيد آلية، تذهب إلى جهاز المهاجم. جدار الحماية الذي بنيته حول حساباتك يعمل بكفاءة تامة، لكنّه يعمل لصالح شخص آخر.
العلامة التي يغفل عنها الجميع
لا يصدر عن هذا الهجوم أي إنذار. لا رسالة تحذير، ولا نافذة منبثقة، ولا بريد يخبرك بشيء. العلامة الوحيدة صامتة تمامًا: يفقد هاتفك التغطية ويبقى بلا خدمة بلا سبب ظاهر، وأنت في مكان تعرف أنّ الشبكة فيه ممتازة.
ردّة الفعل الطبيعية أن تعيد التشغيل، وتنزع الشريحة وتعيدها، وتلوم المشغّل، وتؤجّل الأمر إلى الغد. هذا التأجيل هو كل ما يحتاجه المهاجم. القاعدة التي تستحق أن تُحفظ: إذا اختفت التغطية فجأة ولم تعد خلال دقائق قليلة، تعامل مع الأمر بوصفه حادثًا أمنيًا حتى يثبت العكس، لا عطلًا فنيًا حتى يثبت العكس.
لننصف الرسائل النصية
من الظلم أن نقول إنّ التحقق بالرسائل النصية عديم الفائدة. الحساب المحميّ بكلمة مرور ورمز نصي أصعب اختراقًا بكثير من حساب محميّ بكلمة مرور وحدها، وهو يوقف الأغلبية الساحقة من الهجمات الآلية وحشو بيانات الاعتماد المسروقة. لا تُعطّل التحقق النصي لمجرّد أنّك قرأت هذا المقال؛ التعطيل يعيدك إلى نقطة أسوأ.
المشكلة في موضع استخدامه لا في وجوده. الرسائل النصية عامل ثانٍ مقبول لمنتدى أو تطبيق توصيل طعام، لكنّها ضعيفة جدًا للحسابات التي يُعاد عبرها ضبط كل شيء آخر: البريد الإلكتروني، ومدير كلمات المرور، والحساب المصرفي، ومنصات العملات الرقمية. هذه الأربعة تحديدًا تستحق أقوى ما تستطيع تشغيله. المقارنة التفصيلية بين الطريقتين موجودة في مقال تطبيق المصادقة أم رمز SMS.
سلّم القوة من الأضعف إلى الأقوى
- رسالة نصية. الأضعف، لأنّ أمانها مرهون بموظف في شركة اتصالات لا تعرفه ولا يعرفك.
- رمز يصل إلى البريد الإلكتروني. أفضل قليلًا، لكنّه يصبح بلا قيمة إن كان البريد نفسه هو الحساب المستهدف.
- تطبيق مصادقة يولّد رموز TOTP. قفزة حقيقية: الرمز يُولَّد داخل جهازك ولا يمرّ عبر أي شبكة، فتبديل الشريحة لا يمسّه من قريب أو بعيد. ابدأ بتوليد رموز TOTP هنا وانقل إليها حساباتك المهمّة واحدًا تلو الآخر.
- مفتاح أمان مادي أو passkey. الأقوى، لأنّه مرتبط بعنوان الموقع نفسه، فلا ينفع معه لا تبديل شريحة ولا صفحة تصيّد متقنة الشبه.
ما تفعله هذا الأسبوع
- اتصل بمشغّل شبكتك واطلب حماية النقل. تسمّيها الشركات رمزًا سريًا أو كلمة مرور للحساب أو قفلًا على نقل الرقم، والمقصود واحد: منع نقل رقمك إلى شريحة أخرى من دون هذا الرمز أو من دون حضورك شخصيًا. مكالمة واحدة تغلق الباب الذي يدخل منه الهجوم كلّه.
- احذف رقم هاتفك من وسائل الاسترداد في كل حساب أتاح لك بديلًا أقوى. رقم مسجَّل بوصفه وسيلة استرداد يظلّ بابًا خلفيًا مفتوحًا حتى لو فعّلت تطبيق مصادقة.
- احتفظ برموز الاسترداد خارج الإنترنت. اطبعها أو اكتبها بخط اليد وضعها في مكان مغلق، ولا تصوّرها بهاتفك. تفاصيل التعامل معها في مقال ما هي رموز الاسترداد.
- افصل كلمات المرور عن ذاكرتك. كلمة مرور فريدة طويلة لكل خدمة تعني أنّ اختراق حساب واحد يبقى محصورًا فيه، ومولّد كلمات مرور قوية يكفيك عناء الابتكار.
الساعة الأولى بعد الهجوم
الترتيب هنا ليس اقتراحًا، بل هو الفرق بين خسارة محدودة وخسارة شاملة.
- استعد رقمك أولًا. استعر خطًا آخر واتصل بالمشغّل فورًا، وقل بوضوح إنّ رقمك نُقل من دون إذنك واطلب إلغاء الشريحة الجديدة. ما دام الرقم بيد المهاجم فكل ما تصلحه بعده يمكن أن يُكسر مجددًا في دقائق.
- ثم البريد الإلكتروني. غيّر كلمة المرور، وأنهِ كل الجلسات النشطة، وافحص قواعد إعادة التوجيه وتحويل الرسائل، فالمهاجمون يزرعون قاعدة صامتة تنسخ إليهم كل بريد قادم.
- ثم المصرف والمحافظ الرقمية. بلّغ عن الحادثة، واطلب تجميد العمليات الحسّاسة، وراجع كشف الحساب بحثًا عن تحويلات صغيرة تجريبية.
- ثم البقية. بعد تأمين الثلاثة السابقة، مرّ على حساباتك الأخرى واستبدل التحقق النصي بتطبيق مصادقة أو مفتاح مادي.
لا تُملِ رمز التحقق لأي شخص مهما كان: لا موظف مصرف، ولا مندوب شركة اتصالات، ولا فريق دعم فني. المؤسسات الحقيقية لا تطلب هذا الرمز أبدًا، ومن يطلبه منك عبر مكالمة فهو المهاجم نفسه، لا من يحميك منه.
أسئلة شائعة
هل يحميني قفل الشريحة برقم PIN من هذا الهجوم؟
لا. رمز PIN الخاص بالشريحة يحمي البطاقة الموجودة في يدك إن سُرق الهاتف، لكنّه لا علاقة له بإصدار شريحة جديدة لدى المشغّل. الحماية المطلوبة هي قفل نقل الرقم على مستوى حسابك عند شركة الاتصالات.
هل تطبيق المصادقة أفضل من الرسائل النصية فعلًا؟
نعم بفارق كبير، لأنّ الرمز يُولَّد داخل جهازك اعتمادًا على مفتاح سرّي ووقت، ولا يمرّ عبر شبكة الاتصالات مطلقًا. من يستولي على رقم هاتفك لا يحصل على شيء من هذا التطبيق.
ماذا لو فقدت الهاتف الذي يحمل تطبيق المصادقة؟
هنا تظهر قيمة رموز الاسترداد التي حفظتها خارج الإنترنت، فهي طريق دخولك البديل. احتفظ أيضًا بنسخة من مفاتيح التطبيق أو فعّل المزامنة المشفّرة إن أتاحها، حتى لا يتحوّل فقدان الجهاز إلى فقدان كل الحسابات.
