أخطر من المتوقع.. الرسائل النصية لم تعد تحمي حساباتك البنكية

كشف تحقيق صحفي مؤخرًا عن تسريب واسع طال رموز المصادقة الثنائية، التي تستخدمها مؤسسات مالية وتكنولوجية كبرى حول العالم، فهذه الرموز، التي تُرسل عادةً عبر الرسائل النصية لتأكيد هوية المستخدمين، وكانت دائمًا تُعد أحد أعمدة الأمان الإلكتروني، لكن التطورات الأخيرة أظهرت عكس ذلك.
وسيط اتصالات في قلب الاختراق
وأظهر تحقيق صحفي مشترك أجرته وكالتا «بلومبرج»، و«وايتهاوس ريبورتس»، أن شركة اتصالات مقرها سويسرا، تُدعى «فينك تيليكوم سيرفيسز»، تمكنت من الوصول إلى أكثر من مليون رسالة تحتوي على رموز تحقق حساسة خلال يونيو 2023.
المفارقة أن الشركة لم تكن مزوّدًا مباشرًا لخدمة الاتصالات، بل تعمل كحلقة وسطى ضمن شبكة من الشركات التي تتشارك في توصيل الرسائل، وهذا الموقع الوسيط مكّنها من اعتراض البيانات دون إشراف أو رقابة فعالة من الشركات الأصلية، مثل «أمازون»، «واتساب»، «جوجل»، وغيرها.
تسريب عالمي يمس شركات ومستخدمين في عشرات الدول
الرسائل التي تم الوصول إليها لم تكن عشوائية أو عديمة الأهمية، بل جاءت من جهات بارزة، من بينها شركات تواصل اجتماعي معروفة، ومنصات مواعدة، وتطبيقات تداول العملات الرقمية، إضافة إلى مصارف أوروبية كبرى.
الأثر كان عالميًا، إذ وُجّهت تلك الرسائل إلى مستخدمين في أكثر من مئة دولة، ما يسلط الضوء على انتشار الاعتماد على أنظمة اتصالات غير محمية بشكل كافٍ.
علاقة اتسريب بحماية الرسائل النصية للحسابات البنكية
ورغم اعتماد ملايين المستخدمين حول العالم على الرسائل النصية لمرة واحدة (OTP) كوسيلة لتأمين حساباتهم البنكية والرقمية، إلا أن التسريب الأخير يُثبت أن هذه الطريقة باتت عرضة للاختراق أكثر مما يُعتقد.
فالرسائل، لا تُشفر في أغلب الأحيان، وتُرسل عبر شبكات متداخلة تشمل وسطاء خارجيين، ما يجعلها قابلة للاعتراض من أطراف لا تمتلك تصريحًا مباشرًا، كما حدث في قضية «فينك تيليكوم».
لماذا النظام مُعرض للاختراق؟
ورغم أن المصادقة الثنائية تُعتبر خطوة إضافية مهمة لتعزيز الحماية، فإن إرسال الرموز عبر الرسائل النصية يُعد من أكثر الطرق هشاشة، كونها تمر عبر شبكات متداخلة وغير مشفرة. كما أن الاعتماد على ما يُعرف ب«العناوين العالمية» وهي بوابات تمر من خلالها الرسائل عبر شبكات مختلفة لتقليل التكلفة، يزيد من تعقيد المسارات، وبالتالي من احتمالات تسرب البيانات.
مخاطر مباشرة للمستخدمين
الاختراق الأخير يُثير تساؤلات جادة حول سلامة الحسابات التي تعتمد على الرسائل النصية كوسيلة للتحقق من الهوية. فحتى إن لم يكن المستخدم مستهدفًا بشكل مباشر، فإن بياناته قد تكون عُرضة للاختراق دون علمه، في ظل ضعف الرقابة على الوسطاء التقنيين.
كيف تحمي نفسك؟
لحسن الحظ، توجد وسائل بديلة أكثر أمانًا للتحقق من الهوية، ينصح بها خبراء الأمن الرقمي، منها:
* مفاتيح الأمان الفيزيائية، وهي أجهزة صغيرة توصل بالحاسوب أو الهاتف وتولد رموز تحقق مشفرة.
* طرق التحقق البيومتري، مثل البصمة أو بصمة الوجه، والتي تعتمد على خصائص فريدة لا يمكن نسخها بسهولة.
* تطبيقات المصادقة المحلية، مثل Google Authenticator وAuthy، التي تنشئ رموز تحقق مباشرة على جهاز المستخدم دون المرور بشبكات خارجية.