فعّل التحقق بخطوتين في البريد والدفع وحسابات التواصل، وفضّل نافذة التأكيد على الهاتف ثم رمز الرسالة

التحقق بخطوتين يعني أن الدخول يطلب، إلى جانب كلمة المرور، تأكيدا آخر أنك أنت. وطريقة النافذة التي تظهر على الهاتف وتضغط فيها للتأكيد تصد أكثر من 90% من سرقة الحساب بالتصيد. ورمز الرسالة أسهل انتزاعا بالخداع من النافذة. أما الطرق القديمة مثل الإجابة عن «أين سجلت آخر دخول» أو «ما بريدك الاحتياطي» فأقلها لا يصد من سرقة الحساب بالتصيد إلا 10%.

التكلفة

لا تكلفة. يُضبط كل حساب مرة واحدة، وينتهي الأمر في 2 أو 3 دقائق.

الفائدة

أحصت Google عدد 350000 محاولة حقيقية لسرقة الحساب (وتسمى أيضا الاستيلاء على الحساب). نوع يعتمد على الجهاز في التحقق، مثل نافذة على الهاتف تضغط فيها للتأكيد، أو مفتاح أمان يوصل بالجهاز. هذا النوع صد «أكثر من 94% من محاولات الاستيلاء الآتية من التصيد و100% من محاولات الاستيلاء الآلية». التصيد يعني خداعك لتكتب كلمة المرور في موقع مزيف، والآلي يعني أن آلة تجرب كلمات مرور مسربة دفعة واحدة. ونوع آخر يعتمد على الإجابة عن أسئلة، مثل أين كان آخر دخول وما البريد الاحتياطي. هذا النوع «لم يصد إلا ما ينخفض إلى 10% من الاستيلاء بالتصيد و73% من الاستيلاء الآلي». وضمن التحقق بالجهاز رمز الرسالة أضعف من نافذة الهاتف. أصاب المصيدون 4% من رموز الرسائل، ولم تنطل النافذة إلا في 1%. وفي الهجوم الموجه إلى شخص بعينه لم تصد الرسالة إلا 76%، وصدت النافذة 90%.

ملاحظات

وجدت الدراسة نفسها أن هذا التحقق يحجب صاحب الحساب أحيانا. لم يدخل 52% من المستخدمين الحقيقيين من المحاولة الأولى، لكن 97% دخلوا في النهاية. فعّل هذه الوظيفة للبريد أولا، لأن معظم الحسابات الأخرى تستعيد كلمة المرور عبر البريد. رمز التحقق لك وحدك. ما الذي يترتب على قراءة الرمز أو مسح الوجه نيابة عن غيرك، انظر القسم 8 البند 45 (قراءة رمز التحقق).

المصادر · 1

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). doi.org/10.1145/3308558.3313481