آلية الهجوم بسيطة بشكل مثير للسخرية، وهذا البساطة هي بالضبط سبب بقائها فعالة بعد سنوات من تحذيرات فرق الأمن منها.

1. حشو الاعتمادات مقابل القوة الغاشمة: تمييز جوهري

غالباً ما يتم الخلط بين هجمات القوة الغاشمة (Brute Force) وحشو الاعتمادات، لكنهما يحلان مشاكل مختلفة تماماً، والخلط بينهما يؤدي إلى اختيار وسائل دفاع خاطئة.

تستهدف هجمات القوة الغاشمة حساباً واحداً وتجرب العديد من كلمات المرور الممكنة ضده — أي التخمين الأعمى، مقيداً فقط بقواعد تعقيد كلمة المرور. إنها عملية بطيئة، صاخبة، ويتم حظرها بشكل متزايد عن طريق تحديد معدل المحاولات وقفل الحساب.

حشو الاعتمادات يقلب هذه المعادلة تماماً. فالمهاجم لديه بالفعل قائمة كبيرة من أزواج البريد الإلكتروني وكلمة المرور الحقيقية، التي تم جمعها من اختراق بيانات سابق في شركة أخرى — متجر، منتدى، أو تطبيق قديم اشتركت فيه مرة ونسيته. بدلاً من التخمين، يأخذون كلمة المرور العاملة تلك ويجربونها على حساباتك في منصات مختلفة تماماً: مزود بريدك الإلكتروني، حسابك البنكي، أو وسائل التواصل الاجتماعي. لا يوجد تخمين هنا؛ كلمة المرور ليست تخميناً بل هي حقيقة، فقط تم تطبيقها على الباب الخطأ.

2. رياضيات إعادة الاستخدام التي تجعل هذا الهجوم فعالاً

يعود سبب فعالية حشو الاعتمادات على نطاق واسع إلى الاحتمالات البسيطة، وليس إلى مهارات الاختراق المتقدمة. تأمل ما يحدث عندما يتم اختبار مجموعة واحدة من الاعتمادات المسربة مقابل قائمة من المنصات الشهيرة:

لهذا السبب لا تحتاج أدوات حشو الاعتمادات إلى استهداف شخص معين لتكون خطيرة. لا يحتاج المهاجم إلى معرفة هويتك أو الاهتمام بها. إنهم يقومون بتشغيل قائمة مسربة مقابل صفحات تسجيل الدخول على نطاق واسع، وأي حسابات تتطابق — لأن شخصاً ما أعاد استخدام كلمة المرور — تظهر ببساطة كـ "اختراقات مؤكدة". أنت تصبح هدفاً بمحض الصدفة الإحصائية، وليس لأن أحداً اختارك بعينك.

3. كيف يتم تنفيذ الهجوم فعلياً

تنتشر قوائم الاعتمادات المسربة على نطاق واسع بعد الحوادث الكبرى، وغالباً ما يتم تجميعها وإعادة مشاركتها بعد فترة طويلة من معالجة الاختراق الأصلي أو الكشف عنه. يتم تداول هذه القوائم، ودمجها مع مجموعات بيانات مسربة أخرى، واستخدامها في النهاية كمادة خام لمحاولات الحشو.

من هنا، تكون العملية ميكانيكية أكثر منها مهارية: تقوم أدوات مؤتمتة بإرسال محاولات تسجيل دخول عبر العديد من المواقع في تتابع سريع، بالتنقل عبر قائمة الاعتمادات مقابل نموذج تسجيل دخول كل هدف. ولأن المهاجم يختبر آلاف أو ملايين التخمينات الصحيحة مسبقاً بدلاً من التخمينات العشوائية، فإن نسبة نجاح متواضعة — حتى لو كانت نسبة مئوية صغيرة من الحسابات التي حدث فيها إعادة استخدام — تنتج عدداً كبيراً من الحسابات المخترقة عند تطبيقها على قائمة كبيرة بما يكفي.

يتم وصف هذه القطعة هنا على مستوى الآلية فقط — ما يجعل الهجوم فعالاً — وليس كطريقة عمل، لأن الهدف من فهم ذلك هو الدفاع بالكامل: إدراك سبب كون إعادة الاستخدام هي الثغرة الفعلية التي يتم استغلالها، وليس نموذج تسجيل الدخول نفسه.

4. لماذا يصعب على الشركات التصدي له

من منظور الدفاع، يعتبر حشو الاعتمادات مزعجاً بالتحديد لأن كل محاولة تسجيل دخول فردية تبدو شرعية تماماً. اسم المستخدم وكلمة المرور صحيحان. لا توجد علامة واضحة على التخمين، ولا محاولات فاشلة متكررة ضد حساب واحد، ولا أنماط مشبوهة. الطلب يبدو بالضبط مثل ما يحدث ملايين المرات يومياً عندما يسجل المستخدمون الحقيقيون دخولهم بنجاح.

5. حماية حساباتك الشخصية

الخبر السار هو أن الدفاع هنا واضح بشكل غير عادي، لأن الثغرة محددة: إعادة استخدام كلمة المرور. إزالة إعادة الاستخدام تزيل تقريباً كامل الهجوم.

• استخدم كلمة مرور فريدة لكل حساب — مدير كلمات المرور (Password Manager) يجعل هذا عملياً دون الحاجة للحفظ.
• فعّل المصادقة الثنائية (MFA) أينما أتيحت، مع إعطاء الأولوية لتطبيق المصادقة أو المفاتيح الأمنية المادية على رموز الرسائل القصيرة (SMS).
• تحقق مما إذا كان بريدك الإلكتروني يظهر في مجموعات بيانات الاختراق المعروفة باستخدام خدمة موثوقة مثل "Have I Been Pwned"، وقم بتغيير أي كلمات مرور مُعاد استخدامها مرتبطة بالحسابات المتأثرة فوراً.
• أولِ اهتماماً خاصاً للحسابات القديمة المنسية — كلمة مرور أعدت استخدامها من موقع اشتركت فيه منذ سنوات ولم تعد تفكر فيه تعد خطيرة تماماً مثل كلمة مرور من حساب تستخدمه يومياً.
• حيثما تدعم المنصة "مفاتيح المرور" (Passkeys) بدلاً من كلمات المرور، استخدمها — لا يمكن إعادة استخدام مفتاح المرور عبر المواقع بنفس طريقة كلمة المرور النصية، لأنه ليس سراً مشتركاً في المقام الأول.

6. حماية نظام تسجيل الدخول الذي تديره

إذا كنت تدير موقعاً أو تطبيقاً بحسابات مستخدمين، فإن وضع الدفاع يبدو مختلفاً، لأنه لا يمكنك التحكم فيما إذا كان مستخدموك يعيدون استخدام كلمات المرور في مكان آخر — ولكن يمكنك التحكم في كيفية استجابة نظامك للنمط الذي ينتجه هذا الهجوم.

• نفذ حدوداً للمعدل وتأخيرات تدريجية لكل حساب ولكل IP، بدلاً من الاعتماد على أي من الإشارتين وحدها.
• انشر بصمة الجهاز والسلوك لتمييز عمليات تسجيل الدخول التي تنجح ببيانات اعتماد صحيحة ولكنها تأتي من جهاز أو موقع أو إعداد متصفح غير مألوف.
• استخدم CAPTCHA أو آليات تحدٍ مماثلة تحديداً عند اكتشاف سرعة دخول غير طبيعية، بدلاً من وضعها على كل محاولة تسجيل دخول.
• افحص كلمات المرور الجديدة والحالية مقابل مجموعات بيانات كلمات المرور المسربة المعروفة عند التسجيل وتسجيل الدخول، وارفض الاعتمادات التي تظهر في قواعد بيانات الاختراق العامة.
• اعرض — وشجع بفاعلية — المصادقة الثنائية ودعم مفاتيح المرور بدلاً من معاملتها كإضافات اختيارية مدفونة في إعدادات الحساب.
• راقب البصمة المحددة لحشو الاعتمادات: حجم كبير من محاولات تسجيل الدخول مع نسبة منخفضة من الفشل إلى النجاح موزعة عبر العديد من الحسابات، بدلاً من الكثير من الفشل ضد حساب واحد.

الخلاصة

يستمر حشو الاعتمادات ليس لأنه متطور تقنياً، بل لأنه يستغل شيئاً لا يزال كل مستخدم للإنترنت تقريباً يفعله: إعادة استخدام كلمة المرور عبر أكثر من حساب. لا يتطلب الهجوم أي ذكاء ضد دفاعاتك المحددة — هو يتطلب فقط أن كلمة المرور التي اخترتها منذ سنوات، لخدمة قد لا تتذكرها حتى، كانت صحيحة في مكان آخر أيضاً.

الحل أضيق وأكثر قابلية للتحقيق من معظم النصائح الأمنية: تخلص من إعادة الاستخدام، أضف عاملاً ثانياً للمصادقة، وعامل الحسابات القديمة الخامدة بنفس الجدية التي تعامل بها الحسابات التي تستخدمها يومياً. لا يتطلب أي من هذا خبرة تقنية عميقة — هو يتطلب إدراك أن نقطة الضعف لم تكن أبداً قوة أي كلمة مرور مفردة، بل قرار السماح بكلمة مرور واحدة بالعمل لأكثر من حساب واحد.