هل يمكن أن يصبح الحل الذي وُعدنا به كبديل آمن لكلمات المرور، بوابةً جديدة لسرقة بيانات السحابة؟ هذا ما يحدث فعلاً مع مفاتيح المرور Passkey، التي باتت هدفاً لهجمات تصيد متطورة تستهدف حسابات Microsoft 365 منذ مايو 2026.
حين يتحول الدرع إلى ثغرة
مفاتيح المرور Passkey صُممت أصلاً لإنهاء عصر كلمات المرور القابلة للسرقة، إذ تعتمد على التشفير المرتبط بالجهاز بدلاً من نص يُكتب ويُنسى. لكن المهاجمين لم يحاولوا كسر التشفير، بل استهدفوا الإنسان خلف الشاشة.
الهجوم الجديد لا يعتمد على ثغرة برمجية، بل على مكالمة هاتفية أو رسالة SMS أو رسالة على Microsoft Teams، ينتحل فيها المهاجم صفة موظف الدعم الفني الداخلي.
سيناريو المكالمة التي تسرق حسابك
تخيل أنك تتلقى اتصالاً من رقم يبدو رسمياً، والطرف الآخر يعرف اسمك وقسمك وحتى آخر تذكرة دعم فتحتها. يخبرك بأن حسابك بحاجة إلى “إعادة مزامنة” أمنية عاجلة.
يطلب منك المهاجم تسجيل الدخول عبر Passkey أثناء المكالمة، بحجة التحقق من الهوية. وبمجرد أن تلمس بصمتك أو وجهك، يكون قد حصل على جلسة مصادقة كاملة، دون أن يرى كلمة مرور واحدة.
لماذا يفشل الوعي الأمني التقليدي هنا؟
لأن التدريب التقليدي يحذّر من مشاركة كلمات المرور أو رموز OTP. لكن Passkey لا يُشارك، بل يُستخدم أمام المهاجم مباشرة، ما يجعل التحذير القديم بلا قيمة.
الأرقام التي تكشف حجم الخطر
وفق تقارير الأمن السيبراني، ارتفعت هجمات التصيد الموجه ضد منصات العمل السحابية بنسبة تجاوزت 40% خلال العامين الماضيين. Microsoft 365 وحده يستخدمه أكثر من 400 مليون شخص حول العالم.
هذا يعني أن أي ثغرة في طبقة المصادقة، حتى لو كانت نفسها آمنة تقنياً، تفتح باباً أمام سرقة بريد إلكتروني وملفات ومحادثات وبيانات مالية لشركات كاملة.
ماذا يعني هذا للسوق العربي والخليجي؟
منطقة الخليج من أسرع أسواق الحوسبة السحابية نمواً، مع تحول واسع نحو Microsoft 365 وGoogle Workspace في القطاعين الحكومي والخاص. هذا التحول يرفع قيمة أي اختراق ناجح.
الشركات الصغيرة والمتوسطة في المنطقة، التي لا تملك فرق أمن سيبراني متخصصة، هي الأكثر عرضة. المهاجم لا يحتاج سوى موظف واحد يجيب على مكالمة هاتفية في لحظة انشغال.
الأخطر أن كثيراً من المؤسسات العربية تبنّت Passkey كخيار افتراضي دون تحديث سياسات التدريب الأمني، ما يخلق فجوة بين التقنية الحديثة والوعي البشري القديم.
كيف تحمي مؤسستك من هذا الجيل الجديد؟
الحل ليس العودة إلى كلمات المرور، بل بناء طبقات تحقق إضافية حول Passkey نفسه. تفعيل التحقق الشرطي Conditional Access الذي يمنع تسجيل الدخول من أجهزة أو مواقع غير موثوقة خطوة أولى.
كذلك يجب تقييد جلسات المصادقة بمدد قصيرة، وإلزام الموظفين بعدم إتمام أي تسجيل دخول أثناء مكالمة غير متوقعة، حتى لو بدا المتصل موثوقاً.
دور الذكاء الاصطناعي في كشف التصيد
أنظمة الذكاء الاصطناعي باتت قادرة على تحليل أنماط سلوك المستخدم، ورفع راية حمراء عند تسجيل دخول غير معتاد التوقيت أو الموقع. لكن هذه الأنظمة تحتاج بيانات تدريب محدثة باستمرار.
المشكلة أن المهاجمين يستخدمون بدورهم نماذج لغوية متقدمة لكتابة رسائل تصيد بلهجة محلية مقنعة، ما يجعل الكشف الآلي أكثر صعوبة.
الخلاصة: نحن نسلّح المهاجم بأدواتنا الأمنية
المفارقة الأقسى أن كل طبقة أمنية جديدة نتبناها، يجد المهاجم طريقة لتحويلها إلى سلاح ضده. Passkey لم يفشل تقنياً، لكنه كشف هشاشة العامل البشري الذي نادراً ما يُستثمر فيه بقدر الاستثمار في التقنية.
في السوق العربي، الاستثمار في التوعية الأمنية ما زال متأخراً عن الاستثمار في الأدوات. وهذا الخلل هو الثغرة الحقيقية، لا في خوادم Microsoft.
السؤال الذي يستحق نقاشاً جدياً: هل نحن مستعدون لدفع ثمن الأمان بوقت الموظفين وتدريبهم المستمر، أم سنبقى ننتظر الحل التقني السحري الذي لا يأتي أبداً؟
